Archives de catégorie : Chiffrement

Base de données, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Logiciels, Wordpress

Panama Papers : le résultat d’une sécurité informatique négligée

Sécurité informatique négligée – Le monde financier, politique et juridique a été bouleversé par les Panama Papers. Mais comment a-t-il été possible de voler 2,6 To de données appartenant à Mossack Fonseca ?

Au delà de l’affaire fiscale, politiciens, industriels et autres personnalités auraient utilisé des entreprises offshore pour réaliser de l’optimisation, Mossack Fonseca est aussi une affaire de sécurité informatique ! Même si nous n’avons encore aucune certitude sur la manière dont la fuite s’est précisément produite, c’est tout de même 2,6 To de données qui ont été volées chez Mossack Fonseca. Le cabinet-conseil juridique a déclaré que les données ont été volées à partir d’un serveur email attaqué, sans donner davantage de détails.

Plusieurs experts se sont penchés sur la question. Regardons quelques dérapages de cette sécurité informatique négligée :
Mossack Fonseca utilise WordPress pour son site internet. Comme nous le savons, il est important de mettre à jour les sites internet WordPress régulièrement à cause des failles qui ressortent très souvent. La version utilisée mi-avril a été mise à jour la dernière fois il y a cinq mois.
Le serveur WordPress utilisait le même serveur que la base de  données contenant tous les fichiers client.
Le site internet de Mossack Fonseca utilise un plug-in WordPress propice aux fuites : Revolution Slider. Le plug-in a été attaqué régulièrement depuis 2014. Même sanction pour son application dédiée aux offres d’emploi. Une révélation de ZATAZ.
Les détails d’identification du serveur mail étaient stockés en texte dans un autre plug-in WordPress.
Il y avait un portail où les clients pouvaient s’identifier. Une version de Drupal propice aux fuites était utilisée à ces fins et contenait 25 vulnérabilités différentes. Drupal n’a pas été mis à jour depuis 2013.
Le serveur email de Mossack Fonseca n’a pas été mis à jour depuis 2009 et contenait par conséquence beaucoup de failles de sécurité.
Le protocole hasardeux SSL v2 était utilisé pour le portail client.
Le site était vulnérable aux injections SQL.
Les mails n’étaient pas chiffrés.
Différents experts émettent également l’hypothèse qu’un espionnage interne pourrait être à l’origine de la fuite.

Même s’il est difficile de savoir si une ou plusieurs de ces failles ont été utilisées dans l’attaque, il parait évident que la sécurisation des informations du cabinet de conseil était trop faible. Mais le vol de données est un symptôme qui est présent dans tous les secteurs. D’une manière générale, la sécurité de l’information et l’informatique est bien souvent le parent pauvre des entreprises. Les directives de protection des données de la commission européenne qui vont rendre illégales l’attitude laxiste face à la sécurité des informations, ne peut qu’être bénéfiques. Même si l’on peut craindre qu’il n’y ait aucune action des entreprises jusqu’à ce que tombent les premières amendes.

Chiffrement, Cybersécurité, Entreprise, Mise à jour, Propriété Industrielle

Une erreur d’inattention : jusqu’à 15 millions de dollars

Erreur d’inattention – On peut perdre de l’argent à cause des fluctuations du marché ou d’un secteur d’activité. Mais lorsque l’on oublie de renouveler ses certificats SSL, les conséquences financières peuvent être catastrophiques pour l’entreprise – notamment en termes d’image de marque et de fiabilité auprès de vos prospects et clients.

D’après une étude, près des deux tiers des entreprises reconnaissent avoir déjà perdu des clients au cours des deux dernières années parce qu’elles avaient omis de sécuriser leur site Web avec les certificats appropriés. Une erreur d’inattention qui coûte ! Dès qu’un client perd confiance dans votre site Web – et par analogie, dans votre entreprise –, il risque d’aller voir ailleurs par crainte pour la sécurité de ses données. Si un site Web n’est pas sécurisé, l’entreprise expose ses données à des risques de violation dont les conséquences financières peuvent se chiffrer en millions d’euros. Un simple oubli à la date de renouvellement de ses certificats suffit à déclencher une avalanche de frais : interventions en cas d’incident, dommages et intérêts, frais de justice, sanctions financières et relations publiques…

D’après un rapport Ponemon de 2015, l’entreprise « moyenne » a déjà connu plus de deux défaillances système ces deux dernières années à cause de « pannes en rapport avec des certificats ».  Pour une panne non programmée liée aux certificats, le coût moyen avoisine 15 millions de dollars (USD).

Étude de cas Microsoft Azure
En 2013, la plate-forme cloud Azure de Microsoft a connu une panne mondiale à cause d’un certificat SSL expiré. L’incident s’est produit au moment même où l’on signalait des problèmes sur les services Xbox Music et Xbox Video de Microsoft. L’annonce est survenue le jour où Microsoft reconnaissait avoir été victime de la même cyberattaque qu’Apple et Facebook. Comme l’on peut l’imaginer, ses nombreux clients ont dû être informés, son service des relations presse a dû gérer la communication autour de la situation et Microsoft a enregistré un important manque à gagner pendant l’attaque.

Comment s’assurer que son site est protégé ?
Face au risque croissant des cyberattaques, les sociétés d’audit traquent les normes et les réglementations auxquelles les entreprises devront se conformer pour démontrer l’absence de risques pour leurs clients ou leurs données. Pour savoir quelles sont les mesures de mise en conformité à prendre, on peut se rendre sur le site IT Governance pour consulter les pages consacrées aux normes publiées.

Depuis que des sociétés comme Google notent mieux les entreprises dont les sites sont sécurisés, le sujet est d’actualité dans les entreprises et les départements responsables de la sécurité des systèmes d’information.

Faire un audit interne
Commencer par rassembler l’ensemble de ses certificats actuels et de ses clés pour identifier les éventuelles failles.

L’entreprise peut d’ores et déjà utiliser l’outil gratuit mis à disposition par GlobalSign pour vérifier ses serveurs Web. Si l’on est client de GlobalSign, on peut également utiliser l’outil d’inventaire de certificats pour vérifier gratuitement l’emplacement de ses certificats et leur date de renouvellement.

Répertorier les dates d’expiration pour chaque certificat et les consigner dans un endroit facile à mémoriser. Pour se faciliter la tâche, la personne chargée de la sécurité des systèmes d’information peut éventuellement programmer un rappel dans son calendrier avant la date d’expiration de chacun de ses certificats pour effectuer les mises à jour dans les délais et éviter que le site de son entreprise ne se retrouve en situation de vulnérabilité. L’on peut également envisager une solution Managed SSL pour contrôler ses certificats via une plate-forme en ligne et être prévenu lorsqu’un certificat doit être renouvelé.

Faites appliquer les règles en interne
Après avoir pris connaissance des normes ISO, GlobalSign recommande de mettre en place les processus adéquats dans son entreprise et de les documenter pour que chacun soit, dans la mesure du possible, informé des mesures prises, des raisons sous-jacentes et de son rôle.

Des formations doivent également être mises en place à l’échelle de l’entreprise pour expliquer à ses collaborateurs les changements entrepris. Autre objectif de ces formations : éviter que les collaborateurs ne soient victimes d’arnaques de type phishing (hameçonnage) ou qu’ils exposent inutilement des données sensibles avec le risque de compromettre les données de l’entreprise.

Voici un exemple de procédures à mettre en œuvre pour assurer la protection interne et externe d’une entreprise au niveau physique et en ligne :
Carte magnétique/Badge permettant d’accéder aux bâtiments, bureaux et salles avec des niveaux d’autorisation différents en fonction des collaborateurs
Règlement intérieur prévoyant des formations régulières pour les collaborateurs sur les bonnes pratiques et les moyens de détecter et de signaler d’éventuelles menaces et problèmes de sécurité. Authentification à deux facteurs pour l’accès des collaborateurs aux machines, terminaux, réseaux et portails en ligne. Signature numérique des e-mails permettant de garantir l’authenticité de l’auteur des messages, d’éviter toute modification non autorisée des messages et de chiffrer les messages contenant des données et des informations sensibles. (GlobalSign)

Biométrie, Chiffrement, cryptage, Cybersécurité, Entreprise, Justice, loi

Empreintes biométriques, le FBI veut sa BDD

Le FBI vient d’annoncer qu’elle trouvait judicieux de pouvoir stocker toutes les informations concernant les empreintes biométriques, dans un espace de stockage qui lui serait propre.

Le FBI propose de sauvegarder toutes les empreintes biométriques, dans ses locaux, que les Américains auront pu soumettre à l’administration de l’Oncle Sam. Les Américains, mais pas seulement. Si vous avez fait une demande de visa, par exemple, vos données pourraient être sauvegardées et stockées dans la base de données du FBI.

Connu comme le système d’identification de prochaine génération (NGIS), la base de données contiendra les enregistrements des passeports, des contrôles de sécurité, et les informations des traitements judiciaires, comme ceux enregistrés lors d’une arrestation. Il n’y aura pas que les empreintes digitales de vos doigts. NGIS prévoit de sauvegarder les scans d’iris, du visage, palmaires, et toute autre information corporelles qui peuvent être recueillies dans le cadre d’une interaction avec l’agence gouvernementale.

Le FBI explique que sa base de données doit être considérée comme sensible, donc exemptée du contrôle effectué par la Loi sur la protection des renseignements personnels. Bilan, personne ne pourra lui demander le moindre compte. Le FBI a ajouté que l’agence pourrait utiliser les données pour arrêter de futurs criminels. On ne sait pas combien de personnes sont dans cette base de données. L’Electronic Frontier Foundation a déclaré en 2014 que le FBI prévoyait d’avoir plus de 52 millions de photos dans cette « BDD » d’ici la fin de l’année 2015. Le législateur à jusqu’au 6 juin pour freiner les hardeurs du FBI. (Zdnet)

Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, Fuite de données, ID, Identité numérique, Leak, Linkedin, Particuliers, Piratage

Notification d’infraction aux données : linkedIn

La société LinkedIn vient de communiquer sur son « problème » de fuite de données. Voici ses propos et sa notification d’infraction aux données.

« Vous avez pu récemment entendre parler de problème de sécurité à LinkedIn. Nous souhaitions nous assurer que vous disposiez des faits réels, des données concernées et des mesures que nous prenons pour vous protéger.

Que s’est-il passé ?
Le 17 mai 2016, nous avons découvert que des données volées en 2012 de LinkedIn ont été mises à disposition en ligne. Il ne s’agit pas d’une nouvelle infraction ou d’un hack. Nous avons pris des mesures immédiates pour invalider tous les mots de passe des comptes que nous estimons affectés. Il s’agit des comptes créés avant 2012 qui n’avaient pas mis leur mot de passe à jour après l’infraction.

Quelles sont les données concernées ?
Les adresses e-mail des membres, les mots de passe chiffrés et l’ID LinkedIn (identifiant interne attribué à chaque profil de membre) de 2012.

Nos mesures
Nous avons invalidé les mots de passe de tous les comptes créés avant l’infraction de 2012 qui n’avaient pas réinitialisé les mots de passe depuis. De plus, nous utilisons des outils automatiques pour identifier et bloquer toute activité suspicieuse qui se produirait sur les comptes LinkedIn. Nous collaborons également avec les forces de l’ordre.

LinkedIn a pris des mesures importantes depuis 2012 pour renforcer la sécurité des comptes. Nous avons ajouté des couches de protection supplémentaires au stockage des mots de passe et offrons la possibilité à nos membres d’activer la vérification en deux étapes pour plus de sécurité.

Vos options
Nous avons plusieurs équipes dédiées à la sécurité des données confiées par nos membres à LinkedIn. De votre côté, pour renforcer la sécurité de vos comptes, nous vous suggérons d’accéder au Centre de sécurité pour apprendre à activer la vérification en deux étapes et à créer des mots de passe résistants. Nous recommandons que vous changiez régulièrement de mot de passe et que si vous utilisez des mots de passe similaires, ou les mêmes, sur d’autres sites web, vous les changiez aussi.

Pour plus d’informations
Si vous avez des questions, veuillez contacter notre équipe Sécurité tns-help@linkedin.com. Pour en savoir plus, lisez notre blog officiel. »

Chiffrement, cryptage, cryptolocker, Cybersécurité, ransomware

Ransomware: +30% d’attaques en 3 mois

Le ransomware a dépassé les attaques de type APT (menaces persistantes avancées) pour devenir le principal sujet d’actualité du trimestre. 2900 nouvelles variantes de malwares au cours de ces 92 jours.

Selon le rapport de Kaspersky Lab sur les malwares au premier trimestre, les experts de la société ont détecté 2900 nouvelles variantes de malwares au cours de cette période, soit une augmentation de 14 % par rapport au trimestre précédent. 15 000 variantes de ransomware sont ainsi dorénavant recensés. Un nombre qui va sans cesse croissant. Pourquoi ? Comme j’ai pu vous en parler, plusieurs kits dédiés aux ransomwares sont commercialisés dans le blackmarket. Autant dire qu’il devient malheureusement très simple de fabriquer son arme de maître chanteur 2.0.

Au premier trimestre 2016, les solutions de sécurité de l’éditeur d’antivirus ont empêché 372 602 attaques de ransomware contre leurs utilisateurs, dont 17 % ciblant les entreprises. Le nombre d’utilisateurs attaqués a augmenté de 30 % par rapport au 4ème trimestre 2015. Un chiffre à prendre avec des pincettes, les ransomwares restant très difficiles à détecter dans leurs premiéres apparitions.

Locky , l’un des ransomwares les plus médiatisés et répandus au 1er trimestre
Le ransomware Locky est apparu, par exemple, dans 114 pays. Celui-ci était toujours actif début mai. Un autre ransomware nommé Petya est intéressant du point de vue technique en raison de sa capacité, non seulement à crypter les données stockées sur un ordinateur, mais aussi à écraser le secteur d’amorce (MBR) du disque dur, ce qui empêche le démarrage du système d’exploitation sur les machines infectées.

