Nuage

1 Autopsie d’un nuage

1.1 Introduction à la vapeur d’eau

A l’origine une réalité : Internet.
Un premier jeu de mots : Intranet
... un Internet privé.
Le retour de la mercatique : Infonuagique
... un Internet masqué.

1.2 Infonuagique

Quelques anglicismes :
- Cloud storage ;
- Cloud computing.
Notion assez floue et peu technique.
Modèle économique :
- externalisation de l’Intranet ;
- mutualisation de l’infrastructure ;
- les opérateurs font miroiter une réduction des coûts.
Cacher la complexité :
- plus de maintenance locale des applications ;
- configuration via une interface Web ;
- donc expertise technique non nécessaire.
Avantages mis en avant :
- meilleure architecture (redondance) ;
- meilleure accessibilité ;
- adaptation rapide des ressources ;
- tableau de bord des performances.
Composants d’un nuage :
- une solution de virtualisation de SE ;
- des espaces de stockages ;
- des adresses IP et des VLAN ;
- des parefeux et des équilibreurs de charge ;
- des bases de données et des serveurs Web ;
- service de messagerie et de téléphonie.

2 Configuration réseau

2.1 Configuration d’interface sous Unix

Lister les interfaces : netstat -i.

Exemple sur artois :

rex@artois:~$ netstat -i
Kernel Interface table
Iface   MTU Met    RX-OK RX-ERR RX-DRP RX-OVR ...
eth0   1500   0 13081896 0      0      0      ...
eth1   1500   0  9043501 0      0      0      ...
lo     3924   0   261476 0      0      0      ...

...                TX-OK TX-ERR TX-DRP TX-OVR Flg
...             10402147      0      0      0 BNRU
...              7328120      0      0      0 BNRU
...               261476      0      0      0 LRU

Une commande standard : ifconfig.
Permet de définir :
- l’adresse IP de l’interface ;
- l’adresse de diffusion ;
- le masque de réseau ;
- la taille maximale de paquet (MTU).

Exemple d’utilisation de ifconfig :

$ /sbin/ifconfig eth0 193.48.57.37
  netmask 255.255.255.224 broadcast 193.48.57.63

Permet de vérifier la configuration :

rex@artois:~$ /sbin/ifconfig eth0
eth0      Link encap:Ethernet  HWaddr 00:10:B5:02:A5:B7
          inet addr:193.48.57.37  Bcast:193.48.57.63  Mask:255.255.255.224
          inet6 addr: fe80::210:b5ff:fe02:a5b7/10 Scope:Link
          UP BROADCAST NOTRAILERS RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:13086840 errors:0 dropped:0 overruns:0 frame:0
          TX packets:10407691 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          Interrupt:5 Base address:0xe000

2.2 Résolution des noms DNS

Des noms de machines symboliques :
nom := machine.domaine
domaine := service.institution.racine
racine := edu | com | ... | fr | uk | fi | ...
Résolution statique :
- le fichier de correspondance /etc/hosts ;
- entrées de la forme :
  adresse-IP nom-officiel [surnom ...]
- exemple :
```
127.0.0.1       localhost
193.48.57.36    douaisis.escaut.net
```
Résolution dynamique :
- utilise un Domain Name Server (DNS) ;
- configuration dans /etc/resolv.conf ;
- trois mots clefs :
  - domain : nom du domaine local ;
  - nameserver : adresse IP du serveur ;
  - search : suffixes de recherche.
- exemple de configuration :
```
nameserver 193.48.57.36
nameserver 134.206.1.15 
search escaut.net polytech-lille.fr
```

2.3 Mise à jour du routage sous Unix

Une commande (presque) standard : route.

Exemples d’utilisation :

Interface loopback :

route add -net 127.0.0.0 dev lo

route add -host 127.0.0.1 dev lo

Routage du serveur d’applications de Polytech’Lille :

route add -net 193.48.57.32 netmask 255.255.225.224 dev vlan2
route add -net 172.26.96.0 netmask 255.255.240.0 dev vlan14
route add -net default gw 193.48.57.62

Routage d’une machine d’enseignement ;

route add -net 172.26.16.0 netmask 255.255.240.0 dev eth0
route add -net 172.26.0.0 netmask 255.255.0.0 gw 172.26.31.254
route add -net 192.168.2.0 netmask 255.255.255.0 gw 172.26.31.253
route add -net 193.48.57.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net 193.48.64.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net 193.48.65.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net 193.48.68.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net 134.206.0.0 netmask 255.255.0.0 gw 172.26.31.254
route add -net 193.49.225.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net default gw 172.26.16.8

Lister la table de routage :
- parfois route sans argument ;
- sinon utiliser netstat -rn.

Exemple la table de routage de pevele :

pevele$ netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags ...
193.48.57.32    0.0.0.0         255.255.255.224 U     ...
0.0.0.0         193.48.57.62    0.0.0.0         UG    ...

... MSS Window  irtt Iface
... 0 0          0 eth0
... 0 0          0 eth0

2.4 Configuration automatique d’interface

Méthodes pour obtenir les informations IP :
- statique, codée dans un fichier ;
- dynamique, utilisation de serveurs réseau (DHCP) ;
- configuration automatique (zeroconf).
Disparition des scripts utilisant ifconfig et route

Centralisation des configurations réseau :

exemple des distributions Debian et Ubuntu ;

un fichier texte /etc/network/interfaces

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface (IPv4)
iface eth0 inet dhcp

# A secondary network interface (IPv4)
iface eth1 inet static
  address 172.26.79.42
  netmask 255.255.240.0
  # gateway 172.26.79.254

# The primary network interface (IPv6)
iface eth0 inet6 auto
  # privext 2

# A secondary network interface (IPv6)
iface eth0 inet6 static
  address 2001:660:4401:6006::42
  netmask 64
  # autoconf 0
  # gateway fe80::211:::1

# The wifi network interface (WPA/IPv4)
auto wlan0
iface wlan0 inet static
  wpa-ssid SWEETHOME
  wpa-key-mgmt WPA-PSK
  wpa-psk cpasbeaudetresicurieux
  address 192.168.0.10
  netmask 255.255.255.0
  gateway 192.168.0.254

des utilitaires ifup et ifdown ;
une interface graphique modifiant le fichier.

DHCP permet une configuration avancée :

subnet 172.26.16.0 netmask 255.255.240.0 {
  option domain-name "students.deule.net studserv.deule.net escaut.net deule.net";
  option subnet-mask 255.255.240.0;
  option broadcast-address 172.26.31.255;
  option classless-routes 10:ac:1a:ac:1a:1f:fe:18: <...> ;
  option ms-classless-routes 10:ac:1a:ac:1a:1f:fe:18: <...> ;
  option static-routes 172.26.0.0 172.26.31.254, 193.48.57.0 172.26.31.254, <...> ;
  option routers gordogato.studserv.deule.net;
  pool {
    allow members of "STUDENTS";
    range 172.26.17.0 172.26.28.255;
  }
  pool {
    option routers router-students.deule.net;
    allow members of "STUDENTS.MARTIN";
    range 172.26.29.0 172.26.29.50;
  }
  ddns-domainname "students.private.direct.deule.net";
  ddns-rev-domainname "private.reverse.deule.net";
  ddns-ptr-domainname "students.deule.net";
  }

Zeroconf, un ensemble de techniques :
- IPv4All pour l’adresse dans 169.254.1.0 à 169.254.254.255 ;
- IPv4All repose sur une exploration par ARP ;
- mDNS remplace l’interrogation de DNS ;
- mDNS utilise le multicast sur 224.0.0.251 ;
- DNS-SD pour la découverte des services (RR SRV).

