Archives de catégorie : Fuite de données

Cybersécurité, DDoS, Entreprise, Fuite de données, Piratage, Propriété Industrielle

DDoS : diversion et intox

1 juin 2015 Damien Bancal

Pour des objectifs souvent très différents, de courtes attaques DDoS jouent un rôle de profilers réseau. Observant la stratégie de défense et de sécurité du réseau de leur cible, les DDoS – éclaireurs collectent des renseignements qui permettront à des attaques ciblées complexes et sophistiquées de contourner les outils de cyber-sécurité de l’entreprise visée. DDoS et APT, même combat.

Le paysage des menaces DDoS change. Historiquement, DDoS (distributed denial of service attack) était le nom donné aux attaques qui bloquaient ou ralentissaient l’accès aux sites web ou aux solutions basées sur le web. Bien que ce soit encore vrai dans bien des cas, les entreprises subissent
aujourd’hui un nouveau type d’attaque par DDoS. Celles-ci sont désormais opportunistes (i.e. les attaques qui ont suivi les événements de janvier 2015 en France) et ciblées. Les motivations sous-jacentes sont multiples : cyber-terrorisme, politique et idéologie, fraude, rançon, appât du gain, exfiltration de données et même avantage compétitif… Avec autant d’intérêts en jeu, les attaques sont nombreuses et la menace croît.Par exemple, au dernier trimestre 2014, Corero Network Security a observé que ses clients, hébergeurs, data centers, FAI et entreprises en ligne, tous professionnels expérimentés, ont subi en moyenne près de 4 tentatives journalières d’attaques par DDoS ! En particulier, un seul et même client, dans un environnement de multi-data center, a supporté 12 attaques/jour, en moyenne, pendant trois mois.

Les fournisseurs de mitigation des DDoS publient aussi des informations à ce sujet, bien sûr axées sur le cloud. Très intéressants en ce qui concerne les attaques DDoS à grande échelle, ces rapports ne parlent cependant que d’une fraction du trafic DDoS auquel chaque entreprise doit faire face
quotidiennement.

Les nouvelles attaques DDoS risquent de passer inaperçues ! Mais le mal est fait

Les attaques DDoS font régulièrement la une des journaux. La majorité des non-spécialistes pensent qu’il n’existe qu’un seul type d’attaque par DDoS. Pour eux, DDoS est synonyme de volume important et de longue durée. C’est malheureusement faux. Certaines attaques dont ont été victimes les hébergeurs, les data centers, les FAI et les entreprises en ligne évoqués dans notre propos, ont duré moins de cinq minutes et 96% d’entre elles ont été inférieures à 30 minutes ! Ce qui remet en cause ce que l’on savait sur le sujet. De toute évidence, cette nouvelle tendance constitue un changement radical. Nous avons désormais affaire à de courtes explosions de trafic et de moins en moins à des attaques prolongées. Une seconde tendance est synonyme de plus grand danger encore. Nous assistons actuellement à des attaques par saturation partielle des liaisons et non plus par inondation totale du réseau. Si l’on se réfère à l’exemple des clients de Corero, 87% des tentatives d’attaques utilisaient moins de 1 Gbps de bande passante. L’attaque est conçue pour laisser suffisamment de bande passante disponible pour d’autres attaques qui sont très sophistiquées et multi-vectorielles avec comme objectif principal l’exfiltration de données. C’est une méthode furtive où l’on vole sous la couverture radar. Si ce type d’attaque DDoS n’est pas atténué ou bloqué au niveau du réseau, il peut ne pas être remarqué par les solutions de sécurité traditionnelles et passer complètement inaperçu. L’attaque DDoS visible est en réalité un subterfuge, une intox qui masque la réalité : une autre attaque, discrète et dangereuse se prépare à partir des renseignements obtenus sur la stratégie de sécurité de la cible grâce à ce déni de service.

Des attaques DDoS multi-vectorielles et adaptables à leur cible

Les DDoS sont historiquement considérés comme des attaques volumétriques. Ce n’est pas surprenant. Les attaques avec une consommation élevée de la bande passante sont plus facilement identifiables par les solutions de défense sur site ou basées dans le cloud ou par la combinaison des deux. Mais les choses changent et les attaques s’affinent. La tendance qui se profile montre que les attaquants mettent en œuvre des méthodes multi-vecteur qui s’adaptent à leur cible afin de profiler la défense du réseau visé. Fort des renseignements obtenus, ils lancent ensuite une seconde voire une troisième attaque qui contournera les couches de protection de l’entreprise. Si les attaques volumétriques demeurent encore le type d’attaque le plus courant, les attaques adaptatives sont de nouvelles menaces dont il faut tenir compte et qui ciblent de plus en plus d’entreprises(1).

Quelle défense adopter ?

Les entreprises ont besoin de moyens de défense supplémentaires pour se prémunir contre un tel risque. A peine de courtes rafales de trafic illégitime sont-elles observées qu’il faut décider de la nécessité d’une intervention. Va-t-on basculer ou non vers le service anti-DDoS basé dans le Cloud ? Le temps de détection du trafic illégitime additionné au temps de lancement des mesures de mitigation peut durer plus d’une heure. Compte tenu, nous l’avons déjà dit, que 96% des attaques DDoS ont une durée de 30 minutes ou moins, le temps que la défense à la demande soit engagée, le mal est fait. De plus, ce n’est pas une surprise, le coût substantiel d’une approche de défense à la demande pour chaque attaque DDoS de courte durée à saturation partielle devient un vrai problème.

Défense anti-DDoS en temps réel

L’exécution précise de la politique de mitigation contre le trafic des attaques DDoS doit s’accomplir avec une efficacité maximum et conserver une haute disponibilité des réseaux. Sur site ou en ligne, la technologie est conçue pour gérer les différents types de DDoS en temps réel. Du fait de leur capacité en bande passante et de leur volume de clients, les attaques DDoS et les cyber-menaces constituent un important challenge pour les fournisseurs de service internet, particulièrement visés.

Les solutions en ligne de protection préventive contre les DDoS et les cyber-menaces permettent aux hébergeurs, aux data centers et aux FAI de répondre au défi des DDoS. Ils protègent non seulement leur infrastructure mais aussi celle de leurs clients des DDoS. Les fournisseurs des services internet peuvent ainsi étendre leur offre en proposant des services de sécurité à valeur ajoutée contre les menaces à leurs clients hébergés. Dans l’entreprise, une solution sur site de protection contre les DDoS devra être déployée en complément des pare-feu traditionnels ou de nouvelle génération, des IPS, des ADC et de tous les dispositifs de sécurité des infrastructures. Il est en effet indispensable d’empêcher que le trafic non désiré des attaques accède au réseau. Les risques sont alors réduits et les interruptions de service du site web à la suite d’une attaque DDoS diminuées. Les attaques par déni de service sont une réelle menace. Elles deviennent de plus en plus sophistiquées depuis quelques années. Les attaques deviennent multi-vectorielles et intelligents ; elles débordent les mécanismes traditionnels de défense et les contre-mesures. Comme l’expérience de certains fournisseurs l’indique, la régularité de la progression et de la virulence de ces attaques souligne simplement le besoin croissant d’une protection adaptée pour les vaincre à la périphérie du réseau. Tout le monde sur ce sujet est d’accord : rien n’est plus important que d’assurer la fluidité de l’accès à l’entreprise connectée à Internet ou aux fournisseurs d’accès Internet eux-mêmes. (Par Adrian Bisaz, Vice President Sales EMEA de Corero Network Security)

Le rapport trimestriel complet Tendances et analyse des DDoS.

backdoor, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle

Trend Micro partage son expertise sur la cyber-sécurité dans le nucléaire

1 juin 2015 Damien Bancal

Trend Micro, leader mondial des solutions et logiciels de sécurité, participe en ce moment à l’International Conference on Computer Security in a Nuclear World: Expert Discussion and Exchange, la conférence Internationale sur la Sécurité Informatique dans le Monde Nucléaire.

L’Agence Internationale de l’Energie Atomique (AIEA), organise cette semaine à Vienne (jusqu’au 5 juin) un rendez-vous dédié à la sécurité des infrastructures nucléaires dans le monde. L’éditeur de solutions de sécurité informatique Trend Micro présente les bénéfices offerts par ses solutions (notamment Portable Security et SafeLock), ainsi que les avancées de ses dernières recherches dans le domaine des attaques ciblant les environnements industriels SCADA/ICS.

« Nous sommes particulièrement honorés d’avoir été conviés à cette conférence », commente Loïc Guézo, Security Evangelist, Director chez Trend Micro, référent AIEA au sein de société. « Trend Micro souhaite contribuer à la mission de l’AIEA et s’engager à ses côtés pour une utilisation sûre, sécurisée et pacifique de l’énergie nucléaire. Les conséquences d’une cyber-attaque contre une infrastructure nucléaire, par exemple, seraient potentiellement dévastatrices. Cet événement joue ainsi un rôle essentiel dans la protection de milliards d’êtres humains à travers le monde. »

Dans ce contexte, l’AIEA organise cette conférence en coopération avec Interpol, l’Union internationale des télécommunications (UIT), l’Institut interrégional de recherche des Nations unies sur la criminalité et la justice (UNICRI) et la Commission électrotechnique internationale (CEI). L’agence a ainsi souhaité rassembler les spécialistes du monde entier qui, à l’image de Trend Micro, apportent une expertise et des solutions concrètes aux questions très spécifiques des constructeurs et opérateurs du nucléaire. L’anticipation de problématiques à venir et la recherche de pistes pour intensifier la coopération internationale dans ce domaine seront également à l’ordre du jour.

