Ironflake

• On note qu'il n'y a qu'un leader et 4 éditeurs/co-éditeurs, en revanche il y a une grande quantité de contributeurs de plusieurs grands noms de l'IT (Transpac, Equant et Orange) qui sont la pour s'assurer de sa qualité.


• La table des matières montre les grands temps dans le projet, définition du scope, objectifs a remplir et enfin les technologies proposées.


• Technologies listées : WPA/RSN 802.11i/802.1x/IPSec/PKI


• Le scope pose le problème suivant : <X> est une entreprise multinationale très hétérogène ayant intégré beaucoup de petits groupes, le wifi est une "hot issue" (un truc peu apprécié mais qu'il vaut mieux intégrer pour pouvoir le contrôler tant que c'est encore possible).


• On distingue plusieurs zones : Corporate, Corporate roaming (support du roaming et la VoWIP (Voice over Wireless IP), Home (désigné en tant qu'accès distant et hors propos du document), Public (accès depuis un réseau extérieur, hors propos), Visitor corporate, External Visitor ("removes temptation to attach unauthorised equipment to the corporate network", mais il vaut mieux utiliser la solution 3G maison).


• On remarque que des solutions maison sont déja semblables au niveau des besoins.


• On cherche a rester aussi sécurisé possible : WIDS (rogue AP, clients compromis), Management de bandes radio (on évite que les ondes n'aillent pas trop loin, antennes dirigées vers le bâtiment et brouilleurs dehors), Sécurisation des composants du réseau RF (SSH obligatoire ou tunneling).


• Sécurité opérationnelle : logging, recurring audit and accountability, gestion des incidents, identification claire des rôles de monitoring (création d'une "police du wifi").

• Un firewall personnel obligatoire, pas de connexions doubles, authentification par port 802.1x, chiffrement/intégrité des données forts, échange de clés sécurisé, no SSID-broadcast, authentification bi-facteur (un truc physique et un mdp, smart card), protection des identifiants utilisateurs, management centralisé des utilisateurs (alerte si deux utilisateurs identiques connectés a des endroits différends), mots de passe forts absolument obligatoires, motd détaillé et définition claire des droits de l'utilisateur (bannières et chartes).

• Filtrage de trafic, séparation du trafic et management du service public, protection des identifiants, contrôle d'accès, management centralisé des comptes invités, "Terms and conditions of usage", Mécanisme de verrouillage automatisé (mots de passe échoués trop souvent, brute force), limitation de bande passante, sécurisation et authentification du portail captif.

• On cherche a savoir si TrueCrypt est fiable En et Hors Machine.


• TrueCrypt chiffre lui même intelligemment ses headers sur le disque. Il est donc impossible sans la clé de savoir avec certitude que c'est bien un volume truecrypt, car en plus le point d'entrée est placé aléatoirement.


• On peut aussi chiffrer le disque système (mais en ce cas le bootstrap est détectable).


• On peut surchiffrer le disque entier, afin de laisser une partition cachée (en fonction du mot de passe entré, on a accès a l'une ou l'autre.)


• Le fonctionnement peut utiliser soit une clé ou bien une clé + un fichier.


• Idée : utiliser clé + fichier et définir une séquence dans laquelle utiliser le fichier


• Il y a un risque de compromission de la clé maître avec l'utilisation du swap.

Lire la suite de ZALGO

[code lang="shell"]
# configure terminal
# --- GENERAL ---
(config)# hostname FAI
(config)# enable secret class
(config)# line console 0
# --- VTYs ---
(config-line)# password cisco
(config-line)# login
(config-line)# logging synchronous
(config-line)# exec-timeout 3 30
(config-line)# exit
(config)# line vty 0 15
(config-line)# password cisco
(config-line)# login
(config-line)# exec-timeout 3 30
(config-line)# logging synchronous
(config-line)# exit
(config)# banner motd "Avez-vous les droits ?"
# --- INTERFACE ETHERNET ---
(config)# interface fa0/0
(config-if)# description Réseau client 1
(config-if)# ip address 192.168.10.254 255.255.255.0
(config-if)# no shutdown
(config-if)# exit
# --- INTERFACE SERIE ---
(config)# interface se0/0
(config-if)# description Réseau FAI 1 DCE 64000 Kbps
(config-if)# clock rate 64000
(config-if)# bandwith 64 # En Kbps !
(config-if)# encapsulation hdlc # Par défaut
(config-if)# ip address 200.200.200.5 255.255.255.252
(config-if)# no shutdown
(config-if)# exit
# --- ROUTAGE RIP ---
(config)# router rip
(config-router)# network X.X.X.X
(config-router)# exit
(config)# exit
%SYS-5-CONFIG_I: Configured from console by console
[/code]

[code lang="shell"]
# configure terminal
(config)# interface Vlan 1
(config-if)# ip address 192.168.10.253 255.255.255.0
(config-if)# no shutdown
(config-if)# exit
# --- INTERFACE ETHERNET - VLANs ---
(config)# interface fa0/0.100
(config-if)# description Réseau client VLAN 100
(config-if)# encapsulation dot1Q 100 # VLAN 100
(config-if)# bridge-group 1
(config-if)# exit
[/code]

• En cas d'interface up / down, penser a :

1. Vérifier l'encapsulation


2. Vérifier si l'on est DCE ou DTE et si la commande clock rate est réglée en conséquence (show controller s0/0, vérifier le message CLOCK STOPPED)

• Le pognon$$$


• Les failles humaines : négligeance, coût humain, volonté de préserver son travail.


• Les failles logicielles

• Plus le réseau est grand plus le risque d'être faillible est grand

1. Sécuriser les données


2. Assurer la continuité d'activité


3. Nettoyer les réseaux hérités du passé


4. Organiser la mobilité


5. Faire plus avec moins


6. Garantir les performances du système


7. Certifier l'informatique (normes ISO, etc...)


8. Simplifier l'infrastructure informatique


9. Simplifier l'accès aux applications et aux données

• S (écurité) : de bout en bout


• A (ccès) : ATTAWAD (AnyTime, AnyWhere, Any Device)


• C (ontinuité) : Interne et Externe

Lire la suite de Booz-Allen-Hamilton