🎓 SIO1 · semestre 2⏱️ 4 h (cours + TP)🎯 Bloc 3 – CybersécuritéVérifier qui se connecte et ce qu'il a le droit de faire : authentification, mots de passe, comptes et privilèges, matrice des habilitations, RADIUS, et accès d'administration sécurisés aux équipements Cisco.
🎯 Objectifs
Distinguer identification, authentification, autorisation et traçabilité (AAA).
Choisir des facteurs d'authentification adaptés et expliquer l'intérêt du MFA.
Appliquer les recommandations actuelles sur les mots de passe et expliquer leur stockage par empreinte salée.
Gérer les comptes : nominatifs, à privilèges, de service, de la création à la suppression.
Construire une matrice d'habilitations par rôle (RBAC) selon le moindre privilège.
Comparer RADIUS et TACACS+ et sécuriser l'accès d'administration à un équipement Cisco (SSH, AAA, repli local).
Test express des prérequis 3 questions · 2 minutes · conseillé avant de commencer
1. Un attaquant lit la liste des clients de l'entreprise sans y être autorisé. Quel critère de sécurité est atteint ?
Lire sans y être autorisé, c'est une atteinte à la confidentialité. L'intégrité concerne la modification, la disponibilité l'accès au service. À revoir : B3-01 · Fondamentaux.
2. Qu'est-ce qui distingue un hachage d'un chiffrement ?
Un chiffrement se défait avec la clé ; un hachage produit une empreinte dont on ne remonte pas au texte d'origine. C'est ce qui sert à stocker les mots de passe. À revoir : B3-04 · Cryptographie.
3. Sur un commutateur Cisco, dans quel mode tape-t-on hostname SW1 ?
On passe de > à # avec enable, puis à (config)# avec configure terminal. Toutes les commandes de cette fiche se tapent en configuration globale. À revoir : B2-01 · Premiers pas sur IOS.
Brocéliande Logistique (entreprise fictive, 60 salariés, siège et agence de Rennes) vient de passer un audit de sécurité. Le rapport est sévère : tous les routeurs et commutateurs partagent le même compte admin et le même mot de passe, noté sur un post-it dans l'armoire ; on s'y connecte en Telnet, en clair ; le stagiaire parti en juin a toujours un compte actif sur SRV-01. Quand la configuration de SW2 a été modifiée vendredi dernier, personne n'a pu dire qui l'avait fait.
Le responsable informatique te confie la remise à plat : un compte par personne, des droits limités à ce dont chacun a besoin, une connexion aux équipements en SSH authentifiée par un serveur central (SRV-01), avec un compte local de secours si ce serveur tombe. Tu commences par comprendre ce que « se connecter » veut vraiment dire.
Le coursAuthentifier, autoriser, tracer : les principes, les comptes et les droits, puis RADIUS et la sécurisation des équipements Cisco.
1. Identifier, authentifier, autoriser, tracer
Quand Lucas, technicien réseau, ouvre une session sur un commutateur, quatre choses différentes se passent. On les confond souvent ; pourtant chacune répond à une question précise et peut être défaillante séparément. Ensemble, elles forment le modèle AAA.
Clique sur chacune des quatre étapes pour voir ce qui se passe quand Lucas se connecte en SSH au commutateur SW1.
Choisis une étape : son rôle s'affiche ici.
Identifier ne prouve rien ; authentifier prouve ; autoriser limite ; tracer garde la mémoire.
Pour bien comprendre : l'accueil de l'entrepôt
À l'entrée de Brocéliande Logistique, le visiteur donne son nom (identification) et montre une pièce d'identité (authentification). L'accueil lui remet un badge qui ouvre le quai de chargement mais pas la salle serveurs (autorisation). Chaque passage est inscrit dans le registre (traçabilité).
Un badge « tous usages » prêté à tout le monde ruinerait les trois dernières étapes : voilà pourquoi un compte partagé est un problème de sécurité et pas seulement de confort.
Identification : annoncer son identité (identifiant, adresse e-mail, badge).
Authentification : prouver cette identité (mot de passe, code, clé, empreinte).
Autorisation (ou habilitation) : définir ce que l'identité authentifiée peut faire.
Traçabilité (accounting) : enregistrer qui a fait quoi, quand et d'où, pour contrôler et enquêter.
Un utilisateur peut être authentifié sans être autorisé : il est bien connecté, mais ce droit ne lui est pas accordé. Et la traçabilité n'a de valeur que si chaque compte correspond à une seule personne.
2. Les facteurs d'authentification et le MFA
Prouver son identité, c'est présenter quelque chose qui ne peut venir que de soi. Il en existe de trois sortes, appelées facteurs. Un seul facteur, par exemple le mot de passe, tombe dès qu'il est volé, deviné ou hameçonné. L'authentification multifacteur (MFA) en exige au moins deux, de catégories différentes.
Le MFA combine des facteurs de catégories différentes : un voleur de mot de passe ne possède pas la clé de sécurité.
Méthode
Facteur
Résistance à l'hameçonnage
À savoir
Code par SMS
Possession (le numéro)
Faible
Intercepté ou détourné par échange de carte SIM ; mieux que rien, à éviter pour les comptes sensibles
Application de code (TOTP)
Possession (le téléphone)
Moyenne
Fonctionne hors connexion ; un faux site peut quand même faire saisir le code en temps réel
Notification « Approuver »
Possession
Moyenne
Exposée à la fatigue MFA : l'attaquant déclenche des dizaines de demandes jusqu'à ce que l'utilisateur accepte
Clé de sécurité FIDO2 ou passkey
Possession (+ PIN ou biométrie locale)
Forte
La clé ne répond qu'au vrai site : l'hameçonnage échoue. Recommandée pour les comptes d'administration
Carte à puce et certificat
Possession + PIN
Forte
Courante en entreprise et dans l'administration ; demande une PKI (fiche B3-04)
L'ANSSI recommande le MFA partout où c'est possible, et en priorité pour : les comptes d'administration, l'accès distant (VPN, messagerie en ligne, bureau à distance) et les services exposés sur Internet. Un mot de passe seul sur un VPN ouvert à Internet est l'une des premières causes d'intrusion.