Les trois familles de ransomware les plus détectées au 1er trimestre ont été Teslacrypt (58,4 %), CTB-Locker (23,5 %) et Cryptowall (3,4 %). Toutes les trois se propagent principalement par des spams comportant des pièces jointes malveillantes ou des liens vers des pages web infectées. « Une fois le ransomware infiltré dans le système de l’utilisateur, il est pratiquement impossible de s’en débarrasser sans perdre des données personnelles. » confirme Aleks Gostev, expert de sécurité en chef au sein de l’équipe GReAT (Global Research & Analysis Team) de KL.

Une autre raison explique la croissance des attaques de ransomware : les utilisateurs ne s’estiment pas en mesure de combattre cette menace. Les entreprises et les particuliers n’ont pas conscience des contre-mesures technologiques pouvant les aider à prévenir une infection et le verrouillage des fichiers ou des systèmes, et négligent les règles de sécurité informatique de base, une situation dont profitent les cybercriminels entre autres. Bref, trop d’entreprise se contente d’un ou deux logiciels de sécurité, se pensant sécurisées et non concernées. L’éducation du personnel devrait pourtant être la priorité des priorités.

Android, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Mise à jour, Piratage, Smartphone, Téléphonie

Forte hausse des applications Android malveillantes

Les applications Android malveillantes et les ransomwares dominent le paysage des menaces au 1er trimestre 2016.

La société Proofpoint a publie son Rapport trimestriel sur les menaces, qui analyse les menaces, les tendances et les transformations observées au sein de notre clientèle et sur le marché de la sécurité dans son ensemble au cours des trois derniers mois. Chaque jour, plus d’un milliard de courriels sont analysés, des centaines de millions de publications sur les réseaux sociaux et plus de 150 millions d’échantillons de malwares afin de protéger les utilisateurs, les données et les marques contre les menaces avancées. On apprend, entre autres, que 98 % des applications mobiles malveillantes examinées au 1er trimestre 2016 ont ciblé des appareils Android. Cela demeure vrai en dépit de la découverte médiatisée d’un cheval de Troie pour iOS et de la présence persistante d’applications iOS ou officieuses dangereuses. Les applications Android malveillantes sont de plus en plus nombreuses.

75 % des attaques de phishing véhiculées par des e-mails imposteurs comportent une adresse «répondre à » usurpée afin de faire croire aux destinataires que l’expéditeur est une personne représentant une autorité. Ce type de menaces est de plus en plus mature et spécialisé, et c’est l’un des principaux ciblant les entreprises aujourd’hui, qui leur auraient coûté 2,6 milliards de dollars au cours des deux dernières années selon les estimations.

Applications Android malveillantes

Les ransomwares se sont hissés aux premiers rangs des malwares privilégiés par les cybercriminels. Au 1er trimestre, 24 % des attaques par e-mail reposant sur des pièces jointes contenaient le nouveau ransomware Locky. Seul le malware Dridex a été plus fréquent.

L’e-mail reste le principal vecteur de menaces : le volume de messages malveillants a fortement augmenté au 1er trimestre 2016, de 66 % par rapport au 4ème trimestre 2015 et de plus de 800 % comparé au 1er trimestre 2015. Dridex représente 74 % des pièces jointes malveillantes.

Chaque grande marque analysée a augmenté ses publications sur les réseaux sociaux d’au moins 30 %. L’accroissement du volume des contenus générés par les marques et leurs fans va de pair une accentuation des risques. Les entreprises sont constamment confrontées au défi de protéger la réputation de leurs marques et d’empêcher le spam, la pornographie et un langage grossier de polluer leur message.

Les failles de Java et Flash Player continuent de rapporter gros aux cybercriminels. Angler est le kit d’exploitation de vulnérabilités le plus utilisé, représentant 60 % du trafic total imputable à ce type d’outil. Les kits Neutrino et RIG sont également en progression, respectivement de 86 % et 136 %. (ProofPoint)

Chiffrement, Cyber-attaque, Cybersécurité, Leak, Mise à jour, Patch, Piratage, ransomware

Développement rapide des cybermenaces sur mesure

Des cybermenaces régionalisées, avec des langues, des styles et des méthodes de paiement locaux.

Une étude menée par les SophosLabs, de l’éditeur de solution de sécurité informatique éponyme, indique une tendance à l’augmentation, chez les cybercriminels, du ciblage et de la sélection spécifique de certains pays lors de la conception de leurs ransomwares et autres cyberattaques malveillantes. Cette étude intègre des informations émanant de plus d’un million de systèmes de par le monde qui ont été analysées.

Afin d’atteindre davantage de victimes avec leurs attaques, les cybercriminels conçoivent aujourd’hui des spams sur-mesure pour déployer leurs menaces en utilisant un langage, des styles et des méthodes de paiement locaux, pour une meilleure compatibilité culturelle. Les ransomwares sont malicieusement déguisés en authentiques notifications par email, en imitant des logos locaux, pour plus de crédibilité, plus de probabilité d’être cliqués et une meilleure rentabilité pour les cybercriminels. Afin d’avoir la meilleure efficacité possible, ces spams par email imitent par exemple l’agence postale locale, les services des impôts ou de police, les entreprises fournissant l’eau, le gaz, l’électricité, en utilisant des fausses confirmations d’envoi et de remboursement, de fausses amendes pour excès de vitesse, ou encore de fausses factures d’électricité. Une augmentation notable des spams dans lesquels les textes sont mieux orthographiés et ponctués, avec une meilleure structure grammaticale. « Vous devez faire davantage attention pour différencier les faux emails des vrais », déclare Chester Wisniewski, Senior Security Advisor chez Sophos à DataSecurityBreach.fr. « Etre au courant des tactiques et techniques utilisées dans votre région ou pays devient un aspect fondamental de la cybersécurité ».

Les experts ont aussi repéré une tendance nette à l’apparition de différents types de ransomwares qui ciblent des lieux spécifiques. Les différentes versions de CryptoWall frappent en priorité les Etats-Unis, le Royaume-Uni, le Canada, l’Australie, l’Allemagne et la France. TorrentLocker attaque principalement le Royaume-Uni, l’Italie, l’Australie et l’Espagne et TeslatCrypt, quant à lui, sévit au Royaume-Uni, aux Etats-Unis, au Canada, à Singapour et en Thaïlande. Les analyses montrent également le TER[1] (Threat Exposure Rates) par pays, sur les 3 premiers mois de 2016. Bien que les économies des pays occidentaux soient une cible principale, leurs TER sont plutôt faibles. Les pays classés avec un TER faible sont la France avec 5.2%, le Canada avec 4.6%, l’Australie avec 4.1%, les Etats-Unis avec 3%, et le Royaume-Uni avec 2.8%. L’Algérie avec 30.7%, la Bolivie avec 20.3%, le Pakistan avec 19.9%, la Chine avec 18.5% et l’Inde avec 16.9%, sont les pays avec les plus forts pourcentages de systèmes exposés à des attaques par malwares. ZATAZ.COM avait été l’un des premiers blog dédié à la protection numérique à annoncer la vente de « kit » pirate de création de ransomware.

« Même le blanchiment d’argent est ciblé géographiquement afin d’être plus lucratif. L’utilisation des cartes de crédit peut s’avérer risquée pour les cybercriminels. Ils ont ainsi commencé à utiliser des méthodes de paiement anonymes sur Internet, afin d’extorquer de l’argent à leurs cybervictimes via les ransomwares », a déclaré Wisniewski à Data Security Breach. « Nous avons pu observer des cybercriminels utiliser les équivalents locaux de cartes de paiement en ligne ou en magasin, telles que la carte prépayée Green Dot MoneyPak chez Walgreens aux Etats-Unis, ou encore Ukash, à présent paysafecard, utilisée dans plusieurs magasins au Royaume-Uni ». L’idée de sélectionner des pays en particulier est aussi ressortie de l’étude comme une tendance forte.

Les cybercriminels programment leurs attaques afin d’éviter certains pays ou certains types de clavier avec un langage particulier. Un phénomène qui apparaît pour plusieurs raisons. Il peut s’agir de la volonté des cybercriminels que ces attaques ne se produisent pas à proximité du point d’envoi, afin d’éviter toute détection. Il peut s’agir aussi d’un sentiment de fierté nationale, ou encore d’une stratégie conspirationniste afin de créer le doute à propos d’un pays en particulier, en l’épargnant lors du lancement de l’attaque.

Les banques sont un bon exemple de l’utilisation par les cybercriminels de malwares ciblant un endroit en particulier pour augmenter leurs gains. L’étude révèle, en effet, comment de manière historique les Trojans et malwares utilisés pour infiltrer les banques ou les institutions financières convergent vers des régions spécifiques :

·         Brazilian Banker Trojans et ses variantes ciblent le Brésil.
·         Dridex est présent davantage aux États-Unis et en Allemagne.
·         Trustezeb se rencontre plus dans les pays germanophones.
·         Yebot est populaire à Hong Kong et au Japon.
·         Zbot est plus répandu aux États-Unis, au Royaume-Uni, au Canada, en Allemagne, en Italie, en Espagne et au Japon.

Il existe une véritable industrie artisanale visant à créer des Trojans sur-mesure, prenant pour cible uniquement les banques brésiliennes. Maintenant que les cybercriminels créent des menaces qui semblent vraiment authentiques et qui sont ciblées, il est de plus en plus difficile de reconnaitre les spams malveillants. Les utilisateurs de PC domestiques sont souvent les cibles de telles attaques et doivent protéger leurs systèmes vis-à-vis de ces menaces sophistiquées.

Bitcoin, Chiffrement, cryptage, Cybersécurité, ransomware, Social engineering

Ransomwares : règles pour ne pas finir chiffré

Le ransomware est un logiciel malveillant qui infecte les équipements connectés, les réseaux et les centres de données. Ces derniers ne peuvent plus être utilisés tant qu’une rançon n’a pas été payée pour débloquer les systèmes infectés. Des attaques qui se sont démultipliées ces derniers mois.

Le ransomware existe depuis au moins 1989, à l’époque où le cheval de troie “PC Cyborg” cryptait des dossiers sur un disque dur et forçait les utilisateurs à payer 189 $ pour les récupérer. Depuis, les attaques de type ransomware sont devenues beaucoup plus sophistiquées, ciblées, et bien sûr lucratives. Même si ce protéger est dès plus simple (réflexion, éducation, anticipation), les attaques ont démontré que les internautes n’étaient toujours pas prêts face à un courriel mystérieux.

L’impact et la toxicité d’un ransomware sont difficiles à évaluer, car de nombreuses sociétés choisissent tout simplement de payer pour récupérer leurs données, une démarche qui n’est pas toujours la plus pertinente. Un rapport portant sur la campagne liée au ransomware Cryptowall v3, datant d’octobre 2015 et réalisé par la Cyber Threat Alliance, estimait que le coût engendré par cette seule attaque d’envergure ressortait à 325 millions de dollars.

Un ransomware utilise des modi operandi différents. Un crypto ransomware peut contaminer un système d’exploitation au point d’empêcher l’équipement de démarrer. D’autres ransomware vont crypter un lecteur ou un ensemble de fichiers et de dossiers. Certaines variantes, particulièrement malveillantes, disposent d’un minuteur qui déclenche la suppression des fichiers jusqu’au paiement de la rançon. Quelle que soit la variante, les ransomware exigent le règlement d’une rançon afin de débloquer ou libérer les systèmes informatiques, fichiers ou données verrouillés ou chiffrés.

Comment est-on infecté ?

Un ransomware peut être inoculé de différentes manières, mais, le plus souvent, il prend la forme d’un fichier infecté joint à un email. Par exemple, aujourd’hui, vous avez peut-être reçu un email prétendument envoyé par votre banque. Il comporte le bon logo, des liens URL vers votre véritable banque et votre nom. Le message vous indique qu’une activité suspecte a été détectée sur votre compte bancaire, et que vous devez installer le fichier joint à l’email afin de vérifier vos codes d’accès à votre compte en ligne. Ces vérifications semblent légitimes, mais il s’agit, en réalité, d’une attaque par phishing.

Vous le savez : aucune banque ne se permettrait d’envoyer un fichier à installer, surtout s’il s’agit de vérifier vos identifiants d’accès bancaire. En réalité, le document joint est vérolé par un ransomware dont l’objectif est de s’installer sur votre système d’exploitation si vous cliquez dessus.

Les documents joints aux emails ne constituent néanmoins pas les seuls leviers de contamination. Le téléchargement “drive-by” en est un autre : l’utilisateur visite un site web infecté et télécharge furtivement un logiciel malveillant qui s’installe à l’insu de l’utilisateur. Le ransomware se propage également via les réseaux sociaux ou les applications web de messagerie instantanée. Enfin, récemment, ce sont des serveurs web vulnérables qui ont été exploités pour servir de point d’entrée vers le réseau d’une entreprise.

Comment ne pas se faire piéger ?

Voici dix conseils pour protéger vos données et celles de votre entreprise des ravages d’un ransomware.

1.       Mettre en place une stratégie de sauvegarde et de restauration. Sauvegardez vos données régulièrement et stockez-les offline, sur un équipement autre que celui que vous utilisez.

2.       Utilisez des outils professionnels de sécurité email et web, capables d’analyser les documents joints aux emails, les sites web visités, les fichiers infectés par des logiciels malveillants, et qui peuvent bloquer des publicités potentiellement dangereuses, ainsi que l’accès à des sites et réseaux sociaux qui ne présentent aucun intérêt dans le cadre du travail. Ces outils doivent intégrer les fonctionnalités d’une sandbox de manière à ce qu’un fichier, nouvellement identifié ou non reconnu, puisse être exécuté et analysé dans un environnement sécurisé et cloisonné.

3.       Faites en sorte que vos systèmes d’exploitation, équipements et logiciels soient patchés et à jour.

4.       Assurez-vous que vos équipements, antivirus réseau, systèmes de prévention d’intrusion et outils antimalware bénéficient des mises à jour les plus récentes.

5.       Si possible, utilisez une liste d’applications qui empêchera les applications non conformes d’être téléchargées ou exécutées.

6.       Segmentez votre réseau en zones de sécurité, pour empêcher une infection présente dans une zone de se propager à d’autres.

Établissez et appliquez des autorisations et privilèges d’accès, de manière à ce qu’un nombre restreint d’utilisateurs présente le potentiel de contaminer les applications métiers, les données ou les services critiques.

