Les traces/logs

 Introduction

Après réflexions collectives, il nous semble opportun de vous exposer un certain nombre d’éléments à propos de l’informatique, de son usage et des informations recueillies lors de son utilisation.

Notre routeur (coeur du réseau) et tous nos serveurs informatiques prévus pour proposer des services réseaux (courrier électronique, serveur Web, accès distant, etc) produisent un certain nombre de journaux de traces (aussi dénommés fichiers de logs) dans lesquels sont consignées les traces de certaines activités des systèmes et de leur utilisation.

Pour une bonne gestion des ressources communes et pour des raisons de sécurité l’équipe informatique en charge du réseau math.cnrs.fr est amenée à examiner et explorer ces journaux.

Ceci est notamment vrai pour tout ce qui concerne les activités réseaux. Le réseau est à la fois la principale source d’insécurité informatique (c’est par là que les pirates arrivent) et la principale ressource qu’il convient aujourd’hui d’optimiser.

Nous sommes là pour que les serveurs et le réseau fonctionnent au mieux. Pour accomplir cette tâche, il nous faut veiller à ce que personne n’abuse des ressources au détriment des autres. Nous pouvons être amenés à agir sur des ressources des utilisateurs, lorsqu’un problème grave se manifeste (saturation de ressources, intrusion, ...)

Il est donc normal que chaque utilisateur soit bien conscient des informations qui sont stockées dans ces journaux, qui sont accessibles dans le cadre de notre travail (ce qui peut aller jusqu’à fournir ces informations à des services de police ou à la DST suite à un dépôt de plainte par exemple).

Aussi il nous semble important de vous sensibiliser à l’usage que vous pouvez faire du réseau et aux traces figurant dans les journaux qui découlent de cet usage.

 Inventaire, par type d’usages, des traces qui sont conservées

Dans tout ce qui suit :

• « nom » signifie en fait le nom de login, autrement dit le nom utilisé dans l’adresse de messagerie (c’est-à-dire quelque chose égal au nom d’état civil (ex : shih) ou à un raccourci choisi par la personne (ex : jas), mais en tout cas quelque chose qui permet, pour les personnes en charge de l’informatique de la PLM, de savoir de quelle personne physique il s’agit).
• « date » signifie en fait "date et heure" précises (grâce au protocole de synchronisation des horloges, nommé NTP).
• « adresse réseau » signifie l’adresse Internet (adresse IP, c’est-à-dire 4 nombres compris entre 0 et 255, qui identifient de façon unique sur Internet l’origine de la connexion)

Il est donc conservé trace des connexions sous toute forme et notamment :

• depuis n’importe où sur Internet lors d’un accès interactif (protocole SSH) ou lors de transfert de fichiers (par les protocoles SSH et FTP et via le serveur webmail),
• depuis n’importe où sur Internet lors d’une connexion vers le serveur de messagerie (par les protocoles de relève POPS, IMAPS, SMTPS et via le serveur webmail).
• depuis n’importe où sur Internet lors de l’établissement d’un tunnel SSH vers n’importe quels services

 > on connaît

• le nom de l’utilisateur sous lequel la connexion se fait,
• l’adresse réseau de la machine depuis laquelle la connexion a été faite
• les dates de début et de fin de connexion.

Lors de l’envoi/réception de messages électroniques, vers ou depuis la PLM on connaît

• le nom et l’adresse courriel de l’émetteur et du destinataire,
• la date de l’envoi/réception.

Pour se prémunir d’intrusions et d’attaques de toutes sortes, à la fois depuis l’extérieur, mais aussi depuis l’intérieur (notamment depuis les machines de sessions), un système de filtrage IP est en place depuis plusieurs années. Celui-ci a pour fonction de bloquer des demandes de connexion non souhaitées. Il s’apparente à la notion commune de pare-feu, alias garde-barrière, alias firewall.

Ce système produit également des traces constituées de quadruplets : adresse IP et port TCP ou UDP de la machine à l’origine de la connexion ; adresse IP et port TCP ou UDP de la machine destinatrice de la connexion. Pour chaque quadruplet, nous avons également la date.

Nous gardons trace (c’est-à-dire le quadruplet et la date) de toutes les tentatives de connexion qui ont été refusées.

 Cadre d’usage de ces informations

• Pour en savoir plus et obtenir des informations TRÈS pédagogiques sur comment vous êtes pistés sur Internet, nous vous invitons à lire le site de la CNIL http://www.cnil.fr et notamment cette démonstration. De plus, la CNIL a édité récemment de forts intéressants rapports sur La cybersurveillance des salariés dans l’entreprise.
• Fin 2004, suite notamment au vote par le Parlement français de la loi LCEN (Loi sur la Confiance dans l’Economie Numérique), le CNRS a traité de manière globale cette question et a réalisé une déclaration générique auprès de la CNIL. Voici les pointeurs pour connaître les détails :
  • Site du Fonctionnaire de Défense du CNRS,
  • Article sur le sujet des traces dans la revue Sécurité informatique,
  • Politique de gestion des traces, définie par le CNRS et déclarée à la CNIL,
  • Décision parue au Bulletin Officiel du CNRS,
  • Charte du CNRS.

Nous sommes en train d’examiner de près comment nous mettre en conformité avec ce nouveau cadre réglementaire, en nous appuyant sur cette déclaration générique et en restant conforme aux recommandations de la CNIL sur la cyber-surveillance. Nous pensons que notre pratique au quotidien est conforme à la politique définie par le CNRS.