Descriptif de l’expérimentation

1. Introduction

Aujourd’hui la cybersécurité est incontournable dans le monde Informatique. Elle intervient en effet partout, du niveau matériel au niveau applicatif (système d’exploitation et applications), en passant par les protocoles de communication dans les réseaux, les systèmes d’authentification sur le web, ou encore le traitement et le stockage des données (Cloud, bases de données, etc.). Des failles de sécurité peuvent entraîner de vastes problèmes : fuites de données, espionnage, usurpation d’identité, vols, etc.

Bien que la cybersécurité ne soit pas explicitement aux programmes de SNT et NSI en tant que telle, même si elle apparaît en filigrane dans la partie sur la sécurisation des communications en Terminale NSI, il nous semble important, voire crucial compte-tenu de son implication dans la vie de tous les jours, de l’aborder aux détours des notions étudiées dans ces deux disciplines, ceci afin d’initier les élèves aux bonnes pratiques, les faire réfléchir aux différents aspects de la cybersécurité et, pourquoi pas, susciter des vocations dans ce domaine qui manque actuellement cruellement de personnes qualifiées.

Le but de ce travail en deux parties est de présenter une plateforme web spécialement conçue à cet effet et de montrer, à travers quelques exemples pratiques, comment son utilisation peut engager, d’une part, une réflexion sur la cybersécurité et apporter, d’autre part, une plus-value dans l’apprentissage des notions informatiques abordées en SNT et spécialité NSI.

Dans cette première partie, nous commençons par décrire le contenu de cette plateforme (section 2), puis nous présentons quelques exemples pratiques clé en main qui peuvent être utilisés en SNT et en Première et Terminale NSI (section 3). Pour chacun de ces exemples, nous proposons des intentions pédagogiques, ainsi qu’un retour d’expérience sur les plus-values et les freins pédagogiques. Ces exemples seront complétés par d’autres dans un prochain article.

2. Présentation de la plateforme

Informations générales

Le but de la plateforme CyberSécurité conçue par Charles Poulmaire et Pascal Remy (académie de Versailles) est triple :

Une sélection de plateformes externes renommées dédiées à la cybersécurité, ainsi qu’une présentation des métiers de la cyber et un point sur l’orientation vers ces métiers sont également proposées.

Structure

La plateforme est organisée en six grandes sections.

1. Actualités

Cette section regroupe de nombreuses informations sur la cybersécurité comme, par exemple, des actions de sensibilisation et d’initiation à la cybersécurité, des présentations de concours de CTF ou des ressources pédagogiques. Toutes ces informations sont actualisées régulièrement.

2. Bonnes pratiques

Cette section présente différentes ressources sur les bonnes pratiques en cybersécurité, comme l’utilisation de mots de passe forts, la mise à jour régulière des logiciels et la sensibilisation des utilisateurs aux risques potentiels, afin de réduire les vulnérabilités et prévenir les attaques informatiques.

3. Boîte à outils

Cette section présente différents logiciels et fiches ressources pouvant être utiles pour résoudre les challenges proposés.

4. Challenges

Cette section propose différents challenges CTF (Capture The Flag) dont la résolution passe par la détermination d’un ou plusieurs « drapeaux » ou « flag » qui sont des morceaux de données ou de texte cachés dans des systèmes informatiques. Ces défis peuvent inclure la recherche de failles de sécurité, la résolution de puzzles cryptographiques, ou l’utilisation de logiciels pour obtenir des réponses. Ces challenges sont regroupées dans différentes catégories :

Pour chaque challenge, et à titre indicatif, sont indiqués le niveau nécessaire pour résoudre le challenge, la difficulté (facile, intermédiaire ou difficile) représentée par un nombre d’étoiles entre 1 et 3, le nombre de flags à trouver, ainsi qu’une description de l’objectif du challenge.

Par exemple, l’image ci-dessous montre que l’on a affaire à un challenge conçu plutôt pour des spécialités NSI, qu’il est de difficulité intermédiaire, que l’on a 12 flags à trouver et qu’il va permettre de travailler sur les notions de base de l’algorithmique, ainsi que sur les chaînes de caractères.

