| Les deux révisions précédentes
Révision précédente
Prochaine révision
|
Révision précédente
Prochaine révision
Les deux révisions suivantes
|
enseignement:tiw4 [2014/12/03 12:04]
rthion [Programme] |
enseignement:tiw4 [2017/11/13 10:59]
rthion [Programme] |
| ===== TIW4 2014-2015: Sécurité des systèmes d'information ===== | ===== TIW4 2017-2018: Sécurité des systèmes d'information ===== |
| |
| L'unité d'enseignement TIW4 2014-2015 ([[http://offre-de-formations.univ-lyon1.fr/front_fiche_ue.php?UE_ID=9543&PARCOURS_ID=156|odf]]) est une introduction à la sécurité du système d'information qui a pour objectif de sensibiliser les étudiants à la sécurité informatique et à la protection de la vie privée. Sur les plans techniques et méthodologique, les étudiants acquerront des bases sur l'analyse de risques, la cryptographie, les vulnérabilités web et la gestion des autorisations. | L'unité d'enseignement TIW4 2017-2018 ([[http://offre-de-formations.univ-lyon1.fr///front_fiche_ue.php?UE_ID=9543&PARCOURS_ID=345|odf]]) est une introduction à la sécurité du système d'information qui a pour objectif de sensibiliser les étudiants à la sécurité informatique. Sur les plans techniques et méthodologique, les étudiants acquerront des bases sur l'analyse de risques, la cryptographie, la configuration de serveurs HTTPS, l'authentification, les vulnérabilités web et la gestion des autorisations. |
| ==== Programme ==== | ==== Programme ==== |
| |
| Retrouvez l'emploi du temps sur [[http://master-info.univ-lyon1.fr/M2TI/#planning|le site du M2TI]]. Les enseignements seront sur le mode des cours intégrés, sans distinctions entre les séances de CM et celles de TD. | Retrouvez l'emploi du temps sur [[http://master-info.univ-lyon1.fr/M2TIW/#planning|le site du M2TIW]]. |
| |
| ^ Thématique ^ Séance ^^ Diapos ^ Exercices ^ CC ^ | * 20/09 - [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM0-Introduction.pdf|Introduction à la sécurité]] et à [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM1-AnalyseDeRisques.pdf|l'analyse de risques]] |
| ^ ::: | * 09/10 - [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM2-Chiffre.pdf|Introduction à la cryptographie]] |
| ^ Introduction | 17/09 | 13h45-17h00 - C4 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM0-Introduction.pdf|introduction]] [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM1-AnalyseDeRisques.pdf|analyse de risques EBIOS]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD1.pdf|TD 1]] | | * 10/10 - TP HTTPS et authentification [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TP_SecAuth/TIW4-2017-2018-TP-Auth.txt|sujet]],[[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TP_SecAuth/CoursAuthentification-VincentHurtevent.pdf|cours sur authentification]],[[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TP_SecAuth/CoursHTTPS-VincentHurtevent.pdf|cours sur HTTPS]] |
| ^ ::: | * 11/10 - TP HTTPS et authentification [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TP_SecAuth/TIW4-2017-2018-TP-Auth.txt|sujet]] ([[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TP_SecAuth/tiw4-auth-master.zip|application PhP]], [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TP_SecAuth/wahoo_BD.sql|script création BD]]) |
| ^ Cryptographie | 24/09 | 08h15-09h45 - C1 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM2-Chiffre.pdf|cryptographie et applications]] [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/Exemples/|exemples]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD2.pdf|TD 2]] | | * 08/11 - [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM2-Chiffre.pdf|Introduction à la cryptographie]] |
| ^ ::: | 24/09 | 13h30-16h00 - C1 | ::: | ::: | | * 15/11 - [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM2-Chiffre.pdf|Introduction à la cryptographie]] et [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM4-Vuln.pdf|introduction aux vulnérabilités]] |
| ^ ::: | 01/10 | 13h45-18h00 - C5 | ::: | ::: | | * 06/12 - TP Pen-testing webapp (1/2) |
| ^ ::: | * 15/12 - TP Pen-testing webapp (2/2) |
| ^ Vie privée | 08/10 | 13h45-17h00 - C4 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM3-Privacy.pdf|introduction à la protection de la vie privée]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD3.pdf|TD 3]] [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TD3_decisions_CNIL/|CNIL]]| **CC1**| | * 10/01 - //Contrôle intermédiaire// |
| ^ ::: | * 17/01 - Contrôle d'accès |
