Réseaux & Protocoles — Fiche & Quiz

Modèles OSI & TCP/IP

Comparaison des deux modèles

  Modèle OSI (7 couches)      Modèle TCP/IP (4 couches)

  7 · Application  ─────────┐
  6 · Présentation ─────────┤──  Application  (HTTP, DNS, SMTP…)
  5 · Session      ─────────┘
  4 · Transport    ──────────── Transport       (TCP, UDP)
  3 · Réseau       ──────────── Internet        (IP, ICMP)
  2 · Liaison      ─────────┐
  1 · Physique     ─────────┴── Accès réseau   (Ethernet, Wi-Fi)

Pourquoi deux modèles ?›

L'OSI est un modèle théorique et pédagogique en 7 couches, développé par l'ISO pour standardiser les communications. TCP/IP est le modèle pratique utilisé sur Internet — il regroupe certaines couches OSI et est antérieur à l'OSI dans son déploiement réel. En pratique, on utilise la terminologie OSI pour analyser et déboguer, mais les protocoles déployés suivent TCP/IP.

Principe d'encapsulation›

Encapsulation : chaque couche ajoute un en-tête (header) aux données reçues de la couche supérieure. À l'émission : données → segment TCP → paquet IP → trame Ethernet → signal physique. À la réception, chaque couche décapsule l'en-tête qui lui est destiné.

PDU par couche : Application → données · Transport → segment · Réseau → paquet · Liaison → trame · Physique → bits.

Adresse IP vs adresse MAC›

Adresse MAC (couche 2) : identifiant matériel codé sur 48 bits, unique par carte réseau, utilisé localement sur un réseau (LAN). Format : AA:BB:CC:DD:EE:FF.

Adresse IP (couche 3) : identifiant logique attribué par configuration, routable sur Internet. IPv4 = 32 bits (ex. 192.168.1.1). IPv6 = 128 bits. ARP fait la correspondance MAC ↔ IP sur un réseau local.

TCP vs UDP›

TCP (Transmission Control Protocol) : protocole orienté connexion, fiable. Établit une connexion via le three-way handshake (SYN → SYN-ACK → ACK), garantit l'ordre des paquets et la retransmission en cas de perte. Idéal pour HTTP, SSH, SMTP.

UDP (User Datagram Protocol) : sans connexion, non fiable, pas de garantie d'ordre ni de livraison. Ultra-rapide. Utilisé pour DNS, streaming vidéo, jeux en ligne, VoIP.

Les couches en détail

Couche 1 — Physique›

OSI L1
Transmission des bits bruts sur un support physique. Câbles (cuivre, fibre optique), ondes radio (Wi-Fi, Bluetooth). Définit tensions, fréquences, connecteurs.

Équipements : hubs, répéteurs, câbles, cartes réseau physiques. Le hub diffuse les signaux à tous les ports sans intelligence — remplacé par le switch.

Couche 2 — Liaison de données›

OSI L2
Transmission fiable entre deux nœuds directement connectés. Protocoles : Ethernet (IEEE 802.3), Wi-Fi (IEEE 802.11). Unité : trame. Gère le contrôle d'accès au médium (MAC) et la détection d'erreurs (CRC).

Équipements : switches (commutateurs L2), qui apprennent les adresses MAC et envoient les trames uniquement au bon port.

Couche 3 — Réseau›

OSI L3
Routage des paquets entre réseaux différents. Protocole principal : IP (Internet Protocol). Chaque paquet IP contient une adresse source et destination. Les routeurs consultent leur table de routage pour déterminer le prochain saut (next hop).

Autres protocoles L3 : ICMP (ping, traceroute), OSPF, BGP (routage inter-domaine sur Internet).

Couche 4 — Transport›

OSI L4
Communication de bout en bout entre processus. Multiplexage via les ports (0–65535). TCP et UDP. Ports bien connus : 80 (HTTP), 443 (HTTPS), 22 (SSH), 53 (DNS), 25 (SMTP).

Three-way handshake TCP :
Client → SYN → Serveur
Serveur → SYN-ACK → Client
Client → ACK → Serveur
Connexion établie.

Couches 5-6-7 — Session, Présentation, Application›

OSI L5-7
Session (L5) : gestion des sessions de communication (ouverture, maintien, fermeture). Ex : NetBIOS, RPC.