3. Les mots de passe : longueur, gestionnaire, stockage
Le mot de passe reste le facteur le plus répandu, donc le plus attaqué : deviné (liste des mots de passe courants), volé (fuite d'une base, logiciel espion), hameçonné ou réutilisé d'un site à l'autre. Les recommandations ont changé : on a longtemps demandé des mots de passe illisibles à changer tous les trois mois ; la CNIL (délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe) et l'ANSSI (guide Recommandations relatives à l'authentification multifacteur et aux mots de passe, v2.0, 8 octobre 2021) demandent aujourd'hui des mots de passe longs, uniques, rangés dans un gestionnaire, avec un second facteur partout où c'est possible.
La longueur avant toutChaque caractère ajouté multiplie le travail de l'attaquant. Une phrase de passe de plusieurs mots au hasard est à la fois plus longue, plus facile à retenir et plus solide qu'un mot court bourré de symboles.
Un mot de passe par serviceQuand un site est piraté, les attaquants essaient la même paire identifiant + mot de passe sur la messagerie, le VPN et les autres services (credential stuffing).
Un gestionnaire de mots de passeIl génère des secrets longs et uniques, les stocke chiffrés derrière un seul mot de passe maître (avec MFA) et remplit les champs, sur le bon site seulement.
Pas de renouvellement périodique forcéChanger tous les 90 jours pousse à des variantes prévisibles (Ete2026!, puis Automne2026!). On change un mot de passe après une compromission ou un doute, pas selon le calendrier. Exception : les comptes d'administration gardent un renouvellement périodique (ANSSI : entre 1 et 3 ans ; CNIL : une périodicité raisonnable fixée selon les risques).
Refuser les mots de passe connusLe système compare le secret choisi aux listes de mots de passe courants ou déjà fuités, et limite les essais (blocage temporaire, délai croissant).
Jamais en clair, jamais partagéPas de post-it, pas de tableur, pas de message : un secret transmis par mail est un secret compromis. Un compte, une personne.
3.1 Quelle longueur choisir ?
Situation
Mot de passe conseillé (CNIL, sauf mention ANSSI)
Mot de passe seul, sans autre protection
12 caractères minimum mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou 14 caractères sans caractère spécial imposé, ou phrase de passe d'au moins 7 mots
Mot de passe + mesure de restriction (blocage temporaire après échecs, délai croissant)
8 caractères minimum, 3 types sur 4, ou phrase de passe d'au moins 5 mots
Code qui déverrouille un matériel détenu (carte à puce, clé de sécurité)
4 chiffres minimum, matériel bloqué après 3 échecs : c'est la possession du matériel qui compense
Comptes d'administration (ANSSI)
Sensibilité forte : 15 caractères minimum (environ 100 bits), multifacteur fort (par exemple carte à puce + code PIN), jamais réutilisés ; un secret non mémorisé, rangé dans un coffre, dépasse 20 caractères
Sources : CNIL, délibération n° 2022-100 du 21 juillet 2022 (cas n° 1, 2 et 3) ; ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, guide ANSSI-PG-078, v2.0 du 8 octobre 2021.
P@ssw0rd! respecte toutes les règles de composition et figure pourtant en tête des listes d'attaque. Un secret court et « compliqué » se casse vite ; cheval-pomme-nuage-lampe-vent-7 est plus long, aisé à retenir et très solide.
Pour un usage personnel, KeePassXC (fichier chiffré local) ou Bitwarden. Pour une équipe comme celle de Brocéliande, un coffre partagé auto-hébergé (Vaultwarden, compatible Bitwarden) range les secrets par collection avec des droits par groupe, un historique des consultations et un export chiffré. Il remplace avantageusement le post-it de l'armoire.
3.2 Comment un mot de passe est-il stocké ?
Un système bien conçu ne conserve jamais le mot de passe, même chiffré : il garde une empreinte (hash), résultat d'une fonction à sens unique. À la connexion, il recalcule l'empreinte du mot saisi et compare. Deux précautions rendent le vol de la base peu rentable pour l'attaquant :
Le sel (salt)Valeur aléatoire unique par compte, ajoutée au mot de passe avant le calcul. Deux comptes qui ont le même mot de passe ont des empreintes différentes, et les tables d'empreintes précalculées (rainbow tables) deviennent inutiles. Le sel n'est pas secret : il est stocké à côté de l'empreinte.
La lenteur voulueUne fonction de dérivation (Argon2id, bcrypt, scrypt, PBKDF2) est volontairement coûteuse : une machine légitime calcule une empreinte en une fraction de seconde, un attaquant qui doit en essayer des milliards ne s'en sort plus. MD5 ou SHA-1 « nus » sont à proscrire.
Si la base est volée, l'attaquant doit reprendre l'attaque compte par compte, à un coût élevé pour chaque essai.
Debian 13 terminalle même principe dans /etc/shadow
$ sudo grep lperrin /etc/shadow
lperrin:$y$j9T$aG2kQ…$Vn8c…:20380:0:99999:7:::
│ │ │ └ empreinte
│ │ └ sel (aléatoire, propre au compte)
│ └ paramètres de coût
└ algorithme : yescrypt
Dans Active Directory, le mot de passe est stocké sous forme d'empreinte NT, sans sel : deux comptes au même mot de passe ont la même empreinte, et un attaquant qui obtient la base (NTDS.dit) peut tester des milliards de candidats. D'où l'intérêt des mots de passe longs et de la protection des contrôleurs de domaine (fiche B3-11).
4. Les comptes : nominatifs, partagés, à privilèges
Un compte relie une identité à des droits. La façon de les créer décide de ce que l'on saura faire après un incident : retrouver qui a agi, couper un accès sans gêner les autres, prouver ce qui s'est passé.
Type de compte
Exemple
Règle
Nominatif (une personne)
lperrin
Règle par défaut. Permet la traçabilité et la révocation individuelle.
Partagé ou générique
admin, compta, stagiaire
À proscrire : impossible de dire qui a agi, mot de passe qui circule, départ d'un utilisateur = changement pour tous. Si un logiciel ancien l'impose : coffre avec consultation journalisée et mot de passe renouvelé après chaque usage.
À privilèges (administration)
adm-lperrin
Compte séparé du compte courant, MFA, utilisé seulement depuis un poste d'administration, journalisé de près.