2.5 Principe de la table de routage

Liste de paires ( clef, attribut ).
Cas simple :
- la clef est un préfixe réseau (numéro et masque),
- l’attribut est l’adresse du routeur,
- algorithme de choix de la route :
  - table de routage à trois champs :
    - numéro de réseau (r) ;
    - masque de réseau (m) ;
    - adresse du routeur (ar).
  - adresse de la destination : a,
  - routeur (ar) choisi si ( a & m ) = r,
  - généralisation aux sous-réseaux.
Routage du paquet sur l’adresse destination.
Sélection des préfixes réseau convenables.
Les préfixes les plus longs sont retenus.
Utilisation du premier couple ( préfixe, adresse).
Raffinement (routage Linux > 2.2) :
- la clef comporte les éléments suivants :
  - le préfixe réseau,
  - le type de service,
  - un niveau de priorité.
- l’attribut comporte un type :
  unicast
  : route normale,
  unreachable
  : ICMP "destination non atteignable",
  blackhole
  : rien,
  prohibit
  : ICMP "communication interdite",
  nat
  : réécriture de l’adresse destination,
  ...

2.6 Introduction d’une stratégie de routage

Stratégie de routage de Linux > 2.2
Il s’agit d’une liste séquentielle de règles.
Chaque règle est une paire ( sélecteur, action).
Le sélecteur s’applique sur plusieurs éléments :
- l’adresse source du paquet,
- l’adresse destination du paquet,
- interface de provenance du paquet,
- type de service,
- marque du paquet.
L’action consiste à utiliser une table de routage.
Il existe des règles de types différents :
unicast
: utiliser la route ad hoc de la table,
unreachable
: ICMP "destination non atteignable",
blackhole
: rien,
prohibit
: ICMP "communication interdite",
nat
: réécriture de l’adresse source,
...

2.7 Nouvelle commande pour le routage

Regroupement des commandes => ip.

Utilisation au niveau des interfaces :

oleron# ip link show
1: lo: <LOOPBACK,UP> mtu 16144 qdisc noqueue
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,UP> mtu 1500 qdisc pfifo_fast qlen 100
    link/ether 00:10:b5:03:88:44 brd ff:ff:ff:ff:ff:ff
oleron# ip link set eth0 down
oleron# ip link set eth0 address 00:10:b5:03:88:44

Utilisation pour affecter les adresses IP :

oleron# ip address add dev eth0 193.48.64.200/24 broadcast +
oleron# ip address show eth0
5: eth0: <BROADCAST,UP> mtu 1500 qdisc pfifo_fast qlen 100
    link/ether 00:10:b5:03:88:44 brd ff:ff:ff:ff:ff:ff
    inet 193.48.64.39/24 brd 193.48.64.255 scope global eth0
    inet 193.48.64.200/24 brd 193.48.64.255 scope global secondary eth0
    inet6 fe80::210:b5ff:fe03:8844/10 scope link

Contrôle de la résolution d’adresses physiques :

oleron# ip neighbour show dev eth0
193.48.64.1 lladdr 00:d0:bc:bf:6c:38 nud reachable
193.48.64.47 lladdr 00:10:b5:07:36:82 nud stale
193.48.64.45 lladdr 00:10:b5:07:34:97 nud reachable 
oleron# ip neighbour add 193.48.64.250 lladdr 00:10:b5:03:88:44 dev eth0

Mise à jour d’une table de routage :

le routage traditionnel (unicast) :

oleron# ip route add 10.0.0.0/8 via 193.48.64.200
oleron# ip route show
193.48.64.0/24 dev eth0  proto kernel  scope link  src 193.48.64.39
10.0.0.0/8 via 193.48.64.200 dev eth0
default via 193.48.64.1 dev eth0

le routage multi-chemin :

pevele# ip route add default nexthop via 193.48.57.33
                             nexthop via 193.48.57.62

autres types de routage :

un exemple avec le type prohibit :

artois# ip route add prohibit 207.46.0.0/16
gayant08$ ping -v www.microsoft.com
PING microsoft.com (207.46.130.45): 56 data bytes
112 bytes from artois.escaut.net (172.26.16.7): Packet Filtered

un exemple avec le type nat :

artois# ip route add nat 193.48.57.48/29 via 172.26.17.136

Ajout d’une règle de stratégie de routage :

artois# ip route add 193.48.57.32/27 dev eth0 table 100
artois# ip route add 172.26.16.0/20 dev eth1 table 100 
artois# ip route show table 100
193.48.57.32/27 dev eth0 scope link
172.26.16.0/20 dev eth1 scope link
artois# ip rule add priority 310 from 172.26.17.128/29 lookup table 100
0:      from all lookup local
310:    from 172.26.17.128/29 lookup 100
32766:  from all lookup main
32767:  from all lookup default     
artois# ip rule add priority 320 from 172.26.17.136/29 nat 193.48.57.48 
artois# ip rule show
0:      from all lookup local
310:    from 172.26.17.128/29 lookup 100
320:    from 172.26.17.136/29 lookup main map-to 193.48.57.48
32766:  from all lookup main
32767:  from all lookup default

Configuration de tunnels :

artois# ip tunnel show
tunl0: ip/ip  remote any  local any  ttl inherit  nopmtudisc
gre0: gre/ip  remote any  local any  ttl inherit  nopmtudisc
sit0: ipv6/ip  remote any  local any  ttl 64  nopmtudisc
sit1: ipv6/ip  remote 206.123.31.102  local any  ttl 64

2.8 Interfaces VLAN

Interface sur un port trunk.
Possibilité d’interfaces virtuelles par VLAN.

Création d’une interface virtuelle :

vconfig add eth0 2                               # Obsolète
ip link add name vlan2 link eth0 type vlan id 2  # Courant

Destruction d’une interface virtuelle :

vconfig rem vlan2     # Obsolète
ip link del dev vlan2 # Courant

Configuration de haut niveau :

iface vlan2 inet dhcp
  vlan-raw-device eth0

2.9 Commutateur logiciel

Matériel nécessaire : plusieurs cartes réseau.
Applications :
- commutateur de secours,
- chaînage d’éléments réseau,
- commutateurs virtuels (virtualisation).

Création du commutateur :

brctl addbr monpont              # Obsolète
ip link add montpont type bridge # Courant

Ajout d’interfaces dans le commutateur :

brctl addif monpont eth0         # Obsolète
brctl addif monpont eth1         # Obsolète
ip link set eth0 master monpont  # Courant
ip link set eth1 master monpont  # Courant

Activation des interfaces :

ifconfig eth0 up     # Obsolète
ifconfig eth1 up     # Obsolète
ip link set eth0 up  # Courant
ip link set eth1 up  # Courant

Activation du pont :

ifconfig monpont up                                 # Obsolète
ifconfig monpont 192.168.0.1 netmask 255.255.255.0  # Obsolète
ip address add dev monpont 192.168.0.1/24           # Courant

Configuration de haut niveau :

auto eth0 eth1 monpont
iface eth0 inet manual
  up ip link set $IFACE up

iface eth1 inet manual
  up ip link set $IFACE up

iface monpont inet static
  bridge_ports eth0 eth1
  address 192.168.0.1
  netmask 255.255.255.0

2.10 Création d’une interface virtuelle

Permet de connecter des conteneurs ;

Création de deux interfaces liées :

ip link add vif1 type veth peer name eth0@vif1

Déplacement du pair dans un espace réseau différent :

ip link set eth0@vif1 netns /proc/<PID>/ns/net name eth0

Configuration réseau dans l’espace alternatif :

nsenter -t <PID> -n ip address add dev eth0 192.168.0.100/24
nsenter -t <PID> -n ip route add default gw 192.168.0.1

Placez l’autre extrémité dans un commutateur logiciel.

2.11 Réflexion sur la translation d’adresse

NAT signifie Network Address Translation.
La translation peut être :
- sans état (bijection entre les adresses),
- ou avec état (compression possible de l’espace d’adressage).
La translation peut concerner :
- les adresses sources (SNAT),
- ou les adresses destination (DNAT).