Présentation (L6) : encodage, compression, chiffrement des données. Ex : SSL/TLS opère en partie ici, JSON/XML, ASCII/UTF-8.

Application (L7) : interface avec les applications utilisateur. Protocoles : HTTP/S, DNS, SMTP, FTP, SSH, DHCP, SNMP.

NAT — Network Address Translation›

Réseau
Mécanisme permettant à plusieurs machines d'un réseau privé (192.168.x.x, 10.x.x.x) de partager une seule adresse IP publique. Le routeur maintient une table de translation associant (IP privée, port source) ↔ (IP publique, port mappé).

Contournement de l'épuisement des adresses IPv4. Inconvénient : casse le principe end-to-end d'IP. IPv6 rend le NAT théoriquement inutile.

Protocoles clés

DNS — Domain Name System›

UDP/53 · TCP/53
Système de résolution de noms : traduit example.com en adresse IP. Fonctionne de façon hiérarchique : résolveur local → serveurs racine (13 dans le monde) → serveurs TLD (.com, .fr) → serveurs autoritaires.

Types d'enregistrements : A (IPv4), AAAA (IPv6), MX (mail), CNAME (alias), TXT (SPF, DKIM…), NS (name server).

Risques : DNS spoofing, DNS cache poisoning, DNS over HTTPS (DoH) pour chiffrer les requêtes.

HTTP & HTTPS›

TCP/80 · TCP/443
HTTP (HyperText Transfer Protocol) : protocole texte requête/réponse. Méthodes : GET, POST, PUT, DELETE, HEAD, OPTIONS. Codes de statut : 200 OK, 301 Redirect, 403 Forbidden, 404 Not Found, 500 Server Error.

HTTPS = HTTP + TLS. TLS (Transport Layer Security) chiffre le canal et authentifie le serveur via un certificat X.509 signé par une CA. Versions actives : TLS 1.2 et TLS 1.3 (le plus sécurisé).

TLS — Transport Layer Security›

Sécurité
Protocole de chiffrement de la couche transport. Remplace SSL (déprécié). TLS 1.3 simplifie le handshake : 1 seul aller-retour (1-RTT) contre 2 en TLS 1.2.

Handshake TLS 1.3 :
1. Client Hello (versions, ciphers, clé publique DH)
2. Server Hello + Certificate + Finished
3. Client Finished
4. Données chiffrées

Chiffrement : AES-GCM ou ChaCha20-Poly1305. Échange de clés : ECDHE (courbes elliptiques, Perfect Forward Secrecy).

SSH — Secure Shell›

TCP/22
Protocole d'accès distant sécurisé, remplace Telnet (non chiffré). Chiffre la session et authentifie le serveur et l'utilisateur.

Authentification : par mot de passe (déconseillé) ou par paire de clés (recommandé). La clé publique est déposée sur le serveur (~/.ssh/authorized_keys), la clé privée reste sur le client.

Usages avancés : port forwarding local/distant, tunnels SOCKS, X11 forwarding, SFTP (transfert de fichiers).

DHCP & ARP›

Infrastructure
DHCP (Dynamic Host Configuration Protocol, UDP/67-68) : attribue automatiquement une IP, masque de sous-réseau, passerelle et serveurs DNS à un nouvel hôte sur le réseau. Séquence DORA : Discover → Offer → Request → Acknowledge.

ARP (Address Resolution Protocol) : résout une adresse IP en adresse MAC sur un réseau local. "Qui a l'IP 192.168.1.1 ? Donne-moi ton MAC." Vulnérable à l'ARP spoofing.

ICMP — ping & traceroute›

Diagnostic
Internet Control Message Protocol : protocole de contrôle d'IP, pas de données utilisateur. Utilisé pour diagnostics et erreurs réseau.

ping : envoie un Echo Request, attend un Echo Reply. Mesure RTT (round-trip time) et détecte la perte de paquets.

traceroute : envoie des paquets avec TTL croissant (1, 2, 3…). Chaque routeur décrémente le TTL ; à 0, il renvoie un Time Exceeded ICMP. Permet de cartographier le chemin d'un paquet sur Internet.

Angle offensif & défensif

Scan de ports — Nmap›

Reconnaissance
La reconnaissance réseau commence par un scan de ports pour identifier les services exposés. Nmap est l'outil de référence.

Types de scans : TCP Connect (-sT, three-way handshake complet), SYN Stealth (-sS, envoie SYN mais ne complète pas), UDP (-sU, plus lent), OS detection (-O), service version (-sV).