De service (application, sauvegarde)
svc-backup
Pas d'ouverture de session interactive, mot de passe très long, un propriétaire désigné, droits limités à la tâche.
De secours (break-glass)
administrateur local
Utilisé quand le serveur d'authentification ne répond plus. Mot de passe unique et très long conservé dans un coffre ; toute utilisation déclenche une alerte puis un changement.
Temporaire ou invité
ext-prestataire
Date d'expiration obligatoire, droits minimaux, un responsable interne.
4.1 Séparer le compte d'administration du compte du quotidien
Lucas lit ses mails et navigue sur le web avec son compte lperrin : c'est la porte d'entrée des courriels piégés. S'il y était aussi administrateur, un seul clic malheureux donnerait à l'attaquant les clés de tout le réseau. On sépare donc deux comptes, deux postes, deux usages.
Le mail piégé s'arrête à la frontière : le compte d'administration n'ouvre jamais de messagerie.
Si tous les postes ont le même compte administrateur local avec le même mot de passe, un seul poste compromis ouvre les 60 autres. Windows LAPS donne à chaque poste un mot de passe administrateur local différent, renouvelé automatiquement et stocké dans l'annuaire, lisible seulement par les administrateurs autorisés.
5. Moindre privilège et cycle de vie des comptes
Moindre privilège : chaque compte reçoit les droits strictement nécessaires à sa mission, pas un de plus, et pour la durée nécessaire.
Besoin d'en connaître : on n'accède à une information que si son travail l'exige. Administrer le serveur de la paie ne donne pas le droit d'en lire le contenu.
Séparation des tâches : celui qui demande un droit, celui qui le valide et celui qui l'applique ne sont pas la même personne.
5.1 Un compte vit : arrivée, mobilité, départ
Les droits se dégradent avec le temps. Un salarié qui change de service garde souvent les droits de l'ancien, en plus des nouveaux : c'est l'accumulation de droits. Un salarié qui part garde parfois son compte pendant des mois. La parade est un cycle de vie défini, déclenché par les ressources humaines et tracé dans un ticket.
Les trois temps de la vie d'un compte, et la revue périodique qui rattrape ce qui a été oublié.
Au moins une fois par an, chaque responsable de service reçoit la liste des personnes qui accèdent à ses données et confirme ou retire chaque droit. On y cherche surtout les comptes dormants (aucune connexion depuis 90 jours), les comptes d'anciens salariés, les droits cumulés et les comptes génériques. Le rapport signé est une preuve pour un audit ou un contrôle du RGPD (fiche B3-02).
5.2 Faut-il accorder ce droit ?
Une demande arrive au support : « donne-moi l'accès au dossier Paie ». Réponds aux questions pour décider de la suite.
Instruire une demande de droit Réponds du point de vue du support
Le droit demandé est-il nécessaire à la mission de la personne ?Sa fiche de poste ou sa mission actuelle le justifie-t-elle ?
Le besoin est-il permanent ?Ou lié à un projet, un remplacement, une période précise ?
La demande est-elle validée par le responsable de la donnée ?Pour la paie, le responsable de la paie ; pas seulement le supérieur du demandeur.
Refuse et réponds par écrit : le moindre privilège interdit les droits « au cas où ». Propose de revoir la demande avec son responsable si sa mission change.
Accorde un droit temporaire avec date de fin, rattaché à un groupe de projet. La date d'expiration est inscrite dans le ticket et vérifiée à la revue.
Accorde en ajoutant la personne au groupe du rôle (jamais un droit nominatif isolé), puis garde la trace du ticket, du valideur et de la date.
Mets le ticket en attente et demande la validation au bon responsable. Sans elle, rien n'est accordé : la séparation des tâches l'exige.
6. La matrice des habilitations (RBAC)
Accorder des droits personne par personne devient vite ingérable à 60 salariés. Le contrôle d'accès par rôles, RBAC, procède autrement : on définit des rôles correspondant aux métiers, on attache à chaque rôle ses droits, puis on affecte les personnes à leurs rôles. Quand quelqu'un change de poste, on change son rôle, pas cinquante permissions.
Le document qui fixe les droits de chaque rôle sur chaque ressource est la matrice des habilitations. Voici celle de Brocéliande Logistique.
Clique sur un rôle (une ligne de la matrice) pour lire le raisonnement derrière ses droits.
Choisis un rôle : la logique de ses droits s'affiche ici.
Une case vide est un choix : en cas de doute, on n'accorde pas, on pose la question au propriétaire de la donnée.
6.1 De la matrice aux permissions : le principe AGDLP
Dans un domaine Active Directory, on n'attribue jamais un droit à une personne : on suit la chaîne A G DL P.
On donne les droits aux groupes de ressources, on range les personnes dans les groupes de rôles.
La matrice est validée par la direction et par chaque propriétaire de donnée, datée et conservée dans la documentation (c'est une pièce attendue pour les épreuves E5 et E6). Les demandes de droits passent par des tickets ; la revue annuelle compare les groupes réels de l'annuaire à la matrice : tout écart est une anomalie à expliquer.
7. Centraliser l'authentification : RADIUS et TACACS+
Avec 5 équipements réseau et 3 administrateurs, créer les comptes sur chaque équipement donne 15 comptes à suivre, à désactiver au départ de quelqu'un et à renouveler. La solution est un serveur d'authentification central : les équipements lui délèguent la vérification. Un compte désactivé dans l'annuaire l'est partout, immédiatement.
Deux protocoles se partagent ce rôle. L'équipement (commutateur, routeur, point d'accès) en est le client, aussi appelé NAS ; le serveur, ici SRV-01, détient les comptes.
SW1 ne connaît aucun mot de passe d'utilisateur : il pose la question au serveur, puis applique la réponse.
User-NameL'identifiant saisi par l'utilisateur (lperrin), transmis en clair.
User-PasswordLe mot de passe, masqué à l'aide du secret partagé entre le client et le serveur : c'est le seul champ protégé de la requête.
NAS-IP-AddressL'adresse du client qui pose la question. Le serveur ne répond qu'aux clients qu'il connaît : chaque équipement doit être déclaré avec son adresse source.
Access-Accept / Access-RejectLa réponse. L'acceptation peut transporter des attributs (par exemple le niveau de privilège que l'équipement doit donner à l'utilisateur).
