Pare-feu
7915
31501624
2008-07-11T17:45:18Z
Pseudomoi
16840
Annulation des modifications 31438800 par [[Special:Contributions/84.81.114.7|84.81.114.7]] ([[User talk:84.81.114.7|Discuter]]) : pub
{{Redirect|Firewall}}
[[Image:Firewall (networking).png|thumb|300px|right|Un pare-feu, représenté par un mur de briques, pour cloisonner le réseau privé]]
Un '''pare-feu''' est un élément du [[réseau informatique]], logiciel et/ou matériel, qui a pour fonction de faire respecter la [[Politique de sécurité du réseau informatique|politique de sécurité du réseau]], celle-ci définissant quels sont les types de communication autorisés ou interdits.
Un pare-feu est parfois appelé '''coupe-feu''' ou encore '''firewall''' en anglais. Dans un contexte OTAN, un pare-feu est appelé ''Périphérique de protection en bordure'' (en anglais : ''Border Protection Device'', ou ''BPD''). Dans un environnement [[Berkeley Software Distribution|BSD]], un pare-feu est aussi appelé ''[[Packet Filter|packet filter]]''.
== Origine du terme ==
le terme peut avoir plusieurs origines ; Le « ''pare-feu'' » ou « ''coupe-feu'' » est au [[théâtre]] un mécanisme qui permet, une fois déclenché, d'éviter au [[feu]] de se propager de la salle vers la scène.
Le mot fait aussi référence aux allées [[Pare-feux (lutte contre l'incendie)|pare-feux]] qui en forêt sont destinés à bloquer les [[incendies de forêt]], ou dans le domaine de l'architecture aux portes coupe-feux.
L'usage du terme « pare-feu » en informatique est donc métaphorique : une porte empêchant les flammes de l'Internet de rentrer chez soi et/ou de « ''contaminer'' » un réseau informatique.
== Fonctionnement général ==
Le pare-feu est aujourd'hui considéré comme une des pierres angulaires de la [[Sécurité du système d'information|sécurité]] d'un réseau informatique. Il permet d'appliquer une politique d'accès aux ressources réseau ([[Serveur informatique|serveurs]]).
Il a pour principale tâche de contrôler le trafic entre différentes zones de confiance, en filtrant les flux de données qui y transitent. Généralement, les zones de confiance incluent [[Internet]] (une zone dont la confiance est nulle), et au moins un [[Réseau local|réseau interne]] (une zone dont la confiance est plus importante).
Le but ultime est de fournir une connectivité contrôlée et maîtrisée entre des zones de différents niveaux de confiance, grâce à l'application de la [[politique de sécurité]] et d'un modèle de connexion basé sur le [[Séparation des privilèges|principe du moindre privilège]].
Le filtrage se fait selon divers critères. Les plus courants sont :
* l'origine ou la destination des paquets ([[adresse IP]], [[Port (logiciel)|ports]] [[Transmission Control Protocol|TCP]] ou [[User Datagram Protocol|UDP]], interface réseau, etc.)
* les options contenues dans les données (fragmentation, validité, etc.)
* les données elles-mêmes (taille, correspondance à un motif, etc.)
* les utilisateurs pour les plus récents
Un pare-feu fait souvent office de [[routeur]] et permet ainsi d'isoler le réseau en plusieurs zones de sécurité appelées [[Zone démilitarisée|zones démilitarisées ou DMZ]]. Ces zones sont séparées suivant le niveau de confiance qu'on leur porte.
==Catégories de pare-feu==
Les pare-feu sont le plus vieil équipement de sécurité et comme tel, ils ont été soumis à de nombreuses évolutions. Suivant la génération du pare-feu ou son rôle précis, on peut les classer en différentes catégories.
=== Pare-feu sans états ''(stateless firewall)'' ===
C'est le plus vieux dispositif de filtrage réseau, introduit sur les routeurs. Il regarde chaque paquet indépendamment des autres et le compare à une liste de règles préconfigurées.<BR/>
Ces règles peuvent avoir des noms très différents en fonction du pare-feu :
* "[[Access Control List|ACL]]" pour ''Access Control List'' (certains pare-feu [[Cisco Systems|Cisco]]),
* politique ou ''policy'' (pare-feu Juniper/Netscreen),
* filtres,
* etc.
La configuration de ces dispositifs est souvent complexe et l'absence de prise en compte des machines à états des protocoles réseaux ne permet pas d'obtenir une finesse du filtrage très évoluée. Ces pare-feu ont donc tendance à tomber en désuétude mais restent présents sur certains routeurs ou systèmes d'exploitation.