Créée en 1957 par l’Assemblée générale des Nations Unies, l’AIEA a pour objectif d’encourager et de faciliter le développement de l’énergie atomique à des fins pacifiques, ainsi que la recherche dans ce domaine à l’échelle mondiale, notamment les problématiques de cyber-sécurité. L’organisation a pour objectif de fournir aux Etats des conseils et des ressources pour les aider à détecter et répondre aux cyber-attaques, criminelles ou intentionnelles, ciblant ou impliquant un matériau nucléaire, tout autre matériau radioactif, une infrastructure ou une activité afférente.

Cybersécurité, Emploi, Entreprise, Fuite de données, loi, Social engineering, spam

La Banque d’Angleterre nous rappelle pourquoi il est important de vérifier les destinataires avant d’envoyer un courriel

27 mai 2015 Damien Bancal

Un courriel envoyé par la Banque d’Angleterre sur les méthodes pour ne pas répondre à la presse sur le désengagement européen du Royaume-Unis termine chez les mauvaises personnes.

La Banque d’Angleterre (The Bank of England) a diffusé un message interne expliquant à ses employés les bonnes méthodes pour communiquer un courrier électronique. « Chaque fois que vous envoyez un e-mail, vous devez vous assurer que vous l’envoyez à la bonne personne. Et ne pas oublier la double vérification juste avant de cliquer sur la touche envoyer« .

Un mode d’emploi rigolo surtout quand il s’agit d’un rappel à la suite d’une bourde interne. La banque a accidentellement envoyé un courriel qui contenait des informations vitales sur un projet qui indiquait les implications financières de la séparation du Royaume-Uni de l’Union européenne. Ce courriel était censé être envoyé à quatre cadres dirigeants de la banque. Raté, il s’est retrouvé dans la boite mails de personnes qui n’en demandaient pas tant ! Dans la missive, des méthodes pour éviter les questions de la presse. (BM)

backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données

La Yemen Electronic Army diffuse des milliers de documents sensibles

27 mai 2015 Damien Bancal

DSB a pu constater des milliers de données volées.

La Yemeni Electronic Army vient de mettre une sacré pagaille dans l’informatique du Ministère des Affaires étrangères d’Arabie Saoudite. Des milliers de données diffusées, des centaines de machines bloquées.

La Yemeni Electronic Army (Yemen Cyber Army) n’a pas été de main morte, derrière ce groupe de pirates informatiques, de jeunes internautes passionnés d’informatiques et, malheureusement, manipulés dans des actions qui les dépassent. Le YEA a annoncé le pirate du Ministère des Affaires étrangères d’Arabie Saoudite (mofa.gov.sa). Plusieurs milliers d’informations sensibles, allant des visas, aux courriels internes des Ambassades du Royaume ont été mis en ligne sur plusieurs sites de téléchargement gratuits. Ils ne sont pas à leur premier coup. Ils ont piraté, dernièrement, un sous domaine du Ministère de l’Éducation Nationale d’Arabie Saoudite ssb.edu.sa.

Le Yemen Cyber Army annonce avoir chiffré 3 000 ordinateurs, volé plus de 300Gb de données. Ils promettent autant d’informations pour le Ministère de l’Intérieur et le Ministère de la Défense. A noter que la source de l’information nous provient d’une agence de presse Iranienne qui n’a pas hésité à diffuser le lien de téléchargement des données piratées, volées et mis en ligne.

Ce groupe de pirates dispose d’un outil qu’ils cachent dans les serveurs infiltrés.

Le royaume d’Arabie Saoudite est une ciblé récurrente. Au mois d’août 2012, une des plus importantes compagnie pétrolière du monde, Saudi Arabian Oil Co était obligée de couper ses ordinateurs du web après la découverte d’un code malveillant dans ces derniers.

Argent, backdoor, Banque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering, Virus

Des pirates dans le réseau bancaire Isabel

26 mai 2015 Damien Bancal

Des pirates informatiques auraient visé le système bancaire belge Isabel.

Le nombre de cyberattaques contre les utilisateurs de toutes sortes de plateformes de banque en ligne est en nette augmentation. Les utilisateurs Isabel aussi peuvent être victimes d’actes de fraude ou de maliciels (logiciel malveillant). Malgré toutes les mesures de sécurité prises par Isabel SA et les banques, la sécurité des transactions n’est possible qu’avec la collaboration active des utilisateurs. Cependant, il semble que des pirates ont trouvé le moyen de nuire à cette entreprise forte de 35 000 clients professionnels.

Isabel SA est le principal prestataire belge de services en matière de PC Banking destinés aux utilisateurs professionnels. Les grandes entreprises, comme Breetec, des PME et des services publics utilisent ce système. Isabel c’est annuellement 400 millions de transactions pour une valeur de 2.400 milliards d’euro. Bref, de quoi attirer les pirates informatiques.

Selon la justice belge, des malveillants auraient mis en place un virus qui se serait attaqué à 35 000 entreprises belges. Des enquêtes ont été ouvertes par les parquets de Bruxelles et de Furnes. D’après le journal De Tijd, plusieurs sociétés auraient été victimes de ponctions pécuniaires orchestrées par le code pirate.

Isabel indique de son côté que le PC de l’utilisateur est contaminé par un maliciel (logiciel malveillant) au travers d’une pièce jointe proposé par un courriel. Le fraudeur prend le contrôle du PC à distance. Il effectue des transactions frauduleuses et les fait signer par l’utilisateur. « Le mode d’attaque ne change pas dans l’environnement Isabel. La seule différence se situe au moment où le fraudeur veut faire signer la transaction : à ce moment, le lecteur de carte émet un bip. Si l’utilisateur considère la demande du lecteur comme suspecte et n’introduit pas son code PIN, aucun problème. » Malheureusement, si l’utilisateur a le réflexe d’introduire son code PIN, il signera sans le savoir une transaction frauduleuse. C’est donc bien l’utilisateur qui signe des transactions qui seront ensuite exécutées par la banque.

Breetec, l’une des victimes, a été en mesure de retracer l’une des transactions qui s’est terminée dans une banque situé à Dubaï.

Android, Argent, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, ios, Linux, Logiciels, Microsoft, OS X, Paiement en ligne, Particuliers, Sécurité, Smartphone, Téléphonie, Vie privée, VPN

Connexions wifi gratuites : Sécuriser vos surfs cet été avec un VPN

26 mai 2015 Damien Bancal

Vous allez partir en vacances, profiter de connexions wifi gratuites, ou proposées par un hôtel, un camping, un restaurant ? Pensez à vous équiper d’un VPN qui protégera vos connexions et mots de passe tout en préservant votre anonymat sur le serveur utilisé.

Connexions wifi gratuites ? Faut-il encore vous parler de protection de vos machines (tablettes, smartphones, ordinateurs) quand vous partez en vacances, à l’étranger ? Faut-il vous rappeler la dangerosité d’une connexion wifi libre, gratuite (ou non), publique ? Avec les congés qui s’approchent à grands pas, il est bon de penser à s’équiper d’un VPN. Ainsi, le réseau wifi que vous utiliserez n’aura pas la possibilité de lire (volontairement ou non, NDR) les mots de passe que vous venez de taper, les mots doux que vous venez de diffuser, les documents et sites Internet que vous consultez.

Plusieurs possibilités s’offrent à vous. D’abord avec les Français de chez No Limit VPN. Pratique et rapide, ils proposent une possibilité d’essayer gratuitement leur service, histoire de vous familiariser avec cette sécurité indispensable. Ils utilisent un chiffrement 128 bits et 256 bits qui rend votre trafic Internet impossible à lire pour un malveillant. Plusieurs protocoles sont disponibles (PPTP, L2TP et OpenVPN) afin de vous permettre de choisir votre niveau préféré de cryptage. Compter entre 2.49 et 3.99€ par mois (selon la durée, NDR).

Même type de service pour VyprVPN. Logiciels très simple d’utilisation, fonctionnant sous Mac OS X, Windows 7, 8, Vista, Linux, ou encore sur les smartphones iOS et Android. 52 serveurs dans le monde (de la Suisse à la Pologne, en passant par la Colombie, le Vietnam ou encore la Canada). Des tarifs allant de 5 à 10€ par mois selon les options, dont Chameleon qui permet de cacher votre utilisation d’un VPN. A noter une option totalement gratuite, une nouveauté chez VyprVPN.

Troisième possibilité, ma préférée, Hide My Ass ! Une société basée dans des îles ensoleillées. Leur proposition, contourner les restrictions en ligne pour accéder à du contenu uniquement disponible à l’étranger, Netflix and Co. Accédez aux sites Web de votre pays lorsque vous êtes à l’étranger, et contournez la censure du gouvernement ou au travail et accédez à des sites comme Facebook, Gmail et YouTube. Le plus économiquement intéressant avec son option annuelle (5€ par mois, NDR).

Bref, des outils indispensables.

