Archives de catégorie : Biométrie

BrutePrint : une faille expose les smartphones Android à des attaques par force brute des empreintes digitales

Des chercheurs de l’Université du Zhejiang et de Tencent Labs ont découvert un nouveau vecteur d’attaque baptisé BrutePrint. Il exploite la faiblesse des mécanismes de sécurité des empreintes digitales sur les smartphones Android.

Cette vulnérabilité permet à un attaquant de mener des tentatives d’authentification par force brute afin de prendre le contrôle d’un appareil mobile. En exploitant les vulnérabilités Cancel-After-Match-Fail (CAMF) et Match-After-Lock (MAL), les chercheurs ont pu contourner les limites de tentatives d’authentification infructueuses imposées par les smartphones Android modernes.

Les détails techniques de BrutePrint ont été publiés sur la plateforme Arxiv par les auteurs de l’étude. Ils ont identifié des lacunes dans la sécurité des données biométriques au niveau de l’interface périphérique série (Serial Peripheral Interface, SPI) des capteurs d’empreintes digitales. Cette vulnérabilité permet une attaque de l’homme du milieu et l’accès aux images d’empreintes digitales. Les chercheurs ont testé leur vecteur sur dix modèles de smartphones populaires et ont pu mener un nombre illimité de tentatives d’authentification sur Android OS et HarmonyOS (Huawei). Dans le cas d’iOS, ils ont réussi à éliminer seulement dix tentatives supplémentaires.

Il est important de souligner que l’exécution de BrutePrint nécessite un accès physique à l’appareil ciblé. De plus, l’attaquant doit avoir accès à une base de données d’empreintes digitales, ce qui peut être obtenu pour un coût modeste d’environ 15 $.

Les résultats des tests ont révélé que tous les smartphones expérimentés étaient vulnérables à au moins l’un des bugs décrits. Les appareils Android permettaient un nombre illimité de tentatives de sélection d’empreintes digitales, tandis que les appareils Apple étaient légèrement plus fiables dans leur limitation des tentatives.

Cette découverte met en évidence la nécessité de renforcer la sécurité des données biométriques et des mécanismes d’authentification sur les smartphones Android. Les fabricants et les développeurs doivent prendre des mesures pour corriger ces vulnérabilités et améliorer la protection des empreintes digitales, qui sont de plus en plus utilisées comme moyen d’authentification. Les utilisateurs doivent également être conscients de ces risques potentiels et prendre des mesures pour protéger leurs données en utilisant des méthodes d’authentification supplémentaires, comme les codes PIN ou les mots de passe, en plus des empreintes digitales. (Arxviv)

GO.CAM, un outil pour améliorer votre cybersécurité

Un étonnant outil dédié au contrôle d’accès permet d’améliorer la sécurité en vérifiant l’âge des personnes !

Un site Interdit aux mineurs, comme les marques d’alcool, sont dans l’obligation de réclamer l’âge de leur visiteur afin de valider l’accès aux pages du site. C’est du déclaratif, autant dire qu’il suffit de modifier l’âge dans l’onglet dédié pour accéder aux contenus interdits. L’application Go Cam promet permettre un contrôle beaucoup plus « poussé » grâce à une intelligence artificielle qui doit être capable de définir l’âge du visiteur. Le système est simple. Vous vous placer devant votre webcam et cette dernière va permettre à Go Cam de définir votre âge « approximativement » et vous permettre d’accéder, ou non, au site bloqué par la restriction. « Si l’âge détecté est correcte, le visiteur pourra continuer à naviguer. Si, au contraire, l’âge détecté est trop proche de l’âge légal (18 ans en France, 21 dans certains états US), alors un deuxième moyen de vérification sera demandé. » indique les créateurs.

Ce second moyen sera de prendre une photo d’une pièce d’identité (Carte Nationale d’Identité, passeport ou permis de conduire) avec sa webcam ou l’appareil photo du téléphone.

Go CAM indique que la photo et la date de naissance, et seulement ces deux infos, seront exploitées. Rien n’est transmis, ni conservé ! Les données sont effacées. C’est la société Française GSI Developpement qui travaille sur cet axe cyber. A noter que la société la société X love cam vient d’intégrer cette solution pour garantir la majorité de ses utilisateurs.

Bref, si vous souhaitez tester Go.cam, la Solution Anonyme et Gratuite pour la Verification d’Age, on vous laisse découvrir l’idée.

Authentification biométrique : notre identité en ligne de mire des attaquants

Alors que la CNIL a publié, le 28 mars 2019, « un règlement type qui précise les obligations des organismes souhaitant se doter de dispositifs biométriques à des fins de contrôle d’accès aux locaux, aux applications et aux outils de travail », à destination des employeurs, les organisations doivent poursuivre leur transformation digitale tout en gardant le cap sur la protection des données sensibles, dont les données biométriques font partie.

Pour David Higgins, Director of Customer Development EMEA, chez CyberArk, l’engouement pour l’authentification biométrique et son rôle dans la cybersécurité ne cesse de croître, et divise de plus en plus. Perçue par certains experts comme l’avenir de la sécurité numérique, la biométrie suscite cependant des craintes quant à la confidentialité. « Autrefois réservés aux films de science-fiction, les lecteurs biométriques d’empreintes digitales, de reconnaissance faciale, ou encore les scanneurs rétiniens, ont prouvé leur efficacité ces dernières années pour authentifier les consommateurs et permettre l’usage de leurs terminaux. Tant et si bien que de nombreuses entreprises ont souhaité explorer l’authentification biométrique comme un moyen de protéger leurs données sensibles. Or, il faut d’abord en comprendre les enjeux. »

Pour être utiles à des fins d’identification et de contrôle d’accès, les marqueurs biométriques doivent être totalement individuels, permanents et enregistrables. Les exemples de données biométriques incluent des caractéristiques propres à chaque individu comme la structure faciale d’une personne, l’iris de l’œil, les empreintes digitales, le timbre de la voix, ou encore la géométrie d’une main. Ces caractéristiques uniques sont collectées et stockées dans une base de données, offrant un moyen sécurisé aux utilisateurs pour se connecter à plusieurs périphériques, ou systèmes, sans avoir à utiliser et à mémoriser de nombreux mots de passe.

Or, l’authentification biométrique préoccupe beaucoup du point de vue de la sécurité et de la protection de la vie privée, notamment parce que leur caractère permanent tend à vulnérabiliser les systèmes. En effet, partant du principe qu’il n’est pas possible de modifier son visage, la structure des veines de ses mains ou ses empreintes digitales, comme on modifie un mot de passe traditionnel, si une personne vole, utilise ou duplique l’identité biométrique d’un individu, ce dernier ne peut rien y faire – ses comptes et appareils resteront vulnérables ad vitam aeternam. Par ailleurs, le fait que l’authentification biométrique soit permanente pourrait facilement conduire certaines personnes et/ou organisations à devenir trop confiantes dans la technologie et à abandonner d’autres bonnes pratiques de sécurité, telles que les stratégies de mot de passe fort ou l’authentification multifactorielle (MFA). Cette relâche de la sécurité n’a pas échappé aux pirates qui ont ainsi lancé une vague d’attaques contre ces nouveaux marqueurs biométriques allant des micropuces aux services génétiques, en passant par les bases de données biométriques.

Les technologies d’authentification biométrique ne sont pas encore totalement infaillibles. Bien que l’avenir des mots de passe traditionnels ne semble pas prometteur, il reste encore beaucoup à faire en cybersécurité, et au niveau de la réglementation de la confidentialité, pour permettre aux organisations d’adopter cette approche d’authentification facilement et en toute confiance.

Bref, comme sur Internet, notre vie privée est malmenée. Sur le web, le VPN devient un outil INDISPENSABLE. Voici d’ailleurs une possibilité avec un classement des meilleurs VPN. Prudence, cependant, aux VPN gratuits. Certains peuvent être plus dangereux qu’autre chose comme expliqué ici.

DeepMasterPrints : Des chercheurs réussissent à hacker des systémes biométriques

DeepMasterPrints : Des chercheurs de la New York University et de l’Université du Michigan ont trouvé le moyen de piéger des systèmes biométriques à partir de 6 000 empreintes digitales existantes.

DeepMasterPrints, le doigt dans l’œil de la biométrie. Des chercheurs (New York University et Université du Michigan) trouvent le moyen de piéger des systèmes biométriques. Comment ? à partir de 6 000 empreintes digitales existantes. Les étudiants ont créé à partir de ces 6 000 vraies empreintes, des empreintes digitales artificielles. Elles ont pu tromper les systèmes de sécurité proposés dans les ordiphones (smartphones). Une attaque baptisée « DeepMasterPrints ».

L’étude explique que les empreintes digitales inventées pour l’occasion font illusion une fois sur cinq. Leur « passe-partout » est capable d’usurper plusieurs personnes à la fois, alors que la biométrie est sensée être unique pour chaque individu. La société Counterpoint Research explique que 50% des smartphones vendus 2017 étaient équipés d’un systéme biométrique. 7 téléphones sur 10 seront « biométrie » d’ici la fin d’année 2018. Soit plus d’un milliard de téléphones portables intelligents.

La société expliquait l’année dernière que la fiabilité du capteur d’empreintes digitales était un problème majeur. « la plupart des capteurs d’empreintes digitales capacitifs sont faillibles.« . Cependant, avec les derniers capteurs d’empreintes digitales, avec une détection directe des doigts ou utilisant la technologie de détection par empreinte digitale à ultrasons pour créer une image 3D des empreintes digitales sont potentiellement plus efficace.

DeepMasterPrints

Pour fonctionner, les DeepMasterPrints tirent parti de deux propriétés des systèmes d’authentification par empreintes digitales. La première est que, pour des raisons ergonomiques, la plupart des lecteurs d’empreintes digitales ne lisent pas l’ensemble du doigt en même temps, mais plutôt la numérisation de la partie du doigt qui touche le scanner.

La seconde est que certaines caractéristiques des empreintes digitales sont plus courantes que d’autres. Cela signifie qu’une fausse empreinte contenant de nombreuses caractéristiques très communes est plus susceptible de correspondre à d’autres empreintes digitales que le pur hasard ne le laisserait penser.

La biométrie dans le transport aérien : vers une nouvelle expérience passager

L’arrivée de la biométrie est en train de transformer radicalement l’« expérience passager » dans les aéroports. Cette nouvelle technologie, alliée aux nouvelles solutions en libre-service, devient le moyen de répondre aux défis sécuritaires actuels, à la recherche de la qualité de service et au phénomène de croissance soutenue du nombre de voyageurs aériens.

