Mesures préventives et correctives

Classer ces trois mots de passe du moins sûr au plus sûr et expliquer le critère utilisé : « luna2024 », « Tr3s!TristesTigres », « 123456 ».

Quelles données personnelles ne devraient jamais apparaître dans un mot de passe (votre année de naissance, le nom de votre animal, votre équipe de football) ? Expliquer pourquoi ce sont précisément les premières qu'essaie un attaquant qui vous connaît ou qui enquête sur vous sur les réseaux.

La figure compare la solidité estimée de deux mots de passe.

Indiquer lequel des deux est le plus robuste, expliquer quelles caractéristiques le rendent fort et justifier quel temps de déchiffrement occuperait, en comparaison, la case marquée par ?.

Un code PIN à quatre chiffres admet $10^4$ combinaisons possibles. Calculer combien de combinaisons admet un code PIN à six chiffres et, si un programme teste $1\,000$ combinaisons par seconde, estimer combien de temps il mettrait au maximum pour déchiffrer chacun. Quelle conclusion tirez-vous sur l'ajout de caractères à un mot de passe ?

La figure explique le fonctionnement d'un gestionnaire de mots de passe.

Expliquer ce que représente le coffre-fort marqué par ?, quel avantage il y a à mémoriser un seul mot de passe maître plutôt que de répéter le même mot de passe partout, et quelle précaution particulière ce mot de passe maître exige.

Pourquoi dit-on que la messagerie électronique est le compte le plus important à protéger ? Expliquer ce qu'un attaquant qui contrôle votre messagerie peut faire avec tous vos autres comptes, en pensant au bouton « mot de passe oublié ».

Commenter cette pratique : « Je note le mot de passe sur un papier collé sous le clavier ; après tout, ce n'est pas numérique ». Évaluer son risque réel et proposer deux alternatives plus sûres pour ne pas oublier les mots de passe importants.

Expliquer ce que sont les questions de sécurité (« nom de votre premier animal ? »), pourquoi elles constituent un maillon faible si les réponses peuvent être trouvées sur vos réseaux, et quelle stratégie vous pouvez utiliser pour y répondre sans les oublier ensuite.

Un camarade stocke tous ses mots de passe dans une note de texte non chiffrée sur son téléphone, synchronisée automatiquement dans le cloud, et argumente : « Si j'utilise un gestionnaire de mots de passe et que son entreprise se fait pirater, on me les vole tous à la fois ; avec ma note sur le téléphone, seul celui qui me vole physiquement le téléphone peut les voir ».

1. a) Réfuter son argument en expliquant deux situations réelles dans lesquelles ses mots de passe seraient exposés sans que personne n'ait besoin de lui voler physiquement le téléphone ni de connaître son code de déverrouillage.
2. b) Justifier d'un point de vue technique comment un gestionnaire de mots de passe protège les informations face à une fuite de données sur ses propres serveurs (notion de chiffrement de bout en bout) et quel avantage il apporte par rapport à la note de texte.

Expliquer ce qu'est la vérification en deux étapes et pourquoi elle protège votre compte même si quelqu'un parvient à voler votre mot de passe.

Expliquer ce qu'est le blocage après des tentatives échouées sur un téléphone ou un distributeur de billets, et comment il fait d'un code PIN de seulement quatre chiffres une défense raisonnable, même s'il n'existe que peu de combinaisons possibles.

Un mot de passe de huit caractères n'utilise que des lettres minuscules, c'est-à-dire un alphabet de $26$ symboles ; un autre de même longueur utilise majuscules, minuscules, chiffres et signes, un alphabet d'environ $70$ symboles. Écrire les combinaisons possibles de chacun sous forme de puissances, $26^8$ et $70^8$, et, sans calculer la valeur exacte, déterminer avec des puissances de dix combien de fois le second est plus résistant. Qu'est-ce qui protège le plus : allonger le mot de passe ou élargir l'alphabet ?

Hiérarchiser cette liste de comptes pour activer la vérification en deux étapes, de l'indispensable au dispensable, et justifier votre critère : messagerie électronique, banque, jeu vidéo préféré, réseau social, plateforme de l'établissement scolaire. Terminer en réfléchissant à la pertinence de mettre la sécurité maximale partout.

Une application bancaire propose de remplacer complètement tous les mots de passe saisis par la reconnaissance faciale ou l'empreinte digitale, en argumentant que « votre visage et votre doigt sont uniques et ne peuvent ni s'oublier ni être mal saisis ».

1. a) Réfuter la proposition de la banque en justifiant d'un point de vue technique pourquoi une donnée biométrique ne doit pas être le seul secret d'authentification, en comparant ce qui se passe quand un mot de passe fuite avec ce qui se passe quand un gabarit biométrique fuite.
2. b) Concevoir un schéma d'authentification multifacteur (MFA) pour autoriser des virements bancaires d'un montant élevé qui combine au moins deux facteurs de nature différente (ce que vous savez, ce que vous possédez ou ce que vous êtes), et justifier pourquoi il résiste au vol physique du téléphone mobile.

Concevoir la politique de mots de passe pour le site web d'un club sportif qui conserve des données de mineurs : longueur minimale, vérification en deux étapes pour les entraîneurs et les dirigeants, que faire du compte partagé de l'équipe et comment aider les familles les moins expertes à la respecter.

Lors de votre inscription à une application web gratuite de retouche d'images, la plateforme vous propose de cliquer sur « Se connecter avec Google ». Avant d'entrer, une fenêtre vous demande d'autoriser l'accès à votre nom et à votre adresse électronique, mais elle demande aussi les autorisations « Voir, modifier et supprimer vos fichiers Google Drive ».

