Secu_WEB

Risques identifiés :

Injections SQL :

Les injections sql consistent a rentrer des instructons sql dans des champs non prévus a cet effet ce qui a pour effet de pouvoir demander plus d'informations que prévu a la base de données.

DOS :

Les attaques par denis de services consistent a envoyer un trop grand nombre de requetes sans interruption vers un serveur, cela a pour effet de surcharger le serveur l'empechant donc de repondre correctement aux requetes des utilisateurs et rendant donc le site web innutilisable.

Man in the middle :

Cette attaque consiste à se placer entre un serveur et un client pour controler tout le trafic et ainsi pouvoir avoir acces et meme modifier les données echangées.

Contre Mesures :

Il est assez compliqué de se prémunir face aux attaques de typer DOS, ca il n'est pas aisé de differentier les requetes emises par des utilisateurs de celles emises par les attaquants. cependant il est possible de configurer un fireawall qui repere certains paternes dans les requetes pour essayer d'identifier celles venant des attaquants.

Contre les injections SQL, il existe des fonctions php qui vont repérer des instructions SQL qui ne sont pas a leurs place.

SSL et HTTPS :

Pour se prémunir des attaques Man in the middle, il est tres important d'authentifier l connection, c'est a cela que vont servir les certificats SSL.

Etapes de mise en place :

Création de la clée du CA :

openssl genrsa -aes256 -out ca-key.pem 4096

Création du certificat CA :

openssl req -new -x509 -sha256 -days 365 -key ca-key.pem -out ca.pem

création de la clée du certificat :

openssl genrsa -out cert-key.pem 4096

Création de la requete de signature du certificat :

openssl req -new -sha256 -subj "/CN=yourcn" -key cert-key.pem -out cert.csr

Création d'un extfile avec tous les alias :

echo "subjectAltName=DNS:your-dns.record,IP:257.10.10.1" >> extfile.cnf

Création du certificat :

openssl x509 -req -sha256 -days 365 -in cert.csr -CA ca.pem -CAkey ca-key.pem -out cert.pem -extfile extfile.cnf -CAcreateserial

Il ne reste maintenant plus qu'à lier le certificat a la page web ce qui est fait dans le fichier de configuration de la page web.

Puis il faut dire a notre OS de faire confiance au CA et la maniere de faire dépend de du systeme d'exploitation, voicit comment faire sous windows :

Import-Certificate -FilePath "C:\ca.pem" -CertStoreLocation Cert:\LocalMachine\Root