Ces deux dernières décennies, de profonds bouleversements politiques et économiques ont changé les pratiques du voyage aérien. Planifiés de longue date, les accords de Schengen (1995), puis l’élargissement de l’Europe (mai 2004) pour une meilleure fluidité au sein de l’Union, doivent aujourd’hui prendre en compte un contexte sécuritaire de plus en plus exigeant. Les attentats de New York de 2001 par exemple, ont été le prélude à une longue série de malveillances qui ont nécessité des contrôles passagers renforcés. Mais les directives initiées par un certain nombre de pays sur les données de voyages (Advance Passenger Information ou API, et d’un autre côté les données des dossiers passagers ou en anglais PNR) ne seront efficaces que si l’on sait identifier les personnes suspectes dans les aéroports.

Sur un autre plan, le transport aérien s’impose comme un acteur clé de l’économie. Déplacements professionnels et tourisme constituent une source de richesse et de création d’emplois. Aussi les acteurs du secteur aérien (aéroports, compagnies aériennes, autorités nationales et internationales, industriels de la sécurité) se trouvent-ils confrontés à plusieurs exigences : assurer la fluidité de voyageurs « fiables », limiter le temps d’attente et les retards des passagers, renforcer les contrôles de façon à parer à d’éventuelles menaces et maîtriser les coûts.

Pourquoi la biométrie est-elle intimement liée à l’identité des personnes ?
Les statistiques sont sans appel : il y aura près de 4 milliards de passagers aériens en 2017 et plus du double dans les vingt années à venir .

A l’image des banquiers à qui la réglementation demande de mieux connaître ses clients (KYC – Know Your Customer), les prestataires aéroportuaires découvrent aujourd’hui le formidable potentiel de la biométrie, qui dépasse largement les applications strictement sécuritaires. Laissons de côté les préoccupations – très légitimes – de fraude à l’identité et de terrorisme, et intéressons-nous au voyageur, un sujet central dans ce monde des objets connectés, sujet en vogue aujourd’hui.

IATA, l’association internationale des compagnies aériennes, soucieuse de rendre au voyage ses lettres de noblesse – confort, agrément et plus – se fait le porte-parole du client, le passager dont elle revendique une expérience positive. L’association est à l’origine de ce concept novateur d’« identité unique » permettant de s’authentifier, non plus pour un voyage particulier, mais, une fois pour toute, pour l’ensemble des déplacements. La biométrie devient dans ce cas de figure, le garant de l’identité grâce à une carte pouvant être utilisé dans tous les aéroports.
Les Australiens par exemple, ont même récemment dépassé la proposition IATA en dématérialisant les passeports pour les stocker dans le cloud de façon à faciliter les voyages avec leurs voisins de Nouvelle Zélande.

Le voyage de demain : le libre-service de bout en bout grâce à la biométrie
Face à un trafic aérien toujours plus dense, les aéroports et compagnies aériennes ont déjà très largement opté au cours des 15 dernières années pour le déploiement de dispositifs automatiques avec comme objectif le désengorgement des flux des passagers – très problématiques durant les heures de pointe – en simplifiant l’enregistrement.

Ces dispositifs, notamment les bornes d’enregistrement automatiques ou dépose bagages automatisés, ont révolutionné le processus d’enregistrement, permettant aux voyageurs pressés de procéder eux-mêmes à leur enregistrement et réduisant par la même occasion le temps d’attente aux traditionnels guichets de 30% .
Des études montrent que le taux de satisfaction des passagers est d’ailleurs autant plus élevé que l’utilisation de la technologie est accessible et permet d’améliorer le parcours au sein de l’aéroport.

L’identification biométrique consiste à se présenter, comme dans le monde réel, physiquement ou à partir d’un document portant une mention d’état civil. Le destinataire peut stocker cette information par une prise de vue ou la stocker dans une base de données, si la législation le permet. En comparaison à l’authentification, qui demande à une personne de prouver qu’elle est bien celle qu’elle prétend (avec le code PIN par exemple, pour retirer de l’argent), la biométrie constitue un moyen imparable pour confirmer la ressemblance entre le postulant et une référence stockée en local ou à distance.

Le stockage local, désigné en anglais par l’acronyme de MOC, Match On Card – consiste à détenir son empreinte biométrique dans un document (une carte ou un badge par exemple) présenté et lu à la manière de la technologie sans contact (NFC) utilisée pour les paiements par carte de crédit. Grâce à ce type d’identification, chacun porte en lui son habilitation ; les temps de réponse sont réduits au minimum, vu que le postulant est confronté à sa propre biométrie. Il s’agit de la procédure mise en œuvre par les sas biométriques de contrôle de frontières, les célèbres eGates PARAFE, le voyageur est authentifié par rapport à son passeport. En cas de perte ou de vol du précieux document – badge, passeport, carte – l’impétrant ne pourra plus s’authentifier.

Le parcours biométrique : qu’en attendre ?
Toutes ces initiatives vont aujourd’hui dans le sens d’une automatisation des procédures de contrôle. En effet, le voyageur actuel, passe beaucoup de temps à surfer sur le web pour vérifier un cours de bourse, consulter ses mails ou encore la météo. Réserver son voyage, s’enregistrer, et embarquer, tout en souriant à l’application biométrique de son téléphone, intervient comme une suite logique aux nouvelles habitudes de vie initiées par les nouvelles technologies.

Avec 1000 millions de passeports électroniques aujourd’hui en service dans le monde, soit 1 milliard de portraits normalisés accessibles par les systèmes de reconnaissance faciale, les eGates, citées plus haut, constituent la solution biométrique la plus prometteuse et déjà mise en place dans un nombre grandissant d’aéroports. Les récentes études ont confirmé des pourcentages de l’ordre de 80% de gain de temps sur le parcours grâce à des procédures automatisées .

A terme, ces innovations permettront d’augmenter l’efficacité, limiter le temps d’attente des voyageurs et permettre au personnel des aéroports et des compagnies aériennes de se concentrer sur d’autres tâches comme le bon fonctionnement du service et de la sécurité ou encore à venir en aide aux passagers novices. (Par Nora Blomefield, Responsable Marketing chez Gemalto pour les solutions de biométrie pour l’authentification des passagers et l’automatisation des services dans les aéroports)

Source : IATA (The International Air Transport Association)
2 Source : http://www.airportimprovement.com/article/automated-self-serve-bag-drop-saves-travelers-time-increases-airline-efficiency-halifax-int-l
3 Source : The Airport IT Trends Survey – 2016 report from SITA

SoundProof, la biométrie par le bruit

Une entreprise Suisse propose SoundProof, une nouvelle forme de contrôle biométrique. Le bruit ambiant permet de valider une connexion !

La biométrie, c’est permettre l’accès à un espace, un ordinateur, un système en utilisant une partie de son corps : iris, empreinte digitale, veines, visage, … Une entreprise Suisse basée à Zurich, Futurae, annonce avoir rajouté une couche de sécurisation à la biométrie. Baptisé SoundProof, la méthode de sécurité utilise les micros de votre ordinateur, console, smartphone, tablette, montre connectée pour enregistrer le bruit vous entourant et comparer avec les sons contenues dans sa base de données. SoundProof compare et valide ou non l’accès. Une double authentification par le bruit. A note que si le silence est complet, le matériel contrôlé va émettre son propre son, différents à chaque connexion, qui sera reconnu par SoundProof. (LT)

Protection des données, vie privée et biométrie: l’Université suisse à distance distance university lance une formation en ligne

Protection des données, vie privée et biométrie: l’Université suisse à distance distance university lance une formation en ligne unique en Europe.

Accéder à son smartphone avec son empreinte digitale, entrer dans son entreprise par un terminal de reconnaissance faciale, voyager grâce à son identité biométrique… les technologies biométriques régissent peu à peu nos actes de tous les jours, changeant les enjeux en matière d’identité des citoyens et de la vie privée.

Aujourd’hui, de nombreuses entreprises, administrations et organisations sont confrontées aux questions soulevées par les nouvelles technologies en matière de protection des données. Reconnaissant leurs besoins, l’Université suisse à distance (UniDistance) et l’Institut de recherche IDIAP ouvrent une formation unique en Europe, le 1er avril 2017 : un Certificate of Advanced Studies in Biometrics and Privacy, enseigné en ligne par les meilleurs experts européens.

Maîtriser les défis à venir et se préparer à la nouvelle loi européenne sur la protection des données

Pour la première fois, une formation aborde l’ensemble des aspects liés à la biométrie: technologies, lois, règles et normes en matière de protection des données et de vie privée, aspects éthiques, culturels et sociaux ou encore sciences criminelles.

La nouvelle législation européenne sur le traitement des données, qui vise à préparer l’Europe à l’ère numérique, entrera en vigueur en mai 2018. Applicable à toutes les entreprises et organisations qui offrent des services, elle exige de ces dernières l’instauration de systèmes de gestion des données et des risques. La formation proposée les préparera de manière optimale à cette situation nouvelle.

Un programme unique enseigné par les meilleurs experts en Europe  

Le nouveau programme, extrêmement flexible, est enseigné en ligne. Les participants déterminent leur planning et le rythme de leurs études, quel que soit le pays où ils se trouvent. Une solution idéale pour concilier formation avec obligations professionnelles et familiales. Le diplôme, conçu conformément aux Accords de Bologne, est reconnu dans tous les États membres de l’Union Européenne.

Les cours seront dispensés par les meilleurs spécialistes internationaux. Citons le Dr Sébastien Marcel, expert en systèmes de reconnaissance et d’apprentissage machine, chercheur senior en biométrie à l’institut de recherche IDIAP, Suisse, la Prof. Katerina Kitrokotsa, Associate Professor à la faculté d’informatique de la Chalmers University, Suède, la Prof. Els Kindt, chercheuse en eLaw à Leiden University, Belgique ou encore le Dr Emilio Mordini, Président de Responsible Technology SAS, France.

Pour de plus amples informations: http://www.distanceuniversity.ch/cas-biometrics

UniDistance est le seul institut universitaire à distance – distance university – reconnu par le gouvernement suisse. Depuis 1992, il propose des formations académiques de type Bachelor et Master notamment dans les domaines du droit, de la psychologie, de l’économie et des sciences historiques. http://www.UniDistance.ch

L’Institut de Recherche Idiap est une fondation à but non lucratif spécialisée dans la recherche et le développement dans le domaine de la gestion de l’information multimédia. Cet institut abrite le centre suisse d’excellence en biométrie (Swiss Center for Biometric Research and Testing), qui a pour mission de développer les technologies liées à la sécurité des données biométriques et de faciliter la collaboration entre les chercheurs et les entreprises. http://www.idiap.ch

Biométrie : pourquoi les états freinent leur usage alors que les consommateurs l’acceptent ?

