CompTIA Security+ (SY0-701) — Questions d'entraînement et examen blanc

La confusion est compréhensible : le commutateur porte deux casquettes. Dans la terminologie 802.1X, il existe trois rôles : le poste de travail est le supplicant, le commutateur d’accès est l’authenticator et le serveur central est le serveur d’authentification. Dans la terminologie RADIUS, il n’y en a que deux, et le serveur d’accès réseau, ici le commutateur, fonctionne comme un client RADIUS. Il transmet les informations utilisateur aux serveurs désignés, puis agit selon leur réponse. En pratique, cela signifie ouvrir le port, attribuer un VLAN ou laisser le port non autorisé.

Le même équipement est donc un serveur du point de vue du poste de travail et un client du point de vue de l’infrastructure d’authentification. La question demande précisément la terminologie RADIUS.

Les mauvaises réponses correspondent aux autres rôles. Le serveur d’authentification valide les identifiants et renvoie les attributs de configuration, ce que le commutateur ne fait pas. Le supplicant est le poste qui présente les identifiants. L’autorité de certification signe les certificats et s’en porte garante à l’avance ; elle ne participe pas à l’échange en cours, même lorsque l’authentification utilise des certificats.

Conseil pour l’examen : lorsqu’une question nomme explicitement une terminologie, classe d’abord l’équipement dans cette terminologie. Le même équipement porte des noms différents dans 802.1X et RADIUS, et la question teste exactement cette distinction.

Les tests d’intrusion se distinguent par ce que les testeurs savent avant de commencer. Dans un environnement inconnu, souvent appelé boîte noire, ils partent de peu ou pas d’informations. Cela simule un attaquant externe et teste la détection et l’exposition, mais consomme une grande partie du budget en découverte. Un environnement partiellement connu, ou boîte grise, apporte certaines connaissances internes, par exemple un compte, et équilibre réalisme et efficacité. Un environnement connu, ou boîte blanche, fournit des connaissances explicites et détaillées sur la structure et l’implémentation internes, comme le code source, les documents de conception et des comptes, ce qui permet une couverture plus approfondie en moins de temps. Le bon choix découle de l’objectif et des contraintes. Lorsqu’il faut trouver le plus de défauts possible dans une logique précise avant publication, la connaissance accélère le travail sans compromettre l’objectif. Conseil pour l’examen : adapte l’environnement au but recherché ; choisis connu pour la couverture sous contrainte de temps et inconnu pour le réalisme et les tests de détection.

La payload ' OR 1=1 --' est l’une des chaînes de SQL injection les plus reconnaissables. Décomposition : l’apostrophe (') termine le littéral de chaîne dans la requête SQL, OR 1=1 ajoute une condition qui est toujours vraie (ce qui signifie que la clause WHERE correspond toujours), et -- est l’indicateur de commentaire SQL qui ignore tout ce qui suit. Par exemple, une requête de connexion comme SELECT * FROM users WHERE username='admin' AND password='[input]' devient SELECT * FROM users WHERE username='admin' AND password='' OR 1=1 --' ce qui renvoie tous les utilisateurs et contourne l’authentification. Les WAF détectent les SQL injection via du pattern matching (recherche de mots-clés et d’opérateurs SQL dans les entrées), de la détection d’anomalies (comparaison des requêtes avec le comportement appris de l’application) et des bases de signatures de schémas d’attaque connus. Même si les WAF fournissent une défense en profondeur utile, ils ne doivent pas être la seule protection — les requêtes paramétrées dans le code de l’application sont le correctif principal. Astuce d’examen : OR 1=1 et une syntaxe SQL similaire dans des champs de formulaire = SQL injection. Le WAF fournit une défense en profondeur, pas un remplacement du secure coding.

Le chiffrement peut s’appliquer au niveau de l’application, de la base de données, du système de fichiers ou du matériel, et chaque couche place sa frontière de protection à un endroit différent. Plus la couche est basse, plus elle est transparente et moins elle couvre réellement de menaces : un disque autochiffrant protège les plateaux, pas le processus qui les lit. Une fois la machine démarrée et la clé chargée, tout ce qui se trouve au-dessus de cette couche voit les données en clair, si bien qu’un attaquant disposant d’une exécution de code à distance ou d’identifiants valides n’est pas gêné. Les couches supérieures réduisent l’exposition. Le chiffrement au niveau de la base de données rend les données illisibles pour quelqu’un qui n’a accès qu’au système de fichiers, et le chiffrement applicatif les rend illisibles même pour une base de données compromise, au prix d’une gestion des clés plus complexe et d’une perte de capacités de requête. Choisir une couche relève donc de la modélisation des menaces, pas d’une case à cocher, et on combine souvent plusieurs couches. L’erreur courante consiste à considérer que n’importe quel chiffrement au repos protège contre tous les attaquants.