5. Plateformes de challenges

Il existe de nombreuses plateformes de CTF de grandes qualités pour s’initier à la cybersécurité. Dans cette section, on en présente quelques-unes qui sont intéressantes, à la fois pour les types de challenges proposés, mais aussi pour l’approche et le contenu pédagogique sous-jacent.

6. Divers

Dans cette section, on trouvera différentes ressources bibliographiques et sitographiques permettant d’approfondir ce qui est abordé dans ce site, ainsi qu’un point sur les métiers de la cyber et les études pour y parvenir.

3. Quelques exemples pratiques

Exemple 1 : OSINT

L’acronyme OSINT signifie en anglais Open Source INTelligence. Il se traduit en français par Renseignement d’Origine Sources Ouvertes ou ROSO.

Il s’agit d’une méthode de renseignement regroupant un ensemble de pratiques d’investigation et d’analyse qui vise à dévoiler une information préalablement dissimulée en récoltant, croisant ou analysant des données numériques disponibles en source ouverte (médias traditionnels, Internet, Données gouvernementales, publications professionnelles et académiques, données commerciales, imagerie satellite, bases de données publiques et littérature grise).

Dans la cybersécurité, l’OSINT est aujourd’hui un outil incontournable avec de nombreuses applications concrètes :

Pour illustrer cette branche de la cybersécurité et sa possible utilisation pédagogique en SNT et NSI, intéressons-nous au challenge A vélo.


Présentation et corrigé du challenge

Dans ce challenge, on donne la photo suivante (photo personnelle de Pascal Remy) :

et on souhaite trouver les informations suivantes :

Pour ce faire, on procède comme suit :

  1. En réalisant une recherche inversée sur la photo, on tombe sur ce site et on voit qu’il s’agit de l’écluse Saint Jouan sur le canal Nantes-Brest.
  2. En faisant ensuite une recherche google maps de l’écluse Saint Jouan, on voit qu’il s’agit de l’écluse 34
  3. Pour le numéro de la parcelle, on localise l’écluse Saint Jouan sur le site Géoportail et on met comme fond de carte les parcelles cadastrales pour obtenir l’image suivante (cliquer sur la parcelle pour obtenir les détails) :
  1. Pour la dernière partie du flag, on peut faire par exemple la recherche google canal nantes brest vélo et on tombe sur ce site qui nous dit que la piste cyclable s’appelle la Vélodyssée et qu’elle est située entre Chateaulin et Nantes.
  2. Le flag est 34_ZA0168_la-velodyssee_chateaulin-nantes

Intentions pédagogiques

Les outils utilisés pour résoudre ce challenge sont les suivants :

Dans le cadre d’un cours de SNT, ce challenge peut donc permettre, en manipulant des outils variés, d’introduire et de travailler simultanément plusieurs notions au programme :

L’enseignant peut ensuite engager un débat avec les élèves pour élaborer de façon conjointe une trace écrite concernant ces différentes notions.

D’autre part, ce challenge permet aussi de travailler des compétences connexes telles que l’autonomie, la réflexion et la créativité des élèves, ainsi que la recherche documentaire ; compétences qui sont extrêmement importantes dans le domaine Informatique. C’est d’ailleurs ce dernier point qui est essentiellement visé lorsque l’on propose ce challenge dans le cadre d’un cours de NSI.


Retours d’expérience


Exemple 2 : OSINT et cryptographie

Pour enrichir une séance de cours, on peut également proposer des challenges où l’OSINT est couplée avec une autre branche de la cybersécurité. A titre d’exemple, considérons le challenge (veni, vidi, vici)x6 qui combine à la fois OSINT et cryptographie.