Les fabricants d’appareils numériques intègrent de plus en plus de de systèmes de contrôle biométrique, que ce soit des capteurs d’empreintes digitales ou même un scanner d’iris. L’usage de la biométrie représente-t-elle une révolution ? Pas si sûr. Ces lancements et son acceptation par les consommateurs sont révélateurs d’une nouvelle façon de percevoir et d’adopter des technologies qui suscitaient traditionnellement des réticences voire des craintes.

La biométrie, déjà dans toutes les poches Si les Français considéraient la reconnaissance d’empreintes digitales comme une technologie réservée à la police, les initiatives de sécurité biométrique des géants de l’informatique, telle que la généralisation des capteurs d’empreintes et l’annonce de l’arrivée d’un scanner d’iris sur les prochains téléphones de Samsung, illustrent la démocratisation et la banalisation de la biométrie dans les produits grand public. Idriss Aberkane, professeur à Centrale Supélec et chercheur à Polytechnique, a bien résumé le parcours que traverse une innovation avant d’être acceptée par l’opinion commune : elle est tout d’abord considérée comme ridicule, puis dangereuse, avant d’aller de soi. Il semblerait donc que la biométrie appliquée aux usages quotidiens ait atteint cette dernière phase.

Apple Pay utilise la reconnaissance d’empreintes digitales qui équipe les nouvelles générations de smartphones et sert notamment à déverrouiller l’appareil sans saisir de code. Sont également concernés les achats en ligne effectués dans un cadre limité comme iTunes ou l’AppleStore. L’utilisation généralisée en magasin est prévue pour dans quelques mois. La biométrie est donc dans toutes les poches, et ce pour des usages de plus en plus fréquents et basiques. À l’instar des données personnelles qui alimentent les big data, les empreintes digitales deviennent des éléments d’identification que nous partageons de plus en plus facilement dans notre quotidien.

Du moment qu’un service leur est utile, les utilisateurs de smartphones se préoccupent finalement assez peu de l’usage qui est ou pourrait être faite de leurs empreintes digitales et des traces qu’ils sont amenés à laisser via une puce NFC.

Les Français favorables au contrôle et à la traçabilité pour la sécurité des biens et des personnes
Pourtant, et malgré les menaces qui pèsent aujourd’hui sur la sécurité de notre pays et de ses habitants, des réticences tenaces continuent de freiner l’utilisation de ces technologies pourtant susceptibles de faciliter grandement la recherche des individus dangereux présents dans les fichiers sensibles des états. Alors que des solutions très performantes intégrant toutes ces technologies sont aujourd’hui disponibles et susceptibles d’apporter une aide précieuse aux policiers en charge des contrôles aux frontières ou inopinés, certains chantres des libertés fondamentales continuent de rejeter l’utilisation des empreintes digitales considères comme faisant partie du patrimoine privé des individus, fussent ils de dangereux terroristes potentiels.

Cette attitude va à l’encontre d’une récente enquête réalisée par OpinonWay pour le compte de Coppernic qui révèle que la plupart des Français (76%) sont favorables aux dispositifs de contrôle utilisant les capteurs d’empreintes digitales. Plus généralement, cette enquête démontre que, face à la menace terroriste et à la montée de la violence dans la société, beaucoup de citoyens sont prêts à « sacrifier » une partie de leurs libertés individuelles pour améliorer la sécurité de leus proches et de leurs biens. Il ne s’agit pas de sombrer dans la psychose sécuritaire, mais au contraire d’en revenir aux fondements du contrat social : les instances régaliennes de l’Etat assurent la protection des individus, en échange d’une part de contrôle.

La technologie sera d’autant mieux acceptée qu’elle a une visée positive, d’autant plus qu’elle peut facilement susciter des inquiétudes. On l’a vu lors des débats relatif à la loi Renseignement l’année dernière : le fantasme de Big Brother n’est jamais loin. Pour s’en prémunir, la pédagogie est de mise. Il est primordial d’être transparent tant sur les ressorts de la technologie que sur l’utilisation des données. C’est à ces conditions seulement que les innovations seront considérées comme socialement acceptables et opérationnellement efficaces. (Par Jacky Lecuivre, Président Directeur Général de Coppernic)

Empreintes biométriques : l’authentification par les veines

Empreintes biométriques – I-TRACING, entreprise française de conseil et d’ingénierie en sécurité des systèmes d’information et sécurité Internet, participe à un important projet de mise au point de la technologie d’identification biométrique basée sur le dessin des veines du poignet. Une vision d’avenir qui permet de supprimer les mots de passe si souvent piratés.

C’est reconnu, le mot de passe, s’il reste aujourd’hui encore le mode d’identification et d’authentification le plus utilisé dans le monde pour accéder aux outils et aux services informatiques, présente d’énormes risques. Les entreprises sont victimes de vols de mots de passe qui permettent aux hackers de s’introduire dans leur système d’information. Pour y remédier, les empreintes biométriques représentent une alternative d’avenir, permettant d’identifier et d’authentifier une personne par ses caractéristiques physiques.

Le dessin des veines, une technologie d’authentification pratique et fiable
BIOWATCH, spécialiste en biométrie a mis au point cette technique de reconnaissance et d’identification. Son concept est basé sur le chemin que font les veines sur le poignet. Le dessin des veines du poignet de chaque individu est unique et l’identification s’opère grâce à un algorithme de reconnaissance embarqué. L’objectif étant de supprimer les mots de passe quotidiennement utilisés pour accéder au système d’information. La solution proposée prend la forme d’un lecteur biométrique placé dans un bracelet montre, authentifiant son porteur par l’analyse du dessin des veines de son poignet.

« La technologie BioWatch prouve que vous êtes celui que vous prétendez être. Notre solution de reconnaissance permet de vérifier l’identité d’une personne par simple détection du dessin – unique – que forment les veines du poignet « Très fiable, la reconnaissance biométrique par les veines s’applique particulièrement bien à l’authentification des personnes », déclare Matthias Vanoni, co-fondateur et CEO de BIOWATCH. La reconnaissance biométrique BIOWATCH est un moyen moderne, rapide, fiable et performant de gestion des accès au système d’information, aux réseaux et aux applications d’entreprise.

« Dans cette phase de R&D de son partenariat avec la start-up suisse BIOWATCH, I-TRACING apporte à travers ses ingénieurs, l’expertise en sécurité applicative, en design d’architecture et en ingénierie de solutions de sécurité » précise Laurent Charvériat, CTO et Directeur Général d’I-TRACING. « L’identification biométrique par les veines représente un marché potentiel important. A ce stade de développement du produit, I-TRACING apporte également la vision du monde des entreprises, un condensé des besoins, souhaits, contraintes techniques et usages des grandes entreprises, clients potentiels de la solution BIOWATCH qui est une solution simple, ergonomique et plus sûre, tout en supprimant les points d’entrée vulnérables que sont les mots de passe », souligne Théodore-Michel Vrangos, cofondateur et Président d’I-TRACING.

Empreintes biométriques, le FBI veut sa BDD

Le FBI vient d’annoncer qu’elle trouvait judicieux de pouvoir stocker toutes les informations concernant les empreintes biométriques, dans un espace de stockage qui lui serait propre.

Le FBI propose de sauvegarder toutes les empreintes biométriques, dans ses locaux, que les Américains auront pu soumettre à l’administration de l’Oncle Sam. Les Américains, mais pas seulement. Si vous avez fait une demande de visa, par exemple, vos données pourraient être sauvegardées et stockées dans la base de données du FBI.

Connu comme le système d’identification de prochaine génération (NGIS), la base de données contiendra les enregistrements des passeports, des contrôles de sécurité, et les informations des traitements judiciaires, comme ceux enregistrés lors d’une arrestation. Il n’y aura pas que les empreintes digitales de vos doigts. NGIS prévoit de sauvegarder les scans d’iris, du visage, palmaires, et toute autre information corporelles qui peuvent être recueillies dans le cadre d’une interaction avec l’agence gouvernementale.

Le FBI explique que sa base de données doit être considérée comme sensible, donc exemptée du contrôle effectué par la Loi sur la protection des renseignements personnels. Bilan, personne ne pourra lui demander le moindre compte. Le FBI a ajouté que l’agence pourrait utiliser les données pour arrêter de futurs criminels. On ne sait pas combien de personnes sont dans cette base de données. L’Electronic Frontier Foundation a déclaré en 2014 que le FBI prévoyait d’avoir plus de 52 millions de photos dans cette « BDD » d’ici la fin de l’année 2015. Le législateur à jusqu’au 6 juin pour freiner les hardeurs du FBI. (Zdnet)

Facebook is watching you : système biométrique efficace

Depuis 2010, Facebook propose à ses utilisateurs un système de reconnaissance faciale qui permet de gagner du temps dans le « taguage » des personnes qui sont sur les photos. Sous couvert d’une nouvelle fonctionnalité, c’est un véritable dispositif biométrique qui a été mis en œuvre car il permet d’identification d’un individu à partir d’une simple photographie de son visage.

En Californie, trois utilisateurs ont reproché au réseau social n°1 d’avoir « secrètement et sans leur consentement » collecté des « données biométriques dérivées de leur visage ». Ces plaintes ont été jugées recevables par le juge James Donato qui « accepte comme vraies les allégations des plaignants » et juge « plausible » leur demande.

Au sein de l’Union européenne, le danger a rapidement été perçu s’agissant du système de reconnaissance faciale de Facebook qui l’a suspendu en 2012. Mais aux Etats-Unis, bien moins vigilants, cette fonctionnalité a perduré et il apparait bienvenu que la Justice y réagisse enfin. Facebook a constitué des profils qui répertorient les caractéristiques du visage de ses utilisateurs, leur cercle d’amis, leurs goûts, leurs sorties, etc. Avec plus de 3 milliards d’internautes dans le monde, cela revient à ce qu’environ 28% de la population ait un double virtuel rien que sur Facebook.

Facebook is watching you : Reconnaissance faciale, intelligence artificielle et atteinte aux libertés
Eu égard à leur grand potentiel discriminatoire, les données biométriques sont strictement encadrées par la loi du 6 janvier 1978 puisque d’après son article 25, une autorisation préalable de la Commission nationale de l’informatique et des libertés est indispensable pour  mettre en œuvre des « traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes ». Cela regroupe l’ensemble des techniques informatiques qui permettent d’identifier un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales.