7.1 RADIUS ou TACACS+ ?
Critère
RADIUS
TACACS+
Origine
Standard ouvert de l'IETF
Protocole Cisco, publié depuis comme document d'information
Transport et ports
UDP 1812 (authentification) et 1813 (traçabilité) ; anciens ports 1645 et 1646
TCP 49
Chiffrement
Seul le mot de passe est masqué
Tout le corps du paquet est chiffré
Fonctions AAA
Authentification et autorisation réunies dans la même réponse
Authentification, autorisation et traçabilité séparées
Autorisation par commande
Limitée
Oui : le serveur autorise ou refuse chaque commande tapée
Usage typique
Accès au réseau : Wi-Fi d'entreprise (802.1X), VPN, ports filaires
Administration des équipements réseau
Serveurs courants
NPS (Windows Server), FreeRADIUS (Linux)
tac_plus, Cisco ISE, Aruba ClearPass
Dans les deux cas, le secret partagé doit être long et le trafic circuler sur un réseau de gestion isolé.
Le secret partagé n'est pas le mot de passe d'un utilisateur : c'est la clé commune entre un équipement et le serveur. Elle prouve au serveur que la requête vient bien d'un client déclaré, et masque le mot de passe en transit. On la choisit longue (20 caractères ou plus), différente de tout autre mot de passe, et idéalement propre à chaque équipement.
Avec aaa authentication login default group radius local, l'équipement essaie RADIUS d'abord. Il ne passe au compte local que si le serveur ne répond pas (panne, réseau coupé, client non déclaré). Si le serveur répond « refusé », la réponse est définitive : un compte local ne contourne donc jamais un refus, et ne marche que serveur éteint.
Chez Brocéliande, SRV-01 est le serveur Windows de l'annuaire : le rôle NPS (Network Policy Server) y fait office de serveur RADIUS et vérifie les comptes de l'annuaire, avec le MFA si l'organisation l'a déployé. Un groupe GG_Admins_Reseau décide qui peut ouvrir une session d'administration. Dans Packet Tracer, le service AAA du Server-PT joue ce rôle, avec une simple liste d'utilisateurs.
8. Sécuriser l'accès d'administration à un équipement Cisco
Un équipement réseau mal protégé offre à l'attaquant la possibilité de lire tout le trafic, de le détourner ou de couper le site. On empile donc plusieurs protections : chaque couche arrête une catégorie de menace.
Aucune couche ne suffit seule ; ensemble, elles couvrent lecture du trafic, devinette de mots de passe, vol de session et absence de preuve.
8.1 SSH à la place de Telnet
Telnet envoie tout en clair, mot de passe compris : une seule capture de trafic suffit. SSH chiffre la session grâce à une paire de clés RSA créée sur l'équipement. La génération des clés a besoin d'un nom d'hôte et d'un nom de domaine, avec lesquels l'équipement compose son identité (R1.broceliande.lan). On impose la version 2 (la 1 est cassée) et une clé de 2048 bits au moins.
Cisco IOS R1 · préparer SSH
R1(config)# hostname R1 ! déjà fait aux étapes précédentes R1(config)# ip domain-name broceliande.lan R1(config)# crypto key generate rsa modulus 2048 ! plusieurs secondes R1(config)# ip ssh version 2 R1(config)# username admin privilege 15 secret <secret-long-et-unique> ! compte de secours local R1(config)# enable secret <autre-secret-long> ! protège le mode privilégié R1(config)# do show ip ssh ! SSH Enabled - version 2.0
8.2 Les mots de passe dans la configuration
Il existe plusieurs façons d'enregistrer un secret dans running-config ; elles ne se valent pas.
Type
Commande qui le produit
Nature
Verdict
0
password … (sans service password-encryption)
Texte en clair
À éviter
7
service password-encryption
Obscurcissement réversible
Ne protège pas
5
enable secret, username … secret
Empreinte MD5 salée
Correct, ancien
8
… algorithm-type sha256 secret
PBKDF2-SHA256
Bon (IOS récent)
9
… algorithm-type scrypt secret
scrypt
Recommandé (IOS récent)
Cisco IOS R1 · lecture de show running-config
R1# show running-config | include secret|password
service password-encryption
enable secret 5 $1$mERr$hx5rVt7rPNoS4wqbXKX7m0
username admin privilege 15 secret 5 $1$Rk2p$Fb0m…
password 7 060506324F41
Le type 7 est un simple brouillage : la chaîne 060506324F41 se lit en clair avec n'importe quel outil en ligne, en une seconde. La commande sert seulement à éviter qu'un passant lise un mot de passe par-dessus l'épaule. La vraie protection, c'est secret (empreinte salée) partout où c'est possible, sans jamais se reposer sur password. Dans l'enable secret 5 ci-dessus, mERr est le sel.
8.3 AAA, lignes et verrouillage
Avec aaa new-model, l'équipement délègue l'authentification à des listes de méthodes. La liste nommée default s'applique d'office à toutes les lignes qui n'en désignent pas d'autre. On garde la console sur une liste locale, pour toujours pouvoir y entrer devant l'équipement.
Crée d'abord le compte local (username admin …), ensuite tape aaa new-model. Si tu actives l'AAA sans compte local et que le serveur RADIUS ne répond pas, plus personne ne peut se connecter. Il ne reste que la procédure de récupération de mot de passe, devant l'équipement.
R1(config)# aaa new-model R1(config)# radius-server host 172.16.50.10 key <secret-partage> R1(config)# aaa authentication login default group radius local ! RADIUS, sinon local R1(config)# aaa authentication login CONSOLE local ! liste dédiée à la console R1(config)# line console 0 R1(config-line)# login authentication CONSOLE R1(config-line)# exec-timeout 5 0 ! ferme après 5 min d'inactivité R1(config-line)# line vty 0 4 R1(config-line)# transport input ssh ! plus de Telnet R1(config-line)# exec-timeout 5 0 R1(config-line)# exit R1(config)# login block-for 120 attempts 3 within 60 ! 3 échecs en 60 s = blocage 120 s R1(config)# banner login #Acces reserve au personnel autorise. Toute connexion est enregistree. Tout acces non autorise est passible de poursuites.#
aaa authentication login default group radius localListe de méthodes : group radius interroge les serveurs RADIUS, local consulte les comptes de l'équipement si les serveurs ne répondent pas.
login block-for 120 attempts 3 within 60Si 3 tentatives échouent en 60 secondes, l'équipement refuse toute connexion pendant 120 secondes. Freine les attaques par essais répétés.
exec-timeout 5 05 minutes 0 seconde d'inactivité, puis la session est fermée. Une session oubliée n'est pas une porte ouverte.
banner loginMessage affiché avant l'authentification. Il rappelle que l'accès est réservé et surveillé ; il ne souhaite jamais la bienvenue et ne donne ni nom d'entreprise, ni modèle, ni version.
