PRÉLIMINAIRES

I. Épistémologie et Enjeux Scientifiques du Domaine

La sécurité informatique a muté. Dépassant la simple défense périmétrique des années 90, elle s’est transformée en une science de la méfiance systémique, incarnée par le paradigme “Zero Trust”. Cette évolution conceptuelle, passant de la forteresse à la résilience distribuée, constitue le socle de cette Unité d’Enseignement. Elle impose une double maîtrise : celle, formelle, des mathématiques discrètes qui fondent la cryptographie moderne, et celle, empirique, des comportements déviants qui nourrissent les stratégies d’attaque. L’enjeu n’est plus de bâtir des murs, mais de comprendre la dynamique de leur effondrement.

II. Cartographie des Compétences et Transversalité

Les compétences visées par cette UE dessinent le profil d’un architecte de la confiance numérique, non d’un simple technicien. Implémenter un algorithme cryptographique exige une rigueur mathématique qui confine à l’art. Mener un test d’intrusion requiert une créativité offensive et une éthique sans faille, le positionnant à l’intersection du droit et de l’ingénierie. Rédiger un rapport d’audit transcende la technique pour toucher à la stratégie d’entreprise et à la psychologie du risque. Ces trois piliers sont interdépendants : sans cryptographie robuste, l’audit est vain ; sans audit, la robustesse est une illusion.

III. Alignement Stratégique avec les Réalités Opérationnelles

Face à la numérisation accélérée des économies africaines, notamment en RDC, les métiers de Pentester, d’Ingénieur cryptologue et de RSSI ne sont plus un luxe mais une nécessité stratégique. La sécurisation des transactions de mobile money, la protection des infrastructures critiques (minières, énergétiques, télécoms) et la garantie de la souveraineté des données étatiques constituent des marchés à très haute valeur ajoutée. Cette UE est conçue comme une réponse directe à ces besoins, formant des experts capables de transformer une contrainte de sécurité en un avantage compétitif et un pilier de la confiance publique.

Chapitre I. Fondations Mathématiques et Cadre Juridique de la Cybersécurité

I.1 L’axiomatique de la confiance numérique : la triade CIA

Au cœur de toute stratégie de sécurité repose un triptyque conceptuel non négociable : Confidentialité, Intégrité, Disponibilité (CIA). Cet axiome structure la pensée de l’auditeur et de l’ingénieur. La Confidentialité garantit le secret, l’Intégrité prévient l’altération, la Disponibilité assure l’accès. Chaque vulnérabilité, chaque attaque est une rupture de l’un de ces trois piliers. Maîtriser cette grammaire fondamentale permet de diagnostiquer la nature d’un incident et de qualifier un risque avec une précision chirurgicale, transformant une intuition en une analyse formelle et actionnable pour le décideur.

I.2 Arithmétique modulaire et corps finis : l’arsenal du cryptologue

Sous l’angle de la théorie des nombres, la cryptographie moderne est une application directe de l’arithmétique modulaire et de la théorie des groupes. Les opérations sur les corps finis de Galois, notamment GF(2^n), ne sont pas des abstractions mais l’outillage quotidien de l’ingénieur pour construire des chiffrements par bloc comme l’AES. Ce sous-chapitre rend ces outils manipulables. Il s’agit de forger une intuition calculatoire pour comprendre pourquoi la difficulté de factoriser de grands nombres ou de calculer un logarithme discret constitue la seule véritable garantie de sécurité de nos échanges numériques.

I.3 La faille humaine : critique du déterminisme technologique

Face à la sophistication des algorithmes, l’ingénierie sociale s’impose comme le vecteur d’attaque le plus rentable et le plus dévastateur. La psychologie de la persuasion, exploitée par des techniques comme le hameçonnage (phishing) ou l’appât (baiting), court-circuite les défenses technologiques les plus robustes. Ce segment analyse la sécurité non plus comme un problème mathématique mais comme un enjeu sociotechnique. Il démontre que la véritable surface d’attaque d’une organisation n’est pas son infrastructure réseau mais la somme des biais cognitifs de ses employés, une réalité souvent ignorée.