Les conditions générales d’utilisation de Facebook ne sont pas donc pas conformes à la législation française sur les données personnelles, notamment s’agissant de la condition de consentement préalable, spécifique et informé au traitement des multiples données à caractère personnel collectées. Mais le géant de l’internet ne répond qu’à l’autorégulation. Par opposition à la règlementation étatique, la régulation n’entend prendre en compte que la norme sociale, c’est-à-dire l’état des comportements à un moment donné. Si la norme sociale évolue, alors les pratiques de Facebook s’adapteront.

Vers une remise en cause mondialisée des abus de Facebook ?
L’affaire pendante devant les Tribunaux met en lumière le manque de réactivité des américains face aux agissements de Facebook. C’est seulement au bout de 5 années que la Justice s’empare de la question des données biométriques à l’initiative de simples utilisateurs, alors même qu’une action de groupe à l’américaine d’envergure aurait pu être engagée pour mettre sur le devant de la scène les abus de Facebook.

Néanmoins, « mieux vaut tard que jamais » et l’avenir d’une décision répressive  ouvre la porte vers de nouveaux horizons pour l’ensemble des utilisateurs. En effet, Facebook prend comme modèle pour toutes ses conditions générales d’utilisation à travers le monde la version américaine de « licencing ». Plus Facebook se verra obligé dans son pays natal à évoluer pour respecter les libertés individuelles des personnes inscrites, plus on s’éloignera du système tentaculaire imaginé par Mark Zuckerberg qui n’est pas sans rappeler celui imaginé par Georges Orwell dans son roman 1984.

Par Antoine CHERON, avocat associé, est docteur en droit de la propriété intellectuelle, avocat au barreau de PARIS et au barreau de BRUXELLES et chargé d’enseignement en Master de droit à l’Université de Assas (Paris II). Il est le fondateur du cabinet d’avocats ACBM.

L’iris comme mot de passe pour retirer de l’argent

Le groupe bancaire américain CitiGroup teste des distributeurs de billets proposant le contrôle du client par l’iris.

La société bancaire Citigroup vient de lancer un test géant d’un système de biométrie équipant ses distributeurs de billets. Mission, plus de mot de passe à taper, mais montrer ses yeux, et plus précisément son iris pour être identifié. Une technologie proposée par Diebold.

Comme l’indique le Wall Street Journal, une sécurité plus fiable que l’empreinte digitale. Deux machines sont testées à New-York. Il faut posséder un téléphone portable et l’application de Citigroup. Une fois votre iris validé par votre téléphone, un QR code apparaît à l’écran de l’appareil qu’il faut ensuite présenter au distributeur de billets. Une technologie qui semble lourde pour quelques billets, mais qui ne réclame plus de cartes bancaires, de code à taper, … Elle a été baptisée Irving.

La seconde technologie, Janus, rajoute une communication d’information par courriel et/ou SMS. Pour rappel, Diebold propose aussi des urnes informatiques pour les élections… qui ont été montrées du doigt, en 2008, suite à des problèmes de sécurité.

https://www.youtube.com/watch?v=awIM_M00tSA

Un objet connecté biométrique qui supprime définitivement les mots de passe

La start-up Trust Designer (EuraTechnologies – Lille), concepteur de produits high-tech, s’est appuyée sur le standard d’authentification forte Natural Security pour développer « SesameTouch », un objet connecté biométrique qui permet de s’authentifier et de payer, et ce sans devoir saisir de code confidentiel.

Un premier cas concret d’utilisation a été présenté en avant-première lors de la dernière édition du salon Paris Retail Week. Trust Designer a intégré son objet connecté « SesameTouch » au porte-monnaie électronique « My E-money Purse » développé par la société TSI (Ticket Surf International), 1ère entreprise française à avoir obtenu la licence d’Emetteur de Monnaie Electronique délivrée par l’APCR (Banque de France). Ainsi, le premier porte-monnaie électronique avec objet connecté biométrique a été présenté lors de ce salon.

Ce produit innovant permet de commander des produits sur le web, de payer et de s’identifier de façon simple (plus besoin de mémoriser un code confidentiel), rapide (la saisie d’un code confidentiel disparaît) et sécurisée (la biométrie permet de s’assurer que le porteur est bien là au moment de la transaction) au moment du retrait en magasin. Pour finaliser l’industrialisation de son produit, Trust Designer a lancé ce jeudi 1er octobre 2015 une campagne de financement participatif, via la plateforme Kickstarter. Nous avions demandé à tester la chose, histoire de parler d’une entreprise que nous voyons de notre fenêtre Lilloise, mais nous n’avons pas eu la chance d’avoir une réponse de la part de Trust Designer.

Biométrie : le FBI recherche son nouvel espion biométrique

Le Federal Bureau of Investigation annonce, discrètement, la recherche de son nouveau système de biométrie portable.

Le Federal Bureau of Investigation, le FBI, vient de publier un appel d’offre annonçant qu’il réfléchissait à mettre en place son nouveau système de biométrie portable. Une « fuite » d’information légale, l’agence fédérale ne pouvant pas passer outre un appel d’offre aux entreprises pour acquérir du matériel et autres nouvelles technologies.

Dans cet appel d’offre [FBI CJIS Mobile Biometric Application RFQ0023703], DataSecurityBreach.fr a appris que le FBI souhaitait mettre en place son nouveau système biométrique portable (empreintes digitales et visage) à partir d’une solution évoluant sous Android « Le logiciel doit offrir au FBI la possibilité d’effectuer une collecte de données biométriques. Cette collecte, au minimum, devra inclure des empreintes digitales et les photographies du visage« . L’outil devra envoyer et permettre de recevoir, en temps réel, les informations sur la personne contrôlée. L’outil doit fonctionner sur un téléphone, comme une tablette. L’appel d’offre parle de Galaxy Samsung S5 et Samsung Galaxy Tab 4.

La première demande pour cette Mobile Biometric Application est de 500 licences. Un équipement qui va rejoindre le programme RISC du FBI. Le Repository for Individuals of Special Concern fournit des outils dédié aux empreintes digitales afin de permettre aux agents sur le terrain de déterminer si une personne contrôlée est un « individu préoccupant » en permettant l’accès aux bases de données regroupant les personnes recherchées, connues ou présumées terroristes, les délinquants sexuels et les personnes ayant un « un intérêt particulier » pour le FBI.

Améliorer la sécurité et l’expérience utilisateur avec l’authentification sans contact

Du fait de la marche inexorable engagée vers un univers orienté mobilité et cloud, les données des entreprises sont devenues de plus en plus difficiles à protéger.

Les attentes de leurs collaborateurs ont également évolué : ceux-ci veulent pouvoir accéder à des applications, données et services en mode cloud n’importe où, n’importe quand, sur l’équipement de leur choix. Des attentes qui, virtuellement, risquent de rendre les réseaux considérablement plus vulnérables aux failles de sécurité. Le seul recours à des mots de passe ne suffit pas. À partir du moment où des pirates dérobent le nom d’utilisateur et le mot de passe d’un employé, ils n’ont aucune difficulté à s’introduire sur le réseau et à charger des logiciels malveillants sur d’autres systèmes en passant inaperçus. Aujourd’hui, avec l’avènement d’un modèle de sécurité dit d’authentification sans contact « par effleurement », il est possible de garantir un contrôle d’accès aux données via un procédé nettement plus pratique, en utilisant le même badge d’identification donnant accès aux locaux/sites d’une entreprise.

Avec l’authentification sans contact, il suffit aux utilisateurs d’approcher leurs cartes à puce d’un ordinateur portable, d’une tablette, d’un téléphone mobile et d’autres équipements à capacité NFC (Near Field Communication) pour accéder aisément et commodément à des ressources réseau, applications cloud et services via le web. Nettement plus simple et mieux sécurisée qu’un mot de passe, cette technique se veut aussi plus rapide, plus fluide et plus pratique que l’emploi de mots de passe à usage unique (OTP), token ou carte hybride (displaycards) et d’autres dispositifs physiques. Et elle est surtout commode pour les utilisateurs puisqu’elle leur permet d’avoir accès à des données et applications en mode cloud avec la même carte servant à l’ouverture de portes.

Dimensionnement du problème
Les menaces ne sont pas près de décroître. Et le coût des fuites de données non plus. Récemment, IBM a révélé dans son rapport Security Services Cyber Security Intelligence Index Report, que l’usurpation d’identité, les logiciels malveillants et autres cybermenaces coûtent aujourd’hui aux entreprises jusqu’à 19 % de leurs recettes, et représentent 21 % de pertes de productivité, entre autres impacts financiers. Protéger l’accès aux données de l’entreprise devient, par conséquent, encore plus crucial.

L’une des premières problématiques est la confiance excessive dans les mots de passe. Jusqu’ici, la procédure d’identification et de validation des identités du personnel était relativement simple : un nom d’utilisateur et un mot de passe devaient être saisis sur leur PC par les utilisateurs pour qu’ils puissent s’authentifier à la fois sur leur poste et sur le réseau. Un seul mot de passe était attribué aux utilisateurs de matériel informatique, utilisable à un seul endroit : sur leur poste de travail, au bureau ou à la maison. Après authentification, l’utilisateur avait accès à toutes les applications nécessaires pour mener sa mission à bien.

Mais aujourd’hui, le contexte de l’entreprise est en rapide évolution. Nous vivons désormais dans un monde orienté mobilité et cloud, au sein duquel l’accès aux données et services d’entreprise ne s’effectue plus à partir d’un seul et même équipement. De surcroît, les politiques de sécurité des entreprises ont changé, obligeant les utilisateurs à s’authentifier plus souvent. Parallèlement, les utilisateurs comptent bien bénéficier aujourd’hui d’un accès immédiat aux données et services de leur entreprise, en tout lieu et à tout moment, depuis leur terminal mobile. Concrètement, cela signifie que les collaborateurs qui recourent à une authentification classique, mais déficiente, par nom d’utilisateur et mot de passe exposent par inadvertance leurs entreprises à nombre de cybermenaces complexes.

Principes de fonctionnement de l’authentification sans contact
L’authentification sans contact permet d’accéder à plusieurs applications et services sur des terminaux différents, sans avoir à mémoriser ni à ressaisir d’autres codes et mots de passe. Le procédé ne nécessite que trois étapes simples. Premièrement, l’utilisateur ouvre un navigateur sur son terminal NFC et saisit l’URL de l’application à laquelle il souhaite accéder. Deuxièmement, il saisit ses nom d’utilisateur et mot de passe. Troisièmement, il approche sa carte de contrôle d’accès à l’arrière de la tablette ou du terminal mobile NFC pour fournir le second facteur d’authentification. La carte peut alors être « lue » sans qu’il soit nécessaire de l’insérer physiquement dans un lecteur.