8.       Établissez et mettez en vigueur une politique de sécurité qui va encadrer le BYOD (Bring your Own Device), afin d’inspecter et de désactiver les dispositifs non conformes à vos exigences de sécurité (absence d’anti-malware, signatures antivirales périmées, systèmes d’exploitation non patchés, etc.).

9.       Déployez des outils d’analyse post-incident pour analyser, suite à une attaque, l’origine de la menace, le délai de présence (et donc de nocuité) du logiciel malveillant au sein de votre environnement, la suppression réelle de la menace de chaque équipement et garantir que cette mésaventure ne peut se reproduire.

10.   ESSENTIEL: ne comptez PAS sur vos collaborateurs pour assurer la sécurité de votre entreprise. Même s’il est important de les sensibiliser davantage à la sécurité aux travers de formations (afin qu’ils apprennent à ne pas télécharger de fichiers, cliquer sur des pièces jointes à des emails suspects ou sur des liens internet non sollicités). L’être humain reste le maillon faible de votre chaîne de sécurité, et vous devez en tenir compte.

En effet, pour nombre de vos collaborateurs, cliquer sur des documents joints et faire des recherches sur Internet font partie de leur travail. Il est difficile d’être toujours méfiant. D’autre part, les attaques de type phishing sont devenues très convaincantes. Une attaque par phishing ciblée se sert de données disponibles en ligne et de profils sur les réseaux sociaux pour personnaliser son approche. Notons également qu’il est humain de cliquer naturellement sur une facture inattendue à régler, ou sur un message d’alerte provenant de votre banque. Enfin il ressort de nombreuses études que les utilisateurs ont le sentiment qu’assurer la sécurité est le travail de quelqu’un d’autre, mais certainement pas le leur.

Que faire si vous êtes contaminé ?

Si vous disposez d’une sauvegarde récente de vos données : vous pouvez effacer le contenu de votre équipement et procéder à la restauration.

1. Signalez le délit

Une recherche rapide en ligne vous mènera vers le site où signaler les cybercrimes dans votre pays ou région. En Europe, vous pouvez localiser le site de signalement des cybercrimes de votre pays à cette adresse.

2. Payer une rançon ne constitue pas une garantie

Payer une rançon ne garantit pas la restitution des fichiers. Les escrocs, en revanche, perçoivent les fonds et, dans certains cas, disposent des informations bancaires de leur victime. De plus, décrypter des fichiers ne signifie pas que le phénomène de contagion lié au logiciel malveillant a été éradiqué.

3. Faites appel à des experts

De nombreux systèmes d’exploitation, logiciels et solutions de sécurité sont fournis pas des acteurs qui comptent dans leurs équipes des experts capables de vous prodiguer des conseils sur la manière de réagir en cas d’infection. Des sociétés de services peuvent également vous proposer de réaliser des expertises post-incident et accélérer la reprise suite à un tel sinistre.

4. Prévoyez un plan B

Que faire si vos systèmes informatiques ou réseaux sont indisponibles ? Disposez-vous d’un plan de secours ? Pouvez-vous assurer le bon déroulement des opérations, même en mode restreint, pendant le processus de restauration ? Connaissez-vous le coût horaire subi par votre entreprise en cas d’indisponibilité système ? Ce coût est-il intégré à votre budget informatique ? Autant d’informations qui doivent être prises en compte dans votre politique de sécurité.

Bref, la cybercriminalité est une entreprise à but lucratif générant des milliards de revenus. Avec le même objectif que la plupart des entreprises, les cybercriminels sont très motivés quand il s’agit de trouver des moyens de s’enrichir. Mais contrairement aux entreprises, la fin justifie les moyens. Les cybercriminels misent sur des subterfuges, l’extorsion de fonds, des attaques, des menaces et des techniques d’ingénierie sociale pour accéder à vos données critiques et vos ressources.

Le ransomware n’est guère nouveau mais son récent essor, sa sophistication et sa rapidité de frappe soulignent une tendance orientée à la hausse et une volonté d’identifier de nouveaux moyens d’escroquer les particuliers et les entreprises qui sont en ligne.

Maintenant, plus que jamais, la sécurité n’est pas juste un élément à rajouter à votre métier. Elle est devenue indispensable pour mener vos opérations. Faites en sorte d’établir des partenariats avec des experts en sécurité qui comprennent que la sécurité ne se résume pas à activer un boîtier dans un centre de données. Il s’agit, au contraire, d’un ensemble de technologies intégrées et collaboratives, associé à une politique de sécurité efficace et à une approche par étapes qui prend en compte les phases de préparation, de protection, de détection, de réaction et d’apprentissage.

Les solutions de sécurité doivent pouvoir partager leurs informations de veille sur les menaces et neutraliser rapidement toute menace à l’échelle de votre environnement multisite. Elles doivent être intégrées au cœur de votre réseau et vous protéger de manière transparente et sur le long terme, à mesure que votre réseau évolue et se développe. Ces solutions doivent savoir s’adapter rapidement lorsque de nouvelles menaces apparaissent et, bien sûr, ne pas ralentir vos activités métiers au quotidien. (Guillaume Lovet, expert en cybercriminalité chez Fortinet)

Chiffrement, cryptage, Cybersécurité, Social engineering

Générer un mot de passe indéchiffrable, possible ?

A l’occasion de la Journée du Mot de Passe, les meilleurs conseils aux utilisateurs pour éviter que leurs codes secrets ne soient découverts.

Le 5 mai était la Journée Mondiale du Mot de Passe. Une idée marketing lancée par des éditeurs de solution de sécurité informatique. Pour marquer cette date d’une pierre blanche, plusieurs éditeurs ont analysé les habitudes des utilisateurs. Avast Software par exemple propose des recommandations pour créer et protéger des mots de passe indéchiffrables.

Créer des mots de passe fiables et les modifier fréquemment
Une actualité ponctuée d’histoires comme celles de la faille d’Ashley Madison, le site de rencontres extra-conjugales, démontre que les gens n’utilisent pas correctement leurs mots de passe. Les utilisateurs ne créent pas de codes assez fiables et il est certain qu’ils ne les changent pas régulièrement – même face au risque de voir leurs données sensibles et leurs potentielles frasques exposées, ou leur mariage brisé. Les utilisateurs créent des mots de passe facilement déchiffrables souvent par manque d’information ou par paresse, en témoigne la liste des codes les plus souvent utilisés compilée par les chercheurs. Dans le top 10 :

1.       123456
2.       123456789
3.       password
4.       101
5.       12345678
6.       12345
7.       Password1
8.       qwerty
9.       1234
10.      111111

Cette liste comprend les mots de passe les plus simples, tels que 123456, password, et qwerty. D’autres se retrouvent plus bas dans la liste comme iloveyou (#19) ou trustno1 (#57) – une ironie pour un code figurant dans la liste des mots de passe les plus populaires. « Certains pensent qu’une liste de mots de passe seuls qui fuite en ligne n’est pas un problème – cependant, environ 50 % de ces mots de passe étaient associés à une adresse mail, déclare le chercheur d’Avast Michal Salat. Nous savons que les gens utilisent les mêmes combinaisons de mails et de mots de passe pour différents comptes. C’est pourquoi si un hacker connait le mot de passe de votre profil Ashley Madison, il connaitra également celui de votre Facebook, Amazon, eBay, etc. »

Comment créer des mots de passe fiables ?

Il n’y a pas de meilleure occasion que le 5 mai pour commencer à changer ses habitudes et protéger ses codes. Voici quelques conseils pour garder un mot de passe fiable et sécurisé. Je vais être honnete avec vous, si vous ne prenez pas 5 minutes pour réfléchir à votre sécurité et à la bonne gestion de vos précieux, passez votre chemin !

Domus tutissimum cuique refugium atque receptaculum sit

·         Créer des mots de passe longs et complexes. Il suffit de reprendre une phrase d’un livre que vous aimez. N’oubliez pas d’y placer quelques chiffres, majuscules et signes de ponctuations.
·         Utiliser un mot de passe différent pour chaque compte. Lors de les conférences, je fais sortir les clés des participants. Une clé pour chaque porte (voiture, boite aux lettres, maison, bureau…). En informatique, il faut la même régle pour ses mots de passe.
·         Ne pas partager ses mots de passe. C’est peut-être une proposition idiote au premier abord, mais combien de fois, lors d’ateliers que je propose dans les écoles, j’entends le public m’expliquer avoir partager avec son ami, son voisin… sa clé wifi !
·         Changer ses mots de passe régulièrement. Pour mon cas, il change tous les 35 jours. Je ne suis pas à l’abris du vol d’une base de données dans les boutiques, sites… que j’utilise.
·         Utiliser un gestionnaire de mot de passe pour mémoriser ses mots de passe ? Je suis totalement contre. Il en existe beaucoup. Mais faire confiance à un outil dont on ne maîtrise ni le code, ni la sécurité, me parait dangereux. Beaucoup d’utilisateurs y trouvent un confort. L’ensemble de vos mots de passe sont regroupés dans une solution informatique qui chiffre les données. Un seul mot de passe est requis pour utiliser n’importe quel compte sauvegardé. Bref, vaut mieux ne pas perdre ce précieux cerbére !
·         Verrouiller son matériel avec un mot de passe. Les systèmes existent. utilisez les. Je croise bien trop d’ordinateur s’ouvrant d’une simple pression sur la touche « Entrée ».
·         Activer la double-authentification ou l’authentification forte. Indispensable aide. Téléphone portable, sites Internet, Facebook, Twitter… La double authentification renforce l’accès à vos espaces. En cas de perte, vol, piratage de votre précieux. Sans la double authentification, impossible d’accèder à vos données.

De son côté TeamViewer rappele aussi qu’il est déconseillé de fournir des informations personnelles identifiables : Utiliser plusieurs mots de passe forts peut impliquer quelques difficultés de mémorisation. Aussi, afin de s’en souvenir plus facilement, beaucoup d’utilisateurs emploient en guise de mot de passe des noms et des dates qui ont une signification personnelle. Les cyber-délinquants peuvent cependant exploiter des informations accessibles publiquement et des comptes de réseaux sociaux pour trouver ces informations et s’en servir pour deviner les mots de passe.

backdoor, Chiffrement, cryptage, Cybersécurité, Facebook, ID, Identité numérique

Une faille du Login de Facebook corrigée

Les pirates se faisaient passer pour les titulaires des comptes en exploitant une faille du Login de Facebook.

Les Bitdefender Labs ont révélé une vulnérabilité  lors de l’authentification en ligne sur des sites Web tiers via Facebook. Un manque de mesure de sécurité lors de la validation permet aux pirates d’usurper l’identité des internautes et d’accéder, sans mot de passe, à leurs comptes en ligne.

Les social logins sont une alternative à l’authentification traditionnelle et un mode apprécié par les utilisateurs pour leur côté pratique : ils permettent aux utilisateurs de se connecter à leurs comptes Web sans saisir leur nom d’utilisateur ni leur mot de passe. La plupart des sites offrent des social logins via Facebook, LinkedIn, Twitter ou Google Plus. Les chercheurs des Bitdefender Labs ont trouvé un moyen d’usurper l’identité de l’utilisateur et d’avoir accès à ses comptes Web en utilisant le plug-in Facebook Login.

« Il s’agit d’une vulnérabilité grave qui permet aux pirates de créer un compte avec une adresse e-mail ne leur appartenant pas et de changer l’adresse e-mail liée au compte d’un site par une autre adresse non vérifiée », prévient Ionut Cernica, chercheur spécialiste des vulnérabilités chez Bitdefender. « Cela signifie qu’un pirate peut effectuer des paiements en ligne au nom de l’utilisateur, arrêter son moteur antivirus pour infecter ses périphériques, propager des malwares à ses contacts et bien plus encore. »

Pour que l’attaque réussisse, l’adresse e-mail de la victime ne doit pas déjà être enregistrée sur Facebook. La plupart des internautes ont plus d’une adresse e-mail publiée sur différents sites Web, accessibles à tout le monde. Il est donc assez simple pour le pirate d’obtenir une de ces adresses et de créer un compte Facebook avec cette dernière.

Pour vérifier l’identité d’un utilisateur sans exposer ses identifiants d’authentification, Facebook Login utilise le protocole OAuth. Grâce à OAuth, Facebook est autorisé à partager certaines informations de l’utilisateur avec le site Web tiers.

Comment se fait l’usurpation d’identité ? Une faille du Login de Facebook

Bitdefender a réussi à contourner l’étape de confirmation généralement requise lors de l’enregistrement d’une nouvelle adresse e-mail Facebook.

L’un de ses chercheurs a créé un compte Facebook avec l’adresse e-mail de la victime.

Après l’inscription, il a remplacé l’adresse e-mail par une autre dont il a le contrôle.

Après actualisation de la page, il apparaît que l’adresse e-mail de la victime a également été validée.

Lorsque le chercheur a tenté de se connecter sur un autre site via le bouton Facebook Login (avec l’adresse e-mail de la victime), il a dû confirmer sa propre adresse e-mail, et non celle de la victime.

Bien que le chercheur de Bitdefender n’ait confirmé que son compte personnel dans les paramètres du compte Facebook, l’adresse de la victime était bien le contact principal.

« J’ai utilisé à nouveau Facebook Login et décidé de mettre mon adresse comme contact principal à la place de celle de la victime, puis de la changer à nouveau pour faire du compte de la victime le compte principal. C’est une étape importante pour reproduire le problème », a ajouté Ionut Cernica.

Puis, sur un autre site Web, le chercheur de Bitdefender a utilisé Facebook Login pour se connecter sous l’identité de la victime. Le site a fait le lien entre l’adresse e-mail de la victime (en passant par Facebook) et le compte existant et a permis au chercheur, qui aurait pu être un pirate, de contrôler ce compte. « Le fournisseur d’identité – dans ce cas, Facebook – aurait dû attendre que la nouvelle adresse e-mail ait bien été vérifiée », affirme Ionut Cernica à DataSecurityBreach.fr.

Une faille du Login de Facebook corrigée rapidement. Facebook a réparé la vulnérabilité après en avoir été alerté par Bitdefender.