Pour poursuivre un intrus, il faut pouvoir montrer qu'il a été prévenu que l'accès était interdit. Un message « Bienvenue » peut être retourné contre l'entreprise. Le texte indique que l'accès est réservé aux personnes autorisées, que l'activité est enregistrée, et que l'accès frauduleux à un système informatique est puni par le Code pénal (articles 323-1 et suivants).
À toi : écris, dans l'ordre, les commandes qui ouvrent SSH sur R1 (domaine broceliande.lan, clé de 2048 bits, version 2, SSH seulement sur les lignes vty 0 à 4). Les formes abrégées sont acceptées.
R1(config)#
R1(config)#
R1(config)#
R1(config)#
R1(config-line)#
8.4 Vérifier
Cisco IOS R1 · relevés utiles
R1# show ip ssh
SSH Enabled - version 2.0
Authentication timeout: 120 secs; Authentication retries: 3
R1# show users
Line User Host(s) Idle Location
* 0 con 0 admin idle 00:00:00
66 vty 0 lperrin idle 00:00:12 172.16.99.20
R1# show login
A login delay of 1 seconds is applied.
Quiet-Mode access list is not configured.
Router enabled to watch for login Attacks.
If more than 3 login failures occur in 60 seconds or less,
logins will be disabled for 120 seconds.
9. Dépanner l'authentification
9.1 Pannes fréquentes
Symptôme
Cause probable
Vérification et correction
% Please define a domain-name first.
Pas de nom de domaine : la clé RSA ne peut pas être créée
ip domain-name … puis crypto key generate rsa
SSH refusé, show ip ssh affiche « SSH Disabled »
Aucune clé RSA, ou nom d'hôte resté « Switch »
Nommer l'équipement, créer les clés
Telnet fonctionne encore
transport input all (valeur par défaut) sur les lignes vty
show running-config | section line vty puis transport input ssh
Chaque connexion met 30 secondes puis le compte local passe
Le serveur ne répond pas : client non déclaré, mauvaise adresse source, secret faux, pare-feu sur UDP 1812
Comparer l'adresse source de l'équipement à celle déclarée dans le serveur ; lire le journal du serveur
Le compte local est refusé alors que le serveur est en marche
Le serveur a répondu « refusé » : le repli local n'a pas lieu
Créer le compte dans le serveur, ou tester serveur coupé
Client SSH moderne : « no matching key exchange method found »
Vieux IOS qui n'annonce que des algorithmes aujourd'hui refusés par les clients récents
Mettre à jour l'IOS ; temporairement, autoriser l'algorithme côté client le temps de la mise à jour
« Connection refused » pendant 2 minutes après plusieurs échecs
Mode silencieux de login block-for : le comportement voulu
show login ; attendre, ou autoriser une adresse d'administration par login quiet-mode access-class
Connexion RADIUS réussie mais prompt > au lieu de #
Le serveur ne transmet pas de niveau de privilège 15
Passer par enable (et son secret), ou configurer l'autorisation côté serveur et aaa authorization exec
9.2 Entraîne-toi : les tickets du support
Six tickets arrivent au support de Brocéliande Logistique. Lis le message et le relevé, puis choisis la cause.
File d'attente du support6 tickets · un à la fois · l'explication s'affiche après ta réponse
Ticket n° 1De : technicien réseauPriorité normale
« Je prépare SSH sur le routeur de la nouvelle agence, mais la création des clés échoue. »
Cause : la clé RSA est nommée d'après le nom d'hôte et le domaine (R4.broceliande.lan) ; sans domaine, IOS refuse. Correction :ip domain-name broceliande.lan, puis relancer la commande. L'ordre de ip ssh version 2 n'a pas d'importance ici.
« L'auditeur s'est connecté en Telnet à SW2 depuis le poste de la compta, alors que nous avions "activé SSH". »
Cisco IOS SW2 · lignes vty
SW2# show running-config | section line vty
line vty 0 4
exec-timeout 5 0
login authentication default
transport input all
line vty 5 15
login authentication default
Quelle est la cause ?
Cause : activer SSH ne désactive pas Telnet : seule la ligne transport input ssh limite les lignes. Ici input all laisse Telnet ouvert, et les lignes 5 à 15 ne sont pas traitées. Correction :line vty 0 15 puis transport input ssh.
Ticket n° 3De : stagiaire réseauPriorité normale
« Le compte de secours "admin" fonctionnait hier sur SW1 pendant la maintenance. Aujourd'hui, avec tout en marche, il est refusé. »
Cause : hier le serveur était hors service, donc muet ; le repli local a fonctionné. Aujourd'hui il répond « refusé » car "admin" n'existe pas dans sa base, et ce refus est définitif. Correction : rien à corriger : c'est le comportement attendu d'un compte de secours. Pour l'utiliser, il faut que le serveur soit injoignable.
« Sur SW1, la connexion est immédiate. Sur SW2, il faut attendre une trentaine de secondes, et seul le compte local passe. Même configuration AAA sur les deux. »
Journal serveur RADIUS · extrait
Ignoring request to auth address * port 1812
from unknown client 172.16.99.12 port 52301
Ready to process requests
Clients déclarés : 172.16.50.254 (R1) · 172.16.99.11 (SW1) · 172.16.99.2 (SW2)
Quelle est la cause ?
Cause : le serveur n'accepte que les clients déclarés ; la requête vient de 172.16.99.12 mais SW2 est enregistré en .2. Il ignore donc la demande sans répondre, et SW2 attend la fin du délai avant de passer au local. Un secret faux donnerait un message différent (« shared secret is incorrect »). Correction : déclarer le client avec l'adresse source réelle.