Un port peut être : open (service actif), closed (aucun service), filtered (firewall bloque la réponse).

ARP Spoofing & Man-in-the-Middle›

Attaque L2
L'ARP est sans authentification : n'importe qui peut envoyer une réponse ARP forgée. L'attaquant empoisonne le cache ARP des victimes pour que leur trafic passe par lui.

Déroulement : l'attaquant dit à la victime "l'IP de la gateway, c'est mon MAC" et à la gateway "l'IP de la victime, c'est mon MAC". Il se retrouve en position MITM, peut lire et modifier le trafic non chiffré.

Défense : ARP dynamique avec surveillance (DAI sur les switches), chiffrement TLS bout-en-bout.

DNS Spoofing & Cache Poisoning›

Attaque L7
Attaque consistant à injecter de faux enregistrements DNS pour rediriger une victime vers un serveur malveillant.

Cache poisoning (Kaminsky, 2008) : exploite le fait que les résolveurs DNS acceptaient des réponses non sollicitées si le transaction ID correspondait — envoi massif de fausses réponses pour "gagner la course" contre le vrai serveur.

Défense : DNSSEC (signe cryptographiquement les enregistrements DNS), DNS over HTTPS (DoH), DNS over TLS (DoT).

Attaques sur TLS›

Cryptanalyse réseau
BEAST (2011) : exploitait un problème dans le mode CBC de TLS 1.0. Résolu par TLS 1.1+.

POODLE (2014) : forçage du downgrade vers SSL 3.0 puis exploitation d'un padding oracle. SSL 3.0 désormais désactivé partout.

CRIME / BREACH : fuites d'informations via la compression TLS/HTTP. Résolu en désactivant la compression.

SSL Stripping : l'attaquant MITM intercepte la requête HTTP initiale avant que la victime ne passe en HTTPS. Défense : HSTS (HTTP Strict Transport Security).

Firewall, IDS & IPS›

Défense
Firewall : filtre le trafic réseau selon des règles (IP, port, protocole). Stateful = connaît l'état des connexions TCP. Appliance ou logiciel (iptables, nftables sous Linux).

IDS (Intrusion Detection System) : détecte les comportements anormaux ou signatures d'attaques connues, sans bloquer. Ex : Snort, Suricata en mode détection.

IPS (Intrusion Prevention System) : même chose mais avec blocage actif en temps réel. Suricata en mode inline.

VPN & Tunneling›

Confidentialité
Un VPN (Virtual Private Network) crée un tunnel chiffré entre deux points sur un réseau non sécurisé.

Protocoles : OpenVPN (TLS, fiable), WireGuard (moderne, rapide, code minimaliste ~4000 lignes), IPSec (standard entreprise), L2TP/IPSec.

WireGuard utilise Curve25519 (ECDH), ChaCha20-Poly1305 (chiffrement), BLAKE2 (hash). Beaucoup plus simple qu'OpenVPN à auditer.

Tor : onion routing — 3 nœuds chiffrés successifs. Anonymat, pas VPN.

Synthèse — ce qu'il faut retenir

Modèles OSI/TCP-IP — OSI en 7 couches (théorique), TCP/IP en 4 couches (pratique). Chaque couche ajoute un en-tête par encapsulation. Vocabulaire : bit → trame → paquet → segment → données.

Protocoles fondamentaux — IP route les paquets entre réseaux. TCP assure la fiabilité (handshake SYN/SYN-ACK/ACK). UDP sacrifie la fiabilité pour la vitesse. DNS résout les noms en IP. DHCP attribue les adresses automatiquement.

Sécurité applicative — HTTPS = HTTP + TLS 1.3. SSH pour l'accès distant (clés plutôt que mots de passe). Toujours préférer le chiffrement end-to-end. TLS 1.3 avec ECDHE garantit la Perfect Forward Secrecy.

Attaques classiques — ARP spoofing (L2, MITM), DNS poisoning (L7, redirection), SSL stripping (forçage HTTP). Défenses : DNSSEC, HSTS, DAI, chiffrement systématique.

Mots-clés absolus : OSI, TCP/IP, encapsulation, IP, TCP, UDP, DNS, DHCP, ARP, TLS, HTTPS, SSH, port, routeur, switch, firewall, MITM, ECDHE, Perfect Forward Secrecy.

Question 1 / 15 0 / 15