DIIAGE: ajout derniers cours

diiage/C3-2_Sécurité_SI/20180209_Autorisation/prepa.md

@@ -0,0 +1,14 @@
+# Préparation: Modèles d'autorisation
+
+## Problématiques
+
+- Quels sont les différents modèles d'autorisation aujourd'hui utilisés dans les applications informatiques ?
+- Quels sont les avantages et inconvénients de ces différents modèles ?
+
+## Bibliographie
+
+- [Role Based Access Control - Wikipédia](https://en.wikipedia.org/wiki/Role-based_access_control)
+- [Access Control List - Wikipédia](https://en.wikipedia.org/wiki/Access_control_list)
+- [Attribute Based Access Control - Wikipédia](https://en.wikipedia.org/wiki/Attribute-based_access_control)
+- [Role Based Acccess Control - NIST - 15th National Computer Security Conference](https://csrc.nist.gov/CSRC/media/Publications/conference-paper/1992/10/13/role-based-access-controls/documents/ferraiolo-kuhn-92.pdf)
+- [Attribute Based Access Control](http://nvlpubs.nist.gov/nistpubs/specialpublications/NIST.sp.800-162.pdf)

diiage/C3-2_Sécurité_SI/20180209_Autorisation/qcm.md

@@ -0,0 +1,50 @@
+<style>
+* {
+  font-size: 0.8em !important;
+}
+</style>
+
+# Autorisation: QCM
+
+- **Nom**
+- **Prénom**M
+- **Classe**
+- **Date**
+
+## Consigne
+
+Pour chaque question, entourer **la ou les bonnes réponses**.
+
+**Attention**, certaines questions sont volontairement rédigées sous la forme plurielle. Cela n'implique pas forcément qu'il y a plusieurs bonnes réponses.
+
+## Questions
+
+### A. Dans un modèle d'autorisation de type ACL, les permissions sont attachées:
+
+1. À l'objet sur lequel on veut effectuer l'action
+2. À l'utilisateur qui veut effectuer l'action
+3. À l'action que l'utilisateur veut effectuer sur l'objet
+
+### B. Quelles sont limites inhérentes au modèle d'autorisation de type ACL (dans son implémentation classique) ?
+
+1. L'impossibilité de modéliser des interdictions.
+2. Une impossibilité de mutualiser les permissions entre les utilisateurs
+3. Une nécessité de scanner l'ensemble des objets lorsqu'on souhaite retirer une permission à un utilisateur.
+
+### C. Les ACL sont souvent stockées sous forme:
+
+1. Des graphes
+2. De tables
+3. Des listes chaînées
+
+### D. Que signifie "principe de moindre privilège" ?
+
+1. Que le nombre total de permissions différentes devrait être maintenu au minimum dans une application.
+2. Qu'une entité ne devrait pouvoir interagir qu'avec les éléments qui sont absolument nécessaires à son fonctionnement.
+3. Qu'une action ne devrait pas être générique.
+
+### E. Dans le modèle ABAC, qu'est ce qu'une "politique" ?
+
+1. Une classification d'attributs
+2. Un ensemble de règles définissant si une opération est possible sur un objet.
+3. L'ensemble des opérations possibles sur un objet.

diiage/C3-2_Sécurité_SI/20180209_Autorisation/tp.md

@@ -0,0 +1,37 @@
+# TP - Concevoir un modèle d'autorisation
+
+## Contexte
+
+Un client souhaite réaliser une application de gestions des ressources techniques pour palier aux problèmes de "sur-réservation" qui touchent son entreprise avec le modèle actuel basé sur des formulaires papiers.
+
+L'entreprise met à disposition de ses employés les ressources suivantes:
+
+- 4 salles de réunion
+- 5 véhicules professionnels
+- 3 projecteurs numériques
+- 6 ordinateurs portables
+
+Les ressources sont évidemment indivisibles. Chaque employé peut réserver une ressource pour une ou plusieurs heures.
+
+Les salariés sont répartis par services:
+
+- Un service "Direction"
+- Un service "RH"
+- Un service "Direction"
+- Un service "Commercial"
+
+Le client souhaite que les règles de gestion suivantes soient respectées:
+
+- Une ressource, pour une heure donnée, à 3 états possibles: libre, pré-réservée ou réservée.
+- Tous les services peuvent réserver une ou plusieurs ressources pour une ou plusieurs heures si celle(s) ci ne sont pas encore réservées.
+- Les membres du services "Commercial" ont la priorité sur les véhicules de fonction. Ils peuvent donc annuler une pré-réservation existante sur un véhicule par leur propre propre pré-réservation. Ils ne peuvent pas annuler une réservation validée.
+- Le service "RH" peut valider les réservations des ressources (ils passent donc une ressource de l'état pré-réservée à réservée)
+- Les membres du service "Direction" peuvent remplacer n'importe quelle pré-réservation existante sur n'importe quelle ressource.
+
+## Consignes
+
+- Identifier les entités métiers constituant l'application.
+- Identifier les différents types d'utilisateurs de l'application
+- Identifier les actions possibles sur les entités et les permissions associées
+- Concevoir et modéliser un système d'autorisation permettant d'implémenter les contraintes de gestion attendues par le client. Votre proposition devra respecter le principe de moindre privilège et de séparation des droits. Votre modélisation peut être soit sous forme de graphique ou textuelle.
+- Argumenter son choix du type de modèle ACL, RBAC ou ABAC par rapport aux contraintes du projet.