Ticket n° 5De : prestataire d'auditPriorité haute
« Vos mots de passe sont "chiffrés" dans la configuration, dites-vous. Le stagiaire a retrouvé celui des lignes en quelques secondes avec un outil en ligne. »
Cisco IOS SW2 · extrait de la configuration
service password-encryption
line con 0
password 7 060506324F41
login
Quelle est la cause ?
Cause : le type 7 n'est pas un chiffrement sérieux : il se décode instantanément. Correction : ne plus utiliser de password sur les lignes, passer par login authentication avec des comptes en secret ou l'AAA, et enlever le mot de passe de console partagé. Le sel visible dans un secret 5 n'est pas un défaut : il n'est pas secret.
Ticket n° 6De : directionPriorité haute
« Le journal du VPN montre une connexion réussie la nuit dernière avec le compte de notre stagiaire de l'an dernier. Il est parti en juin. »
Cause : la connexion est « réussie » car le compte est toujours valide : personne ne l'a fermé en juin. C'est la faille du cycle de vie. Correction : désactiver le compte maintenant, changer les secrets qu'il connaissait, analyser l'activité de la nuit, puis mettre en place la désactivation automatique à la date de fin de contrat et une revue trimestrielle des comptes dormants.
10. À l'examen et en entreprise
Documents attendus : la matrice des habilitations (rôles, ressources, droits), la procédure d'arrivée, de mobilité et de départ, et la politique de mots de passe appuyée sur les recommandations de la CNIL et de l'ANSSI, avec leur version.
Justifier ses choix : pourquoi des comptes nominatifs, pourquoi RADIUS plutôt qu'un compte par équipement, pourquoi un compte de secours local, pourquoi SSH v2 et non Telnet.
Preuves de recette : tentative Telnet refusée, connexion SSH réussie avec un compte nominatif, compte local refusé serveur en marche et accepté serveur coupé, bannière affichée.
Lien avec le RGPD : limiter l'accès aux données personnelles (paie, RH) et pouvoir le prouver relève de l'obligation de sécurité du RGPD (fiche B3-02).
À ne pas écrire dans un dossier : un mot de passe réel. On cite « stocké dans le coffre, référence C-014 ».
11. L'essentiel
Identifier annonce qui l'on est, authentifier le prouve, autoriser limite ce que l'on peut faire, tracer garde la mémoire (AAA).
Trois facteurs : ce que je sais, ce que j'ai, ce que je suis. Le MFA en combine au moins deux de catégories différentes ; une clé FIDO2 résiste à l'hameçonnage.
Mot de passe : long, unique, rangé dans un gestionnaire, sans renouvellement périodique forcé (sauf comptes d'administration), changé après une compromission.
On ne stocke jamais un mot de passe : une empreinte salée produite par une fonction lente (Argon2id, bcrypt) suffit à le vérifier.
Un compte = une personne. Le compte partagé détruit la traçabilité. Le compte d'administration est distinct du compte courant, avec MFA.
Moindre privilège et besoin d'en connaître : chacun reçoit les droits nécessaires à sa mission, pas un de plus, pour la durée utile.
Les droits suivent des rôles (RBAC) consignés dans la matrice des habilitations ; dans l'annuaire, on applique la chaîne A-G-DL-P.
Cycle de vie : arrivée, mobilité, départ, plus une revue périodique des droits. Un compte non désactivé au départ est une porte ouverte.
RADIUS (UDP 1812/1813) centralise l'accès au réseau ; TACACS+ (TCP 49) chiffre tout et autorise commande par commande. Chaque équipement est déclaré par son adresse source ; le repli local ne joue que si le serveur ne répond pas.
Équipement Cisco : SSH v2 seul, clés RSA 2048, secret et non password, login block-for, exec-timeout, bannière légale. service password-encryption (type 7) ne protège pas.
La fiche en une image : à refaire de mémoire, sur une feuille, avant de passer aux exercices.
Les commandes clés
Pour…
Commandes
Préparer SSH
ip domain-name broceliande.lan · crypto key generate rsa modulus 2048 · ip ssh version 2
aaa new-model · radius-server host 172.16.50.10 key … · aaa authentication login default group radius local
Imposer SSH aux lignes
line vty 0 4 · transport input ssh · exec-timeout 5 0
Freiner les essais
login block-for 120 attempts 3 within 60 · show login
Message légal
banner login #…#
Vérifier
show ip ssh · show users · show running-config | include secret
Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.
La pratiqueLe quiz noté pour vérifier tes acquis, les exercices à rendre à ton professeur, puis le fil rouge Packet Tracer pour sécuriser l'administration de toute la maquette.
12. Quiz noté
8 questions · 10 minutesRéponds à toutes les questions, puis valide. Seule ta première tentative est enregistrée : elle compte dans ton suivi. Ensuite, tu peux t'entraîner autant que tu veux.
1. Un commutateur laisse un technicien du support lire la configuration mais lui refuse configure terminal. De quelle étape s'agit-il ?
2. Laquelle de ces associations est une authentification multifacteur ?
3. Que recommandent aujourd'hui la CNIL et l'ANSSI à propos du renouvellement des mots de passe des utilisateurs (comptes sans privilèges) ?
4. À quoi sert le sel ajouté à un mot de passe avant le calcul de l'empreinte ?
5. Pourquoi un compte « admin » partagé par toute l'équipe réseau pose-t-il problème ?
6. Un comptable devient responsable logistique. Que faut-il faire de ses droits ?
7. Quelle association protocole et transport est correcte ?
8. SW1 est configuré avec aaa authentication login default group radius local. SRV-01 est en marche et répond « refusé » pour admin. Que se passe-t-il ?
13. Exercices : à toi de répondre
Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige. Justifie chaque réponse, pas seulement le résultat.
Exercice 1 – AAA et facteurs (SIO1)
Pour chaque situation, indique l'étape concernée (identification, authentification, autorisation, traçabilité) et, quand c'est une authentification, le ou les facteurs utilisés : (a) Inès tape imorel dans le champ « utilisateur » ; (b) SRV-01 compare l'empreinte du mot de passe saisi à celle de sa base ; (c) un code à 6 chiffres affiché sur le téléphone est demandé ; (d) le journal indique que lperrin a modifié SW2 à 17 h 42 ; (e) un magasinier ne peut pas ouvrir le dossier Paie ; (f) la porte du local technique s'ouvre avec un badge et un code à 4 chiffres. Dis ensuite, pour (b) + (c), si l'on a du MFA.
