Aller au contenu principal

Le principe du moindre privilège

Ne donner que l'accès strictement nécessaire, jamais « pour simplifier »

Petite vérification​

Avant de commencer, vérifiez si vous savez encore répondre à ces 3 questions très simples, sur la séance précédente consacrée à la mise à jour d'un système Linux :

  1. citer la commande qui rafraîchit la liste des paquets disponibles, sans rien installer
  2. citer la commande qui affiche les paquets en attente de mise à jour, et le mot qui permet de repérer un correctif de sécurité dans son résultat
  3. après l'installation d'un nouveau noyau, indiquer ce qu'il faut faire pour qu'il soit utilisé, puis la commande qui affiche la version du noyau en cours d'exécution
📌 Réponse attendue

TP pour réfléchir et résoudre des problèmes​

Votre défi pour aujourd'hui consiste à repérer puis corriger des accès trop larges, avant qu'ils ne deviennent un problème

info

Le Club ÉtoileSport et son drive partagé sont fictifs, construits pour l'exercice.

Étape 1 — Lire une demande d'autorisations, sur votre propre smartphone​

Sur votre téléphone, ouvrez les réglages d'une application installée (Réglages → Applications → [nom de l'application] → Autorisations, ou équivalent selon votre système) et relevez les autorisations qu'elle demande (contacts, caméra, micro, localisation, fichiers...).

  1. Quelle application avez-vous choisie, et quelles autorisations demande-t-elle réellement ?
  2. Parmi elles, lesquelles sont nécessaires à sa fonction principale ? Lesquelles vous semblent excessives ?
📌 Réponse attendue

Étape 2 — Cartographier qui doit accéder à quoi​

Le drive partagé du Club ÉtoileSport contient 4 dossiers :

  • Communication (visuels, publications, accessible à toute l'équipe de bénévoles) ;
  • Comptabilité (factures, cotisations) ;
  • Adhérents (fiches d'inscription, certificats médicaux, vus lors d'une séance précédente comme des données sensibles) ;
  • Direction (comptes rendus de bureau, décisions internes).

4 personnes interviennent au club : la présidente, le trésorier, la responsable communication, et une stagiaire communication présente pour 2 mois.

Complétez cette matrice (aucun accès, lecture, ou lecture + écriture) en appliquant le principe du moindre privilège :

CommunicationComptabilitéAdhérentsDirection
Présidente
Trésorier
Responsable communication
Stagiaire communication
📌 Réponse attendue

Étape 3 — Repérer et corriger un partage trop large​

En réalité, voici comment l'accès de la stagiaire a été configuré sur le drive : elle a été ajoutée directement au dossier racine du drive partagé, celui qui contient les 4 sous-dossiers, plutôt qu'au seul sous-dossier Communication.

  1. Quel accès la stagiaire obtient-elle réellement avec cette configuration, par rapport à la matrice de l'étape 2 ?
  2. Quel est le risque concret si son compte est un jour compromis (mot de passe deviné, phishing réussi) ?
  3. Comment corriger cette configuration ?
📌 Réponse attendue

Étape 4 — Réagir à un cas pratique​

Un bénévole propose : « pour simplifier, donnons à tout le monde accès à tout le drive, comme ça on ne se posera plus jamais de questions de droits ». Que lui répondez-vous ?

Restitution orale​

Un étudiant (ou un binôme) vient présenter au tableau sa matrice de droits de l'étape 2 et sa réponse au bénévole de l'étape 4.

  • Durée : 5 minutes de présentation + 2 à 3 minutes de questions.
  • Qui passe : un(e) étudiant(e) (ou un binôme) désigné(e) par l'enseignant.
  • Support : le travail réalisé pendant le TP, aucune préparation supplémentaire n'est nécessaire.
  • Ce qui est attendu :
    • présenter la matrice de droits construite à l'étape 2 ;
    • expliquer le risque identifié à l'étape 3 et sa correction ;
    • répondre aux questions de la classe.
astuce

Cet exercice entraîne à l'oral technique court exigé par plusieurs épreuves du BTS (notamment E5 et E6) : clarté, structure, capacité à répondre à l'improviste.

