Canal caché (Covert Channel) |
Canal de communication qui permet à un processus malveillant de transférer des informations d’une manière dissimulée. Le canal caché assure une communication par l’exploitation d’un mécanisme qui n’est pas censé servir à la communication.
Remarques : Les canaux cachés sont l’objet de nombreux travaux de recherche, tant pour les créer que pour les détecter.
Voir aussi: |
| |
Canular (Hoax) |
Information vraie ou fausse, souvent transmise par messagerie électronique ou dans un forum, et incitant les destinataires à effectuer des opérations ou à prendre des initiatives, souvent dommageables.
Remarques : Il peut s’agir d’une fausse alerte aux virus,de chaîne de solidarité, pétitions, promesse de cadeaux, etc. Quelques canulars fréquents sont répertoriés sur des sites dédiés comme « Hoaxbuster » ou « Hoaxkiller ».
Voir aussi: |
| |
Capteur clavier, enregistreur de frappes (Keylogger, keystroke logger) |
Logiciel ou matériel employé par un utilisateur malveillant pour capturer ce qu’une personne frappe au clavier.
Remarques : Cette technique permet de voler efficacement les mots de passe, les données bancaires, les messages électroniques, etc.
Voir aussi: |
| |
Certification de sécurité |
Délivrée par l’ANSSI. Elle porte sur des produits de sécurité (matériels ou logiciels). Elle atteste de la conformité d’un produit de sécurité à un niveau de sécurité donné. Il s’agit d’une évaluation à l’état de l’art réalisée en fonction d’une cible de sécurité et d’un niveau de sécurité visé. Elle est matérialisée par un rapport de certification et un certificat tous deux signés par le Directeur Général de l’Agence. Le catalogue des produits de sécurité certifiés, accompagnés de leur cible de sécurité et de leur rapport de certification est publié sur le site Web de l’Agence. On parle de certification « premier niveau » (CSPN) ou de certification « Critères Communs ». Cette certification est délivrée par l’ANSSI sur la base des travaux dévaluation menés par un CESTI (Centre d’Evaluation de la Sécurité des Technologies de l’Information). Les CESTI sont des laboratoires accrédités par le COFRAC (Comité Français d’Accréditation) et agréés par l’ANSSI. Le catalogue des CESTI est publié sur le site Web de l’Agence. Au sein de l’ANSSI, c’est le Centre National de Certification de la Sous-direction Expertise qui remplit ces missions.
Voir aussi: |
| |
Certification de Sécurité de Premier Niveau (CSPN) |
La Certification de Sécurité de Premier Niveau (CSPN) mise en place par l’ANSSI en 2008 consiste en des tests en « boîte noire » effectués en temps (2 mois) et charge (25 ou 35 hommes x jours) contraints. La CSPN est une alternative aux évaluations Critères Communs, dont le coût et la durée peuvent être un obstacle, lorsque le niveau de confiance visé est moins élevé.
Voir aussi: |
| |
Cheval de Troie (Trojan Horse) |
Programme donnant l’impression d’avoir une fonction utile, mais qui possède par ailleurs une fonction cachée et potentiellement malveillante.
Remarques : La fonction cachée exploite parfois les autorisations légitimes d’une entité du système qui invoque ce programme. Elle peut par exemple permettre la collecte frauduleuse, la falsification ou la destruction de données.
Voir aussi: |
| |
Chiffrement |
Transformation cryptographique de données produisant un cryptogramme.
|
| |
Clonage de serveur DNS (DNS pharming) |
Activité malveillante visant à modifier un serveur DNS (serveur de noms de domaine), dans le but de rediriger un nom de domaine vers une adresse IP différente de l’adresse légitime. En croyant aller sur un site connu, l’internaute navigue en réalité sur un site factice.
Remarques : le trafic envoyé au domaine souhaité (organisme bancaire, messagerie électronique, etc.) peut être capturé par un utilisateur malveillant, qui, par exemple, a déjà copié des pages du domaine visé à l’adresse nouvellement indiquée par le DNS. La personne qui se connecte au domaine risque alors d’entrer des informations confidentielles sur le site factice, même si elle a pris la précaution de renseigner l’adresse correcte.
Voir aussi: |
| |
Code confidentiel d’une carte bancaire |
Le code à 4 chiffres associé à une carte bancaire permet de valider un acte de paiement ou de retrait d’argent sur un distributeur de billets. Il équivaut à la signature du porteur et donc à l’engagement du porteur sur l’acte d’achat. Le code est rigoureusement personnel et ne doit pas être communiqué à des tiers même au sein de la famille. Il est fortement déconseillé de réutiliser le code de la carte pour d’autres codes d’accès comme celui d’un digicode d’une porte d’entrée ou du code de déverrouillage d’un téléphone portable.
|
| |
Code d’exploitation (Exploit) |
Tout ou partie d’un programme permettant d’utiliser une vulnérabilité ou un ensemble de vulnérabilités d’un logiciel (du système ou d’une application) à des fins malveillantes.