Argent, Arnaque, backdoor, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, Logiciels, Mise à jour, Paiement en ligne, Particuliers, Patch, Piratage, Propriété Industrielle, Sauvegarde, Social engineering, Vie privée

Outils anti ransomwares

26 mai 2015 Damien Bancal Un commentaire

Disque dur bloqué, fichiers chiffrés, … les attaques de ransomwares n’ont jamais été aussi nombreuses. Un kit de sauvetage vient d’être diffusé. Il ne corrige pas toutes les possibilités malveillantes, mais permet déjà d’y voir plus clair.

L’internaute Jada Cyrus a compilé un kit de secours pour aider les victimes de ransomwares à déchiffrer les fichiers verrouillés. Cette boite à outils serait efficace contre les variantes de CryptoLocker, TeslaCrypt, et CoinVault, trois logiciels rançonneurs malheureusement très populaire sur la toile… et dans les ordinateurs de leurs victimes. « Nous avons des dizaines de cas » souligne à DataSecurityBreach.fr un technicien officiant dans une boutique informatique du Nord de la France, à Seclin. « Beaucoup de personnes se retrouvent avec leurs fichiers chiffrés et n’hésitent pas à payer pour retrouver leurs biens« .

ZATAZ.COM a proposé, il y a quelques semaines, un article les premières minutes d’une attaque d’un ransomware. De quoi vous donner une idée de l’efficacité de ce genre d’attaque. Pour rappel, pour se protéger de ce genre de cochonnerie : Ne pas télécharger ou cliquer sur n’importe quoi ; Un courriel proposant un fichier joint de types .rar ; .zip ; .exe ; .svg ; … sont à bannir. Les alertes s’ouvrant dans votre navigateur vous annonçant « des virus » ou une mise à jour urgente de VLC (vidéo, NDR) ; Flash ; … ne sont pas à prendre à la lettre. Un antivirus mis à jour est obligatoire. La meilleure des défenses face à ce genre d’attaque reste la réflexion. Ce kit regroupe des anti ransomwares pour BitCryptor, CoinVault, CryptoLocker, FBI Ransomware, PC Lock, Tesla Crypt, Torrent Locker.

Un faux courriel, une pièce jointe piégée et le disque dur est chiffré !

Pendant ce temps…

Le Ministère de la justice Vietnamien est devenu la dernière victime de taille d’une attaque d’un ransomware. Plusieurs ordinateurs connectés au réseau du ministère ont été infectés par le malware. Beaucoup de données « importantes » se sont retrouvées cryptés. Comme il n’y a aucun moyen de récupérer les données autres que de payer la rançon, il est très probable que le ministère va perdre toutes ses données. Espérons pour ce ministère que les mots « sauvegardes », « Backup » ou « Kar surxng kahxmul » ne lui soit pas inconnu.

Le kit est à télécharger ICI.

backdoor, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Propriété Industrielle, Sauvegarde

Infiltration du réseau PacNet

20 mai 2015 Damien Bancal

Un pirate informatique a visité le réseau PacNet de la société TelStra. Plusieurs organismes gouvernementaux, dont la police fédérale australienne infiltrés.

Courriels, réseaux, serveurs, sites Internet. Pas de doute, l’infiltration que vient de révéler la société Telstra fait bondir les kangourous Australiens. Le réseau d’entreprises Pacnet a été piraté et infiltré. La filiale asiatique de Telstra a été visitée, mettant en danger ses clients, dont la police fédérale australienne, le ministère des Affaires étrangères, le ministère du Commerce et de nombreux autres organismes gouvernementaux. Une attaque qui a visé les systèmes d’administrations des clients de ce géant de l’informatique, ainsi que leurs courriels. Une attaque qui a été lancée début avril 2015.

Une attaque qui débarque au moment ou TelStra finalise le rachat de PacNet (697 millions de dollars, NDR DataSecuritybreach.fr) et se prépare à lancer une grande campagne de communication, en Asie, pour
vanter ses services.

L’Australian Cyber Security Centre (ACSC) enquête sur cette affaire. Il n’y a pas encore eu de communication sur les données qui ont pu être volées aux différents ministères. Le plus inquiétant est que le pirate, via une injection SQL, a pu tout simplement installer un shell (une porte cachée – backdoor) dans le serveur et lancer sa petite visite que personne n’a vu, du moins jusqu’au 16 avril dernier. Bref, une attaque d’un classique qui a de quoi faire revenir sur terre le thylacine (animal australien aujourd’hui disparu, NDR).

Pacnet est l’une des rares entreprises à avoir des datas center en Chine occidentale. L’origine géographique du pirate reste inconnue. (CT)

Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle, Sauvegarde

ErsatzPasswords : un système qui bloque les pirates ?

20 mai 2015 Damien Bancal

Des chercheurs annoncent avoir trouvé une méthode pour bloquer les pirates face à une base de données volées. Ils vont présenter Ersatz Passwords, un outil qui empêcherait de mettre la main sur les données sensibles des BDD dérobées.

Une équipe de chercheurs (Christopher N. Gutierrez, Mikhail J. Atallah et Eugene H. Spafford) a développé un système qui doit rendre beaucoup plus difficile la lecture des mots de passe trouvés dans une base de données piratée.

Pour Mohammed H. Almeshekah, un des doctorants de l’Université Purdue (USA), cette méthode fournira tellement de leurres dans la BDD volée que les pirates ne pourront rien faire des informations qu’ils auront pu intercepter (Doc PDF).

Le système rajoute de fausses informations. Sans le support physique, impossible de connaitre les bons mots de passe.

Bref, les injections SQL ont encore, malheureusement, de l’avenir, mais la lecture des contenus volés s’annoncent plus compliquée. ErsatzPasswords rajoute une nouvelle étape dans le hashage des mots de passe (MD5, …) contenus dans les BDD.

Avant qu’un mot de passe soit chiffré, le « précieux » est sécurisé via un matériel précis, comme une clé USB par exemple. Bilan, si un pirate met la main sur les mots de passe, il tentera de les retrouver via un outil en ligne comme Crack MD Online ou des logiciels dédiés, comme John the ripper.

Seulement, ErsatzPasswords aura modifié ces précieuses informations qui deviendront inutilisables sans la clé USB. Côté serveur, le système semble assez facile à installer. D’ailleurs le code est disponible sur GitHub. Il est gratuit et est publié sous une licence open-source. Ce système sera présenté, début juin à Los Angeles lors de l’Annual Computer Security Application Conference (ACSAC).

Argent, Banque, Cybersécurité, Entreprise, Fuite de données, Justice, Paiement en ligne, Particuliers, Phishing, Social engineering

Piratage de cartes de crédit prépayées

20 mai 2015 Damien Bancal

La justice belge enquête sur une fraude à la carte bancaire prépayée. Plusieurs centaines de cas déjà référencés.

Une faille a-t-elle était découverte dans les cartes de crédit prépayées belges ? Selon les journaux belges Gazet van Antwerpen et Het Belang van Limburg, des pirates informatiques auraient mis la main sur plusieurs centaines de cartes de crédit prépayées. Des CB qui ne demandent pas à être connectées directement à un compte en banque. Ces cartes se rechargent. Pas besoin de fournir une pièce d’identité pour en acquérir une.

En Belgique, Axa, Belfius et bpost proposent ce type de service. En France, Veritas, Ukash, NeoCash ou encore Carte Zero existent sur un marché comptant plusieurs dizaines de concurrents. Les pirates auraient réussi à manipuler les cartes prépayées de plusieurs établissements financiers. Phishing de clients ou attaque ciblée ? La justice belge n’a pour le moment aucune réponse. A suivre ! (RTBF)

Cybersécurité, Entreprise, Fuite de données, Logiciels, Mise à jour, Wordpress

WordPress ou lorsque la moitié des sites Web du Net sont vulnérables

15 mai 2015 Damien Bancal Un commentaire

Le 21 avril, WordPress a émis un avis de sécurité critique et « vivement encouragé » ses utilisateurs à mettre à jour « immédiatement » leurs sites Web. En règle générale, l’utilisation de ces termes alarmants est symptomatique d’une menace majeure. Et c’était effectivement le cas.

WordPress domine tellement le marché des CMS que près de 50% de l’ensemble des sites Web s’appuient sur ce système de gestion de contenu. Ce récent avis de sécurité résout de nombreuses vulnérabilités dont certaines étaient critiques puisqu’un attaquant pouvait obtenir un accès administrateur pour n’importe lequel des millions de sites Web fonctionnant sous WordPress. La vulnérabilité la plus sensible affecte la version 4.1.1 de WordPress et les versions antérieures.

Pour commencer, MySQL prend des libertés avec UTF-8

Le chercheur Cedric Van Bockhaven a découvert que le jeu de caractères UTF-8 utilisé par MySQL ne supportait que des caractères encodés sur 3 octets, ce qui est plus que suffisant pour la plupart des langues modernes (BMP), mais pas assez pour les caractères supplémentaires (SMP) tels que le superbe cheval de manège (U+1F3A0) ou le joli petit poussin vu de face (U+1F425) …

Si vous tentez d’insérer une chaîne de caractères contenant l’un de ces magnifiques animaux dans une colonne de type UTF-8, MySQL tronquera la chaîne de caractères après le caractère encodé sur 4 octets et avertira l’administrateur de la présence d’une «Incorrect string value». Le seul moyen de prévenir ce type d’insertion est de configurer MySQL en mode strict, ce qui n’est pas le cas par défaut.

