BTS SIO 2022 SLAM – Denas
Analyse détaillée et méthodologie complète

✓ Code Vulnérable vs Code Sécurisé ClientDao

Code actuel DANGEREUX (ligne 6) :

$req = "SELECT * FROM client WHERE login = '" . $login . "'";
$res = $connex->query($req);

Attaque par injection SQL : Un pirate saisit ' OR '1'='1 comme login. La requête devient WHERE login = '' OR '1'='1' qui est TOUJOURS vraie. Le pirate récupère tous les 300 clients avec leurs données sensibles sans connaître aucun login légitime.

Code sécurisé OBLIGATOIRE avec requêtes préparées :

// Ligne 6 : requête avec paramètre ? au lieu de concaténation
$req = "SELECT id, nom, login, pass, courriel FROM client WHERE login = ?";

// Ligne 7 : préparation de la requête
$prep = $connex->prepare($req);

// Ligne 8 : liaison du paramètre avec type STRING explicite
$prep->bindValue(1, $login, PDO::PARAM_STR);

// Ligne 9 : exécution sécurisée
$prep->execute();

// Ligne 10 : récupération résultat
$enreg = $prep->fetch(PDO::FETCH_OBJ);

✓ Implémenter la Vérification OTP dans verifLogin.php

Étape 1 - Récupération code OTP formulaire (après ligne 10) :

$otpForm = filter_input(INPUT_POST, 'otp', FILTER_SANITIZE_STRING);

Étape 2 - Vérification OTP après validation mot de passe (lignes 20-24) :

// Génère le code OTP attendu à cet instant
$uneDateTime = new DateTime();
$unOtp = new OTP($client);
$codeAttendu = $unOtp->getCode($uneDateTime);

// Compare avec code saisi par utilisateur
if ($otpForm != $codeAttendu) {
    $erreur = true;
    syslog(LOG_WARNING, "Erreur connexion client " . $loginForm . 
           ", cause : Erreur OTP");
}

Étape 3 - Journalisation connexion réussie (après ligne 20 dans le if password_verify) :

syslog(LOG_INFO, "Connexion client " . $client->getId());

Étape 4 - Journalisation erreur login/mdp (après ligne 15 dans le if $client == null) :

syslog(LOG_WARNING, "Erreur connexion client " . $loginForm . 
       ", cause : Erreur login/mot de passe");

✓ Méthode POST createDemande et Codes HTTP Appropriés

Implémentation DemandeRest.java :

@POST
public Response createDemande(Demande laDemandeJson) {
    boolean ret = DemandeService.create(laDemandeJson);
    
    if (ret == true) {
        // Création réussie : retourne code HTTP 201 CREATED
        return Response.status(Status.CREATED).build();
    } else {
        // Échec validation ou contraintes : retourne 400 BAD_REQUEST
        return Response.status(Status.BAD_REQUEST).build();
    }
}

Validation robuste verifDonneesCreate :

// Vérifie typeEchange vaut EXACTEMENT STANDARD, SILVER ou GOLD
if (Pattern.matches("STANDARD|SILVER|GOLD", laDem.getTypeEchange()) == false) {
    res = false;  // Refuse BRONZE, standard, Standard, etc.
}

// Contrôle date pas dans le futur (demande datée demain = fraude)
if (laDem.getDateDemande().after(new Date())) {
    res = false;
}

✓ Requête SQL Identifiant les Clients avec Demandes Abusives

SELECT c.id, c.nom, COUNT(p.numSerie) AS nbPieces
FROM Client c
JOIN Demande d ON c.id = d.idClient
JOIN Piece p ON d.id = p.idDemande
WHERE d.dateConfirmation IS NULL 
  AND d.dateDemande < NOW() - INTERVAL 24 HOUR
GROUP BY c.id, c.nom;

Explication logique : Joint Client → Demande → Piece pour compter les pièces bloquées. Filtre sur dateConfirmation IS NULL (demandes jamais confirmées) ET dateDemande < NOW() - 24 heures (anciennes de plus d'un jour). Groupe par client et compte le nombre de pièces immobilisées inutilement.

✓ Les 4 Exigences du Service Juridique

Exigence 1 - Confidentialité totale : Chiffrez documents avec la clé publique RSA du client (algorithme asymétrique). Seul le client possédant la clé privée correspondante peut déchiffrer. Un pirate interceptant le document chiffré ne peut pas le lire.

Exigence 2 - Authenticité et intégrité : Signez numériquement documents avec la clé privée de Denas. Le client vérifie la signature avec la clé publique Denas. Si la signature est valide, garantie que le document provient bien de Denas (authenticité) et n'a pas été modifié (intégrité). Toute modification invalide la signature.

Exigence 3 - Preuve de réception : Utilisez un service d'envoi recommandé électronique (ARE) certifiant date et heure de réception avec valeur légale. Alternative : accusé de lecture email avec horodatage qualifié. Constitue une preuve opposable en justice.

Exigence 4 - Signature engageante : Le client signe électroniquement le contrat avec un certificat électronique qualifié délivré par une Autorité de Certification reconnue (ChamberSign, Certinomis). Selon le règlement eIDAS européen, la signature électronique qualifiée a la MÊME valeur juridique qu'une signature manuscrite. Le contrat est juridiquement opposable.