2.12 Introduction d’une notion de filtres

But : contrôle fin de certains paquets.
But : modification de certains paquets.
Principe sous Linux 2.4/2.6 :
- Une table pour contrôler :
- Une table pour modifier les adresses :
- Une table pour des modifications particulières :
Sélection des paquets suivant certains critères :
- interface d’arrivée ou de sortie,
- adresse de niveau liaison (ethernet),
- type du protocole IP, adresses source ou destination,
- plage de ports source ou destination pour TCP et UDP,
- divers champs spécifiques de TCP, UDP ou ICMP,
- utilisateur ou groupe émetteur des paquets, ...
Diverses actions disponibles :
- accepter, refuser ou tracer des paquets,
- translation d’adresses source (niveau connexion),
- translation d’adresses destination (niveau connexion),
- marquer des paquets, modifier leur type de service.

2.13 Pare-feu : mascarade

Une machine se fait passer pour une autre.
Utilisation de la mascarade :
- piratage d’un centre informatique ;
- accès à l’Internet d’un réseau local.
Adresses réservées pour réseau local :
- classe A : 10.0.0.0 ;
- classes B : 172.16.0.0 à 172.31.0.0 ;
- classes C : 192.168.0.0 à 192.168.255.0.
Principe de fonctionnement :

Configuration de mascarade avec Linux 2.0 :

sur les machines du réseau local :

artois# /sbin/route add default gw 172.26.16.7

sur la machine pare-feu :

artois# /sbin/ipfwadm -F -p deny
artois# /sbin/ipfwadm -F -a masquerade -S 172.26.16.0/20

Configuration de mascarade avec Linux 2.2 :

artois# ipchains -P forward DENY
artois# ipchains -A forward -j MASQ -s 172.26.16.0/20

Configuration de mascarade avec Linux 2.4/2.6 :

artois# iptables -P FORWARD DROP
artois# iptables -A FORWARD -j ACCEPT -s 172.26.16.0/20
artois# iptables -A FORWARD -j ACCEPT -d 172.26.16.0/20
artois# iptables -t nat -A POSTROUTING -j MASQUERADE -s 172.26.16.0/20

2.14 Pare-feu : restriction d’accès

Interdire l’accès au réseau local.
Principe de fonctionnement :
Variante : limitation d’accès.
Exemple d’utilisation :
- interdire les accès FTP vers Internet ;
- interdire les connections vers le pare-feu.

Configuration de pare-feu avec Linux 2.0 :

# /sbin/ipfwadm -F -p accept  
# /sbin/ipfwadm -F -a deny -P tcp -S 193.48.57.32/27 -D 0.0.0.0/0 21
# /sbin/ipfwadm -I -p accept  
# /sbin/ipfwadm -I -a deny -P tcp -S 0.0.0.0/0 -D 134.206.3.60/32 23

Configuration de pare-feu avec Linux 2.2 :

# ipchains -P forward ACCEPT 
# ipchains -A forward -j DENY -p tcp -s 193.48.57.32/27 -d 0/0 ftp
# ipchains -P input ACCEPT 
# ipchains -A input -j DENY -p tcp -d 134.206.3.60/32 telnet

Configuration de pare-feu avec Linux 2.4/2.6 :

# iptables -P FORWARD ACCEPT
# iptables -A FORWARD -j DROP -p tcp -s 193.48.57.32/27 --dport ftp
# iptables -P INPUT ACCEPT
# iptables -A INPUT -j DROP -p tcp -d 134.206.3.60 --dport telnet

2.15 Encapsulation d’IP dans IP

Définition de l’encapsulation (tunneling) :
- un protocole d’encapsulation ;
- un protocole encapsulé ;
- encapsulation à un bout du tunnel ;
- dé-encapsulation à l’autre bout ;
Utilisation de l’encapsulation :
- extension d’un réseau non routable ;
- création d’un réseau virtuel ;
- création d’un réseau sécurisé.
Exemples d’utilisation :
- encapsulation d’AppleTalk dans IPv4 (routage) ;
- encapsulation d’IPv4 dans IPv4 (réseau privé) ;
- encapsulation d’IPv6 dans IPv4 (transition) .

Exemple d’utilisation (transition) :

RG20-3640#show running-config interface tunnel0
interface Tunnel0
 no ip address
 ipv6 address 2001:660:3000:1104:140::/64
 ipv6 enable
 ipv6 rip T0 enable
 tunnel source FastEthernet3/0.2
 tunnel destination 193.51.178.140
 tunnel mode ipv6ip
end
RG20-3640#show ip route
     172.26.0.0/20 is subnetted, 2 subnets
C       172.26.224.0 is directly connected, FastEthernet3/0
C       172.26.16.0 is directly connected, FastEthernet3/0.4
     193.48.57.0/27 is subnetted, 1 subnets
C       193.48.57.32 is directly connected, FastEthernet3/0.2
S*   0.0.0.0/0 [1/0] via 193.48.57.33
               [1/0] via 172.26.224.1
RG20-3640#show ipv6 route
...
S   ::/0 [1/0] via ::, Tunnel0
RG20-3640#

Exemple d’utilisation (réseau privé) :
- ajout d’hote fictif à l’USTL ;
- l’hote est situé à Polytech’Lille.
Schéma de fonctionnement virtuel :
Schéma de fonctionnement réel :

Commandes de configuration (Linux 2.0) :

machine 193.51.25.73

$ /sbin/ifconfig tunl 134.206.60.149 \
                 pointopoint 134.206.60.148 
$ /sbin/ifconfig tunl netmask 255.255.0.0 
$ /sbin/route add 134.206.60.148 dev eth0
$ /sbin/route add -net 134.206.0.0 dev tunl

machine 134.206.60.148

$ /sbin/ifconfig tunl 134.206.60.148 \
                 pointopoint 193.51.25.73
$ /sbin/ifconfig tunl netmask 255.255.255.0 
$ /sbin/route add 134.206.60.149 dev tunl
# /sbin/arp -s 134.206.60.149 x:x:x:x:x:x pub

Commandes de configuration (Linux >= 2.2) :

machine albanie.ilot.org :

albanie# ip tunnel add ustl mode ipip remote 134.206.85.135
albanie# ip link set ustl up
albanie# ip address add 134.206.85.136/16 broadcast + dev ustl 
albanie# ip tunnel show ustl
ustl: ip/ip  remote 134.206.85.135  local any  ttl inherit
albanie# ip route add 134.206.85.135 dev eth0
albanie# ip route add 134.206.0.0/16 dev ustl
albanie# ip route show
134.206.85.135 dev eth0  scope link
193.48.57.224/27 dev eth0  proto kernel  scope link  src 193.48.57.226
134.206.0.0/16 dev ustl  proto kernel  scope link  src 134.206.85.136
default via 193.48.57.225 dev eth0  metric 1

machine statpc6.univ-lille1.fr :

statpc6# echo 1 > /proc/sys/net/ipv4/conf/all/proxy_arp
statpc6# echo 1 > /proc/sys/net/ipv4/conf/all/forwarding
statpc6# ip tunnel add epul mode ipip remote 193.48.57.226
statpc6# ip address add 134.206.85.135/32 broadcast + dev epul
statpc6# ip link set epul up
statpc6# ip tunnel show epul
epul: ip/ip  remote 193.48.57.226  local any  ttl inherit
statpc6# ip neighbour add 134.206.85.136 lladdr 00:b0:d0:8c:91:10 dev eth0
statpc6# ip route add 134.206.85.136 dev epul

3 Gestion avancée des disques

3.1 Problèmes liés à l’administration des disques

Problème de la rigidité des systèmes classiques :
- surdimensionnement des partitions
- sous-dimensionnement des partitions
Problème de la lenteur des systèmes classiques :
- accès aux disques intrinséquement lent
- augmentation de la vitesse des bus
Problème de la fragilité des systèmes classiques :
- destruction possible de disque
- baisse des prix des disques
La solution est dans le regroupement de partition.