Malheureusement, le fonctionnement de WordPress est basé sur MySQL et le CMS n’utilise pas le mode strict.

Ensuite, on exploite la faille

Lorsqu’on parle de troncation, le Cross-site Scripting (XSS) n’est jamais très loin. M. Van Bockhaven a découvert que le même comportement de troncation UTF-8 permettait d’exploiter la fonctionnalité de commentaires de WordPress et d’insérer des scripts, quel que soit le thème WP. Le chercheur a pu modifier les mots de passe, créer un nouveau profil administrateur et exécuter à peu près n’importe quelle action sur le CMS.

Un autre exploit a été révélé le lendemain à partir du même problème de troncation. Jouko Pynnönen a en effet découvert que la taille des entrées du type TEXT de MySQL est limitée à 64 kilo-octets. Un très long commentaire sera donc tronqué tout comme le caractère encodé sur 4 octets de M. Van Bockhaven et avec les mêmes conséquences. Pour résoudre cette deuxième vulnérabilité, WordPress a publié un nouvel avis de sécurité (4.2.1)

Ensuite, WordPress corrige

L’équipe chargée de la sécurité de WordPress a résolu le problème UTF-8 via la mise à jour 4.1.2 du 21 avril qui prend désormais pleinement en charge les caractères encodés sur 4 octets en modifiant le jeu de caractères MySQL utilisé par défaut dans WordPress en UTF-8MB4. Une semaine plus tard, une nouvelle mise à jour 4.2.1 réglait le problème de troncation lors de l’insertion de longs commentaires. Les vulnérabilités XSS liées à ces problèmes ne seront donc plus exploitables.

L’équipe a également résolu d’autres problèmes de sécurité concernant encore XSS dans une version plus ancienne de WordPress ainsi que celui de l’injection de codes SQL dans certains plug-ins vulnérables. Le 7 mai, l’équipe sécurité de WordPress publie une nouvelle version 4.2.2. Cette fois c’est une vulnérabilité de type DOM XSS qui cible le CMS… (Par Jerôme Clauzade, Qualys)

cryptolocker, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch, Virus

15 ans après le virus “I Love You” l’amour du risque perdure

14 mai 2015 Damien Bancal

Particuliers et entreprises ont-ils retenus les leçons du passé pour optimiser leur sécurité ? Pas si sûr…

Le 4 mai 2015 a marqué les 15 ans du ver “I love you” qui avait été très médiatisé car il s’agissait de l’une des premières attaques de grande ampleur ayant touché les entreprises, comme les particuliers, sur l’ensemble des continents. De fait, cette attaque reste très présente dans les esprits lorsqu’on évoque les sujets de sécurité. Mais 15 ans après, que peut-on retenir de ce message dont la portée s’est révélée particulièrement efficace ?

I Love You, aussi dénommé LoveLetter ou The LoveBug, a touché et a infecté près de 10 % des ordinateurs connectés à Internet il y a tout juste 15 ans et causé un préjudice estimé à 5 milliards de dollars. Celui-ci s’est propagé au travers des messageries Outlook et Outlook Express et consistait en un email contenant une lettre d’amour en pièce jointe. En moins d’une semaine, il avait touché plus de 3,1 millions de PC dans le monde entier.

L’efficacité de ce virus tient à trois facteurs relativement nouveaux à l’époque. Premièrement, il a tiré parti de la faiblesse des antivirus de l’époque, majoritairement incapables de le détecter et donc de le stopper. Les éditeurs ont d’ailleurs mis plusieurs heures, voire jours pour trouver une solution et la diffuser (pas de services Cloud pour faciliter le partage de connaissance et la diffusion de la mise à jour contenant la signature du ver).

Deuxièmement, il s’agissait de l’une des premières attaques exploitant une forme de social engineering. L’approche a été travaillée pour optimiser le taux d’ouverture de l’email et de nombre de clics sur la pièce jointe. Peu de gens se sont méfiés de cette lettre d’amour à première vue anodine. Troisièmement, la faible sensibilisation aux problématiques de sécurité à l’époque a également joué en faveur du virus.

Et aujourd’hui ?
Force est de constater que 15 ans après, la messagerie reste le principal vecteur d’attaque. Ainsi 90 % des attaques (Etude Human Factor de Proofpoint) exploitent ce canal et le comportement des utilisateurs reste le maillon faible de la sécurité. Comme le confirme le DBIR 2015 de Verizon, 23 % des utilisateurs continuent d’ouvrir les mails de phishing, un chiffre en hausse par rapport à l’année précédente… Donc en résumé, peu de choses ont changé.

Heureusement d’un point de vue technique, de nouvelles solutions ont fait leur apparition, que ce soit au niveau de l’infrastructure, du poste, ou plus particulièrement de la messagerie. C’est aussi pour cette raison que les attaquants ont modifié leur technique d’approche. Le social engineering reste l’une des stratégies les plus exploitées pour lancer des attaques qui sont désormais ciblées (sur une catégorie d’employés, exploitant une actualité, etc.). L’actualité récente, et les attaques de médias comme celle du Monde ou de TV5 Monde, ont d’ailleurs montré toute leur efficacité en matière de menace ciblée.

Les techniques d’attaque en elles-mêmes ont donc peu évolué et elles exploitent toujours le comportement des utilisateurs. Seuls les objectifs ont changé : de la simple gloire recherchée par les attaquants, nous sommes passés à des attaques ciblées, dont les finalités sont précises : espionnage industriel ou commercial, impact sur l’activité ou les finances, hacktivisme (transmission de messages de revendication liés à une cause), nuisance sur l’image de l’entreprise. En parallèle, de nouvelles techniques sont apparues comme par exemple l’utilisation de ransomware, ces logiciels qui chiffrent les données de leurs victimes et qui demandent ensuite une rançon contre la clef de déchiffrement. On peut d’ailleurs souligner que cette tendance est due à l’évolution du fonctionnement des antivirus par rapport à l’époque d’ « I Love You » : en effet, les éditeurs réagissent désormais plus rapidement et de manière mondialisée (en général, un nouveau malware est bloqué en quelques jours, voire quelques heures après les plaintes des premières victimes). En conséquence, pour tout de même en tirer des bénéfices, les organisations criminelles tentent d’extorquer de l’argent directement à chaque victime (et force est de constater qu’en terme de « chiffre d’affaire », tout va pour le mieux pour eux…).

Quinze ans après, il y a donc peu de chance de connaître une attaque d’une envergure et d’un impact aussi importants que le ver « I Love You » mais il reste encore beaucoup à faire pour éduquer les utilisateurs et les sensibiliser aux nouvelles menaces et formes d’attaques employées par les cybercriminels. (Par Christophe Kiciak, Responsable de l’offre Audit technique et test d’intrusion de Provadys.)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, loi, Mise à jour, Piratage, Propriété Industrielle, ransomware, Sauvegarde

Secteur médical : la prochaine cible des cybercriminels ?

14 mai 2015 Damien Bancal

Le système d’informations de santé, qui regroupe les dossiers électroniques des patients jusqu’aux dispositifs médicaux, est plus vulnérable qu’on ne l’imagine. Et les enjeux sont bien trop importants pour fermer les yeux sur cette problématique épineuse.

Aujourd’hui, sur le marché noir, les données de patients se monnayent jusqu’à 20 fois plus cher que les données de cartes de paiement récupérées, par exemple, à l’issue d’un piratage visant un acteur de la grande distribution. Les données médicales sont en effet détaillées, riches et regorgent d’informations que recherchent les cybercriminels pour perpétrer leurs détournements d’identité et autres fraudes. De plus, les patients prennent bien plus de temps à se rendre compte du détournement de leurs informations de santé, jusqu’à près d’un an pour certains patients. En effet, pour identifier
une utilisation frauduleuse des cartes de paiement, les banques disposent d’algorithmes qui repèrent rapidement les activités suspectes et prennent souvent automatiquement les mesures de sécurité qui s’imposent. Ces mesures de sécurité n’existent pas dans le domaine médical. Les acteurs de santé, eux-mêmes, ne se rendent pas toujours compte de la vulnérabilité des nombreux systèmes qu’ils utilisent face aux cyber-attaques:

Cyber-attaques traditionnelles
Ces attaques, qui s’en prennent à tous les profils d’organisations, sont véhiculées par des logiciels malveillants, phishing, chevaux de Troie ou encore des ransomware. Par rapport aux autres secteurs d’activité, celui de la santé est particulièrement vulnérable en l’absence de mesures de protection
intégrées et compte tenu d’une priorité moindre accordée à la sécurité. Ces logiciels malveillants, qu’ils soient déployés via des attaques ciblées, des sites Web piratés ou des dispositifs mobiles infectés, entraînent une divulgation de données confidentielles et aboutissent à des coûts importants et à
des tâches de restauration post-incident particulièrement chronophages. Ces attaques ne sont pas vraiment nouvelles, mais elles gagnent en sophistication et la perte de données de patients est une vraie problématique. Les cybercriminels ont d’ailleurs conçu des plateformes entières de logiciels malveillants qui peuvent être personnalisées pour attaquer les acteurs de santé.