Présentation et corrigé du challenge

Dans ce challenge, on donne l’objectif suivant :

ainsi que cet indice :

Il s’agit ici, dans un premier temps, de décrypter l’objectif à l’aide de l’indice, puis, dans un second temps, de répondre à l’objectif. Pour ce faire, on procède de la façon suivante :

  1. On utilise par exemple le site Aperi’Solve pour étudier les métadonnées exif de la photo donnée en indice. Dans la partie ExifTool, on trouve les coordonnées GPS de la photo : latitude nord de 48 deg 49’ 44.76’’ et longitude est de 2 deg 19’ 43.21’’
  1. En utilisant, par exemple ce site de géolocalisation, on obtient l’adresse suivante : 40 rue Bézout, Paris
  2. En affichant cette adresse dans Google Maps, on voit que le métro le plus proche est la station Alésia
  3. Pour décoder le message, on utilise par exemple le site CyberChef
    • Le titre en latin du challenge dû à César suggère de faire un décodage avec la méthode de Vigenère (en raison du x6 : effectuer plusieurs fois César) et le mot clé Alesia (sans accent car en latin ; de plus, Vigenère ne gère pas les accents ; le x6 du titre fait aussi référence au nombre de lettres d’Alesia)
    • On utilise donc Vigenère Decode avec le mot-clé Alesia


      ce qui nous donne le texte suivant :
Si Alésia fut la défaite de Vercingétorix devant César, une autre grande bataille
fut en revanche une éclatante victoire.
Le flag est le SHA-1 du nom de cette bataille précédée du nom du département actuel où 
elle s'est située, tout ceci écrit en minuscules, sans accents et sans caractères
spéciaux hors le caractère _ qui sert à séparer les mots.

Par exemple, dans le cas de la bataille d'Alésia, la ville d'Alésia se situe dans
le département actuel de la Côte-d'Or. On devrait donc faire le SHA-1
de cote_d_or_alesia, soit 23ecc6107ca1b1b34701d9f9aa4354ab498ecd3e, ce qui serait
le flag.
  1. Une brève recherche sur le web nous conduit à la bataille de Gergovie, qui se situe dans le département actuel du Puy-de-Dôme (plus précisément à côté de Clermont-Ferrand)
  2. Le flag est le SHA-1 de puy_de_dome_gergovie, soit 018ea4d9b844a453291d25e89e033a57958d3e1b

Intentions pédagogiques

Les outils pour résoudre ce challenge sont les suivants :

Dans le cadre d’un cours de SNT, ce challenge peut donc permettre, en manipulant des outils variés, d’introduire et de travailler simultanément plusieurs notions au programme :

L’enseignant peut également, s’il le désire, aborder quelques notions simples de cryptographie (il peut pour cela s’appuyer sur la fiche Méthodes de chiffrement écrite à cet effet, fiche qu’il peut aussi demander aux élèves d’aller consulter au cours de la réalisation du challenge). Ensuite, l’enseignant peut engager un débat avec les élèves pour élaborer de façon conjointe une trace écrite concernant ces différentes notions.

Dans le cadre d’un cours de NSI, ce point sur les notions de cryptographie peut être intéressant à faire en Première (on pourrait même imaginer à la suite de ce challenge un TP pour implémenter la méthode de Vigenère) et a toute sa place en Terminale dans le cadre de la partie sur la sécurisation des communications.

D’autre part, comme dans l’exemple 1, ce challenge permet naturellement de travailler également des compétences connexes telles que l’autonomie, la réflexion et la créativité des élèves, ainsi que la recherche documentaire ; compétences qui sont extrêmement importantes dans le domaine Informatique.


Retours d’expérience


Exemple 3 : programmation Python

Intéressons-nous maintenant au challenge Blackbeard’s Treasure Map (d’après 101computing.net) permettant à la fois de travailler la démarche algorithmique, de réinvestir (ou simplement introduire) des notions de programmation Python et de comprendre l’approche par force brute.