Base de données, Bitcoin, Chiffrement, cryptage, Cybersécurité, Entreprise, Justice, ransomware, Sauvegarde, Social engineering

Fraude au président : 2 millions de dollars volés, il attaque ses associés

Fraude au président : 2 millions de dollars volés à un ancien employé de Lehman Brothers, une banque d’investissement multinationale.

Ce qui est bien avec le public dit « en col blanc » est qu’il n’écoute pas. On pourrait penser, à la suite des centaines de piratages médiatiques qu’une banque d’affaire, et donc ses employés, sont au fait de la sécurité informatique. Je les vois ses « stages » coutant des milliers d’euros de sensibilisation. Sensibilisations effectuées, dans la plupart des cas, par des gens qui ne connaissent du terrain numérique, que les heures de bureau qu’ils lui allouent.

Bref, normalement, un phishing et une fraude au président, cela ne doit plus exister chez nos banquiers. Le cas de Robert Millard, ancien codirigeant de la banque d’investissement multinationale Lehman Brothers a de quoi faire sourire. L’homme de « pouvoir » et « d’argent » a fait un virement de 1.938.000 dollars pour un achat d’appartement qu’il était en train d’orchestrer. Une jolie studette à 20 millions de dollars, à New York. Sauf que le virement a été effectué à destination d’un arnaqueur. L’escroc a piraté l’agence immobilière de Millard, son compte mail AOL et l’avocat en charge de son immobilier. Personne n’avait remarqué que le nom de l’avocat avait été mal orthographié.

Bilan, le « banquier » volé attaque en justice ce qu’il considère comme les coupables, ses anciens associés, afin de récupérer 200.000 dollars qu’il n’a pu retrouver.

Les agences immobilières sont aussi de belles cibles pour les pirates informatiques. Si vous êtes en train d’acquérir un bien, méfiez-vous de cette demande de changement d’adresse pour le virement bancaire. Je vous expliquais, en mars, comment les professionnels du FoVI, la fraude aux virements bancaires, visaient aussi les locataires de maison et d’appartements en faisant détourner les loyers.

Pendant ce temps…

… nous pourrions penser que les internautes sont maintenant habitués à ne plus cliquer sur n’importe quoi. Qu’ils ont entendu parler des ransomwares. Bref, ils se sont informés sur ces logiciels malveillants de rançonnage, ils sont donc sécurisés. A première vue… non ! Le département de la police de Newark, dans le New-Jersey s’est retrouvé fort dépourvu quand la bise numérique fut venue. Un ransomware activé et les machines des policiers prisent en otage. « Le service de police a indiqué  qu’il n’y avait aucune preuve d’une quelconque violation de données et que l’attaque n’a pas perturbé la prestation des services d’urgence aux citoyens« . Aucunes informations sur les informations chiffrées et à savoir si les données prises en otage ont été retrouvées.

Base de données, Chiffrement, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, santé, Sauvegarde

Fuite de données santé pour 1.400 institutions

Fuite de données santé – Les tests de la mise à jour d’un logiciel américain dédié aux études cardiovasculaires effectués avec de vraies données de patients. 1.400 institutions de santé américaines alertées par l’American College of Cardiology.

Ce n’est pas la première fois qu’un tel cas est découvert. J’ai bien peur que cela ne soit pas le dernier. L’American College of Cardiology vient d’alerter 1.400 institutions américaines de santé après la découverte d’une fuite de données de patients pas comme les autres.

L’American College of Cardiology indique que des informations de patients ont pu être compromises après que les dites informations se soient retrouvées dans une base de données utilisées lors du test d’un logiciel professionnel. Des dossiers médicaux datant de 2009 et 2010.

C’est lors de la refonte du logiciel du registre des données cardiovasculaires national ACC, qu’une table de la base de données (BDD) officielle a été copiée. L’incident a été découvert en Décembre 2015. Les hôpitaux ont reçu l’alerte deux mois plus tard. Dans les données de la BDD malmenée : noms, dates de naissance, numéros de sécurité sociale et les numéros d’identification des patients.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

96 % des DSI Français s’attendent à être la cible d’attaques

Les DSI français admettent investir des millions à fonds perdus dans une cybersécurité qui se révèle inopérante sur la moitié des attaques. Une nouvelle étude  indique que 96 % des DSI, en France, s’attendent à être la cible d’attaques en raison de leur aveuglement à l’égard des nouvelles menaces.

Une étude, menée par Vanson Bourne auprès de 100 DSI en France, portant sur la fréquence et l’incidence d’une sécurité informatique inefficace indique que les Directeurs des Services Informatiques s’attendent à être la cible d’attaques. Ces décideurs informatiques sont unanimes : ils estiment que les fondements de la cybersécurité – clés cryptographiques et certificats numériques – n’étant actuellement aucunement protégés, les entreprises sont dans l’ignorance, en proie au chaos, et incapables de se défendre.

Les DSI, en France, reconnaissent gaspiller plusieurs millions de dollars dans la superposition de mécanismes de défense puisque ces outils vouent une confiance aveugle aux clés et aux certificats – et se révèlent incapables de différencier ceux dignes de confiance des autres. Si l’on se réfère aux prévisions de Gartner, qui estime que 50 % des attaques réseau cibleront le protocole SSL/TLS, cela signifie que des systèmes de sécurité aussi répandus que FireEye ne seront opérants que la moitié du temps. Et les DSI français admettent que ce chaos met en péril leurs projets des plus stratégiques, à savoir ériger des structures informatiques agiles autour du concept DevOps.

Etre la cible d’attaques

  • 90 % des DSI, en France, sont convaincus de l’inefficacité de leurs mécanismes de défense puisque ceux-ci sont incapables d’analyser le trafic réseau crypté pour y déceler d’éventuelles attaques.
  • 96 % des DSI, en France, ont déjà essuyé ou s’attendent à essuyer une attaque dissimulée dans du trafic crypté.
  • 91 % des DSI, en France, estiment que les clés de cryptage et certificats numériques dérobés sont en passe de représenter un marché extrêmement lucratif pour les pirates.
  • 79 % des DSI, en France, conviennent que leur stratégie d’accélération de l’informatique et de l’innovation est en danger car leurs initiatives introduisent des vulnérabilités nouvelles.

Les entreprises s’en remettent à des dizaines de milliers de clés et de certificats qui posent les fondements de la confiance sur lesquels s’appuient leurs sites web, machines virtuelles, appareils mobiles et serveurs cloud. Cette technologie a été adoptée pour contribuer à résoudre la problématique de sécurité initiale d’Internet, c’est-à-dire être en mesure d’isoler les contenus sûrs et confidentiels. Depuis la banque en ligne jusqu’à l’Internet des objets en passant par la sécurisation des applications et les applications mobiles, tout ce qui est basé sur IP dépend d’une clé et d’un certificat pour établir une connexion fiable et sécurisée. Sauf que des cybercriminels détournent actuellement des clés et certificats sans protection pour se dissimuler dans du trafic crypté, créer de faux sites web, déployer des logiciels malveillants, élever leurs privilèges et dérober des données.

Les technologies déployées – protection des postes de travail, protection contre les menaces avancées, pare-feu de nouvelle génération, analyse comportementale, détecteurs d’intrusions et prévention des pertes de données (DLP) – sont foncièrement imparfaites puisqu’il est impossible de séparer le bon grain de l’ivraie en dissociant les clés et certificats valables de ceux qui sont corrompus. Résultat, ces outils se révèlent incapables de passer au crible la grande majorité du trafic réseau crypté. D’où des failles béantes dans les mécanismes de défense des entreprises. Les cybercriminels mettent à profit ces angles morts dans le domaine de la sécurité : ils se servent de ces clés et certificats dénués de protection pour se dissimuler dans du trafic crypté et contourner les contrôles de sécurité.

« Les clés et certificats constituent les fondements de la cybersécurité : ils authentifient les connexions système et nous indiquent si les logiciels et équipements fonctionnent comme prévu. Si ces fondements s’effondrent, nous rencontrons de graves difficultés », commente Kevin Bocek, vice-président stratégie de sécurité et veille des menaces chez Venafi. « Si la France dispose de l’une des approches les plus évoluées au monde en matière de cybersécurité, elle se classe également parmi les 10 pays où la cybercriminalité fait rage : les entreprises françaises courent donc davantage de risques. Dotés d’une clé et d’un certificat compromis, dérobés ou falsifiés, les pirates peuvent usurper, contrefaire et surveiller les sites web, infrastructures, clouds et appareils mobiles de leurs cibles, et décrypter des communications censées être confidentielles. »

« Progressivement, les systèmes que nous avons mis en place pour tester et instituer une confiance en ligne se retournent contre nous. Pire, les éditeurs et fournisseurs qui affirment être en mesure de nous protéger en sont bien incapables. Leurs outils de protection pour postes de travail, pare-feu, détecteurs d’intrusions, systèmes DLP et autres sont pires qu’inutiles puisqu’ils leurrent les clients en les entretenant dans une illusion de sécurité. Cette étude indique que les DSI, en France, sont désormais conscients de dilapider des millions dans la mesure où des systèmes de sécurité tels que FireEye ne peuvent stopper la moitié des attaques. Selon les prévisions de Gartner, d’ici à 2017, plus de la moitié des attaques réseau ciblant les entreprises utiliseront du trafic crypté pour esquiver les contrôles ; ces technologies sont sans défense face à elles ! Sachant que le marché mondial de la sécurité des entreprises pèse environ 83 milliards de dollars, autant dire que c’est énormément d’argent gaspillé dans des solutions qui ne s’acquittent de leur mission qu’à temps partiel. »

« Et les marchés expriment clairement leur manque de confiance dans la cybersécurité. Ce n’est pas une coïncidence si 96 % des DSI admettent dilapider des milliards dans une cybersécurité inadéquate et si le fonds spéculatif HACK, spécialisé dans ce domaine, a perdu 25 % depuis novembre 2015. Des résultats bien en-deçà de l’indice S&P500 qui, lui, s’inscrit en repli de 10 % du fait des turbulences sur les marchés. »

Les risques liés à des clés et certificats sans protection, échappant à tout contrôle, se multiplient à mesure que leur nombre augmente. Un récent rapport de Ponemon révèle qu’en moyenne, une entreprise possède plus de 23 000 clés et certificats, et que 54 % des professionnels de la sécurité avouent tout ignorer de leur emplacement, de leurs détenteurs et de leur mode d’utilisation. Les DSI craignent que la multiplication des clés et certificats à l’appui des nouvelles initiatives informatiques n’aggrave encore la situation.

La cible d’attaques : trop de clés et certificats

À la lumière des initiatives de cryptage systématique (« Encryption Everywhere »), apparues dans le sillage des révélations d’Edward Snowden et des opérations d’espionnage de la NSA, la quasi-totalité des DSI français (97 %) se disent préoccupés par la marche à suivre pour sécuriser la gestion et la protection de l’ensemble des certificats et clés de cryptage. Car à mesure que l’informatique s’accélèrera – via l’activation et la désactivation de services en fonction de l’élasticité des besoins – le nombre de clés et de certificats progressera en proportion. À la question de savoir si la rapidité de progression du mouvement « DevOps » complique encore l’identification de ce qui est ou non digne de confiance au sein de leurs entreprises, les DSI, en France, affirment à 79 % que c’est le cas.

« Gartner prévoit que d’ici à 2017, trois entreprises sur quatre évolueront vers une structure informatique bimodale avec une informatique à deux axes et deux vitesses : l’une qui accompagnera les applications en place en quête de stabilité, l’autre qui dispensera des services agiles adaptés aux projets d’innovation et stratégiques pour l’activité », poursuit Kevin Bocek. « Pourtant, le recours à des méthodes agiles et l’adoption du concept DevOps est une tentative extrêmement risquée et chaotique. Dans ces nouveaux environnements, la sécurité sera toujours mise à mal, et il sera pratiquement impossible de suivre ce qui est digne de confiance de ce qui ne l’est pas. »

« Raison pour laquelle il nous faut un système immunitaire pour Internet », conclut Kevin Bocek. « Comme chez l’homme, ce système donne aux entreprises les moyens de détecter instantanément les clés et certificats dignes de confiance des autres. Et, à partir du moment où la confiance en ces clés et certificats renaît, la valeur accordée aux autres investissements réalisés par l’entreprise dans le domaine de la sécurité augmente. »

Cette étude a été réalisée par le cabinet d’études de marché indépendant Vanson Bourne qui a interrogé 100 DSI au total, en poste dans de grandes entreprises en France.

Base de données, Chiffrement, Cybersécurité, Entreprise, Fuite de données, Justice, loi, Mise à jour, Sauvegarde

Fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

La directive européenne de protection des données personnelles est morte ! Vive le règlement général sur la protection des données (GDPR). Fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

En 1995, l’Europe s’équipait de la directive européenne de protection des données personnelles. Mission, protéger les informations des utilisateurs d’informatique. 21 ans plus tard, voici venir le règlement général sur la protection des données (GDPR). La Commission européenne avait proposé en 2012 un nouveau règlement portant sur un ensemble de règles unique pour toutes les données collectées en ligne afin de garantir qu’elles soient conservées de manière sûre et de fournir aux entreprises un cadre clair sur la façon dont les traiter.

Mercredi 13 avril 2016, le paquet législatif a été formellement approuvé par le Parlement dans son ensemble. Le GDPR impose aux entreprises (petites ou grandes) détenant des données à caractère personnel d’alerter les personnes touchées par une fuite, une perte, un piratage de la dire informations privée. Grand groupe, PME, TPE doivent informer les autorités de contrôle nationales (CNIL) en cas de violation importante de ces données. Comme je pouvais déjà vous en parler en 2014, il faut alerter les autorités dans les 72 heures après avoir découvert le problème. Les entreprises risquent une grosse amende en cas de non respect : jusqu’à 4% de son chiffre d’affaire. Les informations que nous fournissons doivent être protégées par défaut (Art. 19). A noter que cette régle est déjà applicable en France, il suffit de lire le règlement de la CNIL à ce sujet. Faut-il maintenant que tout cela soit véritablement appliqué.