I.4 Droit du numérique en Afrique : entre la Convention de Malabo et les réalités locales

En RDC et sur le continent, le cadre juridique de la cybersécurité est en pleine construction, oscillant entre l’adhésion à des standards internationaux comme la Convention de Malabo et la promulgation de lois locales sur la protection des données personnelles et la cybercriminalité. Ce sous-chapitre contextualise l’action du pentester et du RSSI dans cet environnement légal spécifique. Il analyse les obligations de notification de failles, la légalité des tests d’intrusion et la responsabilité pénale en cas d’incident, armant le professionnel pour opérer avec efficacité et en toute légalité.

Chapitre II. Cryptographie Appliquée : Des Algorithmes aux Protocoles Sécurisés

II.1 Le schisme fondamental : cryptographie symétrique contre asymétrique

L’histoire de la cryptographie moderne est marquée par la division conceptuelle entre le secret partagé (symétrique) et la clé publique (asymétrique). Le premier, incarné par l’AES, offre une vitesse de calcul inégalée, idéale pour chiffrer des volumes massifs de données. Le second, illustré par RSA et les courbes elliptiques (ECC), résout le problème insoluble de l’échange de clés sécurisé. Comprendre la complémentarité de ces deux philosophies est la première étape pour concevoir une architecture de sécurité hybride, robuste et performante, qui est la norme de toute application moderne.

II.2 Mécanismes de l’échange de clés et de la signature numérique

L’algorithme de Diffie-Hellman, par son élégance mathématique, a rendu possible la création d’un secret partagé sur un canal de communication public et non sécurisé. Ce mécanisme, couplé à la fonction de la signature numérique qui garantit l’authenticité et la non-répudiation, forme la colonne vertébrale du protocole TLS/SSL qui sécurise le web. Ce segment dissèque le fonctionnement interne de ces protocoles. L’étudiant implémentera un échange de clés et une vérification de signature pour internaliser la mécanique qui fonde la confiance dans le commerce électronique et les communications sécurisées.

II.3 La menace quantique : la fin programmée de la cryptographie actuelle

Sous la pression de l’informatique quantique, l’édifice de la cryptographie à clé publique vacille. L’algorithme de Shor, s’il était exécuté sur un ordinateur quantique suffisamment puissant, briserait instantanément les chiffrements RSA et ECC en factorisant les grands nombres et en calculant les logarithmes discrets. Cette section expose la nature de cette menace existentielle. Elle analyse de manière critique la vulnérabilité de nos infrastructures actuelles et introduit les pistes de recherche de la cryptographie post-quantique, comme les algorithmes basés sur les réseaux euclidiens (lattices).

II.4 Sécurisation des flux USSD et Mobile Money en contexte africain

La pénétration massive du mobile money en Afrique repose sur des technologies hétérogènes, notamment le protocole USSD, notoirement peu sécurisé dans ses implémentations initiales. Ce sous-chapitre est une mise en situation concrète : auditer la chaîne de confiance d’une transaction financière mobile en RDC. Il s’agit d’analyser les chiffrements de bout en bout (ou leur absence), d’identifier les points de vulnérabilité entre le mobile, l’opérateur et la banque, et de proposer des architectures cryptographiques frugales et robustes, adaptées aux contraintes de bande passante et de puissance de calcul des terminaux.

Chapitre III. Méthodologie de l’Audit Offensif : Reconnaissance et Cartographie

III.1 Le standard PTES comme grammaire de l’intrusion éthique

D’origine industrielle, le “Penetration Testing Execution Standard” (PTES) fournit une méthodologie rigoureuse qui structure le chaos apparent d’un test d’intrusion. Il décompose l’audit en sept phases distinctes, de l’engagement initial à la rédaction du rapport, assurant la reproductibilité et la complétude de la démarche. Ce sous-chapitre ne se contente pas de lister ces phases ; il en fait la grammaire de pensée de l’auditeur. Intérioriser cette structure permet de justifier chaque action, de gérer les attentes du client et de transformer un simple “piratage” en un audit professionnel défendable.