3.2 Solution : accélération et redondance

Notion de redondance des données :
- ensemble de partitions identiques,
- redondance des données sur les partitions.
Cas particulier du RAID logiciel :
- RAID = Redundant Array of Inexpensive Disks
- Différents types de RAID :
  - RAID-0 ou linéaire => plus grande souplesse
  - RAID-1 ou miroir => plus grande robustesse
  - RAID-4 et RAID-5 => variantes moins couteuses
  - RAID-6 => deux sommes de contrôle

3.3 Exemple de RAID logiciel (Linux)

Systèmes RAID logiciels de Linux :
- Niveaux 0,1,4,5 et 6 supportés.
- Détection automatique à l’amorçage.
- Nouveaux périphériques de noms /dev/md*.
- Synchronisation en arrière-plan.

Le disque système du serveur pevele

$ cat /etc/mdadm/mdadm.conf
DEVICE /dev/sd[ab]1
ARRAY /dev/md0 devices=/dev/sda1,/dev/sdb1

Création d’un disque RAID de niveau 5 :

Confection du fichier /etc/mdadm/mdadm.conf :

DEVICE /dev/sd[abc]1
ARRAY /dev/md0 devices=/dev/sda1,/dev/sdb1,/dev/sdc1

Mise en route du disque RAID :

$ mdadm --create /dev/md0 --level=5 \
        --raid-devices 3 /dev/sda1 /dev/sdb1 /dev/sdc1 \
$ mkfs /dev/md0
$ mount /dev/md0 /mnt
$ cat /proc/mdstat

Test de perte d’une partition physique :

$ cp /vmlinuz /mnt
$ mdadm --set-faulty /dev/md0 /dev/sdb1
$ cat /proc/mdstat
$ diff /vmlinuz /mnt/vmlinuz
$ umount /mnt
$ mdadm --remove /dev/md0 /dev/sdb1
$ mdadm --add /dev/md0 /dev/sdb1
$ cat /proc/mdstat

3.4 Solution : accélération et facilité d’administration

Notion de domaines dynamiques :
- ensemble de partitions de disques,
- ajout et suppression dynamiques.
Notion de volumes logiques :
- un ou plusieurs par domaine,
- montage des volumes logiques.

3.5 Exemple de volume logique (Linux)

LVM sous Linux (Logical Volume Manager).
Le lexique de LVM en image :
Exemple d’initialisation de volumes physiques :
```
$ pvcreate /dev/hda5
$ pvcreate /dev/sdb
```

Exemple de création de groupe de volumes :

$ vgcreate volume /dev/hda5 /dev/sdb
$ vgdisplay

Exemple de création de volumes logiques :

$ lvcreate -L1G -nroot volume ; mke2fs /dev/volume/root
$ lvcreate -L500M -nvar volume ; mke2fs /dev/volume/var
$ lvcreate -L500M -ntmp volume ; mke2fs /dev/volume/tmp

Ajout d’un volume physique :

$ pvcreate /dev/sdc
$ vgextend volume /dev/sdc
$ umount /dev/volume/root
$ lvextend -L+1G /dev/volume/root
$ resize2fs /dev/volume/root
$ mount /dev/volume/root

Suppression d’un volume physique :

$ pvmove /dev/hda5 /dev/sdc
$ vgreduce volume /dev/hda5

4 Virtualisation de systèmes d’exploitation

4.1 Définition de la virtualisation

Techniques matérielles et logicielles.
Quelques descriptions de la virtualisation :
- permet de faire tourner sur UNE seule machine ...
- ... plusieurs systèmes d’exploitation ;
- simulation logicielle d’un environnement matériel ...
- ... pour un ou plusieurs logiciels invités/virtuels.
Les systèmes d’exploitation (SE) sont isolés.
Impact sur les performances des SE invités/virtuels.

4.2 Utilisations de la virtualisation

Optimisation de ressources physiques :
- coûts d’achat des serveurs ;
- couts énergétiques des serveurs.
Utilisation de logiciels propriétaires :
- en théorie l’émulation de bibliothéque suffit (wine),
- en théorie une machine virtuelle pour les programmes suffit (java, dotnet),
- en pratique difficile d’émuler un SE propriétaire.
Manipulation plus facile d’un SE :
- accélère le développement système ;
- facilité de déverminage (e.g. virus) ;
- étude plus aisée (e.g. enseignement).
Facilite la gestion des SE :
- création de serveurs pour les clients (hébergeurs) ;
- cohabitation de systèmes récents et anciens ;
- migration et reconstruction facile de serveurs.

4.3 Types de virtualisation

Emulation complète :
- le CPU est entiérement émulé ;
- émulation du matériel (disque, etc).
Virtualisation matérielle/totale :
- permet d’utiliser un SE invité/virtuel non modifié ;
- instructions classiques :
  - code exécuté au maximum sur le CPU hôte,
  - parties critiques émulées pour l’isolation,
  - émulation du matériel (disque, etc).
- instructions spécifiques :
  - disponibles sur CPU AMD et Intel vers 2005,
  - protection mémoire du SE virtuel gérée par le CPU,
  - entrées/sorties du SE virtuel gérées par le CPU,
  - émulation du matériel (disque, etc).
Para-virtualisation :
- le SE virtuel est modifié pour effectuer des hyper-appels,
- un appel système abouti dans le noyau du SE virtuel,
- un hyper-appel traverse le noyau et abouti à l’hyperviseur,
- les tâches critiques sont exécutées en mode noyau par l’hyperviseur,
- pas d’émulation du matériel mais le SE doit être modifié.

4.4 Logiciels de virtualisation

Emulation complète : Bochs [1994] (http://bochs.sourceforge.net/).
Virtualisation matérielle :
- compilation au vol : Virtual PC [1997] (émule un x86 pour PowerPC) ;
- ré-écriture de code sensible : VMWare [1999] ;
- hardware virtual machine : Xen 3.x [2006] ;
- utilisation des anneaux de protection x86 : VirtualBox [2007] (pour x86) ;
- instructions spécifiques : KVM [2007] (Kernel-based Virtual Machine).
Para-virtualisation :
- Xen 1.0 [2003] Linux et BSD SE hôte ;
- Xen 3.x [2007] SE virtuel linux-2.6.18-xen modifié par Xen ;
- Xen 4.0 [2008] SE virtuel linux-2.6.24 module pvops standard ;
- KVM 60 [2008] para-virtualisation via virtio module de Linux ;
- VMware 6 [2008] para-virtualisation via pvops ;
- Xen 4.1 [2011] SE hôte linux-3.x.y module pvops standard.

4.5 Etude d’un système de virtualisation totale 1/2

Le système Kernel-based Virtual Machine (KVM).
Compiler le module noyau (AMD ou intel).

Créer un disque virtuel.

qemu-img create <chemin du disque> <taille>

Installer le SE virtuel (e.g. image ISO émulant un lecteur CD).

kvm -net nic,model=ne2k_pci -net user -hda <chemin du disque> -cdrom <chemin de l'image ISO>

4.6 Etude d’un système de virtualisation totale 2/2

Le système Xen en mode Hardware Virtual Machine (HVM).
Créer un disque virtuel.
Installer le SE virtuel (e.g. image ISO émulant un lecteur CD).
Utilisation d’un serveur VNC.