Fuite, perte, piratage de données

Parmi les autres articles, le « 7 » indique que les entreprises ont l’obligation de demander l’accord « clair et explicite » avant tout traitement de données personnelles. Adieu la case par défaut imposée, en bas de page. De l’opt-in (consentement préalable clair et précis) uniquement. Plus compliqué à mettre en place, l’article 8. Je le vois dans les ateliers que je mets en place pour les écoles primaires et collèges. Les parents devront donner leur autorisation pour toutes inscriptions et collectes de données. Comme indiqué plus haut, les informations que nous allons fournir devront être protégées par défaut (Art. 19). Intéressant à suivre aussi, l’article 20. Comme pour sa ligne téléphonique, le numéro peut dorénavant vous suivre si vous changez d’opérateur, cet article annonce un droit à la portabilité des données. Bilan, si vous changez de Fournisseur d’Accès à Internet par exemple, mails et contacts doivent pouvoir vous suivre. L’histoire ne dit pas si on va pouvoir, du coup, garder son adresse mail. 92829@orange.fr fonctionnera-t-il si je passe chez Free ?

La limitation du profilage par algorithmes n’a pas été oublié. En gros, votre box TV Canal +, Orange ou Netflix (pour ne citer que le plus simple) utilisent des algorithmes pour vous fournir ce qu’ils considèrent comme les films, séries, émissions qui vous conviennent le mieux. L’article 21 annonce que l’algorithme seul ne sera plus toléré, surtout si l’utilisation n’a pas donné son accord. Enfin, notre vie numérique est prise en compte. Les articles 33 et 34 s’annoncent comme les défenseurs de notre identité numérique, mais aussi notre réputation numérique. L’affaire Ashley Madisson est un des exemples. Votre identité numérique est volée. L’entreprise ne le dit pas. Votre identité numérique est diffusée sur Internet. Vous ne la maîtrisez plus.

Bref, 33 et 34 annonce clairement que les internautes ont le droit d’être informé en cas de piratage des données. La CNIL sera le récipiendaire des alertes communiquées par les entreprises piratées. Bref, fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

Les entreprises ont jusqu’au 1er janvier 2018 pour se mettre en conformité. Les 28 pays membres doivent maintenant harmoniser leurs lois sur le sujet. Je me tiens à la disposition des entreprises, associations, particuliers qui souhaiteraient réfléchir à leur hygiène informatique.

Police : nouvelles règles sur les transferts de données

Le paquet sur la protection des données inclut par ailleurs une directive relative aux transferts de données à des fins policières et judiciaires. La directive s’appliquera aux transferts de données à travers les frontières de l’UE et fixera, pour la première fois, des normes minimales pour le traitement des données à des fins policières au sein de chaque État membre.

Les nouvelles règles ont pour but de protéger les individus, qu’il s’agisse de la victime, du criminel ou du témoin, en prévoyant des droits et limites clairs en matière de transferts de données à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales – incluant des garanties et des mesures de prévention contre les menaces à la sécurité publique, tout en facilitant une coopération plus aisée et plus efficace entre les autorités répressives.

« Le principal problème concernant les attentats terroristes et d’autres crimes transnationaux est que les autorités répressives des États membres sont réticentes à échanger des informations précieuses », a affirmé Marju Lauristin (S&D, ET), députée responsable du dossier au Parlement. « En fixant des normes européennes sur l’échange d’informations entre les autorités répressives, la directive sur la protection des données deviendra un instrument puissant et utile pour aider les autorités à transférer facilement et efficacement des données à caractère personnel tout en respectant le droit fondamental à la vie privée« , a-t-elle conclu.

Chiffrement, cryptage, cryptolocker, Cybersécurité, escroquerie, Logiciels, Particuliers

Découverte de Manamecrypt, un nouveau ransomware

Le G DATA SecurityLabs a découvert un nouveau ransomware nommé Manamecrypt. Aussi connu sous le nom de CryptoHost, ce programme malveillant est un Trojan de chiffrement qui ne s’attaque pas uniquement aux données mais qui empêche également l’exécution de certains programmes sur la machine comme les antivirus, Netflix, twitter, Facebook, youtube… Le ransomware se répand d’une manière assez peu commune : il est intégré à certaines versions de logiciels de torrents comme Utorrent.

Il est possible de récupérer vos données !

Dans sa mise en œuvre actuelle, le ransomware est en fait sensible aux attaques. Les victimes peuvent restaurer leurs données. Le mot de passe pour le fichier RAR se compose des éléments suivants:

SHA1Hash (Win32_processor.processorID + VolumeSerialNumber_Volume_C + Win32_BaseBoard.SerialNumber) + nom d’utilisateur.

Le SHA1 est le nom du fichier .RAR. Le nom peut être déterminé comme suit: appuyez sur la touche Windows + R; puis entrez cmd et appuyez sur Entrée. Dans la fenêtre de ligne de commande nouvellement ouverte, entrez echo% username% et appuyez sur Entrée à nouveau. La chaîne affichée est le nom d’utilisateur.

Exemple: Le fichier .RAR créé par Manamecrypt est appelé 123456789DSB et le nom d’utilisateur est 92829. Le mot de passe est donc 123456789DSB92829.

Pendant ce temps, les amis de Manamecrypt …

L’éditeur en a profité pour faire un petit retour sur l’année 2015. La fin d’année 2015 a été marquée par plusieurs vagues d’attaques. Les kits exploit ont surfé sur des vulnérabilités rendues publiques. Quant au trojan bancaire Dridex, il a utilisé des emails en français pour se répandre. Le G DATA PC Malware Report du 2e semestre 2015 est disponible.

5 143 784 nouveaux types de programmes malveillants en 2015

Au 2e semestre 2015, les experts du G DATA Security Labs ont recensé 2 098 062 nouveaux types de programmes malveillants. Sur l’année 2015, le chiffre s’élève à plus de 5 millions. La très forte hausse des derniers semestres, liée à une explosion des adware, est retombée sur une croissance plus linéaire.

Vagues d’attaques par kits exploit

Les kits exploit Neutrino, Angler, Nuclear et Magnitude ont été particulièrement prédominants au second semestre 2015. Un niveau de risque élevé, ponctué de pics d’attaques liés à des diffusions publiques de vulnérabilités. Par exemple, le 5 juillet, la fuite de documents relatifs à la société italienne Hacking Team a engendré un pic d’attaque inattendu. Le 7 juillet, une vulnérabilité Flash détaillée dans ces documents, était intégrée dans des kits exploit ! L’attaque a pris fin 3 jours plus tard, après la mise à jour de Flash par Adobe. L’histoire s’est répétée le 13 octobre, lorsqu’une vulnérabilité du groupe APT28, alias Sofacy, a été rendue publique.

La France touchée par la vague Dridex

Au début du 2e semestre 2015, la baisse des attaques par chevaux de Troie bancaires était notable, avec notamment la disparition du code dominant Swatbanker. Malheureusement, cette baisse ne fut que temporaire. En fin d’année, la campagne massive de diffusion du code Dridex a fait remonter les détections de Trojan bancaires à leur plus haut niveau. En France, cette vague d’attaque a reposé principalement sur l’envoi d’emails en français contenant des fichiers bureautiques intégrant des macros manipulées. (G Data)

Argent, Banque, Chiffrement, cryptage, Cybersécurité, Emploi, ID, Identité numérique, Paiement en ligne, Particuliers, Vie privée

Le Japon va tester la biométrie pour payer ses achats

Biométrie – Pour préparer les Jeux Olympiques de 2020, attirer les touristes et contrer le cyber crime, le japon va tester, cet été 2016, le contrôle biométrique pour le paiement et la  réservation d’une chambre d’Hôtel.

Cet été, si vous avez la chance de vous rendre au Japon, préparez-vous à sortir vos doigts. Le pays va lancer une grande opération biométrique dédiée au contrôle d’identité et à la sécurisation des paiements.

Le gouvernement Japonais espère ainsi augmenter le nombre de touristes étrangers en utilisant ce système pour soulager les utilisateurs de la nécessité de transporter des espèces ou cartes de crédit. Le Japon veut tester son système afin que ce dernier soit opérationnel pour les Jeux olympiques et paralympiques de Tokyo 2020.

L’expérience permettra aux touristes volontaires, foulant le sol Nippon, d’enregistrer leurs empreintes digitales, identités et données de carte de crédit. Pour inciter les visiteurs à participer, pas de taxe sur les produits. Il suffira de placer deux doigts sur les dispositifs spéciaux installés dans 300 magasins et hôtels du pays. La biométrie permettra aussi d’éviter aux touristes de voir leur passeport copiés dans les hôtels. L’authentification par empreintes digitales suffira.

En 2020, Tokyo attend 40 millions de touristes. Les premiers tests ont eu lieu, depuis octobre 2015, dans le parc à thème du Huis Ten Bosch de Sasebo.

Chiffrement, cryptage, Cybersécurité, Justice, loi

Projet de loi pour interdire le chiffrement indéchiffrable

Interdire le chiffrement indéchiffrable ! Pour aider les forces de l’ordre dans leurs taches, deux sénateurs proposent un nouveau projet de loi qui souhaite contrôler le chiffrage des données.

Ce qui est bien avec les hommes politiques est qu’ils ont de la suite dans les idées dès qu’il s’agit de marquer leur nom dans l’histoire, ou dans les pages des journaux. Les sénateurs Richard Burr et Dianne Feinstein (Californie) ont bien l’intention de marquer de leur empreinte l’histoire US.

Les deux politiques peaufinent la version préliminaire d’un projet de loi Sénatorial qui aurait pour effet d’interdire le chiffrement indéchiffrable. Cette loi exigerait des entreprises qu’elles apportent le moyen de déchiffrer téléphone et ordinateur dès que les autorités le souhaiteront.

Les deux sénateurs n’ont pas encore annoncé la date de présentation de ce projet de loi. Ils ne le feront peut-être jamais. Leur coup médiatique étant réussi, ils sont dans les journaux !

Chiffrement, cryptage, Cybersécurité, Facebook, Mise à jour, Patch, Vie privée

Chiffrement de bout en bout pour WhatsApp

La filiale de Facebook, WhatsApp, permet de converser dorénavant en mode chiffré de bout en bout. Les messages et les conversations ne pourront plus être lus, ni écoutés. Chiffrement de bout en bout pour WhatsApp, vraiment ?

C’est officiel, Facebook vient de mettre de nouveaux bâtons dans les roues des autorités. Son outil de conversation WhatsApp vient d’être mis à jour. Dans cette mise à jour, une option chiffrement qui va beaucoup amuser le FBI. L’outil chiffre les messages textes et les conversations audios, et cela de bout en bout.

Chiffrement de bout en bout pour WhatsApp – La technologie ressemble à celle utilisée par les outils PGP, GPG… les interlocuteurs doivent posséder leur clé de chiffrement (la clé privée) et diffuser leur clé publique. WhatsApp s’en charge automatiquement et rend toute tentative de lecture des interceptions impossibles. Si les contenus ne sont pas « lisibles », les interceptions sont toujours possibles (Wi-fi ouvert…).

Mais prudence, comme le rappel sur Twitter 0x356CDCDE, c’est avant tout une annonce marketing. « Le problème de Whatsapp, c’est surtout que c’est une application propriétaire, donc pas de peer review du code source… » Bilan, rien n’empêche de penser que Facebook posséde une MasterKey, un passe-partout pour déchiffrer les messages.

Pendant ce temps…

… la grande dame qu’est la CNIL vient de prononcer un avis particulièrement intéressant concernant l’utilisation dans les procédures judiciaires de « portes dérobées« . Une backdoor dans un téléphone, un ordinateur, une tablette, pourrait permettre de passer outre le mot de passe et le système de chiffrement proposé de base, comme pour les appareils sous Android et iOS.

La présidente de la Commission Nationale Informatique et des Liberté, Isabelle Falque-Pierrotin, a indiqué vendredi 8 avril, lors de la conférence de presse Annuelle de la CNIL que « autoriser […] backdoors ou portes dérobées n’est pas une bonne solution […] L’idée qu’au nom de cet impératif de sécurité il faille mettre en place des backdoors pour, dans tous les cas, permettre aux services de police d’accéder à une information qui sera le cas échéant cryptée et non décryptable, cette solution n’est pas une bonne solution ».

Pour la CNIL, le chiffrement est indispensable et il y a suffisamment « de dispositifs dédiés permettant l’accès aux données, réquisitions, captations de données informatiques, techniques de collectes mises en place par la loi renseignement ».

Argent, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage, Sauvegarde, Social engineering

Porn Account : 270000 amateurs de pornos piratés

Un internaute a tenté de revendre les données de 270 000 amateurs de sites pornographiques dans le blackmarket. Le business du Porn Account pour les nuls !

Vous avez peut-être entendu à la radio et lu dans la presse généraliste ce piratage de données ayant visé 270 000 amateurs de sites pornographiques. Un piratage qui a débuté via l’attaque par injection SQL de plusieurs sites pour adultes appartenant au groupe Paper Street Media.

Le pirate a expliqué avoir contacté l’entreprise pour « discuter ». Soyons clair, il a tenté de leur soutirer de l’argent en proposant la faille qui lui a permis d’extraire les informations des clients (IP, mail, mots de passe…).

Paper Street Media n’a pas répondu dans le sens de l’internaute. Bilan, l’adolescent a mis en vente, dans le blackmarket, la base de données volée pour 360 euros. Pourquoi revendre les données dans le BM ? Tout simplement pour que les professionnels du porn account puissent sauter sur l’occasion.

Dans cette même boutique qui aurait servi au pirate à revendre cette base de données [je n’ai pas retrouvé le vendeur], d’autres « commerçants » proposent des accès « piratés » aux sites interdit au – de 18 ans de Paper Street Media pour 9 $. Je vous laisse faire l’addition. Nous sommes très très loin des 360 euros réclamés ! « Je peux me faire entre 300 et 500 dollars par semaine » m’indique un de ces vendeurs de Porn Account croisé dans une boutique spécialisée.

Un pirate russe revend des milliers de comptes du site Naughty America.

A noter que j’ai pu consulter [ci-dessus] un document diffusé par un autre pirate informatique. Ce dernier, il est russe, a mis la main sur 150 000 comptes clients du site pornographique Naughty America. Un injection SQL, une backdoor (shell) dans le serveur et les comptes clients ont fini dans les mains du pirate.