III.2 L’art de la reconnaissance : OSINT et balayage actif

Toute attaque réussie commence par une phase de reconnaissance obsessionnelle. Ce segment distingue et met en œuvre les deux approches complémentaires. D’une part, l’Open-Source Intelligence (OSINT) permet de cartographier la surface d’attaque d’une cible sans jamais la contacter, en exploitant les fuites d’informations sur les réseaux sociaux, les registres de domaines et les archives web. D’autre part, le balayage actif (port scanning, énumération de services) vient confirmer ces hypothèses en sondant directement les infrastructures, dessinant une carte précise des portes d’entrée potentielles.

III.3 Au-delà de la checklist : la modélisation de la menace comme avantage critique

Face à la complexité des systèmes modernes, une approche du pentesting basée sur une simple checklist d’outils automatisés est vouée à l’échec. Ce sous-chapitre oppose à cette vision réductrice la modélisation de la menace (threat modeling) selon des cadres comme STRIDE. Il s’agit de se mettre dans la peau d’un attaquant spécifique, avec ses motivations et ses ressources, pour identifier des scénarios d’attaque logiques et non triviaux qu’aucun scanner ne pourrait découvrir. Cette bascule vers la créativité et l’analyse contextuelle sépare l’auditeur médiocre de l’expert.

III.4 Cartographier l’empreinte numérique d’une institution congolaise

Mise en situation : réaliser la phase de reconnaissance sur une entité publique ou une grande entreprise de la RDC. L’exercice impose de composer avec des réalités spécifiques : des infrastructures souvent hybrides (cloud et on-premise), une présence sur les réseaux sociaux parfois informelle mais riche en informations, et des plages d’adresses IP dont l’attribution peut être opaque. L’objectif est de produire une cartographie exhaustive de la surface d’attaque externe, un livrable directement utilisable pour planifier les phases suivantes du test d’intrusion dans un contexte local.

Chapitre IV. Techniques d’Intrusion : Exploitation des Systèmes et Réseaux

IV.1 Anatomie d’une vulnérabilité : du bug à l’exploit

Une faille de sécurité n’est initialement qu’un simple bug logiciel. C’est l’analyse de sa “criticité” et de son “exploitabilité” qui la transforme en une vulnérabilité. Ce sous-chapitre décortique le cycle de vie d’une vulnérabilité, de sa découverte à sa publication (CVE) et à la création d’un code d’exploitation (exploit). Il introduit la taxonomie des failles (dépassement de tampon, condition de course, etc.) et forge la capacité de l’étudiant à lire un avis de sécurité et à évaluer instantanément l’impact potentiel sur une infrastructure donnée.

IV.2 L’art du “shellcode” : dépassement de tampon et élévation de privilèges

Le dépassement de tampon (buffer overflow) est la technique d’exploitation historique et la plus formatrice. Elle consiste à corrompre la pile d’exécution d’un programme pour en détourner le flux de contrôle et exécuter un code arbitraire, le “shellcode”. Ce segment est un atelier pratique intensif où l’étudiant, dans un environnement contrôlé, apprend à identifier une telle faille, à forger une charge utile et à contourner les premières protections du système d’exploitation pour obtenir un accès initial, puis à exploiter une autre faille pour élever ses privilèges au niveau administrateur.

IV.3 La course à l’armement : analyse critique des contre-mesures modernes (ASLR, DEP)

Les systèmes d’exploitation modernes ne sont pas des victimes passives. Ils intègrent des mécanismes de défense robustes comme l’ASLR (randomisation de l’espace d’adressage) et le DEP (prévention de l’exécution des données) qui rendent l’exploitation des failles mémoire exponentiellement plus complexe. Cette section analyse l’efficacité et les limites de ces protections. Elle démontre comment les attaquants ont développé des techniques de contournement sophistiquées (ROP, JOP), illustrant la course à l’armement permanente entre développeurs et chercheurs en sécurité.