Remarques : Les objectifs malveillants consistent souvent en une intrusion, une élévation de privilèges ou un déni de service. L’exploitation peut se faire directement à partir du système ciblé si l’utilisateur malveillant possède un accès physique (local exploit), ou à distance s’il s’y connecte (remote exploit).
Voir aussi: |
| |
Code malveillant, logiciel malveillant (Malicious software, malware) |
Tout programme développé dans le but de nuire à ou au moyen d’un système informatique ou d’un réseau.
Remarques : Les virus ou les vers sont deux types de codes malveillants connus.
Voir aussi: |
| |
Compte privilégié |
Un compte privilégié est un compte bénéficiant de droits d’accès étendus permettant à des utilisateurs malveillants de porter plus facilement ou plus gravement atteinte à la sécurité ou au fonctionnement du SIIV. Les comptes privilégiés sont par exemple des comptes d’administrateurs ou des comptes d’utilisateurs disposant de droits à fort impact métier dans une application.
|
| |
Confidentialité |
Propriété d’une information qui n’est ni disponible, ni divulguée aux personnes, entités ou processus non autorisés.
|
| |
Contournement de la politique de sécurité |
Toute action ayant pour conséquence la mise en échec des règles ou des mécanismes de sécurité mis en place.
|
| |
Coquille |
Voir aussi: |
| |
Courriel (e-mail, mail) |
Document informatisé qu’un utilisateur saisit, envoie ou consulte en différé par l’intermédiaire d’un réseau. L’adresse électronique de l’internaute (adresse e-mail) est le plus souvent composée d’un nom d’utilisateur et d’un nom de domaine séparés par un @.
Remarques : Un courriel contient le plus souvent un texte auquel peuvent être joints d’autres textes, des images ou des sons. Par extension, le terme « courriel » et son synonyme « courrier électronique » sont employés au sens de « messagerie électronique ».
Voir aussi: |
| |
Critères Communs(CC) |
Il s’agit d’un standard internationalement reconnu s’inscrivant dans des accords de reconnaissance multilatéraux. Les CC définissent notamment différents niveaux de profondeur dans l’évaluation permettant ainsi d’atteindre des niveaux d’assurance plus ou moins élevés dans la sécurité du produit : les EAL (Evaluation Assurance Level). Plus le niveau visé est élevé, plus les contraintes en termes d’éléments de preuve que doit fournir le développeur au laboratoire sont importantes et plus les coûts d’évaluation sont conséquents. Une évaluation CC dure en moyenne entre 6 et 18 mois (selon le type de produit, le niveau visé et la maturité du développeur) et nécessite des moyens financiers importants.
Voir aussi: |
| |
Cryptanalyse |
Processus de déchiffrement de données protégées au moyen de cryptographie sans être en possession des clés de chiffrement.
Voir aussi: |
| |
Cryptographie |
Discipline incluant les principes, moyens et méthodes de transformation des données, dans le but de cacher leur contenu, d’empêcher que leur modification ne passe inaperçue et/ou d’empêcher leur utilisation non autorisée (ISO 7498-2).
Voir aussi: |
| |
Cryptologie |
Science englobant la cryptographie et la cryptanalyse.
La cryptologie, littéralement science du secret en grec, a longtemps été associée à de mystérieux enjeux d’espionnage militaire et diplomatique bien éloignés des préoccupations scientifiques habituelles. Après s’être longtemps résumée à un jeu sans fondements théoriques profonds entre ingénieux concepteurs de codes secrets et cryptanalystes acharnés, elle s’est transformée, à l’aube du XXIe siècle, en une science dynamique à l’intersection de nombreuses autres plus orthodoxes telles que les mathématiques, l’informatique et la micro-électronique.
Voir aussi: |
| |
Cybercriminalité |
Actes contrevenants aux traités internationaux ou aux lois nationales, utilisant les réseaux ou les systèmes d’information comme moyens de réalisation d’un délit ou d’un crime, ou les ayant pour cible.
|
| |
Cyberdéfense |
Ensemble des mesures techniques et non techniques permettant à un État de défendre dans le cyberespace les systèmes d’information jugés essentiels.
|
| |
Cyberespace |
Espace de communication constitué par l’interconnexion mondiale d’équipements de traitement automatisé de données numériques.
|
| |
Cybersécurité |
État recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ces systèmes offrent ou qu’ils rendent accessibles. La cybersécurité fait appel à des techniques de sécurité des systèmes d’information et s’appuie sur la lutte contre la cybercriminalité et sur la mise en place d’une cyberdéfense.
|
| |