1. a) Interpréter les autorisations demandées et justifier pourquoi les accorder constitue une violation du principe de moindre privilège dans ce cas précis.
2. b) Analyser le risque du « point unique de défaillance » pour un utilisateur qui se sert de son compte Google comme clé d'accès à plus de vingt services différents sur internet. Prévoir les conséquences immédiates si on lui dérobe le compte principal et concevoir une procédure en trois étapes pour auditer et révoquer régulièrement les accès.

Votre téléphone vous signale depuis des mois une mise à jour du système et vous appuyez toujours sur « plus tard ». Expliquer quel risque concret vous acceptez et quelle relation existe entre les mises à jour et les failles de sécurité déjà connues publiquement.

Vous êtes connecté au wifi gratuit d'un café et vous devez consulter votre compte bancaire. Expliquer quels risques présente un réseau wifi public, quelles précautions techniques le rendent plus sûr (https, VPN, utiliser les données mobiles) et quelles opérations il vaut mieux ne jamais effectuer depuis celui-ci.

Comparer ces deux mots de passe : « X7#k9 », de cinq caractères très inhabituels, et « chat rouge lune lac », une longue phrase de mots courants. Expliquer ce qui pèse le plus dans la résistance d'un mot de passe, la longueur ou la rareté des caractères, lequel vous retiendriez le mieux et quel type d'attaque subit chacun.

Une connaissance affirme : « J'ai un antivirus payant très puissant, donc peu importe que j'utilise un mot de passe simple pour tous mes comptes et je n'ai pas besoin de perdre du temps à installer les mises à jour du système d'exploitation ».

1. a) Prévoir de façon détaillée un scénario d'attaque dans lequel un cybercriminel prend le contrôle de son ordinateur ou de ses comptes personnels sans que l'antivirus émette la moindre alerte (par exemple, grâce à une vulnérabilité non corrigée du système ou par force brute et ingénierie sociale).
2. b) Justifier, à l'aide du principe de défense en profondeur, pourquoi un seul mécanisme de sécurité n'est jamais suffisant, en expliquant comment trois couches défensives différentes (mises à jour du système, authentification et protection active) doivent se compléter pour neutraliser la menace si l'une d'elles échoue.

Un réseau social subit une fuite de données et votre adresse électronique figure dans la liste des comptes concernés. Décrire pas à pas et dans l'ordre ce que vous feriez à partir de ce moment : quels mots de passe changer, quoi vérifier sur d'autres comptes et quelle protection supplémentaire activer.

Un service vous prévient : « une connexion a été détectée depuis un autre pays ». Décrire pas à pas et dans l'ordre ce que vous feriez à partir de cet avertissement : comment confirmer si c'était vous, quels identifiants changer, où vérifier les sessions ouvertes et quelle protection activer ensuite.

Après la fuite de la base de données contenant les adresses électroniques et les mots de passe d'une boutique de vêtements en ligne, plusieurs clients subissent des accès non autorisés à leurs comptes bancaires et de messagerie, bien que ces organismes n'aient subi aucune faille de sécurité.

1. a) Justifier la procédure technique automatisée qu'utilisent les attaquants pour accéder aux autres comptes à partir des données divulguées, en expliquant pourquoi un mot de passe long et complexe cesse d'être sûr dès qu'il est réutilisé.
2. b) Un utilisateur concerné affirme : « Il suffit de changer le mot de passe de la boutique piratée pour être en sécurité ». Réfuter son affirmation en prévoyant les risques réels auxquels il reste exposé et concevoir un protocole de réponse immédiate en trois étapes pour protéger son identité numérique.

Une famille stocke sur son ordinateur de bureau 400 GB de photos et de documents officiels irremplaçables. Par précaution, elle effectue une copie hebdomadaire sur un disque dur externe USB qu'elle laisse toujours branché à l'ordinateur.

1. a) Justifier pourquoi cette mesure est insuffisante face à deux menaces concrètes : une attaque par rançongiciel et une surtension électrique dans le logement.
2. b) Concevoir une stratégie de sauvegarde efficace en appliquant le principe 3-2-1 adaptée à cette famille : préciser quels supports utiliser, où les copies doivent être situées physiquement et à quelle fréquence elles doivent être mises à jour, en justifiant chaque décision technique.

Défi du thème. Devenez auditeur en cybersécurité et concevez un « Plan de protection numérique familial » pour protéger votre entourage face aux risques du réseau.

Suivre ces phases :

1. Recueil de données réelles : Interroger $4$ ou $5$ personnes de votre entourage sur leurs habitudes numériques (gestion des mots de passe, sauvegardes, clics sur des liens inconnus). Comparer vos résultats avec des données de l'ANSSI ou de l'INSEE, où la fraude en ligne dépasse $85,0$ % des cybercrimes signalés.

2. Diagnostic des vulnérabilités : Classer les risques observés en les reliant à des menaces concrètes : logiciels malveillants (chevaux de Troie, rançongiciels, virus) et ingénierie sociale (hameçonnage, smishing ou usurpation d'identité).

3. Guide d'action avec LibreOffice : Rédiger un rapport ou un dépliant bref (1-2 pages) avec LibreOffice Writer qui détaille un décalogue de mesures préventives (antivirus, gestionnaires de mots de passe, double authentification) et un protocole de réponse corrective en cas d'attaque ou de prise en otage de données.

Seront évalués :

• Le recueil de données de l'entourage et la confrontation rigoureuse avec des sources officielles.

• La classification pertinente des types de logiciels malveillants et des techniques de tromperie détectées.

• La clarté et l'utilité réelle des mesures préventives et correctives proposées.