Dispositifs médicaux connectés
Aujourd’hui, des moniteurs cardiaques aux pompes à perfusion, tous les équipements peuvent être connectés à un réseau et s’interfacer avec les dossiers électroniques de patient, permettant ainsi d’activer des alertes en temps réel à l’intention du personnel soignant. Cette interactivité est, dans la
perspective du patient, une bonne nouvelle. Mais au niveau sécurité, il s’agit plutôt d’un cauchemar.

La majorité de ces équipements, et notamment les IRM, les scanners et autres équipements de diagnostic n’ont pas été conçus en faisant de la sécurité une priorité. Ils sont nombreux à utiliser des systèmes d’exploitation comme Microsoft Windows et des logiciels conçus pour collecter les données… Et pas forcément les garder en sécurité. Le piratage de ces appareils est donc possible et une fois compromis, les cybercriminels peuvent accéder directement aux systèmes de données cliniques avec lesquels ces équipements sont interfacés.

Les données de patients ne constituent pas les seules ressources pouvant être piratées via des dispositifs connectés. Les cyber-terroristes pourraient potentiellement manipuler les machines et porter atteinte aux patients. D’ailleurs, dès 2011, un chercheur en sécurité a su démontrer qu’une pompe à insuline pouvait être piratée et utilisée pour injecter une dose mortelle d’insuline[1].

Les équipements de santé personnels et résidentiels
Les dispositifs de santé prolifèrent bien au-delà des murs des hôpitaux. Les équipements de santé personnels, les applications de santé et autres coachs de fitness sont de plus en plus nombreux à recueillir et à transmettre des données. Ces systèmes peuvent potentiellement mettre les données de patients en péril (ou du moins ne pas assurer leur parfaite protection), et ils s’interfacent aussi souvent avec des dossiers électroniques de patients ou des systèmes hébergeant des données cliniques. Si un dispositif de contrôle du taux de glucose ou une application de santé sur iPhone peuvent être la cible
d’attaques, ces vulnérabilités s’appliquent également aux institutions de soins de santé. Les dispositifs cliniques ont, en effet, pour priorité d’offrir de nouvelles modalités pour une prise en charge pratique, innovante et performante des patients. La sécurité, elle, est moins prioritaire.

La sécurité des soins de santé ne doit pas attendre que les piratages de données de patients aient réussi pour devenir prioritaire. Il faut s’en préoccuper dès aujourd’hui. Le secteur de soins de santé, dans sa globalité, doit engager des actions proactives et privilégier les équipements qui
intègrent la sécurité en natif, mais aussi déployer une protection active au niveau du réseau et des applications. Les enjeux sont tout simplement trop critiques pour s’offrir le luxe d’attendre. (Par Christophe Auberger, Responsable Technique France, Fortinet)

backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, Justice, Particuliers, Sauvegarde, Téléphonie, Vie privée

Les Députés américains votent la fin de la collecte en vrac de la NSA

14 mai 2015 Damien Bancal Un commentaire

La NSA collecte, à la tonne, les données téléphoniques. Mission officielle, traquer les terroristes. 338 députés, sur 88, ont décidé que cet espionnage devait être mieux contrôlé.

Alors qu’en France les députés ont décidé de permettre la collecte de données « en vrac » de personnes considérées comme dangereuses par les services de renseignements, aux USA, le Capitole a confirmé par le vote positif de 338 députés (pour 88 contre, NDR) que la même collecte, réalisée par la Nationale Security Agency (NSA) devait être contrôlée.

La Chambre a voté ce 13 mai le projet de loi baptisée USA Freedom Act. Bilan, elle aura pour effet, si le Sénat vote dans le même sens, de faire fermer de nombreux programmes d’espionnage de la NSA. Un espionnage visant les ressortissants américains, sur le sol de l’Oncle Sam. Ce projet de loi, adopté massivement par les députés, mettra peut-être fin à la collecte en vrac des appels téléphoniques à partir d’un fournisseur de télécommunication américain.

Un programme d’espionnage dénoncé en 2006 par USA Today, et qui reviendra sur le devant de la scéne en 2013, via les dossiers de la NSA volés par Edward Snowden, ancien analyste privé des grandes oreilles américaines.

Ce projet de loi prévoit que la NSA devra passer par la Foreign Intelligence Surveillance Court avant de demander une écoute. Ce projet exige de l’agence l’utilisation de mots spécifiques lors de ces
recherches. Des mots qui doivent affiner son accès aux seuls dossiers pertinents. Il faut attendre, maintenant, le vote du Sénat pour entériner ce projet de loi. L’Electronic Frontier Foundation (EFF) se félicite de cette nouvelle avancé, même si l’EFF doute du vote final. La semaine dernière, une cour
d’appel fédérale avait statué que cette collecte massive de données téléphonique était totalement illicite. Une collecte qui n’avait jamais été autorisée par l’article 215 du Patriot Act (Fight 215).

Argent, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Paiement en ligne, Particuliers, Piratage, Sauvegarde, Vie privée

Infiltration dans la boutique SallyBeauty.com

14 mai 2015 Damien Bancal

La boutique de vente en ligne de produits de beauté SallyBeauty confirme le piratage de données bancaires appartenant à certains de ses clients.

L’entreprise américaine SallyBeauty, basée au Texas, vient d’alerter la rédaction de DataSecurityBreach.fr, et ses clients, d’une probable attaque informatique à l’encontre de ses serveurs. Ce spécialiste des produits de beautés semble avoir des clientes françaises dans ses bases de données.

Une enquête en cours, visant à savoir si un pirate informatique a mis la main sur des donnés privées et sensibles de clients, oblige l’entreprise à diffuser un courriel d’alerte. « Nous pensons qu’il est dans l’intérêt de nos clients de vous avertir que nous avons maintenant suffisamment de preuves pour confirmer qu’une intrusion illégale dans nos systèmes de cartes de paiement a effectivement eu lieu« .

Pour le moment, aucun chiffre n’est donné. L’enquête et les analyses sont toujours en cours. « Nous encourageons nos clients à surveiller leurs relevés de carte de paiement et de signaler toute transaction suspecte à leurs institutions financières« . Un courriel dédié à cette intrusion a été mis en place customerserviceinquiry@sallybeauty.com.

BYOD, Chiffrement, Cloud, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Leak, Logiciels, Microsoft, Particuliers, Patch, Piratage, ransomware, Social engineering, Vie privée

Virus Rombertik : rien de nouveau chez le malveillant

10 mai 2015 Damien Bancal Un commentaire

Suite à la découverte du malware Rombertik par les équipes de Cisco, il s’avère que le microbe n’a rien de bien nouveau. Il additionne les attaques.

Il n’y a rien de neuf dans ce que fait le malware Rombertik, donc ce n’est pas vraiment une « nouvelle génération » en tant que telle. Il s’agit surtout d’une compilation de plusieurs attaques simultanées « Le premier objectif du malware est de voler les données confidentielles utilisées dans le navigateur Internet. explique Christophe Kiciak, de chez Provadys. Dans le cas où il n’y arrive pas, il passe a son second objectif qui consiste à rendre le poste inutilisable« . Un petit souvenir du virus Leonard de Vinci ?

Rombertik est un spyware de navigateur polyvalent ; c’est également un malware conçu pour pirater les transactions du navigateur et lire des informations d’identification telles que les combinaisons noms d’utilisateurs/mots de passe de messagerie, de comptes bancaire ou d’autres systèmes, et de renvoyer ces informations d’identification au serveur des attaquants. Rombertik sabote le Master Boot Record (MBR) pour empêcher le redémarrage de l’ordinateur attaqué, ou à défaut, chiffre les données de l’utilisateur. Un blocage qui a le goût d’un ransomware, mais sans la rançon. Les données ne sont pas récupérables du tout.

Etant donné que Rombertik est très sensible à la traditionnelle sandboxing réactive, il est crucial d’utiliser des systèmes de défense modernes – prédictifs. Des systèmes qui n’attendent pas qu’un utilisateur clique pour déclencher un téléchargement potentiel de Rombertik. De plus, comme le malware peut être expédié via de multiples vecteurs – comme Dyre, via des URL ou des fichiers .doc ou .zip/exe etc. – il est crucial d’utiliser des systèmes qui examinent l’ensemble chaîne destructrice, et bloquent l’accès des utilisateurs aux URL et pièces jointes envoyées par emails avant ceux-ci ne cliquent dessus.

« Les aspects « autodestruction » de Rombertik étant susceptibles d’être déclenchés par les technologies telles que les antivirus, il est crucial que les entreprises utilisent des systèmes automatisés de réponse aux menaces » confirme à DataSecurityBreach.fr Charles Rami, responsable technique Proofpoint.

Des systèmes qui peuvent localiser et bloquer l’exfiltration de données par Rombertik – sans – déclencher d’action sur le PC, et alerter les équipes de sécurité pour répondre rapidement aux dommages pouvant être causés.

Bref, pour se protéger de Rombertik, ici aussi rien de nouveau sous les palmiers : ne pas cliquer sur n’importe quoi ; mettre l’ensemble de ses logiciels à jour ; ne pas utiliser l’ordinateur avec un compte administrateur. Cela vous évitera de donner l’ensemble de vos privilèges au pirate ; faire des sauvegardes et s’assurer qu’elles fonctionnent.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle, VPN

Hippon, solution française dédiée au chiffrement

5 mai 2015 Damien Bancal

La société Hippon propose une solution 100% française. Innovante, elle permet de se créer son réseau confiance pour ses échanges confidentiels.

