73 lines
4.1 KiB
Markdown
73 lines
4.1 KiB
Markdown
## 4.1 Sécuriser l'environnement numérique
|
|
|
|
**Ce que recouvre la compétence** : protéger ses équipements, ses communications et ses données contre les attaques, pièges et incidents (logiciels malveillants, hameçonnage, vol de compte, perte de données). Thématiques Pix : menaces et ingénierie sociale, authentification, chiffrement, mises à jour et logiciels de protection, sécurité des réseaux, paiements en ligne.
|
|
|
|
### Progression par niveaux (résumé)
|
|
|
|
- **N1-N2** : verrouiller son poste, ne pas partager ses mots de passe, reconnaître un message suspect évident.
|
|
- **N3** : créer des mots de passe robustes, faire les mises à jour, repérer une connexion sécurisée (HTTPS).
|
|
- **N4-N5** : utiliser un gestionnaire de mots de passe et la double authentification, chiffrer des données, sécuriser son réseau.
|
|
- **N6+** : comprendre les mécanismes d'attaque et de chiffrement, appliquer une politique de sécurité pour un groupe, réagir à un incident.
|
|
|
|
### Version Linux et libre
|
|
|
|
**Le modèle de sécurité de Linux**
|
|
|
|
- Compte utilisateur sans privilèges, `sudo` pour les actions d'administration
|
|
- Logiciels installés depuis des dépôts officiels signés plutôt que téléchargés au hasard
|
|
- Mises à jour centralisées pour tout le système (gestionnaire de logiciels, `apt`, `dnf`), automatisables
|
|
- Flatpak : applications isolées, permissions réglables avec **Flatseal**
|
|
- AppArmor ou SELinux en arrière-plan
|
|
- À démystifier : Linux n'est pas invulnérable. L'hameçonnage, les extensions de navigateur malveillantes, un `curl … | bash` aveugle ou un dépôt tiers douteux restent des risques réels
|
|
|
|
**Mots de passe et authentification**
|
|
|
|
- **KeePassXC** : gestionnaire libre, certifié par l'ANSSI
|
|
- Bitwarden (serveur auto-hébergeable avec Vaultwarden)
|
|
- Phrases de passe (méthode Diceware) plutôt que mots de passe complexes impossibles à retenir
|
|
- Vérifier si ses comptes ont fuité : Have I Been Pwned, Mozilla Monitor
|
|
- Double authentification (TOTP) : KeePassXC lui-même, **Aegis** (Android), Authenticator (GNOME)
|
|
- Clés de sécurité physiques FIDO2, dont **Nitrokey** au matériel ouvert ; passkeys
|
|
|
|
**Chiffrement**
|
|
|
|
- **LUKS** : chiffrement complet du disque proposé à l'installation de la plupart des distributions
|
|
- VeraCrypt : conteneurs chiffrés, lisibles aussi sous Windows et macOS
|
|
- **Cryptomator** : chiffrer ses fichiers avant de les mettre dans le nuage
|
|
- GnuPG pour les fichiers et courriels (Kleopatra, ou Mots de passe et clés sous GNOME)
|
|
- Clés SSH pour se connecter à un serveur
|
|
- HTTPS et certificats : ce que garantit vraiment le cadenas, et ce qu'il ne garantit pas
|
|
|
|
**Réseau**
|
|
|
|
- Pare-feu : `ufw` et son interface **Gufw**, ou firewalld
|
|
- Wi-Fi : WPA2/WPA3, prudence sur les réseaux publics
|
|
- VPN : **WireGuard**, OpenVPN ; ce qu'un VPN protège et ses limites
|
|
- **Tor Browser** pour l'anonymat
|
|
- Firefox : mode HTTPS uniquement, DNS chiffré
|
|
|
|
**Logiciels de protection**
|
|
|
|
- ClamAV avec l'interface ClamTk : utile surtout pour analyser des fichiers destinés à des postes Windows ou des clés USB partagées
|
|
- uBlock Origin contre les publicités piégées
|
|
|
|
**Hameçonnage et ingénierie sociale**
|
|
|
|
- Vérifier l'adresse réelle d'un lien et l'expéditeur réel (en-têtes dans Thunderbird)
|
|
- Signaler : Signal Spam, **cybermalveillance.gouv.fr**, 17Cyber pour les victimes
|
|
- Rançongiciels : la meilleure protection reste la sauvegarde hors ligne (lien 1.2)
|
|
|
|
**Bonnes pratiques matérielles**
|
|
|
|
- Verrouiller sa session (Super + L), mot de passe du BIOS/UEFI
|
|
- Ne pas brancher une clé USB inconnue
|
|
- Référence : guide d'hygiène informatique de l'ANSSI
|
|
|
|
### Idées d'activités
|
|
|
|
- Migrer tous ses mots de passe vers KeePassXC et activer la double authentification sur un compte important
|
|
- Créer un conteneur VeraCrypt sur une clé USB et l'ouvrir sous un autre système
|
|
- Atelier hameçonnage : trier une série de vrais et faux messages en justifiant chaque choix
|
|
- Configurer Gufw et vérifier les ports ouverts avec `ss -tulpn`
|
|
- Examiner les permissions de ses applications Flatpak avec Flatseal et en restreindre une
|
|
- Échanger des fichiers chiffrés avec GnuPG entre deux participants
|