Pendant ce temps…

… le groupe hôtelier Trump est de nouveau piraté. Des logiciels d’espionnage ont été retrouvés dans les ordinateurs des hôtels Trump situés à New York, Toronto et Honolulu. Même type d’attaque vécue en juillet 2015. Cela donne une idée de la gestion de la sécurité informatique de ce groupe. Les pirates visaient les identités et les données bancaires.

En ce qui concerne les numéros de CB, pas besoin d’être intelligent pour comprendre l’intérêt. Achats de produits dématérialisés qui seront revendus moitié prix [blanchir l’argent détourné]… En ce qui concerne les informations dédiées aux identités : fraude bancaire [ouverture de compte], usurpation d’identité, …

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Sauvegarde, Téléphonie

L’accès mobile est-il vraiment sûr ?

L’accès mobile est-il vraiment sûr ? À l’heure actuelle, les salariés disposent de plus en plus de smartphones ou d’accessoires connectés dont ils ne se séparent jamais. En fait, d’après de récentes prévisions de Gartner, les ventes mondiales de mobiles pourraient franchir la barre des 2,5 milliards d’unités d’ici 2016. Face à la progression d’intérêt manifesté pour les solutions en mode cloud et les plates-formes axées sur la mobilité, de plus en plus de responsables de la sécurité réfléchissent aux possibilités que peut offrir un système d’accès mobile en termes de sécurité physique.

Rarement égaré et constamment à portée de main, l’appareil mobile est devenu la plus précieuse des technologies en notre possession. Toutefois, comme l’a mis en évidence IFSEC Global dans un récent rapport, près de 80 % des responsables de sécurité interrogés redoutent que l’intégration de solutions d’accès mobile dans leur architecture de contrôle des accès physiques n’accentue la vulnérabilité du système.

Quelles sont donc les principales craintes des responsables de sécurité ? Ces derniers doivent tenir compte de plusieurs paramètres. Un authentifiant numérique est-il aussi sûr qu’un badge physique ? Peut-il être copié facilement, ou bien un collaborateur pourrait-il manipuler ces données sur son téléphone personnel dans le cadre d’une stratégie BYOD ? La transmission radio des clés est-elle vraiment fiable ? La voie de communication entre un mobile et un lecteur peut-elle être détournée à des fins malhonnêtes ? Si les responsables de sécurité se posent légitimement ces questions, c’est parce qu’ils souhaiteraient faire toute la lumière sur le degré de protection dont bénéficieraient leurs locaux et installations sur site s’ils optaient pour un accès mobile. La question cruciale étant de savoir si, en agissant de la sorte, ils sacrifieraient la sécurité sur l’autel de la commodité.

Les authentifiants mobiles reposent sur les dernières évolutions technologiques en date
Il est primordial que les techniques de cryptage remplissent les critères de sécurité les plus stricts. Un système d’accès mobile sécurisé reposera, en règle générale, sur des protocoles de sécurité certifiés par des organismes indépendants crédibles ? suite B d’algorithmes cryptographiques, algorithmes de chiffrement AES (Advanced Encryption Standards), à savoir AES-128 et SHA (Secure Hash Algorithm) du NIST (National Institute of Science and Technology). Un système d’accès mobile normalisé respectant ces protocoles de sécurité draconiens avec sécurisation des messages, couplé à une authentification forte, procurera aux responsables de sécurité une réelle tranquillité d’esprit quant à la confidentialité des données de leurs collaborateurs.

L’accès mobile est-il vraiment sûr ? Toute manipulation d’identifiants mobiles est exclue

Les identités mobiles doivent être signées et cryptées afin de prévenir leur manipulation. S’agissant des identifiants mobiles, ils sont stockés dans le sandbox du système d’exploitation applicatif, périmètre réservé sur l’appareil au stockage des informations confidentielles. Les données qui y figurent étant cryptées, elles ne peuvent être dupliquées ni dérobées via un accès non autorisé au téléphone. Les identifiants mobiles ne sont pas transférables, mais propres à l’appareil pour lequel ils ont été créés. Les clés cryptographiques étant diversifiées, aucune clé maître n’est stockée sur l’appareil. Chaque identifiant mobile est spécifique à l’appareil.

L’accès mobile est-il vraiment sûr ? Transmission entre un appareil mobile et le lecteur de contrôle d’accès

À partir du moment où un accès est octroyé à un collaborateur pour pénétrer dans un local ou une installation sur site, la transaction entre l’application installée sur l’appareil mobile et le lecteur de contrôle d’accès est indépendante du protocole de communication utilisé. La transmission radio via NFC ou Bluetooth Smart pour l’émission de la clé est protégée par la dernière technologie en date, et tout vol est impossible lors de la délivrance de l’autorisation d’accès par ondes radio. L’appareil et le lecteur utilisent tous deux des techniques de communication cryptographique ultra-sécurisées. En outre, aucun appairage Bluetooth n’est requis entre le lecteur et l’appareil, puisque des interactions ne sont possibles qu’entre des équipements éligibles. Chacun des connecteurs du module est protégé par une clé d’authentification et aucun d’eux n’a recours à la technologie NFC ou Bluetooth Smart. En fait, l’application d’accès mobile peut être configurée de manière à rendre l’identifiant mobile uniquement actif une fois l’écran déverrouillé afin de prévenir les attaques par relais.

Les systèmes de contrôle d’accès mobile créent également une culture de la sécurité, même si vos collaborateurs n’en sont pas conscients. Dans le cadre d’un accès par carte ou jeton aux locaux et installations sur site, ces derniers sont effectivement contraints de se munir en permanence d’un élément dont ils ne s’encombreraient pas en temps normal. De ce fait, si leur carte est perdue ou dérobée, ils sont moins susceptibles de le remarquer et le signalent donc assez tardivement. Voilà qui rend votre infrastructure physique vulnérable, puisqu’une carte valide peut virtuellement tomber entre de mauvaises mains. Le collaborateur est, en revanche, davantage « attaché » à ses équipements mobiles : la perte comme le vol d’un téléphone sont signalés immédiatement, et l’identifiant mobile peut être révoqué dans la foulée afin d’empêcher tout accès non autorisé.

L’accès mobile est-il vraiment sûr ? Les technologies d’accès mobile appliquées à l’architecture de contrôle des accès physiques ont de beaux jours devant elles. Les équipements mobiles présentent, entre autres avantages, celui d’une actualisation dynamique du logiciel de sécurité tandis que l’actualisation des données sur carte prend davantage de temps et induit des coûts supplémentaires. L’environnement mobile permet, par conséquent, de résoudre rapidement les problématiques de sécurité.

Par ailleurs, les fabricants de téléphones mobiles intégrant toujours plus de technologies évoluées en matière de sécurité comme la biométrie ? reconnaissance digitale, faciale et même vocale ? la sécurisation des appareils mobiles s’avère plus robuste. Un téléphone volé n’est donc d’aucune utilité pour tenter d’obtenir un accès non autorisé : l’application étant protégée par logiciel sur le téléphone, ce dernier est encore mieux sécurisé qu’un authentifiant physique.

L’accès mobile est-il vraiment sûr ? S’il est légitime que les responsables de la sécurité s’interrogent sur la fiabilité des systèmes d’accès mobile, il s’avère que cette technologie est parfaitement capable de conjurer les menaces pesant sur la sécurité des bâtiments. Par ses multiples niveaux de sécurité, l’accès mobile représente un choix sûr pour le système de contrôle d’accès aux locaux de toute entreprise. (Par Yves Ackermann, Directeur Segments Stratégiques Europe, HID Global)

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Sauvegarde, Téléphonie

Sécurité des terminaux mobiles, talon d’Achille des entreprises

Sécurité des terminaux mobiles – Gérer de la meilleure façon les terminaux mobiles des collaborateurs en entreprise.
Tandis que l’on utilise chaque jour davantage l’Internet sur mobile, les risques aussi augmentent et les menaces s’y multiplient. Et comme l’entreprise a massivement adopté le mobile comme plateforme professionnelle, les logiciels malveillants et attaques réseau sont de plus en plus nombreux à tirer parti de ses failles. Il faut alors admettre que l’ampleur des attaques ne peut que croître sur nos terminaux encore mal protégés.

Au cours de notre enquête trimestrielle sur la sécurité mobile entre octobre et décembre 2015, il s’est avéré que la majorité des entreprises comptait au moins un terminal non conforme sur cette période. Ce chiffre s’explique directement par la désactivation de la protection par code PIN, la perte d’un terminal, l’absence de règles à jour, etc. Des terminaux défaillants sont des cibles plus vulnérables pour les logiciels malveillants, les codes exploitant les failles et le vol de données. Face à ces risques croissants, on insistera sur l’importance d’utiliser les règles de sécurité et de conformité disponibles pour mettre en quarantaine ces terminaux.

Les entreprises confient encore trop souvent leur sécurité mobile à des systèmes dépassées par la  nouvelle génération de menaces. La sécurité des terminaux mobiles n’est pas une option. La sécurité des terminaux mobiles est encore moins un gadget. D’ailleurs, les entreprises gèrent les risques de pertes de leurs données stockées dans le cloud selon ces mêmes méthodes obsolètes. Celles-ci essaient de limiter les risques en plaçant sur liste noire une ou plusieurs applications cloud de synchronisation et de partage de fichiers dans l’entreprise. Le recours aux listes noires revient à étouffer les problèmes. Au vu de la multitude d’applications et de services de synchronisation et de partage disponibles, une règle de liste noire n’est en pas suffisamment efficace et exhaustive pour tous les repérer. Les utilisateurs n’auront alors plus qu’à trouver une autre application pour stocker leurs données professionnelles dans le cloud. En outre, les logiciels mobiles malveillants et les risques liés aux applications n’ont cessé d’augmenter en 2015. Ainsi, de nouvelles versions de logiciels malveillants, tels que YiSpecter et XcodeGhost qui ciblent iOS d’Apple, n’ont plus besoin que le terminal soit jailbreaké. Pourtant, l’adoption de solutions contre les logiciels malveillants sur les mobiles reste très limitée en dépit de la protection accrue qu’elles confèrent contre les risques liés au mobile.

En matière de sécurité mobile, de sécurité des terminaux mobiles, beaucoup d’entreprises sont encore en phase d’affinage de leur stratégie. Les statistiques s’appuyant sur la prévalence des failles identifiables en matière de terminaux mobiles, d’applications, de réseaux et de comportement des utilisateurs sont essentielles pour élaborer des approches plus astucieuses et des outils plus performants afin de réduire l’incidence de ces failles. Les entreprises dans lesquelles une solution EMM est déjà déployée disposent généralement de la plupart des outils dont elles ont besoin. Il leur suffit alors de les mettre en pratique.
Sécurité des terminaux mobiles

Quelques conseils peuvent cependant se révéler utiles aux entreprises qui n’auraient pas encore de politique sécuritaire pour leurs terminaux mobiles :

Appliquez les règles de conformité et mettez en quarantaine les terminaux qui ne sont plus conformes. Sécurité des terminaux mobiles doit mettre en gras, au bureau, que le fait d’un terminal qui ne répond pas aux normes étant une cible de choix pour une attaque malveillante à l’encontre de l’entreprise, il est fortement recommandé d’utiliser systématiquement les règles strictes de conformité proposées avec les solutions EMM afin de mettre en quarantaine les terminaux à risque. Une solution EMM peut détecter si un utilisateur a désactivé son code PIN, a un terminal piraté, applique une règle obsolète et bien plus encore. Les fonctions de mise en quarantaine peuvent servir à bloquer l’accès au réseau et/ou à supprimer de façon sélective les données d’entreprise stockées sur le terminal. Elles contribuent à limiter la perte de données et à respecter les exigences réglementaires en matière de conformité, ce qui évite à l’entreprise de faire les gros titres à la rubrique « Victimes de cybercriminalité ».

Cessez de mettre sur liste noire les applications de stockage dans le cloud personnel et privilégiez plutôt les fonctionnalités de gestion ou de conteneurisation des applications fournies avec les solutions EMM pour permettre à vos employés de stocker leurs données dans un cloud d’entreprise sécurisé. L’approche EMM, qui consiste à éviter la dissémination des données d’entreprise plutôt que de bloquer un nombre toujours plus important d’applications cloud, offre l’avantage non négligeable de séparer les données d’entreprise des données personnelles.

Ajoutez un service de réputation des applications ou de prévention des menaces sur les terminaux mobiles qui s’intègre à votre solution EMM. Ces services détectent les applications dangereuses, les logiciels malveillants, les risques liés aux applications, les attaques réseau et bien plus encore. Ils s’appuient sur la solution EMM pour prendre des mesures et mettre en quarantaine un terminal si une menace est détectée.

Appliquez les correctifs sur vos terminaux gérés. Il vous suffit de passer par le biais de la console EMM pour mettre en œuvre une version minimale du système d’exploitation. Si cette opération est simple sous iOS, elle peut s’avérer plus complexe avec Android en raison de la fragmentation expliquée plus haut. En revanche, les services de réputation des applications ou de prévention des menaces précédemment mentionnés peuvent identifier les risques liés aux terminaux Android en mettant des failles connues en corrélation avec le système d’exploitation. Ils peuvent ensuite informer la solution EMM qu’un terminal vulnérable a été détecté afin de le mettre en quarantaine.

Par Michael Raggo, directeur du MobileIron Security Labs
Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, loi, Piratage, Sauvegarde, Social engineering

Une fausse société revendait des identifiants de connexion à des Chinois

Identifiants de connexion – Les identifiants et les mots de passe d’environ 18 millions d’utilisateurs d’Internet Japonais retrouvés dans un serveur mis en place par une fausse société. Elle revendait les connexions à des Chinois.

La Nicchu Shinsei Corp., basée dans le quartier de Toshima Ward de Tokyo semblait être une PME nippone comme toutes les autres. Sauf qu’elle fournissait à des Chinois des moyens de se connecter à Internet en usurpant les identités des clients originaire du pays du soleil levant.