Outre sa commodité, ce modèle d’authentification par effleurement tire parti du système de contrôle d’accès existant pour garantir une expérience utilisateur fluide sur l’ensemble de l’infrastructure correspondante, physique et informatique. Résultat ? Un système de gestion des identités et des accès résolument plus efficace et économique. En centralisant ainsi la gestion des identités et des accès, les entreprises peuvent regrouper leurs tâches et réduire leurs charges d’exploitation, et sont également en mesure d’adapter leurs capacités en les faisant passer à l’échelle supérieure, pour en retirer une plus-value croissante pour l’entreprise.

Approcher l’avenir
Les entreprises s’acheminent vers des solutions convergées qui peuvent servir à sécuriser l’ensemble des accès ? portes, ordinateurs, données, applications et services en mode cloud. Volet phare de la réalisation de cet objectif, l’authentification sans contact conjugue tout à la fois commodité et simplicité. Les utilisateurs ont d’ores et déjà troqué des clés mécaniques contre les cartes à puce permettant l’ouverture de portes et de portails. À présent, ces mêmes cartes peuvent aussi se substituer à des solutions OTP dédiées, au sein d’un système de contrôle des accès qui continuera à s’adapter et à passer très facilement à l’échelle supérieure, en offrant une plus-value croissante à l’entreprise. Les investissements qui sont réalisés dans les systèmes aujourd’hui peuvent être préservés au fil du temps à mesure que les entreprises se développent, évoluent et renforcent perpétuellement leur sécurité pour combattre les menaces sans cesse plus versatiles qui planent sur leurs locaux, leur sécurité informatique et la confidentialité de leurs informations. (Par Franck Tognée, Directeur des ventes Europe du Sud HID Global).

Reconnaissance du visage, une nouvelle plainte contre Facebook

Une nouvelle plainte contre le système biométrique de Facebook. Cette fois, un collectif de l’Illinois souhaite faire interdire la reconnaissance du visage mis en place par le portail communautaire.

Pour la quatrième fois cette année, Facebook Inc. a été frappé d’une poursuite judiciaire instiguée par un collectif d’internautes mécontents. C’est un résident de l’Illinois qui souhaite faire interdire la reconnaissance faciale de Facebook. Il indique que le logiciel biométrique du portail communautaire viole une loi sur la vie privée de l’état dans lequel vit l’opposant.

Cette 4ème plainte, depuis le début de l’année aux USA, a été déposée lundi 31 août 2015. Elle souligne une bataille qui pourrait se répercuter sur le reste de l’industrie high-tech des États-Unis. Avec près de 1,5 milliard d’utilisateurs actifs, Facebook a amassé ce qui est probablement la plus grande base de données privée au monde de « faceprints ». Des scans numériques de nos visages via des motifs géométriques uniques.

Facebook explique utiliser ces identifiants pour suggérer automatiquement des photos à ses utilisateurs. Lorsque les utilisateurs téléchargent de nouvelles photos sur le site, un algorithme calcule une valeur numérique basée sur les caractéristiques uniques du visage d’une personne. Pour Facebook, un moyen pratique de rester connecté avec ses amis. Les défenseurs de la vie privée et des droits civils indiquent que ces données générées par la technologie de reconnaissance faciale est particulièrement sensible, et exige des garanties supplémentaires.

Samsung s5 : biométrie piratée !

Des chercheurs de la société FireEye viennent de mettre à jour une faille importante dans la sécurité des Samsung Galaxy S5. Un hacker se connectant au téléphone (même avec le niveau d’accès le plus faible) sera capable d’en extraire les données biométriques, soit une copie de l’empreinte digitale de l’utilisateur.

Cette révélation démontre une nouvelle fois que les systèmes d’identification biométriques grand public peuvent être piratés. En janvier, les hackers Chaos Computer Club avaient réussi à reconstituer l’empreinte digitale du ministre de la défense allemand. Sur le papier, la biométrie est un bon moyen de prévenir l’usurpation d’identité et les fraudes associées. On peut vous voler vos mots de passe mais pas vos empreintes digitales ou votre œil. Soit. Mais on constate bien que l’authentification biométrique est aussi piratable.

Ce qui pose problème, c’est qu’une fois piratées, les données biométriques ne peuvent être modifiées. Vous ne pouvez pas changer votre empreinte digitale ou rétinienne comme un mot de passe, et vous n’avez pas envie que n’importe qui en prenne possession. Une fois que vos empreintes digitales seront dans la nature (sans forcément que vous soyez prévenu), vous serez en risque si votre empreinte digitale est la porte d’entrée vers vos données personnelles ou professionnelles.

On a beau nous annoncer la mort du mot de passe chaque semaine dans la presse technologique, il a encore de beaux jours devant lui !

Ce n’est en réalité pas tout à fait un hasard si le mot de passe s’est imposé depuis des décennies comme un « standard de fait ». Un peu comme le clavier AZERTY que beaucoup ont cherché à remplacer, il a survécu pour l’instant aux nombreuses innovations qui ont cherché à le remplacer. C’est en effet une technologie peu coûteuse, non brevetée, qui peut être utilisée de manière anonyme et qui permet de gérer la grande majorité des connexions sécurisées sur le web. Surtout lorsqu’une faille de sécurité est découverte, vous pouvez changer vos mots de passe pour vous assurer que vos données sont en sécurité. Ca n’est pas le cas avec la biométrie !

Employés correctement, les mots de passe sont sécurisés. Ils doivent être différents pour chaque site et composés de caractères alphanumériques choisis aléatoirement. Il est par ailleurs nécessaires de les changer régulièrement. Si vous respectez ces règles et stockez vos mots de passe sous forme cryptée, vous êtes en sécurité. Le vrai sujet ce sont moins les mots de passe que la manière dont nous les gérons. Le cerveau humain n’en est pas capable et c’est pourquoi il doit être suppléé par un outil comme Dashlane.

Les récents développements dans l’authentification en ligne sont très intéressants, notamment pour améliorer les méthodes d’authentification fortes combinant différents facteurs et utilisées pour des données très sensibles. Le mot de passe est cependant le standard de fait de l’authentification en ligne. Pour être en sécurité sur le web dès aujourd’hui, et non pas demain, la seule solution est de renforcer la sécurité de ses mots de passe. (Guillaume Desnoes, responsable des marchés européens de Dashlane / Forbes)

 

La biométrie peut-elle vraiment remplacer les mots de passe ?

Les hackers du Chaos Computer Club ont réussir, fin décembre, à reproduire l’empreinte digitale du ministre allemand de la défense à partir de photos publiques en haute définition. Sachant qu’ils avaient précédemment montré qu’ils savent utiliser ces empreintes reconstituées sur les capteurs des téléphones portables grand public… Prenons un peu de recul et analysons ce que cela veut dire pour l’avenir de l’authentification en ligne. Par Emmanuel Schalit, CEO de Dashlane.

Il y a traditionnellement trois types de facteurs qui permettent d’authentifier un individu :
·         Ce qu’il sait (mot de passe, code pin, question secrète…)
·         Ce qu’il possède (jetons, cartes…)
·         Ce qu’il est (signature de l’iris, empreinte digitale…)

Les systèmes informatiques très sensibles des gouvernements ou des grandes entreprises utilisent souvent des processus d’authentification forte, multi facteurs, qui requièrent la mise en œuvre de deux ou trois facteurs parmi les trois types citées ci-dessus. Les sites Internet grand public quant à eux utilisent des systèmes d’authentification simples, basés sur un identifiant et un mot de passe connu uniquement de l’utilisateur. Pour des raisons pratiques, les consommateurs ne sont pas prêts à utiliser des systèmes multi facteurs sur les dizaines de sites web qu’ils utilisent régulièrement.

Quels sont les avantages et les désavantages de la biométrie pour l’authentification en ligne des consommateurs?
Le point fort de la biométrie c’est qu’elle résout à la fois le problème de l’identification (déterminer l’identité d’un individu) et de l’authentification (confirmer son droit à accéder à un contenu ou un service). Sur le papier c’est un bon outil pour prévenir l’usurpation d’identité et de nombreuses fraudes. On peut me voler ma carte de crédit ou mes mots de passe mais on ne peut pas me voler mon empreinte digitale… C’est ce qu’on pensait jusqu’à maintenant. La reconstitution d’empreinte réalisée par les hackers la semaine dernière bouleverse cette croyance.

Désormais on sait que l’authentification biométrique peut être piratée comme toute autre forme d’authentification. Et apparaît alors un gros inconvénient : à la différence des mots de passe, les données biométriques ne peuvent pas être modifiées en cas de piratage,  si on vous vole vos empreintes digitales, vous ne pouvez pas les remplacer par de nouvelles. Et si tous vos comptes sont protégés par la même information biométrique, ils risquent devenir tous vulnérables en même temps. Il y a d’autres limites à l’utilisation de données biométriques : elles ne peuvent être partagées et elles ne peuvent pas être rendues anonymes. Le partage et l’utilisation anonyme d’identifiants sont cependant de plus en plus répandus sur le web…

La biométrie est pertinente pour ajouter un facteur d’authentification supplémentaire dans le cadre de l’authentification multi facteurs mais il y a peu de chances qu’elle succède au mot de passe comme standard pour l’ensemble des sites, contrairement à ce que l’on veut nous faire croire. Utilisés correctement (un mot de passe fort et unique pour chaque site web), les mots de passe ont de réels avantages :

·         Un mot de passe peut être volé mais si vous utilisez un mot de passe unique pour chaque site, l’intégrité de vos autres accès n’est pas compromise en cas de vol. C’est différent avec les données biométriques qui sont par définition les mêmes partout
·         Un mot de passe peut être partagé, ce qui est nécessaire à la fois en famille et au travail. Les comptes Netflix à la maison ou les comptes Twitter d’entreprise sont par exemple généralement accessibles via un seul compte dont les identifiants sont partagés.
·         Le mot de passe préserve l’anonymat qui est très important pour les internautes. Que serait Twitter sans la possibilité de créer des comptes anonymes ?

Compte tenu de notre utilisation croissante d’Internet, nos cerveaux ne peuvent plus accomplir seuls toutes les tâches nécessaires pour bien gérer ses mots de passe : génération aléatoire, stockage sous forme cryptée, mémorisation, changement des mots de passe. Nous avons trop de comptes et trop d’appareils pour cela. C’est pourquoi de plus en plus d’utilisateurs d’Internet se reposent sur un gestionnaire de mot de passe pour s’assurer de respecter les règles de bases du bon usage des mots de passe.