Definition de SE virtuel HVM (e.g. /etc/xen/scratch.cfg) :

  
kernel      = '/usr/lib/xen-default/boot/hvmloader'
builder     = 'hvm'
memory      = '1024'
disk        = [
                  'file:/usr/local/src/debian-testing-i386-netinst.iso,hdc:cdrom,r',
                  'file:/usr/local/xen/domains/simplet/simplet_disk.img,ioemu:sda,w',
              ]
boot        = 'd'
name        = 'scratch'
vif         = [ 'bridge=eth1' ]
vnc         = 1
vnclisten   = "0.0.0.0"

4.7 Etude d’un système de para-virtualisation

Le système Xen (l’éthymologie viendrait de Zen).
Paquetages Debian nécessaires (méta-paquetage xen-linux-system) :
- linux-image-3.2.0-4-amd64 : noyau Linux hôte et invité,
- xen-hypervisor-4.1-amd64 : contrôle CPU et mémoire,
- xen-utils-4.1 : utilitaires de gestion des SE virtuels,
- xen-tools : outils pour créer facilement des SE virtuels.
Une terminologie spécifique :
- le Dom0 est le système d’exploitation hôte,
- les DomU sont les systèmes d’exploitation invités/virtuels.
Interfaces réseau à base de bridge logiciel :
- des cartes ethernet ethX dans l’hôte,
- des cartes ethernet ethY dans les SE virtuels,
- cartes correspondant aux interfaces vifZ.0 de l’hôte,
- des commutateurs virtuels bridgeB dans l’hôte,
- certaines vifZ.0 se retrouvent dans le même bridgeB,
- un bridgeB comporte aussi une carte ethernet de l’hôte.

Script de configuration réseau dans /etc/xen/xend-config.sxp :

  
...
(network-script 'network-bridge netdev=eth0')
...

Definition de SE virtuel (e.g. /etc/xen/fourmies.cfg) :

  
kernel      = '/boot/vmlinuz-2.6.32-5-xen-686'
ramdisk     = '/boot/initrd.img-2.6.32-5-xen-686'
memory      = '1024'
root        = '/dev/xvda1 ro'
disk        = [
                  'file:/usr/local1/xen/domains/fourmies/fourmies_root.img,xvda1,w',
                  'file:/usr/local1/xen/domains/fourmies/fourmies_swap.img,xvda2,w',
                  'file:/usr/local1/xen/domains/fourmies/fourmies_tmp.img,xvda5,w',
                  'file:/usr/local1/xen/domains/fourmies/fourmies_var.img,xvda6,w',
                  'file:/usr/local1/xen/domains/fourmies/fourmies_home.img,xvda7,w',
                  'file:/usr/local1/xen/domains/fourmies/fourmies_log.img,xvda8,w',
                  'phy:/dev/spool1/mail-spool,xvdb1,w',
                  'phy:/dev/spool2/mail-backup,xvdc1,w'
              ]
name        = 'fourmies'
dhcp        = 'dhcp'
vif         = [ 'mac=00:16:3E:52:80:93, bridge=bridge2' ]
on_poweroff = 'destroy'
on_reboot   = 'restart'
on_crash    = 'restart'

Gestion des SE virtuels :

  
xm list
xm create fourmies.cfg
xm console fourmies
xm shutdown fourmies
...

5 Sécurité réseau

5.1 Prélude : les gros mots

Identification dans les réseaux WiFi domestiques :
- WEP ;
- WPA (sous-ensemble de IEEE 802.11i) ;
- WPA2 (IEEE 802.11i ou RSN) ;
- WPA Personnel ~ WPA-PSK.
Identification dans les réseaux filaires ou WiFi professionnels :
- WPA Entreprise ~ WPA-EAP;
- IEEE 802.1x (EAP sur IEEE 802);
- EAPOL (à l’origine EAP sur IEEE 802.3);
- EAP-TLS, EAP-PEAPv0, EAP-PEAPv1, EAP-TTLS ;
- Radius.
L’encryption dans les réseaux WiFi :
- WEP ;
- TKIP (WPA ou WPA2) ;
- CCMP/AES (obligatoire avec WPA2).
L’encryption dans les réseaux filaires :
- Tunnels sécurisés ;
- Certificats X509 ;
- PKI (Public Key Infrastructure).

5.2 Tunnels sécurisés

Création d’un tunnel sécurisé par clef symétrique ;
SSL 1.0 à SSL 3.0 (1996), utilisés par Netscape ;
SSL 3.0 est déclaré obsolète en 2015 (RFC 7568) ;
TLS se base sur SSL 3.0, TLS 1.3 est proposé en 2016 ;
HTTPS se base sur SSL/TLS ;
SSH est un protocole équivalent mais à part.

5.3 Certificats X509

Utilisé pour l’identification et l’encryption.
Un certificat contient (entre autres) :
- le Distinguished Name du certificat ;
- un numéro de série ;
- la période de validité ;
- les propriétés du certificat ;
- la clef publique ;
- le Distinguished Name de l’autorité ;
- la signature.
Un certificat se trouve dans une chaine ...
... se terminant par une auto-signature.
Pour l’identification le DN peut contenir :
- le nom du serveur à certifier ;
- l’adresse de courriel de l’utilisateur ...
Pour le cryptage le certificat s’utilise ...
... avec la clef privée correspondante.

5.4 Identification : WEP

Pour réseau sans fil, obsolète.
Soit aucune : "Open System Authentication".
Soit par clef partagée : "Shared Key Authentication".
Identification du client par le point d’accès.
Identification du point d’accès non prévu.
Mascarade possible (faux point d’accès).
Principe de l’identification :
- le point d’accès transmet une phrase en clair ;
- le client WiFi crypte à l’aide de la clef WEP ;
- le point d’accès décode pour vérifier.
Identification défectueuse à désactiver.

5.5 Identification : EAP

Pour réseau sans fil ou filaire.
Extensible Authentication Protocol, RFC 3748.
Fixe un cadre pour l’identification.
Uniquement 4 types de messages :
- la requête ;
- la réponse ;
- le succès ;
- l’échec.
La trinité de l’identification EAP :
- le suppliant (supplicant) ;
- l’identifieur (authenticator) ;
- le serveur d’identification (authentication server) ;
- un exemple : portable, point d’accès, serveur radius.
Format de paquets :

Code Identifier Length Data

1 byte 2 bytes 4 bytes n bytes
Du détail : http://www.netcraftsmen.net/resources/archived-articles/429.html

5.6 Identification EAP : EAPOL

EAP Over LAN, défini par la norme IEEE 802.1X.
Utilisé par 802.{3,11} pour transporter de l’EAP.
Type lorsqu’encapsulé dans Ethernet : 0x888e.
Format de paquets pour EAPOL :

Ethernet type EAP Version EAPOL Type Length EAP Packet

2 bytes 1 byte 1 byte 2 bytes n bytes

5.7 Identification EAP : EAP over Radius

Remote Authentication Dial-In User Service, RFC 2865.
Protocole générique pour l’identification (entre autre).
La trinité de l’identification Radius :
- the client or supplicant ;
- the Network Access Server ;
- the Radius server ;
- un exemple : portable, commutateur, serveur radius.
Uniquement 4 types de messages :
- Access Request (NAS vers serveur) ;
- Access Reject (réponse du serveur) ;
- Access Accept (réponse du serveur) ;
- Access Challenge (demande du serveur).
Du détail : http://www.cisco.com/en/US/docs/switches/lan/catalyst3560/software/release/12.1_19_ea1/configuration/guide/sw8021x.html
Format de paquets pour Radius :

Code Identifier Length Authenticator Attribute/value pairs

1 byte 1 byte 2 bytes 16 bytes
Exemples d’attributs Radius :
- User-Name (1) ;
- User-Password (2) ;
- EAP-Message (79) ;
- Message-Authenticator (80).