=== Pare-feu à états ''(stateful firewall)'' ===
Certains protocoles dits « à états » comme [[Transmission Control Protocol|TCP]] introduisent une notion de connexion. Les pare-feu à états vérifient la conformité des paquets à une connexion en cours. C’est-à-dire qu'ils vérifient que chaque paquet d'une connexion est bien la suite du précédent paquet et la réponse à un paquet dans l'autre sens. Ils savent aussi filtrer intelligemment les paquets ICMP qui servent à la signalisation des flux IP.
Enfin, si les ACL autorisent un paquet UDP caractérisé par un quadruplet (ip_src, port_src, ip_dst, port_dst) à passer, un tel pare-feu autorisera la réponse caractérisée par un quadruplet inversé, sans avoir à écrire une ACL inverse. C'est fondamental pour le bon fonctionnement de tous les protocoles fondés sur l'UDP, comme DNS par exemple. On peut toutefois utiliser cette caractéristique pour établir des connexions P2P (comme le fait Skype par exemple).
=== Pare-feu applicatif ===
Dernière mouture de pare-feu, ils vérifient la complète conformité du paquet à un protocole attendu. Par exemple, ce type de pare-feu permet de vérifier que seul du [[Hypertext Transfer Protocol|HTTP]] passe par le port [[Transmission Control Protocol|TCP]] 80. Ce traitement est très gourmand en temps de calcul dès que le débit devient très important; il est justifié par le fait que de plus en plus de protocoles réseaux utilisent un tunnel TCP pour contourner le filtrage par ports.
Une autre raison de l'inspection applicative est l'ouverture de ports dynamique. Certains protocoles comme le fameux [[File Transfer Protocol|FTP]] en mode actif échangent entre le client et le serveur des adresses IP ou des ports TCP/UDP. Ces protocoles sont dits '''"à contenu sale"''' ou "[[Protocole réseau passant difficilement les pare-feu|passant difficilement les pare-feu]]" car ils échangent au niveau applicatif (FTP) des informations du niveau IP (échange d'adresses) ou du niveau TCP (échange de ports). Ce qui transgresse le principe de la séparation des [[Couche de réseau|Couches réseaux]].
Pour cette raison, les protocoles "à contenu sale" passent difficilement voire pas du tout, les règles de [[Network address translation|NAT]] dynamiques, à moins qu'une inspection applicative ne soit faite sur ce protocole.
Chaque type de pare-feu sait inspecter un nombre limité d'applications. Chaque application est gérée par un module différent pour pouvoir les activer ou les désactiver. La terminologie pour le concept de module est différente pour chaque type pare-feu:
* '''Conntrack''' (suivi de connexion) et '''l7 Filter''' (filtrage applicatif) sur [[Linux]] [[Netfilter]]
* '''CBAC''' sur [[Cisco IOS]]
* '''Fixup''' puis '''inspect''' sur [[Cisco PIX]]
* '''ApplicationLayerGateway''' sur '''Proventia M''',
* '''Predefined Services''' sur [[Juniper Network Netscreen ScreenOS|Juniper ScreenOS]]
* '''Deep Packet Inspection''' sur [[FireWall-1|Check Point FireWall-1]]
* '''Deep Packet Inspection''' sur [http://www.qosmos.com Qosmos]
* '''Web Application Firewall''' sur [http://www.binarysec.com BinarySEC]
=== Pare-feu identifiant ===
Un pare-feu identifiant réalise l’identification des [[connexion (protocoles)|connexion]]s passant à travers le filtre IP. L'administrateur peut ainsi définir les règles de filtrage par utilisateur et non plus par IP, et suivre l'activité réseau par utilisateur. Plusieurs méthodes différentes existent qui reposent sur des associations entre IP et utilisateurs réalisées par des moyens variés. On peut par exemple citer [http://www.openbsd.org/faq/pf/authpf.html authpf] (sous [[OpenBSD]]) qui utilise [[Secure shell|ssh]] pour faire l'association. Une autre méthode est l'identification connexion par connexion (sans avoir cette association IP=utilisateur et donc sans compromis sur la sécurité), réalisée par exemple par la suite [[NuFW]], qui permet d'identifier également sur des machines multi-utilisateurs.
=== Pare-feu personnel ===
{{Article détaillé|Pare-feu personnel}}
Les pare-feu personnels, généralement installés sur une machine de travail, agissent comme un pare-feu à états. Bien souvent, ils vérifient aussi quel programme est à l'origine des données. Le but est de lutter contre les [[virus informatique]]s et les [[Logiciel espion|logiciels espions]].