Certains voient les mots de passe comme un système temporaire qui sera remplacé très rapidement par un système d’authentification ultra sophistiqué. Cela sera peut-être vrai un jour mais en attendant, le mot de passe reste le standard, et un standard ne se remplace pas si facilement. Pour preuve, nous utilisons toujours le clavier au format azerty, non pas parce que l’ordre de ces lettres est nécessaire aujourd’hui (c’était le cas uniquement sur les machines à écrire avec ruban), mais parce que c’est devenu un standard, et qu’aucune innovation n’a réussi à le supplanter, en termes de facilité d’usage comme en termes de déploiement. Nous ferions mieux de veiller à bien utiliser nos mots de passe plutôt que de croire à une hypothétique solution miracle !

Paiement par reconnaissance d’empreinte digitale

L’empreinte digitale comme alternative possible au code confidentiel / Le premier prestataire européen de paiement multicanal se donne pour objectif d’améliorer continuellement l’expérience de ses utilisateurs.

Avec pour objectif d’améliorer en permanence l’expérience des utilisateurs grâce à des innovations ingénieuses, Yapital, premier prestataire européen de paiement multicanal, teste actuellement le paiement par reconnaissance d’empreinte digitale. Cette technologie pourrait être amenée à remplacer la saisie d’un code confidentiel lors du paiement par smartphone.

Pour Oliver Kress, premier vice-président de Yapital chargé de l’innovation, le groupe « revendique sa capacité à pouvoir rendre très rapidement opérationnel tout nouveau procédé technique susceptible d’améliorer l’expérience des utilisateurs. Dès que les principaux fabricants de smartphones ont intégré à leurs produits des dispositifs de reconnaissance d’empreinte digitale, nous avons aussitôt lancé les expérimentations.  » Le but étant de déterminer si ces nouvelles technologies satisfont aux exigences de Yapital en termes d’ergonomie et de sécurité. » Le dispositif doit être simple, sûr et intuitif pour le consommateur. Si c’est le cas, alors nous le proposerons « , dit Oliver Kress.

Le paiement par reconnaissance d’empreinte digitale constituerait la troisième innovation d’importance du prestataire de paiement multicanal au cours de cette seule année : en 2014, Yapital a en effet déjà présenté l’intégration du Bluetooth Low Energy (BLE) et l’achat par flash du code QR directement depuis un support publicitaire, une affiche ou à travers une vitrine.

Le vote électronique : le bide français

Fin avril les Sénateurs Alain Anziani et Antoine Lefèvre sont revenus sur le vote électronique en France. Une innovation qui n’a pas prospéré. DataSecurityBreach.fr a reçu le rapport des deux sénateurs. Découverte ! Le vote par machine figure dans notre droit électoral depuis 45 ans comme une alternative au bulletin papier (vote à l’urne). Leur utilisation relève du libre choix des communes. Les nombreuses critiques qu’elles ont suscitées à l’occasion de l’élection présidentielle de 2007, « bien qu’aucun fait majeur n’ait perturbé la régularité des scrutins organisés dans les bureaux dotés de machines à voter », indique les sénateurs Alain Anziani et Antoine Lefèvre ont conduit le Gouvernement à geler, en 2008, le périmètre des communes utilisatrices. Cette décision est toujours en vigueur.

Plus de six ans après, Alain Anziani et Antoine Lefèvre ont proposé que ce dossier soit réouvert en tenant compte des données récentes. Critiqué dès sa création, ce dispositif n’est jamais parvenu à écarter toutes les craintes résultant de ce bouleversement de notre rituel républicain. Son implantation reste modeste. Quant au débat sur sa conformité aux exigences entourant l’exercice du droit de vote, il n’est pas clos, malgré l’évolution des technologies.

Lutter contre la fraude électorale
Inspiré des États-Unis, le recours à des machines comme mode alternatif du vote à l’urne pour les élections politiques a été prévu par la loi n° 69-419 du 10 mai 1969 modifiant certaines dispositions du code électoral. Ce texte avait pour objectif de lutter contre la fraude constatée dans plusieurs circonscriptions. Il prévoyait d’introduire des machines à voter dans les communes de plus de 30 000 habitants. Pour le secrétaire d’État à l’intérieur, André Bord, « l’utilisation de ces machines est de nature à éliminer les fraudes qui peuvent être commises pendant le déroulement des opérations de vote et pendant le dépouillement du scrutin ». Le Gouvernement soulignait aussi que cette technique moderniserait les opérations de vote « en évitant l’emploi de scrutateurs et en supprimant tout risque d’erreur, dans les circonscriptions qui comptent un nombre élevé d’électeurs ».

Machine de la ville d’Annoeullin (59).

La première expérience intervint lors des élections législatives des 4 et 11 mars 1973. Elle donna lieu à de nombreux incidents : « un des modèles agréés ne présentait pas de garanties suffisantes de fiabilité ». Après son retrait, les deux autres modèles furent à nouveau utilisés pour les scrutins suivants (élections cantonales de 1973 et 1976, municipales de 1977, législatives de 1978 et diverses élections partielles) sans que leur mise en service soit très concluante : « les défaillances, les pannes subies par ces matériels de même que le coût très élevé de leur maintenance, ont conduit à les retirer peu à peu du service ».

420 machines étaient en service en 1977. Elles furent supprimées dans la région parisienne à compter de 1984 après les conclusions d’un nouveau bilan. En 1988, elles ne subsistaient que dans les communes de Bastia et d’Ajaccio. Lors de l’élection présidentielle de 2007, quatre-vingt-trois communes étaient autorisées à utiliser des machines à voter. Elles comptaient 1,5 million d’électeurs, soit 3 % du corps électoral. Plusieurs difficultés survenues au cours du premier tour ont à nouveau conduit à de nombreuses critiques répertoriées par le groupe de travail mis en place par le ministre de l’intérieur en septembre 2007.

114 critères techniques
Sur la base des 114 critères techniques fixés par le règlement technique, trois types de machines à voter sont aujourd’hui agréés : les machines ESF1 fabriquées par la société néerlandaise NEDAP et commercialisées par France Élections. Leur agrément a été délivré par un arrêté du 12 avril 2007 ; les machines iVotronic de la société américaine Election Systems & Software (ES&S), distribuées par Berger Levrault et agréées par un arrêté du 15 février 2008 ; les machines Point & Vote plus de la société espagnole Indra Sistemas SA. Le maintien de l’agrément est soumis à un contrôle de la machine tous les deux ans. Le ministère de l’intérieur a indiqué aux sénateurs Alain Anziani et Antoine Lefèvre que le bureau Veritas a inspecté les machines ESF1 et iVotronic en 2012. En revanche, il ne détient aujourd’hui aucune information sur le matériel Point & Vote plus. Il est précisé, à cet égard, que les constructeurs et organismes certificateurs ne sont pas soumis à une obligation de transmission au ministère des rapports de contrôle.  France élections estime entre 5 000 et 6 000 euros hors taxe (HT) le coût moyen d’équipement d’un bureau de vote. Les frais de maintenance et prestations annexes s’élèvent de 65 à 150 euros HT par bureau –donc par machine- et par élection. Pour Berger Levrault, le coût estimatif de la location d’une machine est de 2 300 euros HT pour une élection à deux tours et de 1 400 euros HT pour une élection à un tour lorsque celle-ci est postérieure à l’élection à deux tours. Ces montants incluent les matériels associés (BIP, Flash card, scellés, pack de communication) et l’ensemble des prestations induites (programmation, paramétrage, formation des présidents de bureau de vote, mise sous scellés, mise en place d’un serveur de centralisation le cas échéant, mise à disposition de techniciens le jour du scrutin, gestion de projet). Le prix de vente de la machine Point & Vote plus d’Indra est estimé
à 3 800 euros environ.

Trois types d’incidents
M. François Pellegrini a recensé trois types d’incidents susceptibles d’altérer la sincérité des résultats du scrutin : un dysfonctionnement de la machine comme celui de Schaerbeek, des rayonnements cosmiques, la malveillance. Celle-ci peut s’exercer par l’introduction d’un logiciel de détournement du vote qui, ensuite, s’autodétruit ou la modification du code du logiciel pour falsifier les résultats. Ces fragilités techniques justifient la procédure rigoureuse et sécurisée de stockage des machines destinée à préserver l’intégrité des équipements. Ce défaut de fiabilité du vote électronique a conduit l’Irlande, en 2009, à renoncer à l’utilisation des machines à voter. Même l’Estonie, à la pointe des nouvelles technologies, préfère le papier au numérique. Ces exigences ont conduit, en 2006, les Pays-Bas à interdire un modèle de machines à voter à la suite d’un grave incident. Leur ambassade indiquait alors à Alain Anziani et Antoine Lefèvre qu’« un certain type d’irradiation des écrans, due à la présence de caractères accentués dans le texte, s’est avérée non sécurisée et pourrait être lue à distance ». Dans le même temps, des chercheurs prouvaient la simplicité à modifier les équipements. Dès lors que la confiance dans le vote était rompue, les machines ont été supprimées. Une étude du Chaos computer club a prouvé que « les appareils utilisés étaient facilement manipulables, sans que lesdites manipulations puissent être perçues par le votant ou par le président de la commission électorale ». Et ce en dépit du fait que les appareils utilisés avaient été agréés par le ministère fédéral de l’intérieur, comme l’exigeait la procédure, après la délivrance d’un avis favorable de l’office fédéral de physique et de technique. Le groupe de travail du ministère de l’intérieur Français (2007) a, notamment, déploré qu’il « se révèle largement insuffisant sur certains points en ce qui concerne la sécurité informatique des machines, ce qui explique également que les trois modèles agréés présentent des niveaux de sécurité relativement différents ».

Exemples de faille
En 2011, une faille découverte dans l´un de ces isoloirs hitech. Une vulnérabilité informatique découverte dans le système de vote électronique Diebold AccuVote. La faille pouvait être utilisée pour altérer les résultats du vote. Bien évidement, ce « bug » ne laisse aucune trace d’effraction. Un dispositif peu couteux, aucune reprogrammation et encore moins devenir dans les jours qui viennent un génie de l’informatique. La vidéo ci-dessous montre comment il était simple de prendre le contrôle quasi complet sur ?la machine. Le plus délirant est que cela pourra se faire, à distance.

Démonter un bureau de vote en 59 secondes… pour le piéger

C’est pourquoi, au terme de leur réflexion, Alain Anziani et Antoine Lefèvre n’étaient pas, en l’état, favorables à la levée du moratoire décidé en 2007. « En définitive, le seul avantage décelé réside dans le gain de temps permis par le dépouillement électronique, indiquent les Sénateurs. Mérite-t-il de prendre, en contrepartie, tous les risques attachés à l’utilisation de l’électronique ? » Alain Anziani et Antoine Lefèvre ne le pensent pas.