5.8 Identification : EAP-PSK

Pour réseau sans fil.
Définie par la RFC 4764.
La Pre-Shared-Key (16 octets) donne lieu à :
- la clef Authentication Key (16 octets, AK) ;
- la clef Key-Derivation Key (16 octets, KDK).
Un échange de clefs en 4 étapes :
- Etape 1 : le point d’accès transmet une valeur aléatoire ;
- Etape 2 : le client transmet sa valeur aléatoire et s’identifie;
- Etape 3 : le point d’accès s’identifie et établit son canal ;
- Etape 4 : le client établit son canal crypté.
Le client s’identifie en transmettant :
- un message codé par AES ;
- on utilise la clef AK ;
- le message est la concaténation de :
  - l’adresse MAC du client ;
  - l’adresse MAC du point d’accès ;
  - la valeur aléatoire du point d’accès ;
  - la valeur aléatoire du client.
Le point d’accès s’identifie en transmettant :
- un message codé par AES ;
- on utilise la clef AK ;
- le message est la concaténation de :
  - l’adresse MAC du point d’accès ;
  - la valeur aléatoire du client.
La KDK sert pour des clefs utilisées par EAPOL :
- la clef Extended Master Session Key ;
- la clef Master Session Key ;
- la clef Transient EAP Key.
La Pairwise Transcient Key découle de :
- La Pairwise Master Key qui découle de la PSK ;
- des adresses du point d’accès et du client ;
- des valeurs aléatoire des deux correspondants.
La PTK sert à encrypter les paquets.

5.9 Identification : WPA/WPA2

Pour réseau sans fil.
Autre appelation : Robust Security Network.
Autre appelation : IEEE 802.11i-2004.
Messages echangés dans des paquets EAPOL.
La Pairwise Master Key dérive du SSID et de la PSK :
```
PMK = PBKDF2(PSK, SSID, 4096, 256) 
```
Un échange de clefs final en 4 étapes :
- Etape 1 : le point d’accès transmet sa valeur aléatoire ;
  - le client construit sa Pairwise Transient Key ;
  - on utilise encore PBKDF2 pour construire la PTK ;
  - la chaîne passée à PBKDF2 est la concaténation :
    - la Pairwise Master Key calculée séparément ;
    - la valeur aléatoire du point d’accès ;
    - la valeur aléatoire du client ;
    - l’adresse MAC du point d’accès ;
    - l’adresse MAC du client.
- Etape 2 : le client transmet sa valeur aléatoire et s’identifie ;
- Etape 3 : le point d’accès transmet la Group Temporal Key ;
- Etape 4 : le client transmet une confirmation.
Identification :
- le client s’identifie lors de l’échange 2 ;
- le point d’accès s’identifie lors de l’échange 3 ;
- identification par Message authentication and Integrity Code ;
- MIC calculé par HMAC-MD5 avec une clef dérivée de la PTK ;
- la clef dérivée est la Key Confirmation Key ;
- La KCK provient des 128 bits de poids forts de la PTK ;
- MIC calculé sur le message envoyé (EAP).
La PTK crypte entre client et point d’accès.
La GTK crypte les diffusions.

5.10 Identification : PEAP

Pour réseau sans fil ou filaire.
Protected Extensible Authentication Protocol.
Méthode (complexe) pour protéger EAP.
Encrypté par un tunnel "Transport Layer Security".
Le serveur d’identification utilise un certificat ...
... le client est donc assuré de son identité.
Dans le tunnel TLS on retouve des paquets EAP.
L’identification EAP interne est libre.
Pour PEAPv0 avec EAP-MSCHAPv2 :
- l’identification est réalisée avec MSCHAP ;
- Microsoft’s Challenge Handshake Authentication Protocol ;
- le mot de passe doit être stocké en clair ;
- des clients sur tous les systèmes.
Pour PEAPv1 avec EAP-GTC :
- l’identification est réalisée avec GTC ;
- Generic Token Card ;
- le mot de passe peut être stocké encrypté ;
- pas de clients sur certains systèmes.

5.11 Cryptage : réseaux filaires

Pas de cryptage, réputé sécurisé.
Le sniffage est freiné par la commutation.
Le sniffage est possible par insertion.
Technique de l’homme au milieu.
En patois "Man In The Middle" (MITM).

5.12 Cryptage WiFi : rappels

Trame générale :

Control Duration Addr 1 Addr 2 Addr 3 Seq Addr 4 Data Check sum

2 bytes 2 bytes 6 bytes 6 bytes 6 bytes 2 bytes 6 bytes 0-2312 bytes 4 bytes
Drapeau de contrôle :

2 bits 2 bits 4 bits 1 bit 1 bit 1 bit 1 bit 1 bit 1 bit 1 bit 1 bit

Version Type Subtype To DS From DS MF Retry Pwr More W O
Bit de contrôle W :
- dénotait le cryptage historique (WEP) ;
- dénote maintenant un encryptage quelconque.
Informations de cryptage dans les données.

5.13 Cryptage WiFi : WEP

WEP : Wired Equivalent Privacy.
Fonctionnement :
- un IV sur 24 bits (incrémenté ou tiré au hasard) ;
- des clefs partagées (4 clefs possibles) ;
- génération d’un flux d’octets aléatoire par RC4 ;
- cryptage par un ou exclusif bit à bit ;
- résumé : code = RC4(IV || Clef) (+) données.
Détail du champ données :

24 bits 6 bits 2 bits 0-2304 bytes 32 bits

Initialization Vector Padding Key number Data Integrity Check Value (CRC32)

5.14 Cryptage WiFi : failles de WEP

Faille de l’identification :
- soit P la phrase envoyée en clair ;
- soit C la réponse cryptée d’un client ;
- la relation est C = F (+) P ;
- on découvre le flux aléatoire F pour un IV ;
- le flux aléatoire est : F = C (+) P.
Pas de dispositif anti-rejeu.
Clefs de trop faibles tailles :
- pour le WEP 64 bits, une clef de 40 bits ;
- possible à trouver par force brute ;
- des IV de 24 bits, cyclent en quelques heures.
Intuiter des textes en clair :
- capture de paquets C₁ et C₂ avec le même IV ;
- ils s’écrivent : C₁ = F (+) P₁, C₂ = F (+) P₂ ;
- on obtient P₁ (+) P₂ = C₁ (+) C₂ ;
- on intuite un texte en clair (e.g. ARP), on obtient les autres.

5.15 Cryptage WiFi : flux aléatoires

Découverte par connaissance du texte :
- on intuite un texte P en clair (e.g. requête ARP) :
  LLC SNAP ARP header ARP opcode ARP MAC source
  
  0xAAAA03 0x0000000806 0x000108000604 0x0001 0x010203040506
  
  ARP IP source ARP MAC cible ARP IP cible
  
  ... ... ...
- ou on récupère le texte par sniffage (e.g. commande ping) ;
- on obtient une fraction de flux aléatoire ;
- cela s’écrit : F = C (+) P.
Utilisation de la fragmentation :
- possibilité d’envoyer 16 fragments ;
- le point d’accès défragmente les diffusions ;
- grand paquet crypté dont le texte en clair est connu.
Attaque chopchop :
- capturer un paquet encrypté C = F (+) (D || ICV) ;
- retirer le dernier octet de données D_n ;
- le nouveau paquet encrypté est F_[0..n+3] (+) (D_[0..n−1] || ICV′) ;
- les premiers octets sont inchangés F_[0..n−1] (+) D_[0..n−1] ;
- les autres F_[n..n+3] (+) ICV′ sont déductibles ...
- ... d’un octet X et de F_[n+1,n+4] (+) ICV ;
- le point d’accès est utilisé 256 fois comme oracle ;
- ICV₃, lui aussi, ne dépend que de ce X ;
- on en déduit F_n+4 = ICV₃ (+) C_n+4.

5.16 Cryptage WiFi : failles de RC4

Attaque FMS de 2001 :
- utilise des IV particulières (IV faibles) ;
- permet d’intuiter le prochain octet de la clef ;
- processus probabiliste itératif (probabilité 5%) ;
- vérification de la clef finale obtenue ;
- cassage en quelques heures suivant le trafic.
Amélioration KoreK de 2004 :
- probabilité de 14% au lieu de 5% ;
- des optimisations pour rejeter de fausses clefs.
Attaque PTW (2005, 2007, 2008) :
- permet d’exploiter tous les IV ;
- 50% de probabilité au bout de 40000 paquets ;
- 95% de probabilité au bout de 85000 paquets ;
- PTW 2008; 50% de probabilité avec 25000 paquets.