IV.4 Scénario d’attaque : pivoter au sein d’un réseau d’entreprise à Kinshasa

Ce cas pratique simule l’obtention d’un accès initial sur une machine peu critique (ex: un poste de travail) au sein d’un réseau d’entreprise typique de Kinshasa, caractérisé par un mélange de systèmes modernes et d’équipements hérités. L’objectif est de mettre en œuvre des techniques de mouvement latéral et de pivot. L’étudiant devra utiliser son accès compromis comme un relais pour scanner le réseau interne, identifier des cibles stratégiques comme les contrôleurs de domaine ou les serveurs de fichiers, et planifier son chemin vers les “joyaux de la couronne” de l’organisation.

Chapitre V. Sécurité des Applications Web : De l’Injection SQL au XSS

V.1 Le référentiel OWASP Top 10 : la taxonomie des risques web

Incontournable, le projet OWASP Top 10 ne constitue pas une liste exhaustive mais une hiérarchisation des risques les plus critiques affectant les applications web, basée sur des données de terrain. Il fournit un langage commun aux développeurs et aux auditeurs pour discuter de failles comme les injections, le bris de contrôle d’accès ou les composants vulnérables. Ce sous-chapitre positionne ce référentiel non comme une fin en soi, mais comme le point de départ obligatoire de tout audit de sécurité web, permettant de prioriser les efforts et de se concentrer sur les menaces les plus probables.

V.2 Mécanique de l’injection SQL et du Cross-Site Scripting (XSS)

Ces deux familles de vulnérabilités illustrent parfaitement la rupture de la frontière entre données et code. L’injection SQL permet à un attaquant de manipuler les requêtes adressées à la base de données pour en exfiltrer ou en altérer le contenu. Le XSS, lui, injecte du code malveillant dans le navigateur des autres utilisateurs, permettant le vol de sessions ou la défiguration de sites. Ce segment technique dissèque, ligne de code à l’appui, comment ces attaques fonctionnent, comment les détecter manuellement et comment les exploiter pour démontrer leur impact.

V.3 Limites des scanners automatisés et la valeur de l’audit manuel

Face à la complexité des applications web modernes (frameworks JavaScript, API, etc.), les scanners de vulnérabilités automatisés (DAST) montrent rapidement leurs limites. Ils excellent à trouver des failles techniques simples mais sont aveugles aux failles de logique métier, aux contrôles d’accès défaillants ou aux enchaînements complexes d’actions. Cette section critique la sur-confiance dans l’automatisation. Elle démontre par l’exemple que seul un audit manuel, mené par un expert comprenant le contexte de l’application, peut identifier les vulnérabilités les plus subtiles et les plus dommageables.

V.4 Audit d’un portail gouvernemental ou d’un site e-commerce local

Application pratique : réaliser un audit “boîte noire” d’une application web représentative de l’écosystème numérique congolais (portail de services publics, site de presse, plateforme de e-commerce). L’étudiant devra identifier la pile technologique utilisée, rechercher des vulnérabilités du Top 10 OWASP, et porter une attention particulière aux failles logiques spécifiques au contexte. Par exemple, tester la robustesse du processus de paiement d’un site e-commerce ou la gestion des droits d’accès sur un portail administratif, en tenant compte des intégrations avec les opérateurs de paiement mobile locaux.

Chapitre VI. Post-Exploitation, Audit et Rédaction de Rapports Professionnels

VI.1 L’art de la persistance et du mouvement latéral

Obtenir un accès initial n’est que le début. La phase de post-exploitation vise deux objectifs : la persistance, pour s’assurer de pouvoir revenir sur le système compromis même après un redémarrage, et le mouvement latéral, pour étendre son contrôle à d’autres machines sur le réseau. Ce sous-chapitre explore les techniques utilisées pour atteindre ces buts, des plus simples (tâches planifiées) aux plus sophistiquées (modification de binaires système). Maîtriser cette phase est crucial pour simuler le comportement d’un attaquant avancé (APT) et évaluer la capacité de détection de la cible.