📌 Une solution

Notions théoriques​

Vous venez d'appliquer, sur un partage de fichiers, un principe de sécurité qui dépasse très largement ce seul exemple : le principe du moindre privilège.

Qu'est-ce que le principe du moindre privilège ?​

Le principe du moindre privilège consiste à donner à chaque personne, programme ou compte exactement les droits nécessaires à sa tâche, ni plus, ni moins.

info

Ce principe ne concerne pas uniquement les humains : une application mobile, un script, un compte de service utilisé par un logiciel ne devrait, lui non plus, jamais disposer de plus de droits que ce dont il a réellement besoin pour fonctionner, exactement comme à l'étape 1 du TP avec les autorisations d'une application.

Le piège de l'héritage de droits​

À l'étape 3 du TP, la stagiaire n'avait jamais reçu l'accès au dossier Adhérents directement : elle l'a obtenu par héritage, en étant ajoutée à un dossier parent. C'est l'un des pièges les plus fréquents du moindre privilège : un accès large donné « plus haut » dans une arborescence se propage automatiquement à tout ce qu'elle contient, y compris du contenu ajouté après coup.

attention

Un accès peut donc devenir excessif sans que personne ne l'ait explicitement décidé : il suffit qu'un nouveau sous-dossier sensible soit créé dans un emplacement déjà largement partagé.

Le principe du « besoin d'en connaître »​

Le moindre privilège s'appuie sur une question simple, à poser pour chaque accès accordé : cette personne (ou ce programme) a-t-elle réellement besoin de cette information pour accomplir sa tâche ? Si la réponse est non, l'accès ne doit pas être donné, même « par simplicité » ou « au cas où ».

astuce

C'est exactement la question que vous vous êtes posée à l'étape 1, face aux autorisations d'une application : une autorisation que la fonction de l'application ne justifie pas doit être refusée.

Pourquoi élargir un accès « pour simplifier » est une mauvaise idée​

Chaque accès supplémentaire accordé est une porte d'entrée potentielle de plus en cas de compromission d'un compte. Multiplier les accès larges revient à multiplier les conséquences possibles d'un seul mot de passe deviné ou d'un seul phishing réussi, exactement l'inverse de ce que recherche le principe du moindre privilège.

Pour aller plus loin

Le manuel Cybersécurité BTS SIO 1re année (Delagrave) consacre son chapitre 5 (« Mettre en place une politique de sécurité en matière de comptes, de groupes et de privilèges », p. 57) à ce même principe, appliqué aux comptes et groupes d'un serveur.

Test de mémorisation/compréhension​


Que signifie le principe du moindre privilège ?


D'après le TP, à quel dossier la stagiaire communication doit-elle avoir accès en écriture ?


D'après le TP, pourquoi la stagiaire a-t-elle accès au dossier Adhérents alors que la matrice de l'étape 2 ne le prévoyait pas ?


Pourquoi l'accès de la stagiaire au dossier Adhérents est-il particulièrement risqué ?


Comment corriger l'accès trop large donné à la stagiaire, d'après le TP ?


D'après les notions théoriques, qu'est-ce que le « besoin d'en connaître » ?


Le principe du moindre privilège s'applique-t-il uniquement aux comptes humains ?


D'après l'étape 1 du TP, à quoi reconnaît-on qu'une autorisation demandée par une application est excessive ?


Bonnes pratiques​

  • Donner à chaque personne ou compte exactement les droits nécessaires à sa tâche, ni plus, ni moins, dossier par dossier si besoin.
  • Se méfier de l'héritage de droits : un accès donné sur un dossier parent se propage automatiquement à tout ce qu'il contient, y compris du contenu ajouté plus tard.
  • Se poser systématiquement la question du « besoin d'en connaître » avant d'accorder un accès, jamais « par simplicité » ou « au cas où ».
  • Vérifier les autorisations demandées par une application avant de les accorder, surtout si elles sont sans rapport avec sa fonction réelle.
  • Appliquer ce principe aussi aux comptes de service et aux applications, pas seulement aux personnes.
  • Retirer un accès dès qu'il n'est plus nécessaire (fin de stage, changement de poste), plutôt que de le laisser « au cas où ».