Voilà une nouvelle solution à suivre de près. Son nom, Hippon. Cette solution de chiffrement et bien plus que cela. Hippon propose un réseau fermé dans lequel vous allez pouvoir échanger des tchats avec vos correspondants en ligne; diffuser des messages à un ou plusieurs destinataires; permettre la diffusion de pièces jointes. L’ensemble des échanges sont chiffrés. Cela permet ainsi de renforcer la confiance et la collaboration avec vos partenaires en vous prémunissant contre le vol ou l’interception de vos échanges sensibles. Un outil collaboratif qui permet de travailler dans une réelle fluidité. Le nombre des intervenants importe peu. L’utilisateur peut déployer son réseau de confiance et se prémunir contre le vol ou l’interception de ses échanges confidentiels.

Il suffit d’intégrer les personnes habilités à rejoindre le groupe. Un clic et la personne à révoquer ne peut plus joindre les informations et les interlocuteurs. Autant les utilisateurs commencent à faire (plus ou moins) attention à leurs données personnelles, autant ils considèrent que c’est à l’entreprise de le faire sans pour autant accepter de changer leurs habitudes. Hippon semble répondre à cette problématique. Une version test de 14 jours est disponible. En mode de test, Hippon est compatible uniquement dans les environnements de Microsoft.

Le système fonctionne parfaitement sur OSX sous virtualisation parallèle et est accessible en mode streaming vidéo depuis les tablettes IOS ou Android. A noter que comme l’exige la loi, les services SaaS proposés par la société Hippon étant fondés sur des clés composites de cryptage et compte tenu des contraintes inhérentes à la sécurité, conformément aux lois en vigueur en matière de moyens et de prestations de cryptologie, le Licencié (le client utilisateur, ndr) est informé que les autorités peuvent demander que les informations du Licencié hébergées par la société Hippon soient décryptées.

Argent, Arnaque, Banque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, Paiement en ligne, Particuliers, Phishing, Piratage, Propriété Industrielle, Scam, Social engineering

La fraude à la carte bancaire représente 544 millions d’euros de perte en France

4 mai 2015 Damien Bancal Un commentaire

D’après Check Point Software Technologies Ltd, spécialiste de solutions en sécurité informatique, les Européens perdent chaque année plus de 1,7 milliards d’euros dû aux vols des données présentent sur les cartes bancaires. La France, avec 544 millions de perte en 2013 se positionne au 3ème rang derrière le Royaume-Uni et les Etats-Unis (Le Royaume-Uni et la France représentent 62% de la fraude à la carte bancaire en Europe).

La situation la plus critique en matière de sécurité bancaire est aux États-Unis. Chaque année, l’économie américaine perd environ 5 milliards de dollars. L’année dernière, une seule attaque menée contre Home Depot a permis de compromettre 56 millions de cartes bancaires, un nombre record. L’année précédente, en 2013, des pirates ont compromis plus de 40 millions de cartes bancaires en dérobant des données bancaires à la chaîne de supermarchés Target.

Les consommateurs anglais et français sont parmi les plus vulnérables. En 2013, ces deux pays ont perdu respectivement 674 millions et 544 millions d’euros. Additionnées ensemble, ces pertes représentent plus de 62% de la fraude à la carte bancaire en Europe. Cependant, la France enregistre une des plus faibles progressions du taux de vol parmi tous les pays d’Europe. D’importantes pertes ont également été relevées en Allemagne (147 millions d’euros) et en Espagne (116 millions d’euros), mais ces chiffres sont en baisse depuis quelques années. La Russie se détache du lot avec des pertes en 2013 (131 millions d’euros) qui représentaient une augmentation de 28% par rapport à l’année précédente.

Les terminaux de paiement sont menacés

La menace la plus importante pour la sécurité des cartes bancaires réside dans les attaques menées contre les terminaux de paiement. En exploitant des vulnérabilités logicielles et en utilisant des logiciels malveillants, les pirates sont en mesure d’utiliser des accès à distance pour dérober des données lues par les terminaux durant les transactions. Ce type d’attaque a été utilisé contre les réseaux de Home Depot et de Target aux États-Unis. Il convient de noter que les clients aux États-Unis sont particulièrement vulnérables à ces menaces en raison des systèmes de paiement obsolètes qui y sont utilisés. Selon des études récentes, près d’un tiers des attaques de logiciels malveillants menées contre des terminaux de paiement dans le monde se sont déroulées aux États-Unis !

Les experts soulignent également que les systèmes de sécurité des cartes bancaires à puce sont d’une importance secondaire contre les attaques de logiciels malveillants. Les pirates peuvent utiliser partout dans le monde les numéros de cartes bancaires dérobés aux États-Unis. Les cartes bancaires européennes, bien qu’équipées de technologies de sécurité plus avancées (puces et codes PIN), sont facilement utilisées aux États-Unis où la protection est uniquement limitée à la bande magnétique des cartes.

Les Européens sont de plus en plus préoccupés par les vols de cartes bancaires, d’autant plus depuis que les prix des cartes bancaires dérobées ne cessent d’augmenter chaque année sur le marché noir. Les experts de Check Point estiment le prix d’une carte Visa ou MasterCard dérobée aux États-Unis est d’environ 4 dollars, tandis que les données d’une carte bancaire européenne peuvent valoir jusqu’à cinq fois plus, soit 20 dollars !

Argent, Arnaque, Banque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, loi, Mise à jour, Particuliers, Piratage, Propriété Industrielle, Sauvegarde, Vie privée

Sécurité numérique et risques : enjeux et chances pour les entreprises

4 mai 2015 Damien Bancal

À l’heure de l’omniprésence du numérique et du développement constant de ses spectaculaires potentialités, les entreprises doivent pouvoir compter sur des outils numériques sécurisés. Or, chaque jour, de tous côtés, les exemples de nouvelles vulnérabilités se multiplient.

L’escalade entre les failles découvertes et les parades pour y remédier semble sans fin, d’autant plus que l’origine de ces fragilités réside dans nombre de comportements humains irréfléchis et dans la lenteur de l’indispensable prise de conscience.

Après avoir entendu plus d’une centaine de personnes et analysé en détail les atouts et les fragilités des messages numériques et de leurs canaux de diffusion, l’Office parlementaire d’évaluation des choix scientifiques et technologiques propose d’abord une trentaine de recommandations d’ordre général (culture du numérique, souveraineté, coopération entre les acteurs, droit européen de la donnée) puis un vade-mecum de sécurité numérique à l’usage des entreprises qui voudront bien s’attacher à la construction réfléchie et évolutive dont dépend leur future prospérité.

Face à la mondialisation numérique, l’élaboration de solutions se révèle être d’abord individuelle et nationale pour éviter que les entreprises françaises acquiescent elles-mêmes au pillage de leurs données en les offrant en libre-service.

Mme Anne-Yvonne Le Dain, députée, et M. Bruno Sido, sénateur, ont présenté l’étude de l’Office parlementaire d’évaluation des choix scientifiques et technologiques (OPECST) sur « Sécurité numérique et risques : enjeux et chances pour les entreprises ».

Le rapport (tomes I et II) est désormais en ligne sur les sites de l’Assemblée nationale et du Sénat au pages de l’OPECST.
– Tome I (rapport) : http://www.senat.fr/notice-rapport/2014/r14-271-1-notice.html
– Tome II (auditions) : http://www.senat.fr/notice-rapport/2014/r14-271-2-notice.html

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Mise à jour, Patch, Piratage, Wordpress, Wordpress

Possibilité de piratage via WordPress 4.2

3 mai 2015 Damien Bancal

Voilà une attaque informatique possible qui tombe en pleine période de vacances et autres ponts de ce début mai. Une faille permet de jouer de bien mauvaise façon avec les sites sous WordPress 4.2.

WordPress vient de combler une nouvelle faille. Cette dernière touche la nouvelle monture de ce CMS en version 4.2. Bilan, il est plus que conseillé de mettre à jour votre outil web (Laissez WP se mettre à jour automatiquement, NDR). Cette fois, l’exploit permettait de modifier le mot de passe de l’administrateur du site. Autant dire que cela fait désordre. La faille permettait aussi de créer des comptes avec les droits administrateur, de modifier ensuite les contenus du site. Vérifiez bien, d’ailleurs, qu’aucun pirate ne se soit amusé à installer une application malveillante dans vos pages.

Via un XSS et un bourrage d’informatique à la sauce Buffer Overflow (BoF), il était possible d’exécuter un code malveillant à partir de l’espace commentaire d’un WordPress. Jouko Pynnönen, qui a révélé la chose, indique que la faille touche WordPress 4.2, 4.1.2, 4.1.1, 3.9.3. et MySQL 5.1.53 et 5.5.41.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données

Des passwords du contrôle ferroviaire de la gare de Londres à la TV

3 mai 2015 Damien Bancal

Un documentaire de la BBC révèle dans ses images les mots de passe utilisés dans le centre de contrôle ferroviaire de la gare de Londres Waterloo. ZATAZ se demande s’il faut rire des images ou pleurer de la faiblesse des mots de passe ?