VI.2 Structure et rhétorique du rapport d’audit de sécurité

Un test d’intrusion sans rapport de qualité est une prestation sans valeur. Ce segment est un atelier de rédaction technique et stratégique. Il détaille la structure canonique d’un rapport professionnel : un résumé exécutif pour les décideurs, une section technique détaillée pour les ingénieurs, et un plan de remédiation priorisé. L’accent est mis sur l’utilisation du scoring CVSS pour quantifier le risque et sur la nécessité de formuler des recommandations précises, réalisables et vérifiables, transformant le constat d’une faille en un plan d’action concret.

VI.3 La critique de l’audit : du constat technique à la communication du risque métier

Un rapport listant des vulnérabilités techniques est insuffisant. La compétence ultime de l’auditeur ou du RSSI est de traduire ce risque technique en un risque métier quantifiable pour l’organisation. Une injection SQL n’est pas un problème de “paramétrage de base de données” ; c’est un risque de “perte de données client, d’amende réglementaire et de dommage réputationnel”. Cette section enseigne à contextualiser les découvertes, à les lier aux objectifs stratégiques de l’entreprise et à communiquer efficacement avec un comité de direction pour qui la cybersécurité est un des nombreux risques à gérer.

VI.4 Simulation : rédiger un rapport d’audit pour une banque à Lubumbashi

Le cas de synthèse final. Suite à un test d’intrusion simulé sur le réseau d’une banque fictive du Katanga, l’étudiant doit rédiger un rapport d’audit complet. L’exercice exige de prendre en compte le contexte réglementaire du secteur bancaire congolais, la criticité des données manipulées (informations clients, transactions financières) et les menaces spécifiques à la région. Le rapport doit non seulement détailler les failles découvertes mais aussi proposer un plan de remédiation réaliste, tenant compte des contraintes budgétaires et des compétences techniques disponibles localement.

ANNEXES

A. Nmap (Network Mapper)

Outil fondamental de l’auditeur, Nmap est bien plus qu’un simple scanner de ports. C’est un véritable couteau suisse pour la découverte de réseau et l’audit de sécurité. Pour le Pentester, il permet de réaliser la cartographie initiale d’une infrastructure cible, d’identifier les services en cours d’exécution et de détecter des versions de logiciels potentiellement vulnérables grâce à son moteur de scripts (NSE). Pour le RSSI, des scans réguliers du réseau interne avec Nmap permettent de détecter des services non autorisés ou des changements de configuration, assurant une surveillance continue de la surface d’attaque interne.

B. Burp Suite

Indispensable pour l’audit des applications web, Burp Suite est un proxy d’interception qui se place entre le navigateur de l’auditeur et le serveur web cible. Il permet au Pentester d’inspecter, de manipuler et de rejouer chaque requête HTTP/S, offrant un contrôle total pour débusquer manuellement des failles complexes comme les injections SQL, les XSS ou les vulnérabilités de contrôle d’accès que les scanners automatisés ignorent. Pour un Ingénieur cryptologue, il permet d’analyser en détail l’implémentation des protocoles TLS/SSL et la gestion des jetons de session, vérifiant la robustesse de la couche cryptographique de l’application.

C. John the Ripper

Cet outil est la référence pour l’audit de la robustesse des mots de passe. “John” permet à un auditeur de prendre une liste de hachages de mots de passe (obtenue légalement lors d’un audit) et de tenter de les casser en utilisant des attaques par dictionnaire ou par force brute. Pour un Pentester, c’est un moyen de démontrer l’impact concret d’une fuite de données ou d’obtenir des identifiants valides pour progresser dans un réseau. Pour un RSSI, exécuter John the Ripper sur les hachages de ses propres utilisateurs permet de mesurer l’efficacité de la politique de mots de passe de l’entreprise et de sensibiliser les employés.

Lire aussi :

Cours de Audit Informatique, licence-4, AIF1481

Cours de Architecture des ordinateurs et réseaux, licence-1, AOR1121

Cours de Stage professionnel, master-2, MAG2141

Cours de Gestion de l'Environnement et développement durable, master-2, GED2231

Cours de Gouvernance : cadre institutionnel et processus, master-2, GOU2244

Cours de Statistiques inférentielle et Mathématiques appliquées, master-2, SIM2231