La police locale a trouvé sur un serveur informatique de cette entreprise, pas moins de 18 millions de japonais piratés. Nicchu Shinsei Corp. fournissait un serveur de relais pour des accès illicites. 18 millions de données (ID, Mot de passe), ainsi que 1,78 millions de données Twitter, Rakuten… Le nombre de victimes dans cette affaire récente fait de ce piratage le plus grand cas de vol d’informations au Japon. Sur le serveur, un programme automatique tentait illégalement d’accéder aux espaces ainsi compromis.

Des pirates Chinois seraient derrière cette « installation ». Un piratage qui ressemble comme deux goutes d’eau à celui vécu, en 2014. Ici aussi, une autre société avait permis d’intercepter 5.928.290 millions de données personnelles. (Japan News)

Android, Apple, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, ios, iOS, IOT, Microsoft, Particuliers, Sécurité, Smartphone, Vie privée, VPN, Windows phone

Applications et VPN pour téléphone portable et tablette

Surfer anonyme et sécurisé sur votre téléphone portable et autre tablette est devenu un acte obligation. Pour cela, l’utilisation d’un VPN est devenue indispensable. Pas toujours simple à employer, il existe des applications qui automatisent et facilitent l’exploitation d’un VPN. Voici quelques solutions d’outils et de VPN pour votre téléphone portable et votre tablette, simples à mettre en place et efficace.

S’il fallait faire simple, un VPN est une machine qui va vous permettre de cacher votre adresse Internet lors de vos surfs, téléchargements, … La machine, entre vous et l’espace numérique que vous souhaitez visiter va servir de leurre. C’est l’adresse du VPN qui apparaitra dans les traces du forum, des sites… que vous visitez. A noter que de plus en plus de service VPN vous proposent aussi de chiffrer les informations qui transitent entre lui, votre FAI et votre ordinateur. En gros, les informations que vous envoyez/recevez, sont chiffrés entre le fournisseur de VPN, votre FAI [ou celui qui vous propose la connexion : hôtel, restaurant, conférence…] et vous. Bilan, un « espion » ayant la main sur votre connexion (un wi-fi public par exemple, NDR) ne pourra pas intercepter/lire/modifier les données qui arrivent/sortent de votre ordinateur. Bref, indispensable sur un ordinateur (PC, MAC). Encore plus indispensable sur un smartphone, tablette et tout autre objet nomade.

Voici quelques solutions de VPN et d’applications proposées par ZATAZ.COM dédié au surf anonyme et sécurisé pour votre smartphone et tablette. Ils vous permettant de surfer, converser… en mode sécurisé et chiffré. Je vais commencer par les applications que j’utilise. A noter que je n’exploite  jamais deux fois la même application/VPN dans la même journée.

A partir de 3€ par mois, sans abonnement.

HideMyAss! est un service permettant de surfer en mode chiffré, et quasi anonymement. Pour cela, HMA vous permet d’utiliser un VPN, un tunnel qui chiffre les informations qui transitent entre vous et les réseaux que vous pouvez utiliser (Oueb, FTP, IRC…). Hide My Ass, que l’on peut traduire par… « protéger son petit fessier sur Internet » propose une application simple et efficace. Sélection aléatoire des serveurs, recommandations géographiques (pour plus de rapidité, par exemple), planification des changements d’ip (toutes les 5 minutes, une nouvelle adresse, un nouveau serveur, un nouveau pays, par exemples).

Très pratique, vous pouvez choisir les applications qui ne peuvent se connecter qu’avec un VPN (mails…). L’application pour iPhone et Android est très intuitive. Bref, avec 929 serveurs basés dans plus de 190 pays, HMA met à disposition 125688 adresses IP. Cette société propose une option TV et console de jeux. Fonctionne sur PC, MAC, Android, iOS. Surf anonyme et sécurisé pour votre smartphone et tablette, téléchargez et testez HideMyAss!

VyprVPN, comme son cousin HideMyAss, offre un système de chiffrement. OpenVPN, et par une invention maison, le Chameleon (256 bits). Il utilise le protocole OpenVPN 256 bits, et permet de brouiller les métadonnées pour éviter le Deep Packet Inspection (DPI), les blocages… Ici aussi, vous pouvez définir les applications qui se lanceront uniquement avec un VPN. L’appli VyprVPN peut aussi être configurée de manière à s’allumer dès qu’une connexion wi-fi non sécurisée est détectée.

Nouveau, l’outil pour smartphone et tablette permet de bloquer les contenus et espaces numériques que votre mobile souhaiterait visiter sans votre accord (pub, redirection, lancement de programme malveillant…). Plus de 200.000 adresses IP, quelques 800 serveurs. Compter 10€ par mois, sans obliger de souscrire à un abonnement. VyprVPN propose une option TV, console de jeux et routeur. Fonctionne sur PC, MAC, Android, iOS. Surf anonyme et sécurisé pour votre smartphone et tablette – Téléchargez et testez VyprVPN.

Retrouvez plusieurs autres solutions gratuites et payantes d’application et VPN pour un surf anonyme et sécurisé pour votre smartphone et tablette sur zataz.com.

Android, Chiffrement, cryptage, Cybersécurité, Fuite de données, ios, Justice, loi, Mise à jour, OS X, Smartphone, Téléphonie

Apple vs. FBI : suite et fin ?

Apple vs. FBI – Suites du jugement rendu mardi 16 février par la Cour fédérale du Riverside en Californie, dans lequel cette dernière exigeait de la multinationale « une assistance technique raisonnable » au FBI afin de lui permettre d’accéder au contenu crypté de l’iPhone d’un des auteurs présumés de la fusillade de San Bernadino.

Il semblerait que le gouvernement qui parallèlement à ce jugement poursuivait ses efforts pour accéder au contenu de l’iPhone soit arrivé à ses fins. Le FBI contacté par un tiers serait sur le point de parvenir à accéder (si ce n’est déjà le cas) aux données de l’iPhone. S’en est suivie la levée d’une audience qui devait se tenir ce mardi. Le test de la viabilité de méthode fera l’objet d’un rapport d’évaluation et sera prochainement communiqué au juge en charge de l’affaire, Sheri Pym.

Il y serait parvenu sans l’aide d’Apple. Dans une telle hypothèse, la personne à l’origine de cette méthode pourrait néanmoins s’exposer à des poursuites judiciaires. Selon Robert Enderle, expert en technologies, il pourrait s’agir de John McAfee (créateur de l’anti-virus éponyme), ou d’un ancien employé d’Apple. En France, cette personne aurait pu être poursuivie sur le fondement des articles L 323-1 et suivants du Code pénal qui incriminent l’accès ou le maintien frauduleux dans un système automatisé de traitement des données. S’il s’agit d’un ancien employé d’Apple, il pourrait se voir opposer la clause de confidentialité présente dans son ancien contrat de travail.

Apple vs. FBI

En réalité, il serait surprenant qu’Apple ne soit pas intervenu. La version des faits telle qu’avancée par le gouvernement américain constituerait un juste milieu et permettrait à Apple de collaborer avec le FBI tout en maintenant son image de garant des libertés fondamentales auprès des consommateurs. En effet, depuis le jugement du 16 février dernier, la multinationale était dans une position ambigüe puisque si fournir au FBI un moyen pour accéder au contenu de l’iPhone permet de démontrer qu’Apple participe à lutter contre le terrorisme, a contrario cela engendrerait une menace de sécurité pour ses clients.

Depuis l’affaire Snowden qui avait révélé une collecte massive des données par la NSA dépassant le cadre sécuritaire, les sociétés américaines surfant sur cette vague d’indignation ont fait de la sécurité des données un véritable argument marketing. Si l’inviolabilité des téléphones rassure les consommateurs, les autorités regrettent qu’elle puisse aider la criminalité. Cette affaire ravive ainsi le débat sur la nécessité d’accéder aux contenus en vue de lutter contre le terrorisme d’une part et de renforcer la sécurité des données, d’autre part. D’un point de vue informatique, le premier suppose l’introduction d’une faille de sécurité dans le programme au moyen notamment des backdoors (ou « portes dérobées »), tandis que le second vise à rendre le logiciel infaillible à toute intrusion tierce.

Dans l’un comme dans l’autre cas, l’impact en termes d’image est négatif pour Apple. Il semble qu’elle s’en soit néanmoins sortis de cette confrontation Apple vs. FBI. Ainsi, lundi dernier alors que le FBI affirmait détenir une méthode viable pour accéder aux données de l’iPhone, Tim Cook déclarait que « nous devons décider en tant que nation quel pouvoir devrait avoir le gouvernement sur nos données et notre vie privée ».

En France, le projet renforçant la lutte contre le crime organisé, le terrorisme et leur financement qui sera prochainement en discussion devant le Sénat, complète l’article L 230-1 du Code pénal qui permet aux autorités judiciaires de désigner toute personne morale ou physique en vue d’accéder à des données chiffrées. Ce faisant, il disposera désormais en son dernier alinéa que « le fait, pour un organisme privé, de refuser de communiquer à l’autorité judiciaire requérante enquêtant sur des crimes ou délits terroristes (…) des données protégées par un moyen de cryptologie dont il est le constructeur, est puni de cinq ans d’emprisonnement et de 350 000 euros d’amende », l’amende étant portée au quintuple concernant les personnes morales. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM.)

Base de données, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Mise à jour, Sauvegarde

Un tiers des pertes de données des entreprises se produit lors du déplacement des données

Les migrations de données et les mises à jour des systèmes d’exploitation présentent des risques de pertes de données selon une étude Kroll Ontrack.

Une étude Kroll Ontrack menée auprès d’environ 600 administrateurs IT dans le monde montre qu’un tiers (32 %) des organisations a perdu ses données pendant la migration d’un support de stockage sur un autre ou au cours d’une mise à jour de leur système. Kroll Ontrack a aussi noté que plus de la moitié (57 %) des répondants disposait d’une sauvegarde, les trois quarts (75 %) n’étaient pas capables de restaurer toutes leurs données perdues, et plus d’un sur cinq (23 %) incapable de retrouver une seule donnée.

Les résultats de l’enquête 2016 sont cohérents avec les études de ces trois dernières années : plus de la moitié des particuliers et des entreprises perdent des données malgré la mise en place d’un système de sauvegarde. Interrogés sur leurs pertes de données à la suite d’une migration ou d’une mise à jour, les répondants équipés d’un système de sauvegarde ont expliqué que la sauvegarde n’était pas à jour (17 %) ou défaillante (15 %), le support n’était pas inclus dans la sauvegarde (14 %), ou la sauvegarde était corrompue (11 %).


« Les mises à jour et la migration de données font partie du quotidien en informatique, c’est donc inquiétant de voir qu’il y a autant d’entreprises victimes d’une perte de données parce que leurs protocoles de sauvegarde échouent. » indique à DataSecurityBreach.fr Antoine Valette, Business Manager Kroll Ontrack France. « Nous constatons que les mises à jour et les processus de migration sont un risque quel que soit le support, téléphone portable, ordinateur portable, PC ou serveur. Les entreprises doivent bien sûr veiller à avoir une stratégie de sauvegarde rigoureuse et la tester régulièrement pour valider son efficacité ; notre étude montre que ces pratiques sont d’autant plus critiques avant une migration. »

Système d’exploitation ou matériel : quel est le plus risqué pour les pertes de données ?
La perte de données se produit aussi fréquemment sur des supports autonomes que sur des serveurs. La moitié (50 %) des répondants déclarent avoir perdu ses données pendant la migration vers un nouveau logiciel ou plate-forme, à partir d’un ordinateur de bureau ou d’un ordinateur portable. Les mises à jour des systèmes d’exploitation sont les plus à risque (39 %), suivies par les clones des médias (22 %), puis les migrations physiques du matériel (20 %) ou la mise à jour du matériel (17 %).

Les résultats indiquent que la perte de données est moins un problème pour les utilisateurs de mobile, mais affecte tout de même plus d’un tiers (34 %) des répondants. Malgré les mises à jour automatiques des téléphones portables, 53 % des répondants déclarent avoir perdu leurs données pendant la migration vers un nouveau portable.

Échelle des risques pertes de données
Quand on demande aux participants de l’étude d’estimer quelles seront les principales causes de perte de données en entreprise au cours des 12 prochains mois, ils classent les migrations et les mises à jour des systèmes en bas de leur échelle de préoccupation, alors qu’un tiers des répondants a perdu des données au cours de ces opérations. A la place, les répondants classent les défaillances matérielles (22 %), les erreurs d’utilisation (22 %) et les erreurs imprévues et inattendues (21 %) comme les principaux risques de perte de données. Seulement 11 % considèrent que le faible contrôle interne des données est un risque majeur.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Justice, loi

Concours Correspondants Informatique et Libertés

L’AFCDP (Association française des Correspondants à la protection des Données à caractère Personnel) lance un concours destiné à récompenser le meilleur mémoire réalisé sur un sujet qui intéresse les Correspondants Informatique et Libertés – destinés à devenir les futurs DPO (Data Protection Officer) et, plus largement, tout professionnel de la conformité à la loi Informatique et Libertés et à la protection des données personnelles. Ce prix est dénommé « Meilleur Mémoire AFCDP ».

Pour cette première édition du Prix du Meilleur Mémoire AFCDP, le thème porte sur les moyens et techniques permettant de rendre « inintelligibles » les données personnelles afin de mieux les protéger et d’éviter à avoir à notifier les personnes concernées en cas de violation à un traitement de données. Ce thème s’inscrit dans la préparation des responsables de traitements au futur règlement européen sur les données personnelles.

L’objectif du mémoire est donc de vulgariser et de montrer, de façon opérationnelle, les apports de techniques telles que le chiffrement, le hachage, la tokenisation, la pseudonymisation pour éviter la notification des violations de données aux personnes concernées. Le règlement de ce concours est librement accessible ICI.

Apache, Chiffrement, cryptage, Cybersécurité

Garantir la protection de la sécurité par DNS hybride : quelles sont les pré-requis et avantages ?

Plus l’utilisation d’Internet est intensive, plus le DNS devient important. S’agissant d’un service si important, il est étrange que le DNS soit pratiquement invisible. Nous comptons dessus pour tout et pourtant nous ne le traitons pas comme un service essentiel ; au lieu de cela, nous le paramétrons, puis nous l’ignorons. Quelques points de vigilances sérieux sont à prendre en compte.

