Pare-feu (informatique) - Définition

Introduction

Un pare-feu, représenté par un mur de briques, pour cloisonner le réseau privé

Un pare-feu (firewall en anglais), dans le contexte du réseau informatique, est une métaphore utilisée pour désigner un logiciel et/ou un matériel, qui a pour fonction de faire respecter la politique de sécurité du réseau, celle-ci définissant quels sont les types de communication autorisés ou interdits.

Terminologie

Un pare-feu est parfois appelé coupe-feu, garde-barrière, barrière de sécurité, ou encore firewall en anglais. Dans un contexte OTAN, un pare-feu est appelé Périphérique de protection en bordure (en anglais : Border Protection Device, ou BPD). Dans un environnement BSD, un pare-feu est aussi appelé packet filter.

Fonctionnement général

Le pare-feu était jusqu'à ces dernières années considéré comme une des pierres angulaires de la sécurité d'un réseau informatique (il perd en importance au fur et à mesure que les communications basculent vers le HTTP sur SSL, court-circuitant tout filtrage). Il permet d'appliquer une politique d'accès aux ressources réseau (serveurs).

Il a pour principale tâche de contrôler le trafic entre différentes zones de confiance, en filtrant les flux de données qui y transitent. Généralement, les zones de confiance incluent Internet (une zone dont la confiance est nulle) et au moins un réseau interne (une zone dont la confiance est plus importante).

Le but ultime est de fournir une connectivité contrôlée et maîtrisée entre des zones de différents niveaux de confiance, grâce à l'application de la politique de sécurité et d'un modèle de connexion basé sur le principe du moindre privilège.

Le filtrage se fait selon divers critères. Les plus courants sont :

• l'origine ou la destination des paquets (adresse IP, ports TCP ou UDP, interface réseau, etc.) ;
• les options contenues dans les données (fragmentation, validité, etc.) ;
• les données elles-mêmes (taille, correspondance à un motif, etc.) ;
• les utilisateurs pour les plus récents.

Un pare-feu fait souvent office de routeur et permet ainsi d'isoler le réseau en plusieurs zones de sécurité appelées zones démilitarisées ou DMZ. Ces zones sont séparées suivant le niveau de confiance qu'on leur porte.

Enfin, le pare-feu est également souvent extrémité de tunnel IPsec ou SSL. L'intégration du filtrage de flux et de la gestion du tunnel est en effet nécessaire pour pouvoir à la fois protéger le trafic en confidentialité et intégrité et filtrer ce qui passe dans le tunnel. C'est le cas notamment de plusieurs produits du commerce nommés dans la liste ci-dessous.

Origine du terme

Le terme peut avoir plusieurs origines : le « pare-feu » ou « coupe-feu » est au théâtre un mécanisme qui permet, une fois déclenché, d'éviter au feu de se propager de la salle vers la scène.

Le mot fait aussi référence aux allées pare-feux qui en forêt sont destinées à bloquer les incendies de forêt, ou dans le domaine de l'architecture aux portes coupe-feux.

L'usage du terme « pare-feu » en informatique est donc métaphorique : une porte empêchant les flammes de l'Internet de rentrer chez soi et/ou de « contaminer » un réseau informatique.