Dans le documentaire « Nick and Margaret: The Trouble with Our Trains » de cette fin avril, la BBC propose de visiter les petits secrets des transports ferroviaires du Royaume de sa Gracieuse Majesté. Vers la 43ème minute du reportage, le Centre de contrôle intégré du Wessex. Une zone sensible de la SNCF britannique située au-dessus de la plateforme de la gare de Londres Waterloo. Une « base » ouverte 24 heures sur 24 qui permet de contrôler les trains et les embranchements ferroviaires. ZATAZ.COM montre que des mots de passe sont collés sur les écrans. Au moins 3 sont parfaitement visibles à l’écran ! Des « Password » très faibles ne comportant que des lettres et quelques chiffres. Comme l’indique zataz, les leçons de TV5, de la Coupe du Monde de Football 2014 ; de TF1 et de beaucoup d’autres ne semblent pas encore bien intégrées par les utilisateurs !

Android, Biométrie, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Particuliers, Patch, Piratage, Smartphone, Téléphonie, Vie privée

Samsung s5 : biométrie piratée !

2 mai 2015 Damien Bancal

Des chercheurs de la société FireEye viennent de mettre à jour une faille importante dans la sécurité des Samsung Galaxy S5. Un hacker se connectant au téléphone (même avec le niveau d’accès le plus faible) sera capable d’en extraire les données biométriques, soit une copie de l’empreinte digitale de l’utilisateur.

Cette révélation démontre une nouvelle fois que les systèmes d’identification biométriques grand public peuvent être piratés. En janvier, les hackers Chaos Computer Club avaient réussi à reconstituer l’empreinte digitale du ministre de la défense allemand. Sur le papier, la biométrie est un bon moyen de prévenir l’usurpation d’identité et les fraudes associées. On peut vous voler vos mots de passe mais pas vos empreintes digitales ou votre œil. Soit. Mais on constate bien que l’authentification biométrique est aussi piratable.

Ce qui pose problème, c’est qu’une fois piratées, les données biométriques ne peuvent être modifiées. Vous ne pouvez pas changer votre empreinte digitale ou rétinienne comme un mot de passe, et vous n’avez pas envie que n’importe qui en prenne possession. Une fois que vos empreintes digitales seront dans la nature (sans forcément que vous soyez prévenu), vous serez en risque si votre empreinte digitale est la porte d’entrée vers vos données personnelles ou professionnelles.

On a beau nous annoncer la mort du mot de passe chaque semaine dans la presse technologique, il a encore de beaux jours devant lui !

Ce n’est en réalité pas tout à fait un hasard si le mot de passe s’est imposé depuis des décennies comme un « standard de fait ». Un peu comme le clavier AZERTY que beaucoup ont cherché à remplacer, il a survécu pour l’instant aux nombreuses innovations qui ont cherché à le remplacer. C’est en effet une technologie peu coûteuse, non brevetée, qui peut être utilisée de manière anonyme et qui permet de gérer la grande majorité des connexions sécurisées sur le web. Surtout lorsqu’une faille de sécurité est découverte, vous pouvez changer vos mots de passe pour vous assurer que vos données sont en sécurité. Ca n’est pas le cas avec la biométrie !

Employés correctement, les mots de passe sont sécurisés. Ils doivent être différents pour chaque site et composés de caractères alphanumériques choisis aléatoirement. Il est par ailleurs nécessaires de les changer régulièrement. Si vous respectez ces règles et stockez vos mots de passe sous forme cryptée, vous êtes en sécurité. Le vrai sujet ce sont moins les mots de passe que la manière dont nous les gérons. Le cerveau humain n’en est pas capable et c’est pourquoi il doit être suppléé par un outil comme Dashlane.

Les récents développements dans l’authentification en ligne sont très intéressants, notamment pour améliorer les méthodes d’authentification fortes combinant différents facteurs et utilisées pour des données très sensibles. Le mot de passe est cependant le standard de fait de l’authentification en ligne. Pour être en sécurité sur le web dès aujourd’hui, et non pas demain, la seule solution est de renforcer la sécurité de ses mots de passe. (Guillaume Desnoes, responsable des marchés européens de Dashlane / Forbes)

Android, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Hacking, Leak, Mise à jour, Piratage, Rendez-Vous, RFID, Smartphone, Téléphonie

Une puce dans la main pour pirater des smartphones

2 mai 2015 Damien Bancal

Nous avions la puce dans le bras pour rentrer en boîte de nuit, voici venir la puce NFC dans la main pour pirater des téléphones portables.

Seth Wahle est un chercheur en sécurité informatique et technologie sans fil qui a de la suite dans les idées. Il vient de se lancer dans un projet qui demande quelques connaissances en couture et charcuterie.

Il s’est implanté une puce NFC sous la peau de sa main afin de tester son système d’interception de données. Dans sa main gauche, entre le pouce et l’index, du matos acheté sur le site chinois AliBaba. Pour 40 dollars, le voilà avec un outil de 888 bytes de mémoire. Dorénavant, sa main n’a qu’à effleurer un téléphone dont le NFC est branché. Un contact qui lance une page web qui exécute le téléchargement d’un programme comme il l’a expliqué au journal Forbes. Il faut cependant que le téléphone ne soit pas trop protégé pour accepter le téléchargement et l’installation de l’outil pirate.

Il présentera son projet à Miami, du 15 au 17 mai prochains, lors d’un hackfest local.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Justice, Leak, loi, Paiement en ligne, Particuliers, Piratage, Vie privée

25 pirates arrêtés dans une opération internationale

2 mai 2015 Damien Bancal

Les autorités roumaines ont arrêté vingt-cinq cybercriminels qui s’apprêtaient à s’attaquer aux données bancaires de millions de personnes.

Les pirates présumés agissaient en Roumanie, mais aussi en Belgique, Canada, Colombie, République dominicaine, Égypte, Estonie, Allemagne, Indonésie, Italie, Lettonie, Malaisie, Mexique, Pakistan, Russie, Espagne, Sri Lanka, Thaïlande, Ukraine, Émirats arabes unis, Royaume-Uni, Etats-Unis. Data Security Breach a appris que la France a été concernée par ce « gang », sans en avoir pour le moment, la confirmation officielle.

Les présumés pirates s’attaquaient aux banques et fabriquaient des clones de cartes bancaires. Ils auraient retiré plus de 15 millions de dollars via des transactions frauduleuses effectués dans 24 pays différents. Si 25 membres de cette équipe ont été arrêtés, il en resterait 27 dans la nature. C’est la Direction des enquêtes sur la criminalité organisée et le terrorisme (DIICOT), le FBI roumain. Pour éviter la détection, les pirates accéléraient le processus en faisant plusieurs petites transactions sur une courte période, généralement le week-end.

En 2013, par exemple, les pirates ont pu retirer 9 millions de dollars via des guichets automatiques situés dans tout l’archipel du Japon. Le 2 décembre 2013, 42000 transactions, via des Distributeurs de billets automatiques, dans 15 villes roumaines différentes, pour un montant de 5 millions de dollars en espèces.

Dimanche 26 avril, les autorités roumaines ont exécuté 42 mandats de perquisition à travers six villes, saisissant des ordinateurs portables, des téléphones mobiles, et 150,000€ en en espèces, des lingots d’or et des peintures. Une opération qui fait suite à l’annonce des services secrets américains à l’encontre de la campagne CyberHeist qui avait permis à des pirates de mettre la main sur 45 millions de dollars en janvier 2013. En mai 2013, 8 pirates (qui semblent liés à gang roumain) se retrouvaient dans les mains de la justice américaine. Ils avaient retiré 2,8 millions de dollars en quelques heures, via des distributeurs de billets de New-York.

backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Social engineering

Spy in the sandbox : espionner un ordinateur en quelques clics

22 avril 2015 Damien Bancal

Décidément, espionner les ordinateurs serait un véritable jeu d’enfant. Aujourd’hui, il suffit d’un navigateur compatible HTML5 pour espionner huit ordinateurs sur 10 de par le monde.

Prenez un ordinateur récent, fonctionnant avec un processeur Intel. A cela rajoutez un navigateur Internet compatible html5, une page malveillante et un peu de Javascript et vous voilà la technique du Spy in the sandbox.

Des chercheurs en sécurité de l’université américaine de Cornell (Yossef Oren , Vasileios P. Kemerlis , Simha Sethumadhavan , Angelos D. Keromytis) ont annoncé avoir découvert comment il était (trop, ndr) simple d’espionner huit ordinateurs sur dix de par le Monde. L’ordinateur n’a besoin que d’être motivé par une puce Intel. Une page d’hameçonnage piégée permet d’actionner un ensemble d’actions malveillantes que les chercheurs ont baptisé exploit « micro architectural« .

Un code Javascript dans la page pirate va ensuite collecter les données qui passent (entrantes et sortantes, ndr). La mémoire « tampon » du processeur est trop rapide. Bilan, les informations en caches peuvent être aspirées. Le processeur est rapide, la mémoire vive beaucoup moins. « Se défendre contre cette attaque est possible, mais les contre-mesures nécessaires peuvent exiger un coût loin d’être négligeable » précise les chercheurs dans le document qu’ils ont diffusé.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering

Piratage de données bancaires dans un cinéma

22 avril 2015 Damien Bancal

Du matériel d’interception de données de cartes bancaires découvert dans un cinéma de Toulouse. Le skimmeur a pu toucher des centaines de cinéphile.