5.17 Cryptage WiFi : TKIP

WPA : WiFi Protected Access.
TKIP : Temporal Key Integrity Protocol.
But : meilleure protection, même matériel.
Améliorations :
- meilleur mécanisme de vérification d’intégrité ;
- protection contre le re-jeu de paquets (TSC) ;
- meilleure sélection de la graine du RC4.
Détail du champ données :

1 byte 1 byte 1 byte 5 bits 1 bit 2 bits

TSC 1 Seed TSC 0 Reserved Extended ? Key number

1 byte 1 byte 1 byte 1 byte 0-2292 bytes 8 bytes 4 bytes

TSC 2 TSC 3 TSC 4 TSC 5 Data MIC ICV

5.18 Cryptage WiFi : TKIP

Fonctionnement du cryptage TKIP.
Les données :
- clef partagée : Pairwise Transcient Key :
  - clef de 16 octets : Key Confirmation Key (EAPOL) ;
  - clef de 16 octets : Key Encryption Key (EAPOL) ;
  - clef de 16 octets : Transcient Encryption Key ;
  - clef de 8 octets : MIC Key (un sens) ;
  - clef de 8 octets : MIC Key (l’autre sens).
- un compteur de paquets : TKIP Sequence Counter ;
- l’adresse de la source : Source Address ;
- l’adresse de la destination : Destination Address ;
- l’adresse du point d’accès : Transmitter Address.
Les calculs :
- la clef TKIP-mixed Transmit Address and Key ...
- ... est fonction de TA, TEK, TSC (4 octets forts) ;
- la clef Per Packet Key ...
- ... est fonction de TEK, TSC (2 octets faibles) , TTAK ;
- le calcul du Message Integrity Check (algo. Mickael) ..
- ... est fonction de DA, SA, MK et des données.
Le bon vieux WEP :
- on encrypte TSC₂ à TSC₅, les données, le MIC et l’ICV ;
- on utilise comme IV (24 bits) : TSC₀, (TSC₁|0x020)&0x7f, TSC₁ ;
- on utilise comme clef (104 bits) : PPK.
Des contre-mesures en cas d’attaque :
- au niveau du décryptage du paquet ;
- dans le cas où l’ICV est correct ;
- mais où le MIC ne l’est pas ;
- et si cela se produit plusieurs fois en 60s ;
- arrêt pendant 60s et désassociation.

5.19 Cryptage WiFi : faiblesses de WPA

Faiblesse à l’identification.
Concerne les modes WPA et WPA2 avec PSK.
La PMK dérivée de la PSK n’est jamais transmise.
Par contre la PTK est utilisé pour un calcul de MIC.
Rappel : PMK, adresses, valeurs aléatoires -> PTK.
Il est possible de capturer l’échange en 4 étapes.
Découverte des adresses, valeurs aléatoires et MIC.
Attaque en force brute possible :
- génération de PSK possibles ;
- calcul de la PMK pour cette PSK ;
- calcul de la PTK avec adresses et valeurs ;
- calcul du MIC avec la KCK (début de la PTK) ;
- comparaison avec le MIC des captures.
Un GPU ira 10 fois plus vite qu’un CPU.

5.20 Cryptage WiFi : faiblesses de WPA

Faiblesse du cryptage TKIP (2008,2009,2010).
Introduction de la qualité de service en WPA.
Plusieurs queues pour les paquets.
Chaque queue a son compteur TSC.
Généralement utilisation de la queue 0.
Nature de l’attaque :
- pas de compromission de la clef PSK ;
- découverte d’un flux aléatoire ;
- permet l’injection de paquets.
Principe de l’attaque (variante de chopchop) :
- récupération d’un paquet ARP ;
- suppression d’un octet au paquet ;
- test sur une queue avec un TSC inférieur ;
- test avec les 256 possibilités ;
- si mauvais choix, l’ICV et MIC sont incorrect ;
- si bon choix, l’ICV est correct mais pas le MIC ;
- si bon choix, un paquet d’avertissement est généré ;
- si bon choix, paquet incorrect, TSC non incrémenté ;
- si bon choix, attendre 60s et supprimer à nouveau ;
- on trouve 12 octets du flux (en 12 minutes) ;
- on trouve le reste en devinant le texte en clair ;
- la clef de Mickael peut être trouvée par essais.
Quelques injections possibles (ARP poisoning) ;
Méthode applicable a DHCP.
Méthode alternative à l’exploitation de la QoS :
- relayer les paquets entre client et point d’accès ;
- nécessite que le client soit écranté du point d’accès ;
- supprimer des paquets vers le client ;
- utiliser les lacunes pour faire les tests.
Raffinement en 2010, en utilisant la fragmentation.
Nouvelle attaque en 2014 (Royal Holloway attack) ?

5.21 Cryptage WiFi : CCMP

WPA : WiFi Protected Access.
CCMP : Counter Mode with CBC MAC Protocol :
- CBC pour Cipher Block Chaining ;
- MAC pour Message Authentication Code.
CCMP utilise Advanced Encryption Standard (AES).
RC4 permettait d’encrypter des flux ...
AES encrypte des paquets de 128 octets.
Détail du champ données :

1 byte 1 byte 1 byte 5 bits 1 bit 2 bits

PN0 PN1 Reserved Reserved Extended ? Key Number

1 byte 1 byte 1 byte 1 byte 0-2292 bytes 8 bytes 4 bytes

PN2 PN3 PN4 PN5 Data MIC ICV
Méthode non encore attaquée, sécurité assurée ...
... sauf PSK et utilisation de protocoles pour les nuls (WPS).

6 Services Internet principaux

6.1 Service de nommage DNS

Préliminaires lors de la résolution :
- appel à une fonction de bibliothèque ;
- lecture du fichier /etc/resolv.conf ;
- appel au DNS spécifié (e.g. douaisis.escaut.net).
Une implémentation du DNS : bind9.
Nom du démon fournissant le service : named.
Fichier de configuration : /etc/bind/named.conf.

Extraits pour douaisis.escaut.net :

quelques éléments de sécurité :

options {
  directory "/etc/bind";
  listen-on-v6 { any; };
  allow-transfer { "allowed_to_transfer"; };
};

acl "allowed_to_transfer" {
  193.48.57.0/24 ;
...
};

controls {
  inet 127.0.0.1 allow {localhost;} keys {dnskey;} ;
};

key dnskey {
  algorithm HMAC-MD5;
  secret dfqsfFFcYyyyU999xcsdqs==;
};

les serveurs racines sont référencés :

zone "." {
  type hint;
  file "root.cache";
  };

le DNS est maitre pour certaines zones :

zone "polytech-lille.fr" {
  type master;
  file "polytech-lille.fr/polytech-lille";
};

zone "private.direct.deule.net" {
  type master;
  file "dynamic/deule.direct.private/deule";
  allow-update { key dnskey; };
};

zone "57.48.193.in-addr.arpa" {
  type master;
  file "escaut/escaut-c57.rev";
};

zone "EUDIL.68.48.193.in-addr.arpa" {
  type master;
  file "yser/yser-c68.rev";
};

le DNS est secondaire pour d’autres zones :

zone "univ-poitiers.fr" {
  type slave;
  file "bak/poitiers";
  masters { 195.220.223.1; };
  };
 
zone "campus.univ-poitiers.fr" {
  type slave;
  file "bak/poitiers.campus";
  masters { 195.220.223.1; };
  };

zone "186.48.193.in-addr.arpa" {
  type slave;
  file "bak/48.193.lifl";
  masters { 134.206.10.18; };
  };
 
zone "68.51.193.in-addr.arpa" {
  type slave;
  file "bak/68.51.193.poitiers";
  masters { 195.220.223.1; };
  };

le DNS peut aussi déléguer des zones :

zone "TP.57.48.193.in-addr.arpa" {
  type slave;
  file "bak/tp.rev";
  masters { 193.48.57.162; };
  };  

zone "tp.eudil.fr" {
  type slave;
  file "bak/tp";
  masters { 193.48.57.162; };
  };

Attention à déclarer le NS dans eudil/eudil
```
tp IN NS ns.tp.eudil.fr.
```

Fichier root.cache disponible à :

ftp://FTP.RS.INTERNIC.NET/domain/named.root

Le contenu au 5/10/2000 :

.                   3600000 IN NS    A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET. 3600000    A     198.41.0.4
.                   3600000    NS    B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET. 3600000    A     128.9.0.107
.                   3600000    NS    C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET. 3600000    A     192.33.4.12 
...