Biométrie… sécurité bon pied bon œil pour Apple ?

Apple a présenté son nouveau smartphone équipé d’un lecteur d’empreintes digitales. « C’est un bon début pour sécuriser son mobile mais ce n’est pas suffisant », souligne à DataSecurityBreach.fr Marc Rogers, Responsable de recherches chez Lookout, leader de la sécurité pour téléphones mobiles et tablettes. Les technologies de reconnaissance d’empreintes digitales sont pratiques Elles sont en effet plus pratiques que les codes PIN, si bien que de nombreux utilisateurs n’ont recours qu’à cette méthode. Mais, utilisées seules, elles n’offrent pas beaucoup plus de sécurité que les codes à 4 chiffres.

La reconnaissance d’empreintes digitales doit être associée à d’autres méthodes d’authentification
Dans les environnements ultra sécurisés, tels que les installations militaires, les technologies de reconnaissance d’empreintes digitales sont généralement associées à d’autres solutions biométriques, de reconnaissance rétinienne ou de la géométrie de la main, par exemple. Car les empreintes digitales peuvent être relevées et reproduites. D’où l’importance d’installer un second système d’authentification, biométrique ou par code PIN. Il est toujours risqué de ne miser que sur une seule méthode de sécurité. Les technologies de reconnaissance d’empreintes digitales ont des limites, qu’il est crucial de connaître afin de les utiliser en toute connaissance de cause.

Les technologies de reconnaissance d’empreintes digitales sont vulnérables
Une empreinte digitale peut tout à fait être reproduite. Et les techniques de reproduction risquent d’ailleurs d’évoluer au gré de l’adoption des systèmes de reconnaissance d’empreintes digitales. Sans compter que les voleurs peuvent toujours forcer leurs victimes à déverrouiller un système.

Les technologies de reconnaissance d’empreintes digitales participent à lutter contre les vols de téléphones
La sécurité de terminaux mobiles est un défi particulièrement complexe. La bonne nouvelle est qu’Apple et d’autres fabricants de terminaux mobiles ont décidé de s’y atteler ensemble. Leur objectif : déterminer quels mécanismes de sécurité associer pour compliquer la tâche des voleurs. Nul doute que la reconnaissance d’empreintes digitales fera partie de l’équation. Il reste à découvrir comment Apple mettra cette technologie au service des consommateurs.

Il n’y a pas de recette miracle pour protéger les terminaux mobiles
Tout ce qui est fait par l’homme peut être défait par l’homme. Il est donc indispensable de combiner plusieurs technologies qui compliqueront la tâche des attaquants et les dissuaderont de passer à l’acte.

Biométrie à la cantine : près de 500 collèges et lycées équipés en France par Alise

La PME française Alise poursuit avec succès l’équipement biométrique RCM (reconnaissance du contour de la main) des restaurants scolaires des établissements du second degré. Datasecuritybreach.fr a appris que cet outil de gestion des accès utilise la technologie en 3D de la morphologie. Elle consiste à réaliser une photo numérique de la main pour en enregistrer la forme. En cette rentrée scolaire, 479 collèges et lycées en sont équipés, soit une augmentation de 17% par rapport à la même période l’année dernière !

Le contexte – La liste est longue des raisons qui poussent de plus en plus d’établissements à opter pour ce système en complément de la technologie actuelle, les cartes magnétiques. « Une main ne s’oublie pas, ne s’échange pas, ne se perd pas. Les avantages sont nombreux, disent les principaux et proviseurs eux-mêmes : des économies (le remplacement d’une carte magnétique est payant), moins d’administratif et plus de temps consacré à une organisation efficace du passage des élèves à la cantine, la tranquillité d’esprit pour les responsables de l’établissement et les parents – qui sont sûrs que c’est bien leur enfant qui s’est présenté au self – une facturation au juste prix, etc. »

Parmi les installations effectuées durant l’année écoulée, certaines sont situées dans cinq départements où la biométrie RCM Alise n’était pas encore présente : le Calvados, la Drôme, la Savoie, l’Yonne et Saint-Martin (Antilles). Notez d’ailleurs que même le Lycée français de Moscou a opté pour cette technologie ! En tête des régions les mieux équipées : la Provence-Alpes-Côte d’Azur, qui compte 122 établissements installés, et l’Île-de-France, avec 87 collèges et lycées dotés du matériel. Les régions Rhône-Alpes, Pays de la Loire et Alsace comptent, respectivement, 45, 35 et 30 établissements équipés en biométrie RCM Alise.

Comment ça marche ?

Le lecteur de biométrie RCM Alise permet l’identification des convives dans les cantines des collèges et lycées. Il suffit à l’élève de taper un code de 1 à 4 chiffres puis de poser sa main sur le lecteur. À la différence du relevé des empreintes digitales, ce système ne laisse pas de trace et rend impossible la constitution de fichiers ou l’utilisation de données personnelles à des fins abusives. Ce que dit la loi – Ces installations sont réalisées dans le strict respect des recommandations de la Cnil. En effet, la Commission nationale de l’informatique et des libertés souligne que le seul dispositif autorisé dans les établissements scolaires (AU-009) repose sur une biométrie “sans trace”, c’est-à-dire par reconnaissance du contour de la main, par opposition au relevé d’empreintes digitales, non autorisé dans les écoles. Comment Alise applique la réglementation – Toute nouvelle installation fait l’objet d’un courrier d’information adressé par le gestionnaire de l’établissement aux parents d’élèves. De plus, chaque lecteur biométrique RCM Alise est systématiquement associé à un lecteur de cartes magnétiques, une alternative qui permet de gérer le passage des convives exceptionnels ou ne souhaitant pas utiliser la borne biométrique.

Alise est spécialisée dans la gestion et le contrôle d’accès par carte et par biométrie RCM au restaurant scolaire (établissements du second degré). Basée à Venelles, près d’Aix-en-Provence, elle dispose d’une agence principale à Asnières, en région parisienne. Son succès repose, depuis sa création en 1992, sur le développement d’Arc-en-Self, logiciel permettant de gérer les aspects financiers et administratifs de l’accès à la demi-pension des restaurants scolaires. Alise propose ensuite, au rythme des développements technologiques, différents moyens de contrôle : tourniquet, barrière lumineuse, distributeur de plateaux et, depuis neuf ans, toujours avec une longueur d’avance, biométrie RCM. L’entreprise équipe près de 2 700 établissements scolaires, dont 479 en biométrie RCM, et réalisera, en 2013, un CA de près de 4 M€ HT

Ma voix est mon mot de passe

La biométrie vocale fournit une couche supplémentaire de sécurité et, dans le cadre d’un processus d’authentification multifactorielle, élimine pratiquement les risques associés à l’utilisation du même identifiant et mot de passe pour les comptes multiples. En utilisant simplement l’empreinte vocale unique à chaque être humain, la sécurisation de l’accès aux informations personnels s’en trouve amélioré et pallie l’oubli des mots de passe. DataSecurityBreach.fr rappelle qu’il s’agit également de la seule caractéristique biométrique à pouvoir être vérifiée à distance, ce qui rend l’authentification vocale particulièrement pratique.

Plusieurs groupes comme Barclays, Turkcell, Vanguard et Eastern bank ont choisi d’offrir à leurs clients une méthode d’authentification plus naturelle reposant sur la biométrie vocale. Barclays est le premier groupe de services financiers à déployer un système de biométrie vocale passif comme principal moyen d’authentification des clients contactant leur centre d’appel. Lorsqu’un client appelle Barclays pour consulter ses comptes par téléphone, il converse tout naturellement pendant 20 à 30 secondes avec un agent du service client. Pendant ce laps de temps, la voix du client est comparée avec son empreinte vocale déjà enregistrée. Lorsque l’identité du client est effectivement authentifiée, le représentant de Barclays en est averti discrètement. Si le système n’authentifie pas le client ou si la demande de transaction excède les seuils de sécurité, les agents de Barclays procèdent alors à la traditionnelle authentification basée sur la connaissance.

A ce jour, la société Nuance a traité plus de 30 millions d’empreintes vocales avec sa technologie de biométrie vocale et, en seulement deux ans, ce nombre a triplé. Traditionnellement utilisée dans le secteur bancaire, celui des télécommunications et pour le compte d’organisations gouvernementales, l’usage de la biométrie vocale s’accélère dans les domaines de la mobilité et de l’électronique grand public.

Nuance a dévoilé, il y a quelques jours, une nouvelle génération de biométrie vocale adaptée à une authentification du locuteur pour les terminaux mobiles, les téléviseurs ou encore les rapports médicaux. L’authentification vocale est à coup sûr en passe de se démocratiser. Le « jeton vocal » pourrait bientôt remplacer les habituels mots de passe et codes PIN.

Près de neuf français sur dix plébisciteraient la biométrie comme moyen de lutte contre la criminalité

Une étude de Steria, que datasecuritybreach.fr a pu consulter, menée auprès de 1 000 français (sur un total de 3 650 personnes interrogées en Europe), révèle que près de 9 français sur 10 (89 %) se disent favorables à l’utilisation de la biométrie pour identifier les criminels. La majorité est pour l’utilisation de la biométrie dans les cartes d’identité et les passeports (81 %), de même que pour contrôler les accès aux zones réglementées (77 %). En revanche, seuls 52 % acceptent que des solutions biométriques viennent remplacer les numéros PIN des cartes bancaires.

La plupart des français (89 %) se disent favorables à l’utilisation des technologies biométriques pour l’identification des criminels. Pourtant seuls 52 % accepteraient de voir la biométrie entrer dans leur vie quotidienne et remplacer les codes PIN des cartes bancaires par exemple. Une majorité de français (70 %) estime en effet que l’usage de la biométrie se limite à la protection contre l’usurpation d’identité, alors que de nombreux domaines de développement sont aujourd’hui envisagés : contrôles automatiques, simplification des procédures administratives, traçabilité des données, lutte contre la fraude ou encore réduction du crime.

Au niveau européen, les français sont plus favorables à l’adoption des technologies biométriques pour l’identification des criminels, que les britanniques (80 %), et les allemands (77 %). Près des trois-quarts (69 %) des sondés en Europe sont pour l’utilisation de la biométrie dans les cartes d’identité et les passeports, ainsi que pour contrôler l’accès aux zones réglementées.