==Technologies utilisées==
Les firewalls récents embarquent de plus en plus de fonctionnalités, parmi lesquelles on peut citer :
* Filtrage sur adresses IP/Protocole,
* Inspection stateful et applicative,
* Intelligence artificielle pour détecter le trafic anormal,
* Filtrage applicatif
** [[Hypertext Transfer Protocol|HTTP]] (restriction des [[Uniform Resource Locator|URL]] accessibles),
** [[Courrier électronique|Courriel]] (Anti-[[pourriel]])
** [[Logiciel antivirus]], anti-[[logiciel malveillant]]
* [[Network address translation|Translation d'adresses]],
* Tunnels [[IPsec]], [[Point-to-point tunneling protocol|PPTP]], [[Layer 2 Tunneling Protocol|L2TP]],
* Identification des connexions,
* Serveurs de protocoles de connexion ([[telnet]], [[Secure shell|SSH]]), de protocoles de transfert de fichier ([[Secure shell|SCP]]),
* Clients de protocoles de transfert de fichier ([[TFTP]]),
* Serveur Web pour offrir une interface de configuration agréable,
* [[Serveur mandataire]] (« proxy » en anglais),
* [[Système de détection d'intrusion]] (« IDS » en anglais)
* [[Système de prévention d'intrusion]] (« IPS » en anglais)
== Implémentations connues ==
=== Versions libres ===
* [[Netfilter|Linux Netfilter/Iptables]], pare-feu libre des noyaux [[Linux]] 2.4 et 2.6.
* [[ipchains|Linux Ipchains]], pare-feu libre du noyau [[Linux]] 2.2.
* [[Packet Filter]] ou '''PF''', pare-feu libre de [[OpenBSD]], importé depuis sur les autres [[Berkeley Software Distribution|BSD]].
* [[IPFilter]] ou '''IPF''', pare-feu libre de [[Berkeley Software Distribution|BSD]] et [[Solaris (système d'exploitation)|Solaris]] 10.
* [[Ipfirewall]] ou '''IPFW''', pare-feu libre de [[FreeBSD]].
* [[NuFW]] Pare-feu identifiant sous [[Licence publique générale GNU|licence GPL]] pour la partie serveur et les clients [[Linux]], [[FreeBSD]] et [[Mac OS]]. NuFW est basé sur [[Netfilter]] et en augmente les fonctionnalités.
* [[iSafer]], pare-feu libre pour Windows.
=== Distribution Linux ===
* [[SmoothWall]] : distribution linux packageant [[Netfilter]] et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet.
* [[IPCop]] : distribution linux packageant [[Netfilter]] et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet.
* [[Endian Firewall]] [http://www.efw.it/ *], distribution linux packageant [[Netfilter]] et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet.
* [[Pfsense]] [http://www.pfsense.com/*], distribution firewall open source très avancée basée sur FreeBSD et dérivée de m0n0wall qui utilise en autre OpenBSD packet Filter.
=== Versions propriétaires ===
==== Boîtiers pare-feu ====
* [[Arkoon Network Security]]
** '''[[Appliance UTM FAST360|Appliances UTM FAST360]]''', certifiées [[Critères communs]] niveau EAL2+
* [[Check Point]]
** '''[[FireWall-1|Check Point FireWall-1]]'''
* [[Cisco Systems]]
** '''[[Cisco PIX]]''', '''Cisco ASA''' et '''Cisco FWSM''', boîtier pare-feu
** '''[[Cisco VPN3000]]''', boîtier pare-feu orienté [[Réseau privé virtuel|RPV]]
* [[Elitecore Technologies]]
** '''[[Cyberoam]] Séries CR et CCC''', boîtiers de sécurité centralisée basés sur l'identité de l'utilisateur, certifiés niveau 5 Checkmarck avec pare-feu certifié ICSA
* [[Fortinet]]
** '''[[Appliances UTM FortiGate]]''', certifiées [[Critères communs]] niveau EAL4+, FIPS 140-2, multiple ICSA Labs Certifications dont SSL-TLS (VPN), IPSec, Network IPS, Antivirus, et Firewall
* [[INL]]
** '''[[EdenWall]]''', boîtier pare-feu basé sur [[NuFW]], apportant l'authentification aux flux
* [[Juniper Networks]]
** '''[[Juniper Network Netscreen ScreenOS|Juniper Screen OS]]''', boîtier pare-feu
* [[NetASQ]]
** '''[[Appliance UTM NetASQ|Appliances UTM NetASQ]]''', certifiées Critères Communs niveau EAL2+{{fr}})
* [[Nortel]]
**Famille '''[http://products.nortel.com/go/product_content.jsp?segId=0&parId=0&prod_id=8548 Nortel VPN Router] {{en}}'''
**Famille '''[http://products.nortel.com/go/product_content.jsp?segId=0&parId=0&prod_id=36220 Nortel Switched Firewall] {{en}}'''
* [[Stonesoft]]
** '''[[Appliance StoneGate|StoneGate]]''', pare-feu professionnel commercial centralisé pour gérer ses grappes d'appliances Pare-feu VPN et NIDS
* [[WatchGuard]]
** '''[[Firebox® X]]''', gamme d'appliances de gestion unifiée des menaces (UTM ou Unified Threat Management)
* [[ZyXEL]]
** '''[[ZyWALL]]''', pare-feu professionnel UTM (Antivirus, filtrage applicatif, IDP, filtrage de contenu, antispam) avec Tunnel VPN IPSEC et SSL
==== Pare-feu applicatifs ====
Des [http://www.firewallleaktester.com/tests.php tests comparatifs] {{en}} doivent être effectués régulièrement, car les pare-feu n'ont pas tous les mêmes performances et les menaces évoluent. Les notes varient de 0/20 pour le "pare-feu" de Windows XP-SP2, à 17/20 pour les meilleurs.