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 2 – Compléter la matrice (SIO1)
Brocéliande recrute un commercial pour l'agence de Rennes. Il doit consulter les stocks de l'application entrepôt, saisir des commandes dans une application Commandes (nouvelle ressource), et n'a besoin d'aucun dossier administratif. Écris sa ligne dans la matrice (six ressources existantes + Commandes) avec M, L, A ou –, et justifie chaque case en une phrase. Quel principe appliques-tu ?
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 3 – Auditer une configuration (SIO1)
Voici un extrait de la configuration d'un commutateur. Relève au moins six faiblesses et écris la commande qui corrige chacune.
Cisco IOS SW2 · extrait
enable password cisco
username admin password 0 Brocel19
!
line con 0
password Brocel19
login
line vty 0 4
password Brocel19
login
transport input telnet ssh
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 4 – Concevoir (SIO2)
Brocéliande a 3 administrateurs, 2 techniciens du support, 5 équipements réseau (siège et agence de Rennes), SRV-01 (annuaire Windows) et un VPN. Rédige la politique d'authentification d'administration en une page : choix du protocole (RADIUS ou TACACS+), types de comptes, MFA, compte de secours, journalisation, revue des droits, et comportement si la liaison WAN vers Rennes tombe. Justifie chaque choix.
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
14. Fil rouge : l'administration sécurisée de Brocéliande Logistique
Étape 11sur 17
Fil rouge Packet Tracer · Accès d'administration sécurisésTu construis le réseau de Brocéliande Logistique fiche après fiche : chaque étape repart de la précédente.
Tu pars de ta maquette de l'étape 10 (B2-11) : FR-10-NOM-Prenom.pkt.
Tu enregistresFR-11-NOM-Prenom.pkt, point de départ de l'étape 12 (B2-09 · Passerelle redondante HSRP).
Où tu en es, où tu vas
Le tableau donne l'état de chaque équipement à l'entrée de l'étape (fin de l'étape 10) et ce que tu dois obtenir à la sortie. Le contrôleur Wi-Fi, les bornes, R-FAI et SRV-PUBLIC ne changent pas : le routeur de l'opérateur n'est pas à toi et le contrôleur s'administre par son interface web.
Équipement
Modèle
À l'entrée
À la sortie
SRV-01
Server-PT
172.16.50.10/24 : DHCP, DNS (zone broceliande.lan)
+ service AAA (RADIUS) activé, 5 clients déclarés par leur adresse source, 2 utilisateurs nominatifs
R1
Routeur 1941
Sous-interfaces, OSPF, PAT ; protection minimale des premières étapes
Nom de domaine, clés RSA 2048, SSH v2 seul, compte local admin, AAA RADIUS + repli local, bannière légale, enable secret
Inchangé : il sert de poste de test SSH (PC-ADMIN n'arrive qu'à l'étape 15)
Au labo, tu disposes des mêmes modèles en vrai : routeurs Cisco 1941, commutateurs Cisco 2960 et 3750. Dans Packet Tracer, choisis le 1941 et le 2960-24TT (le 3750 est remplacé par le 3560-24PS). Le service AAA du Server-PT remplace ici le rôle NPS de Windows Server ou FreeRADIUS. Quelques commandes avancées (algorithmes de type 8 et 9, mode silencieux, ip radius source-interface) ne sont pas toutes reconnues par le simulateur, et login block-for peut manquer sur le 2960 : s'il en refuse une, note-la dans ta recette et fais-la au labo sur le matériel réel. Si radius-server host 172.16.50.10 key … est refusée en une ligne, tape radius-server host 172.16.50.10 puis radius-server key ….
SRV-01 ne répond qu'aux adresses qu'il connaît : une adresse source mal déclarée est une panne silencieuse.
Ce que tu ajoutes à cette étape
Le service AAA de SRV-01 : cinq clients déclarés par leur adresse source, deux utilisateurs nominatifs.
SSH v2 seul sur R1, R2, SW1, SW2 et SW3 : nom de domaine, clés RSA 2048, lignes vty.
Comptes et secrets : compte local admin de secours, enable secret partout, AAA avec repli local.
La bannière légale et la limitation des essais sur tous les équipements.
1 Repartir de l'étape précédente
Ouvre FR-10-NOM-Prenom.pkt et enregistre-la tout de suite sous FR-11-NOM-Prenom.pkt (File → Save As) : ton travail de l'étape précédente reste intact.
2 Relever l'adresse source de chaque équipement
Un équipement s'annonce au serveur avec l'adresse de l'interface par laquelle son paquet sort vers SRV-01. C'est cette adresse, et pas une autre, que le serveur doit connaître. Complète le relevé, puis vérifie avec ✓.
Indique l'adresse source de chaque client RADIUS (d'après le plan d'adressage et les étapes précédentes).
R1 (VLAN 50) ›
R2 (liaison WAN) ›
SW1 (gestion) ›
SW2 (gestion) ›
SW3 (Rennes) ›
3 Activer le service AAA de SRV-01
Sur SRV-01 : onglet Services → AAA.
Mets le service AAA sur On.
Dans Network Configuration, ajoute cinq clients, un par équipement : Client Name (R1, R2, SW1, SW2, SW3), Client IP (l'adresse du relevé), SecretRad-Brocel-2026-xK9-Lab, ServerTypeRadius, puis Add.
Dans User Setup, ajoute deux utilisateurs nominatifs : lperrin et imorel, chacun avec son mot de passe d'au moins 12 caractères que tu notes dans ton gestionnaire. Le compte admin n'est pas créé ici : il reste local aux équipements.
Le secret partagé est donné dans cette fiche pour que toute la classe obtienne le même résultat. Dans une vraie entreprise, il ne figure jamais dans un document : il est tiré au hasard, stocké dans un coffre, et idéalement différent pour chaque équipement.
4 Vérifier l'adresse de gestion de SW3
SW3 a reçu son adresse de gestion à l'étape 6 (fiche B2-06). Vérifie-la avec show ip interface brief (Vlan60 172.16.60.250 up up) et le ping ci-dessous ; ne retape les commandes que si elle manque.
