Christophe

@pemile

« J’en reste quand même à l’idée qu’un ambassadeur russe a peu de chance d’être considéré comme un expert en cyber sécurité« 

Moi aussi, mais je ne connais pas le bonhomme.

 »mais vous défendrez, je n’en doute pas, le contraire. »

L’absence de doute est un aussi vilain défaut que vos attaques ad personam systématique comme argumentation !

@pemile
Vous faites référence au tableau mis en annexe pour lequel dans le texte du document, comme dans tout document qui se veut un tant soit peu formel, il est écrit voir tableau ou voir plus bas, du moins on renvoie au référentiel or ce n’est pas le cas des assertions faites ; vous allez cherchez une référence qui vous convient pour justifier ce que vous voulez exprimer mais cela ne fonctionne pas ainsi. D’ailleurs vous retrouvez dans le documents des renvois au tableau auquel vous faites référence, ce qui le lie par ce renvoie au texte de référence.

Je ne fais pas de confusion entre la théorie et les normes, l’un ne va pas sans l’autre sauf dans le domaine de la production et du commerce où les normes sont souvent oubliées. Pour l’approche plus formelle de la sécurité que nous retrouvons chez les militaires et dans les entreprises d’armement, la théorie et les normes sont très liées. J’ai un schéma pour l’expliquer mais je ne peux pas le mettre ici. Globalement c’est la différence entre un processus de développement et un processus de développement formel. Pour le premier vous faites des démonstrations et des tests mais cela ne garantit pas que vos démonstrations et tests soient exhaustifs, de fait vous courrez toujours le risque de ne pas couvrir tous les cas. Pour l’approche formelle c’est un système de preuve, les preuves mathématiques permettent de couvrir tous les cas. Je comprends que pour des besoins de rentabilité, les spécialistes de la production ne passent pas par des systèmes de preuve parce que plus long et donc plus coûteux et que les spécialistes de ces approches formelles ne courent pas les rues.

Les normes de certification actuelles donnent un niveaux de sécurité mais chaque niveau est explicité en règles de sécurité, en exigence de sécurité. Les normes ne traitent pas de tous les mécanismes à mettre en œuvre pour contrecarrer une attaque potentielle. Par exemple, il y a quelques années, j’ai travaillé sur un sujet dont l’hypothèse de base était que interdire l’accès à une information c’est déjà donné une information sur la classification de cette information. Nous avons développé le principe du leurre, fournir une fausse information par rapport à celle recherchée ; le leurre devant avoir un contenu suffisamment pertinent pour tromper l’attaquant.

Reste que le plus complexe consiste à détecter une attaque. Le cas des inputs bloquants n’a pas encore trouvé de solution de sécurité.

@pemile
Je me doutais de votre réaction de crétin inculte ne connaissant rien au sujet.

J’ai mis sciemment des référence ayant une date ancienne pour que vous tombiez dans le panneau car depuis Gasser en 1988 aucun document réellement de référence n’a été édité, c’est le plus complet de tous les ouvrages scientifiques en la matière ; d’où le fait qu’il reste une référence même aujourd’hui.

Les autres sont à la source de la création de modèles de sécurité ; ces modèles n’ont pas changé dans leur fondement, ils ont évolué au fil du temps mais posent les bases du modèle qui n’ont pas évoluées.

Pour votre information, les références citées ne sont pas celles que j’applique, elle font partie des documents de référence que j’ai écrit comme l’état de l’art des modèles de sécurité qui a reçu un très bon accueil par les chercheurs dans le domaine (les vrais experts, moi je ne suis qu’un spécialiste). Mon travail s’axe accessoirement sur des recherches de formalismes logiques sur les fondements théoriques de la sécurité informatique. Indépendamment de cela, je travail aussi dans les sciences cognitives qui permettent d’ouvrir son champ de raisonnement au-delà des simples mathématiques. Mais pour un idiot inutile comme vous c’est sans doute un charabia incompréhensible.

J’en conclu que vous n’avez aucune formation scientifique mais que vous vous prononcez énormément sur des sujets que vous ne connaissez absolument pas.

J’en reste quand même à l’idée qu’un ambassadeur russe a peu de chance d’être considéré comme un expert en cyber sécurité, mais vous défendrez, je n’en doute pas, le contraire.

Pour la production, vous vous exonérez du sujet : les rapports disent les ruptures de cessez le feu se sont produites à un endroit et non les explosions se sont produites à un endroit. Comme quoi vous déformez sans vergogne la terminologie employée pour étaler votre bêtise.

@pemile

Vous voyez pemile je répondais à cela : parlez moi de vos étages que je rigole un moment.

Par extrapolation parce que étage est un peu flou, j’en ai conclu qu’il devait parler des différences de niveau, cependant, en sécurité elles existe dans le domaine matériel, logiciel et même sécuritaire. La nouvelle norme a moins de référence sur le matériel et le logiciel que ces deux prédécesseurs réunis même si elle expose les critères d’évaluation cumulés des deux.

J’aurais pu renvoyé, pour les niveaux matériels sur M. Gasser. Building a Secure Computer System : Computers Acces Control and System Design. Van Nostrand Reinhold, 1988 qui certes est ancien mais expose l’ensemble des contraintes de construction matériel d’un système de sécurité.

Pour les systèmes d’Exploitation je peux aussi vous demandez de lire M. Harrison, W. Ruzzo and J. Ullman. Protection in Operating Systems. CACM, 19(8):461-471, Aughust 1976 et D. Bell and L. La Padula. Secure Computer Systems : Unified Exposition and Multics Interpretation. Technical Report ESD-TR-75-306, MTR-2997, MITRE, Bedford, Mass, 1975 qui traite exclusivement de la sécurité obligatoire. Pour la sécurité discrétionnaire il existe d’autres modèles avec des ouvrages qui en parlent. Pour les bases de données c’est encore différent : F. Rabitti, E. Bertino, W. Kim and D. Woelk. A Model of Authorization for Next-Generation Database System. ACM Trans. Database Systems, March 1991. Mais pas certain que ce type de lecture vous passionne.

Quoiqu’il en soit le problème à résoudre reste la fuite des droits.

Ce qui reste important à retenir en sécurité numérique c’est que la confiance que les utilisateurs ont en la sécurité du système informatique qu’ils utilisent doit être sans faille. De plus, ils ont besoin d’éléments d’étalonnage afin de mettre en place le système informatique sécurisé qui répond à leur besoin. D’où la création des normes d’étalonnage fournissant exclusivement des critères d’évaluation (les normes précitées). Quel que soit leur date d’émission ça ne change pas les critères mais la fusion supprime obligatoirement des éléments non essentiels à l’expression normative des critères.

@DACH
Vous n’avez mis aucune source, juste cité le nom d’un ambassadeur russe en le présentant comme expert cyber ce qu’il n’est pas.

Manipulateur d’information c’est ce que vous êtes.