Le DNS est trop important pour être ainsi sous-estimé. Il convient de le gérer soigneusement, de mettre au point une architecture de DNS qui soit évolutive et sécurisée. Or c’est cette dernière étape qui est à la fois la plus difficile et la plus importante. Si l’on considère le DNS comme le GPS d’Internet, il n’est pas surprenant qu’il soit la cible des criminels. Abattre un serveur DNS peut empêcher une entreprise d’accéder à des ressources en ligne, tandis qu’empoisonner et fausser les résultats peut permettre à un criminel de rediriger les utilisateurs vers un site conçu pour dérober leurs informations d’identification – en ouvrant les portes de l’entreprise au vol d’IP, ainsi qu’en permettant un accès sans entraves aux comptes en banque et autres services financiers.

Une identification des vulnérabilités
Il suffit de regarder les listes de vulnérabilité publiées régulièrement pour voir à quel point il est risqué de ne pas gérer son serveur de DNS. ISC, l’organisme open source qui gère le développement de BIND, publie régulièrement sa matrice de vulnérabilité et a signalé sept principaux problèmes au cours des trois derniers mois. Quiconque ne suit pas ces listes et ne met pas ses serveurs à jour laisse son entreprise grande ouverte aux menaces les plus diverses. La base de données nationale de vulnérabilité du NIST décrit dans le détail 14 vulnérabilités constatées dans différents produits du serveur DNS sur la même période.

Beaucoup de ces vulnérabilités étaient critiques : dans un cas, une requête DNS spécialement formatée pouvait planter un serveur, empêchant ainsi une entreprise, ses utilisateurs (et dans certains cas, ses clients) d’accéder à Internet ou à leurs applications. Ces vulnérabilités zero-day présentent un risque important car le DNS peut sembler être un service qui « se contente de fonctionner », mais un serveur de DNS non sécurisé est une porte ouverte qui n’attend qu’une chose : que les cambrioleurs d’Internet entrent. Excepté qu’il ne s’agit pas uniquement de la porte de l’entrepreneur, mais également des portes des salariés, des portes des clients et du coffre-fort de la banque. En fait, de tout ce qui est en ligne.

Alors, comment peut-on sécuriser son DNS ?
Une solution de DDI bien conçue est une possibilité. Certains éditeurs propose un service de DNS Hybride. Contrairement à la plupart des solutions de DNS, le DNS hybride utilise deux technologies de DNS différentes afin de réduire les risques pour les utilisateurs. Dès qu’une alerte est publiée, il est possible de passer de BIND à NLnet Labs (NSD/Unbound) en un seul clic et une fois qu’un patch a été oublié, il est possible de le tester, avant de l’envoyer en production dès le processus de validation terminé. Toutes les modifications apportées au DNS local étant gérées par le logiciel de l’éditeur, il est inutile de reconfigurer le reste de votre réseau.

Préserver la sécurité de l’infrastructure constitue une part important du travail d’un service informatique. Le DNS Hybride aide à simplifier le processus, en facilitant la gestion et le contrôle du DNS, tout en minimisant le risque, mais il est l’un des plus importants, ce qui minimise le risque de vulnérabilités aux attaques zero-day dans les technologies clés du réseau. L’infrastructure de DNS Hybride est également une extension des meilleures pratiques informatiques, qui utilise une combinaison de technologies pour gérer le risque.

Lorsqu’une infrastructure hybride est mise en place, si une technologie présente un risque ou est attaquée, la deuxième continue d’assurer le service et il est possible de basculer de la technologie attaquée à l’autre en une seconde. Le but ici, comme toujours, est de préserver la simplicité des opérations. Les outils de DDI facilitent la gestion des paramètres de DNS. Combinés avec le DNS Hybride, ils permettent de basculer d’un DNS non sécurisé à un serveur sécurisé dès que l’utilisateur est notifié. Il peut ensuite rebasculer une fois le système mis à jour. Simple et sécurisée : cette méthode permet de préserver le DNS contre les pirates informatiques et de garantir que les données les plus précieuses atteignent la destination souhaitée. Tout en préservant l’entreprise contre les attaques zero-day destructrices. (Par Hervé DHELIN, EfficientIP)

Chiffrement, cryptage, Cybersécurité, Linux

Ring, un système de communication distribué et sécurisé Open Source

Savoir-faire Linux annonce le lancement de la version Beta de Ring, un système de communication distribué et sécurisé Open Source.

Depuis quelques mois, Ring, un logiciel libre sous licence GPLv3, développé par les équipes de Savoir-faire Linux, crée une effervescence dans le milieu mondial du logiciel libre, des hackers et de la cybersécurité, bien qu’il en soit à ses tous premiers balbutiements. Plusieurs opérateurs Internet et industriels des télécommunications, et même l’industrie du développement durable commencent également à s’y intéresser de près.

Présenté en plénière au FOSDEM2016 à Bruxelles il y a quelques semaines, il constituera l’événement de ce week-end simultanément à la conférence FOSSASIA de Singapour et surtout à Boston, au cours de la conférence LibrePlanet, organisée par la célèbre Free Software Foundation, qui fêtera pour l’occasion son 30ème anniversaire.

Ring, le nouveau Skype ou Hangout Open Source
Ring permet d’établir une communication chiffrée vidéo, audio, texte de très haute qualité entre deux ou plusieurs personnes où qu’elles soient dans le monde. Il est disponible pour les plate-formes Linux, Windows, Mac/OSX, Android et d’ici quelques mois sur iOS. Il est distribué avec les sources sous licence GPLv3.

Pour de nombreux  spécialistes, ce logiciel pourrait constituer un jalon dans l’histoire de l’Internet. Mais  Cyrille Béraud, Président de Savoir-faire Linux, reste prudent : « Je voudrais rappeler que la version que nous présentons aujourd’hui est une version Beta, c’est-à-dire que Ring est encore un logiciel jeune, qui reste fragile et qui, dans de nombreuses situations, fonctionnera de manière imparfaite. Ceci étant dit, il s’améliore chaque jour et dans un environnement standard et pour un usage domestique, il fonctionne déjà très bien ».

Ring, une plateforme de communication décentralisée et distribuée
Le concept essentiel de Ring est la décentralisation. Avec Ring, plus besoin d’opérateurs, plus besoin de serveurs à gérer, plus de coûts associés à chaque appel et surtout, Ring offre beaucoup de liberté et de sécurité.

« Techniquement, nous nous sommes appuyés sur des technologies déjà bien éprouvées : ffmpg/libav, GnuTLS, Pjsip, etc., mais concernant l’innovation au cœur de Ring, nous avons utilisé le concept des DHT, Distributed Hash Tables. Pour cela, nous avons développé notre propre librairie, OpenDHT, disponible sur github, en introduisant des innovations importantes qui, conjointement avec les protocoles ICE et SIP, permettent ainsi de traverser les routeurs et les pare-feux, de localiser, d’une manière certaine un utilisateur, même s’il se trouve dans un réseau privé, et d’établir, un canal de communication  sécurisé, de n’importe où dans le monde.» précise Cyrille Béraud. Dans un contexte professionnel, c’est une flexibilité et des économies importantes pour de très nombreuses entreprises. Pour tous, c’est la possibilité de communiquer librement et gratuitement où que l’on soit, en toute sécurité« . indique Cyrille Béraud.

De part cette propriété et du fait que Ring utilise des standards ouverts et reconnus, cette plateforme permet d’esquisser un véritable système universel de communication non-hiérarchique sur Internet, en permettant non seulement une communication entre deux personnes, mais plus généralement, entre deux ou une multitude d’objets sur Internet. « De ce point de vue, les innovations que nous avons mises à disposition à travers Ring, ouvrent de nombreuses possibilités et applications industrielles ou grand public. Nous avons déjà dans notre laboratoire, plusieurs prototypes basés sur des plateformes embarquées très légères qui, à partir de Ring, s’interconnectent avec des systèmes domotiques ou des systèmes d’acquisition de données. C’est assez spectaculaire et très prometteur.

Pour compléter ce tour d’horizon, il faut indiquer aussi que Ring fonctionne en mode dégradé et même complètement coupé d’Internet. « Imaginez un village isolé en Afrique ou en Inde avec une connexion fragile à Internet. En cas de coupure d’accès au Net, le système distribué de Ring se rétracte sur les nœuds qu’il peut contacter et continue de fonctionner. Dans l’exemple du village coupé du monde, les habitants peuvent continuer à communiquer entre eux. Ring, de ce point vue, peut participer à un développement durable et contribuer au développement de l’économie et de la démocratie de pays ayant des infrastructures de communication peu développées. »

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Leak, Particuliers, Piratage, Vie privée

Data leak – Piratage des forums de LitecoinTalk

Durant plusieurs heures, le site LitecoinTalk ne répondait plus aux demandes des visiteurs. Le site vient de demander à ses utilisateurs de changer leur mot de passe. Ça sent le piratage et le data leak !

Il y a quelques jours, les amateurs de la monnaie numérique Litecoin, et utilisateurs des forums de LitecoinTalk, se sont retrouvés à la porte de cet espace dédié au concurrent du Bitcoin. Il y a cinq jours, le 11 mars 2016, un message d’alerte a été diffusé par les administrateurs. Une annonce inquiétante, LitecoinTalk demande à ses utilisateurs de modifier leur mot de passe d’accès.

Même si les mots de passe sont hachés (dont illisibles et inutilisables, NDR), rien n’empêche de penser que ces derniers peuvent être crackés. Au moment de l’écriture de cette brève, je constate que les forums de LitecoinTalk sont toujours fermés. Les administrateurs indiquent sur Reddit « Nous ne pouvons pas confirmer si l’attaquant a obtenu la base de données, mais il convient de supposer qu’il a pu y accéder, et si vous avez utilisé votre mot de passe Litecointalk ailleurs, changer le immédiatement« .

Un piratage ? Il y a malheureusement une forte chance. Une « probable » attaque qui démontre une fois de plus qu’il est important d’utiliser des mots de passe différents pour chaque site et services web utilisés. Le risque de  » data leak « , la diffusion de la base de données volées, via la revente dans le blackmarket ou gratuitement, est un danger loin d’être négligeable. Les informations ainsi rendues publiques deviennent incontrôlables !  Une problème qui intervient alors que la monnaie Litcoin prend de la valeur, ce qui n’était pas arrivé depuis pas mal de temps.

Android, Chiffrement, Cybersécurité, Entreprise, ios, Sauvegarde, Smartphone, Téléphonie, Windows phone

Le smartphone, nouvelle identité numérique

Le smartphone pourrait-il devenir la nouvelle identité numérique permettant d’accéder à la fois aux données et aux bâtiments ? La réponse est oui : l’accès mobile est très en vogue. Plusieurs grandes entreprises sont prêtes à sauter le pas, de même pour les PME.

Le champ d’application des smartphones ne cesse de s’élargir. L’accès mobile, quoique récent, prend de plus en plus d’importance le domaine d’activité. Les smartphones peuvent ainsi servir d’identités numériques pour accéder aux bâtiments, aux systèmes informatiques et autres applications. Ce sont les nouvelles technologies d’accès mobile et les standards de communication, comme NFC et Bluetooth Smart, qui rendent cela possible. Dans ce cadre, les identités numériques de nouvelle génération offrent même une plus grande sécurité que de nombreuses cartes conventionnelles, le cryptage de leurs transmissions n’ayant pas encore été compromis. L’accès mobile signifie que les clés, les cartes et autres jetons sont intégrés dans les smartphones, les tablettes et autres objets connectés à l’instar de l’Apple Watch.

De nouvelles opportunités s’ouvrent également au sein des PME au sein desquelles l’utilisation des smartphones ne cesse de se développer. La tendance BYOD a accéléré la pénétration des smartphones dans la sphère professionnelle et lorsqu’un smartphone est utilisé au quotidien le chemin vers la solution d’accès mobile n’est pas long. Pour l’administrateur il s’agit cependant de trouver des solutions et de gérer un parc souvent hétéroclite.

Les avantages d’une stratégie d’accès mobile sont clairs. Les économies découlent de la numérisation intégrale des processus évitant la commande et l’impression des nouvelles cartes tout en rationalisant les flux. Ainsi, par exemple, il n’est plus nécessaire de disposer de différents processus pour l’émission et l’administration d’identités distinctes servant à l’accès informatique et au contrôle d’accès.

Identité numérique

Alliant sécurité et convivialité, une solution d’accès mobile peut marquer des points. La caractéristique clé des smartphones réside dans leur capacité de mise en œuvre de mesures de sécurité intégrées. Citons notamment le cryptage des données ou l’utilisation de procédures biométriques avec des empreintes digitales. L’application d’accès peut fonctionner en outre dans un sandbox dédié, ce qui permet de garantir qu’aucune autre application ne puisse accéder à des informations d’authentification ou d’accès confidentielles. Notamment en cas de perte, il doit être possible de révoquer à distance les données qu’il contient. Cette multitude de fonctions de sécurité permet d’assurer un niveau élevé de protection des données, ce qui répond justement aux exigences des entreprises de taille moyenne. Le confort des différents collaborateurs s’en trouve amélioré, ces derniers n’ayant plus à transporter de cartes et de clés, et à se souvenir de leurs nombreux codes ou mots de passe. Pour certaines applications comme le parking, il peut également bénéficier d’une distance de lecture pouvant aller jusqu’à plusieurs mètres.

La condition pour la mise en œuvre d’une solution d’accès mobile est la mise en place d’une infrastructure avec une gestion d’identité numérique et d’accès sécurisée et généralisée. Dans ce domaine, HID Global propose des lecteurs compatibles avec ces identités mobiles dont les fonctionnalités peuvent bénéficier de mises à jour et d’un portail sur le Cloud pour l’administration de ces mêmes identités numériques.

Les solutions d’accès mobiles sont clairement tendance et cette évolution n’épargnera pas les PME. En fin de compte, les solutions d’accès mobiles, et donc de l’identité numérique, ouvriront la voie à une nouvelle conception de la gestion des identités, démarche où le service sera très présent. (Par Yves Ackermann, Directeur Segments Stratégiques Europe, HID Global)