Un marché à fort potentiel Selon de récentes estimations, le marché mondial de la biométrie représentera 8,5 milliards d’euros d’ici 2015. Cela traduit une formidable évolution des usages de la biométrie. Pour Florent Skrabacz, responsable des activités de Sécurité de Steria « les nouvelles applications de la biométrie, notamment pour la mobilité et les applications en ligne, sont une arme indispensable pour lutter contre les nouvelles fraudes à l’identité numérique ».

Ces propos sont renforcés par Ole Marius Steinkjer, expert des technologies biométriques chez Steria qui explique à DataSecurityBreach.fr : « Les applications de la technologie biométrique ne cessent de se diversifier : demandes d’asile, fluidité du trafic transfrontalier, authentification des criminels, contrôle d’accès aux sites militaires, aux dossiers médias, aux comptes bancaires, etc. Pourtant, en raison de préoccupations vis-à-vis de la protection de la vie privée, les citoyens hésitent toujours à adopter cette technologie au quotidien ».

Pour avoir déployé des solutions biométriques lors de projets dans 27 pays, notamment au Royaume-Uni, en Suisse, en France, en Allemagne, en Belgique et en Norvège, Steria jouit d’une grande expérience de la question. Cette année, Steria a notamment été sélectionné par la Police danoise pour un programme biométrique d’identification d’empreintes digitales et a annoncé, aux côtés de la Commission européenne, le déploiement de la seconde génération du système d’information Schengen (SIS II), qui prévoit de rationaliser les procédures de contrôle aux frontières de toute la zone et de faciliter la communication entre les Etats membres grâce aux données biométriques.

Connection VPN, entre 2 clés USB, en 60 secondes

Dans la nouvelle émission de ZATAZWeb.tv, numéro estival, il est proposé plusieurs sujets qui devraient vous intéresser. En plus de découvrir un jouet chinois qui permet de hacker certaines cartes RFID, l’émission ZATAZ Web TV revient aussi sur les livres à emmener avec soit à la plage, dont le dernier du moment des Editions ENI, Malware.

Particulièrement intéressant, les clés USB iTwin. L’émission a testé la version professionnelle de ces clés USB qui permettent de créer un accès VPN, entre deux portables.  iTwin est composé de deux parties. La première clé est insérée dans l’ordinateur de bureau, et le second – à la maison, par exemple. La connexion, en quelques secondes, est automatiquement établie sous la forme d’une connexion VPN sécurisée entre les deux machines.

A noter que l’émission profite des beaux jours pour lancer le grand jeu de l’été. A gagner : deux Playstation 4 de Sony ; des tee-shirts Nuit du hack et ZATAZ.COM et des livres. Lancement de notre grand jeu de l’été, lundi 22 juillet. Les premiers indices se trouvent déjà dans l’émission.

Se protéger de la cyber surveillance

Un ancien fonctionnaire de la CIA, officiant pour la NSA, révèle l’existence de PRISM, un espion numérique. Voici comment combattre cet espionnage. Vous avez très certainement dû lire les « révélations » d’un ancien agent de la CIA, Edward Snowden, expliquant que les grandes oreilles de l’Oncle Sam avaient mises en place, avec l’aide de Microsoft, Yahoo!, Google, Facebook, PalTalk, Youtube, Skype, AOL et Apple, un moyen d’interception de données global. Collecte de fichiers, photos, vidéos, audios, … Des données que peuvent ensuite se partager la NSA, le FBI et le MI6/MI5 Anglais. Vous comprenez mieux pourquoi zataz.com expliquait, il y a peu, le rachat de Skype (Entreprise alors Australienne) par Microsoft. Une collecte de taille, 97 milliards d’informations. Bref, voici avec Prism, le petit frère espion du système Echelon qui avait fait couler pas mal d’encore à la fin des années 90.

Chiffrez vos informations

Pour cela, de nombreux outils vous permettent de protéger vos données et autres contenus. Pour les eMails, passez par EnigMail (http://www.enigmail.org) ; pour l’ensemble de vos données GNU Privacy Guard (http://www.gnupg.org) ; Mailvelope vous permet de chiffrer vos correspondances par webmail (http://www.mailvelope.com) ou encore, via votre navigateur, WebPG (http://webpg.org/) ; couplez à cela des outils d’anonymisation et d’auto destruction de vos fichiers comme avec AnonPaste (http://www.anonpaste.me/anonpaste2/index.php) ou encore PastBay (http://pastebay.com) et FileTea (https://filetea.me) et vous voilà avec de quoi sécuriser votre vie sur la toile. En parlant de webmail (Gmail, Yahoo, …), si vous utilisez un outil de la sorte, pensez à chiffrer vos correspondances. BitMessage (https://bitmessage.org/) et RiseUp feront parfaitement l’affaire. DataSecurityBreach.fr conseille cependant d’utiliser des clients de messagerie. Plus « secure » ! Pour pallier à Outlook ou encore Apple Mail, penchez-vous sur Mozilla Thunderbird (https://www.mozilla.org/en-US/thunderbird/) ou encore iCedove. (http://directory.fsf.org/wiki/Icedove).

Vos « surfs »

les navigateurs alternatifs ne sont pas légions. Oubliez donc, à en croire l’ex 007, Safari, Chrome et Internet Explorer. Passez vers Firefox, le navigateur Open Source de Mozilla et le chiffrement proposé par l’outil TOR. Ce dernier propose d’ailleurs un navigateur chiffré et à la navigation anonyme. Petit bémol pour Firefox, comme l’indique le document lié à la politique de confidentialité de Firefox, plusieurs données sont collectées. En ce qui concerne les recherches sur Internet, oubliez Google Search, Yahoo! Search et Bing de Microsoft. Passez vers DuckDuckGo (https://duckduckgo.com/), StartPage (https://startpage.com/) ou encore Yacy (http://www.yacy.net/). Nous ne proposerons pas de solutions pour le Cloud. Si vous utilisez un tel service, pensez à chiffrer vos sauvegardes. Pour les amateurs de messagerie instantanée, oubliez Whats App Messenger, Yahoo! et autre Google Talk. RetroShare (http://retroshare.sourceforge.net) est parfait.

Vous pouvez aussi vous pencher sur l’application Firefox Cryptocat. Utilisateurs de smartphone, Android permet d’installer des outils qui sécuriseront vos appels comme le montre l’émission du mois de mai de ZATAZWeb.tv. TextSecure (https://whispersystems.org/#encrypted_texts) permet de sécuriser SMS et MMS. Les clés USB, aussi, peuvent se sécuriser, comme cette possibilité biométrique chiffrée présentée sur Data Security Breach. Pour les utilisateurs des outils de la grosse pomme, un Cat sécurisé/crypté est proposé avec ChatSecure (https://chatsecure.org) et le surf sans trace avec Onion Browser (https://mike.tig.as/onionbrowser).

Bref, prévenir les actes d’attentats, ok. 62% des américains estimeraient selon une étude récente (Le Monde) que les écoutes téléphoniques sont importantes pour lutter contre les terroristes ; 45 % veulent que le gouvernement aille plus loin dans ses « enquêtes ». Que ces américains se réjouissent, c’est en cours !

Chiffrer sa vie privée sur le web

DataSecurityBreach.fr vous le conseille très souvent : sur Internet, les informations que nous diffusons douvent être, un maximum, chiffrées, protégées, … des regards instigateurs. Les sources de fuites et de regards sont nombreux, très nombreux (Etats, entreprises, marketing, Google, …). Il est possible de se cacher. Non pas que nous soyons de dangereux terroristes à la solde d’un groupuscule venus de l’espace. Non, nous souhaitons juste avoir la possibilité de protéger ce qui nous appartient, notre vie privée.

Sur la toile, donc, difficile d’être « secret », mais les outils existent pour se protéger. Commençons par les envies de causer, en paix. De plus en plus de personnes exploitent le « tchat » de Facebook. Sauf que ce dernier, en plus de ne pas être parfaitement sécurisé, laisse de nombreuses traces dans les serveurs du géant américain. Un exemple que datasecuritybreach.fr vous propose d’effectuer. Vous avez un smartphone et un pc. Dans les deux cas, vous êtes connectés à Facebook. Votre smartphone a l’application Facebook activée, cela vous permet de recevoir, par exemple, des notifications de messages, de pokes, … Sur votre PC, vous causez, et causez encore ! Vous prenez soin, à chaque fin de « bla bla » d’effacer la conversation. Vous vérifiez, et effectivement, Facebook a détruit le contenu. Sauf que si vous vous rendez dans l’application de votre smartphone, miracle, les messages effacés ne le sont plus. Il vous faudra, donc, effacer de nouveau le contenu. Attention, n’utilisez pas l’application pour informer votre contact… au risque de revoir les messages réapparaitre dans le Facebook de votre ordinateur.

Bref, tchater, ok, mais tchater sécurisé, c’est mieux. Pour les utilisateurs de Firefox/Chrome, l’outil Crypto chat (Crypto Cat) est fait pour vous. L’addon s’installe dans votre navigateur. Il suffira, ensuite, de fournir un identifiant de connexion à vos interlocuteurs. Les conversations seront sécurisées par un chiffrement. Autres possibilités Threat Model ; intra messenger ou encore anonpaste.me. Il existe des possibilités de messagerie instantanée et visio-conférences avec Jitsi et Frama Soft.

 Après le tchat, vous allez avoir envie de communiquer fichiers, textes. Dans les possibilités ZeroBin, One Time Secret, Just Beam It, PrivNote. Pour finir, n’oubliez pas de chiffrer vos courriels. Pour les plus techniciens, le logiciel GPG est indispensable. Il réclame un peu de temps d’apprentissage et que vos correspondants utilisent aussi GPG (ou pgp). Mais son efficacité n’est plus à démontrer. Attention, des solutions gratuites comme PrivacyBox, ne sont plus exploitable pour des raisons internes aux créateurs. Pour le cas, de privacy box, une sombre affaire de possibilité d’espionnage.

A noter qu’il existe aussi des solutions de sécurisation des courriers et fichiers via l’autodestruction comme Privnote ; SebSauvage, One time secret ou encore Just bea mit ou encore AnonBox.tk. Pour le téléphone, zatazweb.tv, présente dans son émission du mois de mai une application qui permet de chiffrer les conversations téléphoniques.

Une sécurisation qui peut être accentuée en utilisant, par exemple, des clés USB chiffrées comme celle proposée par la société Integral (La crypto Dual – AES 256 bit) ou encore la clé USB biométrique de chez BEFS.  En vacances, en déplacement professionnel, ou tout simplement au bureau. Ce support de sauvegarde ne fonctionne qu’ave la présentation d’un doigt préenregistré.