| ^ Vulnérabilités | 29/10 | 13h45-18h00 - C4 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM4-Vuln.pdf|vulnérabilités logicielles et web]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD4.pdf|TD 4]] | | * 07/02 - Contrôle d'accès |
| ^ ::: | 05/11 | 13h00-14h00 - C3 | présentation de la plateforme de TP | | * 14/02 - Débriefeing, CCF années précédentes |
| ^ ::: | 05/11 | 14h00-18h00 - TP4| //serious-game// sur les vulnérabilités web | | |
| ^ ::: | ::: | 14h00-18h00 - TP5| ::: | | |
| ^ ::: | 12/11 | 14h00-16h00 - C5 | retours sur le TP| | **rapport** | | |
| ^ ::: | |
| ^ Autorisations | 19/11 | 13h45-17h00 - C2| [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM5-Autorisations.pdf|gestion des autorisations]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD5.pdf|TD5]] | **CC2** | | |
| ^ ::: | 03/12 | 13h45-17h00 - C5 | ::: | :::| | |
| ^ ::: | |
| ^ Conclusion | 10/12 | 13h45-15h45 - C5 | débriefing et révisions | | |
| ^ ::: | 17/12 | 14h00-16h00 - C2 | contrôle final (1h30) | | **CCF**| | |
| |
| <note>La [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD-corrections.zip|correction]] des sujets de TD protégée par mot de passe</note> | <note>Le [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD-Book.pdf|livret des exercices]]</note> |
| |
| ==== Évaluation ==== | ==== Évaluation ==== |
| |
| * 20% : Contrôle continu 1 | * Contrôle continu : 2/3 |
| * 20% : Contrôle continu 2 | * TP HTTPS et authentification : TBA |
| * 30% : Compte-rendu de TP | * TP Vulnérabilités WEB : TBA |
| * 30% : Contrôle continu final | * Contrôle intermédiaire : TBA |
| | * Contrôle final : 1/3 |
| |
| === Consignes pour le TP === | |
| |
| |
| |
| <note important>La plateforme //HackMe// sur les vulnérabilités web est déployée sur http://192.168.74.163:80</note> | |
| |
| <note important>Pour la validation de l'exploit CSRF, vous pouvez | |
| [[romuald.thion@univ-lyon1.fr?subject=[HackMe]|m'écrire directement]] plutôt que de contacter le webmaster de la plateforme. | |
| </note> | |
| |
| La plateforme comporte 9 défis intitulés ''r2d2'', ''c3po'', ''lando'', ''leia'', ''han'', ''chewbacca'', ''luke'', ''obiwan'' et ''yoda''. Le rapport contiendra 10 sections une section pour chaque défi et une conclusion. Chaque section consacrée à un défi (merci de respecter les intitulés) contiendra les sous-sections suivantes : | |
| |
| * type de vulnérabilité : expliquer de quoi il s'agit et trouver une référence associée (e.g., lien sur owasp) | |
| * exploitation de la vulnérabilité : expliquer comment vous avez réussi à exploiter la faille pour vous ajouter à la liste des gagnants, préciser les outils (e.g., data tampering) et les méthodes utilisés | |
| * contre-mesure : proposer quelques suggestions pour éviter ce type de faille | |
| |
| La section conclusion est libre : il s'agit de prendre un peu de recul pour voir ce que ce TP vous a apporté. | |
| L'évaluation du rapport portera sur : la qualité de la rédaction, le nombre de défis remportés et la valeur ajoutée de chaque section. | |
| |
| <note important>Le rapport est à rendre par email au format ''pdf'' ou ''html'' le mercredi 12/10 9h du matin **au plus tard**, pour me permettre de préparer une synthèse pour le cours qui aura lieu le même jour à 14h.</note> | |
| ==== Informations complémentaires ==== | ==== Informations complémentaires ==== |
| |
| * [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/Annales/|dossier des annales]] (CCF 2010 à 2013, CC1 et CC2 2013). Nota : les exercices du CCF sont généralement intégrés dans les sujets de TD de l'année suivante. | * [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/Annales/|dossier des annales]] |
| | * Projet de référence sur la sécurité [[https://www.owasp.org/index.php/Main_Page|OWASP]] |
| * cours de cryptographie de [[http://crypto.stanford.edu/~dabo/|Dan Boneh]] sur [[https://class.coursera.org/crypto-preview|coursera]] | * cours de cryptographie de [[http://crypto.stanford.edu/~dabo/|Dan Boneh]] sur [[https://class.coursera.org/crypto-preview|coursera]] |
| | *// “...no one can hack my mind”: Comparing Expert and Non-Expert Security Practices// un [[https://www.usenix.org/system/files/conference/soups2015/soups15-paper-ion.pdf|article de recherche]] sur la perception de la sécurité selon l'expertise |
| | * [[https://www.cs.utexas.edu/~byoung/cs361/syllabus361.html|Introduction to Computer Security, Bill Young]] |