Exemple de fichier d’adresses :

$TTL 259200
@ IN SOA douaisis.escaut.net. postmaster.douaisis.escaut.net. (
         3298267243       ; Version
         7200             ; Refresh (2h)
         3600             ; Retry   (1h)
         1209600          ; Expire (14j)
         259200 )         ; Minimum TTL (3j)
  IN NS douaisis.escaut.net.
  IN NS albanie.ilot.org.
  IN NS calimero.escaut.net.
  IN MX 100 douaisis.escaut.net.
 
pevele    IN A       193.48.57.34
          IN MX      100 douaisis.escaut.net.
douaisis  IN A       193.48.57.36
          IN MX      100 douaisis.escaut.net.

Exemple de fichier de noms :

@ IN SOA douaisis.escaut.net. postmaster.douaisis.escaut.net. (
         3298267243       ; Version
         7200             ; Refresh (2h)
         3600             ; Retry   (1h)
         1209600          ; Expire (14j)
         259200 )         ; Minimum TTL (3j)
  IN NS douaisis.escaut.net.
  IN NS albanie.ilot.org.
  IN NS calimero.escaut.net.

34 IN PTR pevele.escaut.net.
36 IN PTR douaisis.escaut.net.

Ajout dynamique et manuel d’entrée dans le DNS :

# nsupdate
> update add toto.eudil.fr. 3600 IN A 193.48.64.221
> 
#

Ajout dynamique d’entrées dans le DNS par DHCP :

ddns-update-style interim;
key dnskey {
  algorithm HMAC-MD5;
  secret dfqsfFFcYyyyU999xcsdqs==;
  }

zone private.direct.deule.net. {
  primary douaisis.escaut.net;
  key dnskey;
  }

subnet 172.26.16.0 netmask 255.255.240.0 {
  option domain-name "students.deule.net ...";
  option subnet-mask 255.255.240.0;
  option broadcast-address 172.26.31.255;
  option static-routes ...
  option routers artegau.studserv.deule.net;
  range 172.26.17.0 172.26.28.255;
  ddns-domainname "students.private.direct.deule.net";
  ddns-rev-domainname "private.reverse.deule.net";
  ddns-ptr-domainname "students.deule.net";
  }

6.2 Serveur de pages HTML

Conforme au Hyper-Text Transfer Protocol.
Nom du démon fournissant le service : apache2.
Répertoire de configuration : /etc/apache2.

Extraits pour artois.escaut.net :

Restriction d’accès (e.g. dans des .htaccess) :

# Simple identification par fichiers d'utilisateurs

AuthType Basic
AuthName "Squid statistics"
AuthUserFile "/etc/passwd.web"
AuthGroupFile "/etc/group.web"

<Limit GET POST>
  require valid-user
</Limit>

# Identification par LDAP

AuthType Basic
AuthName "Site IMA"
AuthBasicProvider ldap
AuthzLDAPAuthoritative off
AuthLDAPURL ldap://ldap.polytech-lille.fr:389/ou=People,dc=polytech-lille.fr?cn

<Files "*">
  require valid-user
</Files>

Ports TCP d’écoute :

artois:/etc/apache2# cat ports.conf
Listen *:80
Listen *:443

Les modules activés :

artois:/etc/apache2# ls -l mods-enabled/ssl*
lrwxrwxrwx 1 root root   27 Feb 28  2007 ssl.conf -> ../mods-available/ssl.conf
lrwxrwxrwx 1 root root   27 Feb 28  2007 ssl.load -> ../mods-available/ssl.load

Les serveurs virtuels activés :

artois:/etc/apache2# ls -l sites-enabled/
lrwxrwxrwx 1 root root 27 Feb 23  2007 000-default -> ../sites-available/_default
lrwxrwxrwx 1 root root 27 Feb 23  2007 010-internal -> ../sites-available/internal
lrwxrwxrwx 1 root root 27 Feb 23  2007 010-polytech -> ../sites-available/polytech
lrwxrwxrwx 1 root root 26 Feb 23  2007 020-certifs -> ../sites-available/certifs
lrwxrwxrwx 1 root root 27 Feb 23  2007 020-intranet -> ../sites-available/intranet
lrwxrwxrwx 1 root root 26 Feb 23  2007 020-webmail -> ../sites-available/webmail
lrwxrwxrwx 1 root root 29 Feb 23  2007 021-oldwebmail -> ../sites-available/oldwebmail
lrwxrwxrwx 1 root root 22 Feb 23  2007 030-bde -> ../sites-available/bde
lrwxrwxrwx 1 root root 28 Feb 23  2007 030-reseiffel -> ../sites-available/reseiffel
lrwxrwxrwx 1 root root 25 Feb 23  2007 050-eiffel -> ../sites-available/eiffel
lrwxrwxrwx 1 root root 34 Feb 23  2007 050-reseau-polytech -> ../sites-available/reseau-polytech
lrwxrwxrwx 1 root root 40 Feb 23  2007 050-reseau-polytech-tools -> ../sites-available/reseau-polytech-tools
lrwxrwxrwx 1 root root 38 Feb 23  2007 090-annuaire-ingenieurs -> ../sites-available/annuaire-ingenieurs

Configuration d’un serveur virtuel :

artois:/etc/apache2# cat sites-enabled/020-webmail
<VirtualHost artois.escaut.net:443>
  ServerName webmail.polytech-lille.fr
  ServerAlias webmail.polytech-reseau.org
  ServerAdmin postmaster@polytech-lille.fr
  SSLEngine on
  SSLCertificateFile /etc/ssl/certs/webmail.pem
  SSLCertificateKeyFile /etc/ssl/private/webmail.pem
  Options Indexes FollowSymLinks
  DocumentRoot /var/www/htdocs-ssl/webmail
  ScriptAlias /cgi-bin/ /var/www/cgi-bin/webmail
</VirtualHost>

<VirtualHost artois.escaut.net:80>
  ServerName webmail.polytech-lille.fr
  ServerAdmin postmaster@polytech-lille.fr
  DocumentRoot /var/www/htdocs/webmail
  ScriptAlias /cgi-bin/ /var/www/cgi-bin/webmail
</VirtualHost>

Ce document a été traduit de L^AT_EX par H^EV^EA

Ethernet type	EAP Version	EAPOL Type	Length	EAP Packet
2 bytes	1 byte	1 byte	2 bytes	n bytes

Code	Identifier	Length	Authenticator	Attribute/value pairs
1 byte	1 byte	2 bytes	16 bytes

Control	Duration	Addr 1	Addr 2	Addr 3	Seq	Addr 4	Data	Check sum
2 bytes	2 bytes	6 bytes	6 bytes	6 bytes	2 bytes	6 bytes	0-2312 bytes	4 bytes

2 bits	2 bits	4 bits	1 bit	1 bit	1 bit	1 bit	1 bit	1 bit	1 bit	1 bit
Version	Type	Subtype	To DS	From DS	MF	Retry	Pwr	More	W	O

24 bits	6 bits	2 bits	0-2304 bytes	32 bits
Initialization Vector	Padding	Key number	Data	Integrity Check Value (CRC32)

LLC	SNAP	ARP header	ARP opcode	ARP MAC source
0xAAAA03	0x0000000806	0x000108000604	0x0001	0x010203040506