* [[Zone Alarm]] : le pare-feu personnel de ZoneLabs/[[Check Point]]
* [[NetBarrier]] : le pare-feu personnel pour Mac OS X d'Intego
* [http://www.looknstop.com/Fr Look 'n' Stop Firewall]
* [[Microsoft]]
** [[Pare-feu de connexion Internet de Windows XP]]
** [[Windows Firewall]]
** [[Microsoft Internet Security and Acceleration Server]], le pare-feu proxy-cache de Microsoft
* [[Jetico Personal Firewall]]
* [http://www.denyall.com/ Deny All], Web Application Firewall.
* [http://binarysec.com/ BinarySEC Web Application Firewall] {{en}}, pare-feu basé sur de l'intelligence articifielle.
* [http://www.seclutions.com/en/ct_products_en.htm Seclutions AirLock] {{en}}, pare-feu commercial.
* [[l7-Filter]], module [[netfilter]], permettant d'effectuer un filtrage sur la [[couche application]] (Niveau 7 du [[modèle OSI]])
* [http://www.personalfirewall.comodo.com/ Comodo Firewall] {{fr}}, freeware.
* [http://www.sunbelt-software.com/Home-Home-Office/Sunbelt-Personal-Firewall/Download Sunbelt Personal Firewall] (ex Kerio){{fr}}, freeware.
==== Pare-feu identifiant ====
* [[NuFW]] : Un pare-feu identifiant (authentifiant). Même si la partie serveur est sous licence GPL, le client [[Microsoft Windows|Windows]] est sous licence propriétaire. Les clients pour OS libres sont sous licence GPL.
== Annexes ==
=== Voir aussi ===
* [[Bastion (informatique)]]
* [[Sécurité du système d'information|Sécurité informatique]]
* [[Zone démilitarisée]]
=== Liens externes ===
* {{fr}} [http://www.commentcamarche.net/protect/firewall.php3 Comment ça marche], un pare-feu ?
{{Portail sécurité informatique}}
{{Lien BA|de}}
[[Catégorie:Pare-feu|*]]
[[ar:جدار ناري]]
[[bg:Защитна стена]]
[[bn:ফায়ারওয়াল (কম্পিউটার নেটওয়ার্কিং)]]
[[bs:Hardverski firewall]]
[[ca:Tallafocs]]
[[cs:Firewall]]
[[da:Firewall]]
[[de:Firewall]]
[[el:Firewall]]
[[en:Firewall]]
[[eo:Fajroŝirmilo]]
[[es:Cortafuegos (informática)]]
[[et:Tulemüür (informaatika)]]
[[eu:Suhesi (informatika)]]
[[fa:فایروال]]
[[fi:Palomuuri]]
[[gl:Devasa]]
[[he:חומת אש]]
[[hr:Sigurnosna stijena]]
[[hsb:Firewall]]
[[hu:Tűzfal (számítástechnika)]]
[[id:Firewall]]
[[it:Firewall]]
[[ja:ファイアーウォール]]
[[ko:방화벽 (네트워킹)]]
[[lb:Firewall]]
[[mk:Огнен ѕид]]
[[ml:ഫയര്വാള്]]
[[nl:Firewall]]
[[no:Brannmur]]
[[pl:Zapora sieciowa]]
[[pt:Firewall]]
[[ro:Firewall]]
[[ru:Межсетевой экран]]
[[simple:Firewall (networking)]]
[[sk:Firewall]]
[[sl:Požarni zid]]
[[sr:Заштитни зид]]
[[sv:Brandvägg]]
[[th:ไฟร์วอลล์]]
[[tr:Ateş duvarı]]
[[uk:Фаєрвол]]
[[vi:Tường lửa (mạng máy tính)]]
[[zh:防火墙 (网络)]]
[[zh-min-nan:Hoé-piah]]