Cisco IOS SW3 · adresse de gestion (étape 6)
SW3(config)# interface vlan 60 SW3(config-if)# ip address 172.16.60.250 255.255.255.0 SW3(config-if)# no shutdown SW3(config-if)# exit SW3(config)# ip default-gateway 172.16.60.254 SW3(config)# do ping 172.16.50.10 ! SRV-01 doit répondre à travers R2 et le WAN
5 Sécuriser R1
Fais-le dans cet ordre : d'abord les clés et le compte local, ensuite l'AAA. Le nom d'hôte est déjà fait ; passe un enable secretdifférent pour chaque équipement (12 caractères minimum) et note-le dans ton gestionnaire de mots de passe.
Cisco IOS R1 · SSH, comptes, secrets
R1(config)# ip domain-name broceliande.lan R1(config)# crypto key generate rsa modulus 2048 R1(config)# ip ssh version 2 R1(config)# username admin privilege 15 secret <secret-long-de-secours> R1(config)# enable secret <enable-propre-a-R1> R1(config)# line vty 0 4 R1(config-line)# transport input ssh R1(config-line)# exec-timeout 5 0 R1(config-line)# end
Maintenant l'AAA. Complète les cinq commandes, dans l'ordre, puis vérifie avec ✓. La cinquième se tape après line console 0 (non demandée ici, voir le bloc suivant).
Le secret partagé est Rad-Brocel-2026-xK9-Lab ; la console reste sur une liste locale nommée CONSOLE.
R1(config)#
R1(config)#
R1(config)#
R1(config)#
R1(config-line)#
Cisco IOS R1 · console, verrouillage, bannière
R1(config)# line console 0 R1(config-line)# login authentication CONSOLE R1(config-line)# exec-timeout 5 0 R1(config-line)# exit R1(config)# login block-for 120 attempts 3 within 60 R1(config)# banner login #Acces reserve au personnel autorise de Broceliande Logistique. Toute connexion est enregistree. Tout acces non autorise est passible de poursuites.# R1(config)# end R1# copy running-config startup-config
6 Répéter sur R2, SW1, SW2 et SW3
Mêmes commandes, avec ces différences. Les commutateurs ont 16 lignes vty.
Équipement
Lignes
Adresse déclarée dans SRV-01
À surveiller
R2
line vty 0 4
10.0.0.2
Doit joindre SRV-01 par OSPF et le WAN : teste ping 172.16.50.10 avant
SW1
line vty 0 15
172.16.99.11
Retire l'ancien mot de passe de console : line console 0 puis no password
SW2
line vty 0 15
172.16.99.12
Idem SW1
SW3
line vty 0 15
172.16.60.250
L'adresse de gestion doit répondre (vérifiée au point 4)
Si tu déclares SW2 avec une mauvaise adresse dans SRV-01, rien n'est refusé bruyamment : SW2 attend simplement la fin du délai avant de passer au compte local. Si une connexion met longtemps à aboutir, pense d'abord à l'adresse source.
7 Tester
SSH nominatif : sur PC-DIR, Desktop → Command Prompt : ssh -l lperrin 172.16.99.11. Saisis le mot de passe ; tu arrives sur SW1>. Tape enable : le mot de passe demandé est l'enable secret de SW1 (le simulateur n'attribue pas le niveau 15 par RADIUS).
Telnet refusé : telnet 172.16.99.11 n'aboutit pas : aucune invite de mot de passe.
Le compte local ne marche pas serveur allumé : ssh -l admin 172.16.99.11 est refusé, car SRV-01 répond « refusé ».
Le repli : sur SRV-01, mets le service AAA sur Off, puis refais ssh -l admin 172.16.99.11 : après un délai, admin est accepté par la base locale. Il arrive sur SW1# si son privilege 15 est appliqué ; sinon sur SW1>, puis enable (sur un IOS réel, avec aaa new-model, le niveau du compte local n'est appliqué d'office qu'avec aaa authorization exec default local). Remets ensuite le service sur On.
Vérifie sur chaque équipement : show ip ssh et show running-config | include secret ne doivent montrer aucun password en clair.
À l'étape 12 (HSRP), R1 recevra l'adresse réelle .252 sur chacune de ses sous-interfaces, y compris celle du VLAN 50. Son adresse source vers SRV-01 deviendra alors 172.16.50.252 : il faudra mettre à jour le client R1 dans SRV-01. En entreprise, on évite ce piège en figeant l'adresse source (ip radius source-interface sur une interface de bouclage), une commande à pratiquer au labo sur un vrai 1941.
8 Valider l'étape : le cahier de recette
N°
Test
Commande
Résultat attendu
OK
1
SSH v2 actif sur les cinq équipements
show ip ssh
« SSH Enabled - version 2.0 » sur R1, R2, SW1, SW2, SW3
2
Connexion nominative par RADIUS
ssh -l lperrin 172.16.99.11 depuis PC-DIR
Invite SW1> après le mot de passe
3
Telnet refusé
telnet 172.16.99.11 depuis PC-DIR
Aucune invite de mot de passe
4
Mauvais mot de passe
ssh -l lperrin 172.16.99.11 avec un mot de passe faux
Échec attendu
5
Compte local refusé serveur allumé
ssh -l admin 172.16.99.11
Échec attendu
6
Repli sur le compte local serveur coupé
AAA de SRV-01 sur Off, puis ssh -l admin 172.16.99.11
Connexion acceptée après un délai (invite SW1#, ou SW1> puis enable)
7
Les agences sont couvertes
ssh -l lperrin 172.16.60.250 depuis PC-DIR
Invite SW3> (à travers le WAN)
8
Plus de secret en clair
show running-config | include password sur R1
Aucun password de ligne, aucun password 0
9
Bannière légale
Nouvelle connexion SSH
Le message s'affiche avant (ou au moment de) l'invite de mot de passe
10
Cinq clients déclarés
SRV-01, Services → AAA → Network Configuration
R1, R2, SW1, SW2, SW3, chacun avec sa bonne adresse
Enregistre : FR-11-NOM-Prenom.pkt. Dans ton dossier, note les équipements, leur adresse source et l'endroit où est rangé chaque secret (jamais le secret lui-même).
Suis ta progressionConnecte-toi pour marquer les ressources comme terminées et retrouver ton avancement.