Présentation et corrigé du challenge

Dans ce challenge (en anglais pour travailler également la transdisciplinarité !), il s’agit de trouver l’emplacement du trésor de Barbe-Noire à l’aide des deux parchemins suivants :

Pour ce faire, on procède comme suit :

  1. Le premier parchemin montre que les numéros des lignes sont compris entre 2440 et 2470 et que les numéros des colonnes sont compris entre 750 et 770
  2. Le second parchemin donne l’égalité Row x Column = 1889121
  3. On en déduit qu’il faut trouver une valeur entre 2440 et 2470 et une valeur entre 750 et 770 de telle sorte que leur produit vaille 1889121
  4. Pour résoudre ce problème, on utilise une méthode par brute force et on écrit pour cela le programme Python suivant :
def treasure_hunt():
    for row in range(2440, 2471):
        for column in range(750, 771):
            if row * column == 1889121:
                return row, column
  1. On obtient le tuple (2463, 767)
  2. Le flag est 2463767

Intentions pédagogiques

Du point de vue informatique, ce challenge offre de nombreux objectifs pédagogiques intéressants :

Résoudre ce challenge nécessite une certaine démarche logique qui se rapproche de la pensée algorithmique. Les élèves doivent comprendre le problème, concevoir une solution en plusieurs étapes, la mettre en oeuvre, et vérifier les résultats. Ce type de pensée est essentiel en informatique et dans les disciplines liées à la programmation.

Bien sûr, ce challenge est plus abordable dans le cadre d’un cours de NSI, mais peut également être fait en SNT pour proposer une activité un peu différente, par exemple, dans le cadre du thème Photographie numérique (on parcourt un tableau en deux dimensions) ou du thème Localisation, cartographie et mobilité (on fait du repérage par force brute sur une carte).

Enfin, ce challenge peut être proposé à divers moment suivant l’objectif visé par l’enseignant : introduction à Python, entraînement ou encore approfondissement.


Retours d’expérience

Un levier possible pour ce dernier point est de commencer par faire un programme en Scratch (ou Blockly) et d’utiliser ensuite un environnement (type Vittascience) qui fera la traduction en Python automatiquement.


Exemple 4 : réseaux

Comme dernier exemple d’utilisation de la cybersécurité dans le cadre de l’enseignement de NSI, intéressons-nous à présent au challenge Réseau local qui permet de comprendre et manipuler les adresses IP (bien sûr, ce challenge pourrait également être fait en SNT avec le thème Internet, mais les notions abordées ici ne sont pas explicitement un attendu du programme).


Présentation et corrigé du challenge

Dans ce challenge, il s’agit de repérer, à l’aide de leur adresse IP, trois machines parmi six possibles, sachant qu’elles sont toutes les trois situées dans le même réseau local. Un document ressource sur la manipulation des adresses IP est fourni en guise d’indice.

Pour résoudre ce challenge, on procède de la manière suivante :

  1. Le /22 indique que le masque est 255.255.252.0 et donc de bien étudier le troisième octet (on remarque d’ailleurs que les deux premiers octets sont les mêmes pour toutes les machines).
  2. On détermine les décompositions binaires pour chacun des troisièmes octets :
    • 127=(0111 1111)2
    • 13=(0000 1101)2
    • 128=(1000 0000)2
    • 131=(1000 0011)2
    • 132=(1000 0100)2
    • 129=(1000 0001)2
  3. Comme 252=(1111 1100)2, on en déduit que les six premiers bits à partir du bit de poids fort font partie de la partie réseau, les deux bits restants faisant partie de la partie hôte.
  4. Des calculs ci-dessus, on observe que les ordinateurs 3, 4 et 6 sont les seuls à faire partie du même réseau (ils ont les six premiers bits égaux à 100000). Ce réseau ayant pour adresse 129.175.128.0
  5. On détermine alors les parties hôtes :
    • ordinateur 3 : 0.0.0.7
    • ordinateur 4 : 0.0.3.110
    • ordinateur 6 : 0.0.1.12
  6. Le flag est 000700311000112

Intentions pédagogiques

Ce challenge peut intervenir comme application directe d’un cours sur les réseaux en Première ou Terminale NSI. Il permet en effet de travailler sur l’adressage IP et les masques de réseau, notions essentielles pour comprendre comment les ordinateurs communiquent sur un réseau.

L’enseignant peut faire ici un point sur le rôle fondamental que jouent l’adressage IP et les masques de réseau en cybersécurité. En effet, bien configurés, ils permettent de sécuriser un réseau, mais ils présentent aussi des défis et des risques.


Retours d’expérience