Le skimming, depuis plusieurs années, fait de gros dégâts dans les rangs des utilisateurs de cartes bancaires. Il est important de rappeler les dangers de ce genre de matériel, un skimmeur permet d’intercepter les informations contenues sur la bande magnétique de votre carte bancaire. Des données qui seront recopiées sur une carte vierge. Pour le mot de passe, une mini caméra, un faux clavier, ou le simple fait que le malveillant regarde les 4 chiffres taper par sa victime suffisent à finir l’attaque. Le pirate possède un clone parfait de votre CB. Il n’a plus qu’à la réutiliser ou revendre le clone sur le marché noir 2.0, le Black Market.

C’est cette attaque qui a été découverte à Toulouse, dans le cinéma Gaumont Wilson. Trois individus ont été interpellés. Trois hommes d’origines roumaines (les skimmers de cette région sont malheureusement très répandus, NDR). D’après les autorités locales (SRPJ), c’est le second cas en France visant un Guichet Automatique de Billets installés dans un cinéma. Prudence, un skimmer peut s’installer sur le lecteur d’une pompe à essence, d’un parking, d’un péage…

Si placer votre main au-dessus du code que vous allez rentrer est une bonne solution, assurez-vous tout de même que rien ne bouge sur le Distributeur Automatique de Billets. Boitier de réception de votre carte ; plaque des mots de passe ; Au moindre doute, ne tapez rien. (La Dépêche)

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Leak, Particuliers, Patch, Piratage, Sécurité, Social engineering, Vie privée, VPN

6 Français sur 10 seraient des idiots avec le Wi-Fi public

16 avril 2015 Damien Bancal

8 français sur 10 utiliseraient chaque mois le Wi-Fi public tout en craignant d’être la cible de hackers. 66% des français préfèrent se connecter au Wi-Fi public non sécurisé et risquer de perdre leurs données personnelles.

Alors que les pirates informatiques peuvent aujourd’hui très facilement accéder aux données personnelles des utilisateurs du Wi-Fi public, Avast Software, éditeur de solutions de sécurité pour mobiles et PC, dévoile les résultats de son étude menée auprès des utilisateurs de réseaux sans fil en France. D’après cette enquête, la plupart des français ont conscience des dangers liés à l’accès aux réseaux Wi-Fi publics pour leurs données mais il semblerait que les bonnes pratiques ne soient pas toujours appliquées.

En effet, 66% des répondants admettent préférer accéder aux réseaux Wi-Fi publics qui ne requièrent pas de nom d’utilisateur ni de mot de passe pour se connecter et ainsi risquer de mettre leurs données personnelles à la portée du premier hacker venu, voire de se faire voler leur identité. Seuls 4% d’entre eux utilisent un réseau privé virtuel (VPN) pour crypter les données, empêcher les pirates informatiques d’avoir de la visibilité sur leur navigation et donc de protéger leurs appareils mobiles. Pourquoi ces négligences ? L’étude d’Avast révèle notamment que 36% des utilisateurs du Wi-Fi font confiance au fournisseur d’accès à internet quant à la sécurisation du réseau alors que rien ne garantit son engagement en matière de protection.

Les risques associés à une connexion aux réseaux Wi-Fi publics sont pourtant bien réels et les utilisateurs ne peuvent les ignorer. Parmi eux, 28% craignent effectivement de se faire voler leurs identifiants et leurs mots de passe, et 39% redoutent que les hackers ne s’emparent de leurs informations bancaires et financières depuis leurs terminaux mobiles. Toutefois, cela ne les empêchent pas de surfer sur des sites sensibles ou d’effectuer des achats susceptibles de mettre en péril la protection de leurs données personnelles et confidentielles. En effet, 10% des répondants affirment réaliser des activités bancaires lorsqu’ils sont connectés aux réseaux sans fil non sécurisés, 4% font du shopping en ligne et 2% effectuent d’autres types de transactions financières.

Le Wi-Fi permet d’accéder facilement à internet dans les lieux publics, raison pour laquelle 47% des français s’y connectent, mais aussi un moyen efficace d’économiser du forfait internet. Aujourd’hui, 8 français sur 10 utilisent chaque mois les réseaux Wi-Fi publics dont 24% plusieurs fois par semaine. Il est donc primordial qu’ils prennent conscience des menaces qui planent sur leurs informations et surtout des conséquences qu’un vol de données ou une usurpation d’identité peut avoir. Les hackers peuvent très facilement avoir de la visibilité sur les mots de passe, les emails, l’historique de navigation ou encore les données confidentielles si les utilisateurs du réseau Wi-Fi public n’utilisent pas de système de protection. Même s’ils sont peu expérimentés, les pirates informatiques peuvent facilement espionner, accéder aux informations d’un utilisateur voire les modifier rien qu’en s’infiltrant dans une borne Wi-Fi ouverte.

Pour être en mesure de protéger leurs données, les internautes et les mobinautes doivent privilégier les connexions aux réseaux Wi-Fi sécurisés moins facilement accessibles pour les hackers. Il est également nécessaire de mettre en place une solution de sécurité performante, que ce soit pour ordinateurs, smartphones et tablettes, qui permette d’identifier les connexions Wi-Fi sécurisées ainsi que d’éventuelles failles sur le réseau, et qui soit aussi en mesure de protéger les données de l’utilisateur lorsqu’il se connecte au Wi-Fi public. Les pirates informatiques sont de plus en plus expérimentés et à l’affût de la moindre faille, mieux vaut donc mettre toutes les chances de son côté pour protéger ses informations personnelles tout en continuant à profiter des avantages du Wi-Fi.

Argent, Arnaque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, Logiciels, Microsoft, Particuliers, Piratage

Le botnet Beebone enterré vivant

13 avril 2015 Damien Bancal

Le botnet Beebone enterré vivant Europol vient de mettre fin au botnet Beebone. Plus de 12000 ordinateurs infectés par ce couteau Suisse malveillant.

Beebone, un bot net connu aussi sous le nom de AAEH, permettait à ses « maîtres » d’injecter des logiciels espions dans les machines infectées. Une arme numérique efficace selon Europol. Le 8 Avril, Le centre anti cybercriminalité d’Europol (EC3) a annoncé avoir pris la main sur l’ensemble des serveurs et noms de domaine qui permettaient d’utiliser le bot Beebone (connu aussi sous le nom de AAEH, ndr).

Avec l’aide des autorités néerlandaises, du FBI et du J-CAT, le Cybercrime Action Taskforce, l’ensemble des points de connexion de cet outil pirate ont été bloqués. Ce botnet permettait d’installer différentes formes de logiciels malveillants dans les ordinateurs des victimes. Les premiers chiffres montrent que plus de 12 000 ordinateurs ont été infectés « mais il est probable qu’il y en a beaucoup plus » confirme Europol.

Cette action a été menée avec l’aide des éditeurs de solutions de sécurité informatique (Intel Security, Kaspersky et de Shadow server) et de la remontée d’informations de leurs antivirus. Les FAI et les CERT (Computer Emergency Response Teams) concernés ont été alertés afin de prévenir les victimes. Les attaques ont visés les Etats-Unis, le Japon, Taïwan et l’Inde. (EC3)

Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Particuliers, Vie privée

Un bon mot de passe est un mot de passe mort

12 avril 2015 Damien Bancal 9 commentaires

Edward Snowden, l’homme le plus détesté par l’armée américaine vient d’expliquer comment créer un bon mot de passe. Peut-on vraiment faire confiance en l’homme qui lisait des documents top secrets non protégés ?

Cela n’a jamais intrigué personne, mais Edward Snowden, l’ancien analyste de la NSA (Il travaillait pour une entreprise privée, NDR), a en sa possession un grand nombre de documents classifiés, non protégés par un mot de passe, ou encore par un chiffrement quelconque. On parle pourtant de documents, par certains, classés « top secrets ». Un petit aparté en mode « troll » pour revenir sur un commentaire de Snowden lors de l’émission américaine « Last Week Tonight » de John Oliver.

L’animateur s’est rendu à Moscou pour interviewé E.S. Parmi les questions posées par John Oliver : « Qu’est ce qu’un bon mot de passe ? » Snowden a rétorqué qu' »Un mot de passe commun de 8 signes est cassable en moins d’une seconde. » Il conseille de préférer une phrase passe, plus facile à retenir, qu’un mot de passe comportant chiffres, lettres (majuscules, minuscules) et signes de ponctuations.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Particuliers, Propriété Industrielle, Vie privée

NBS System s’oppose au projet « Boite Noire » de la Loi Renseignement

12 avril 2015 Damien Bancal

Le projet proposé par le gouvernement de « Boite noire » va, par certain aspects, plus loin que ce que l’on a pu reprocher aux États-Unis avec le Patriot Act. Cette mesure permettant l’écoute à tout instant de tout le trafic d’un hébergeur ou d’un fournisseur d’accès à Internet dans le but de rechercher de potentiels terroristes semble relativement vaine, très peu ciblée et contre-productive économiquement.

En effet, le but semble vain car les personnes visées savent déjà utiliser les réseaux anonymes comme Tor et les VPN (Par exemples avec Vyprvn ; HMA ; …) pour chiffrer leurs connexions et les faire aboutir ailleurs. D’autre part, ils utilisent déjà des algorithmes de chiffrement (comme PGP) dont nombreux sont considérés comme sécurisés à ce jour, ce qui reviendra à intercepter de la soupe numérique illisible, et non des informations utiles.

De plus, les récentes attaques perpétrées l’ont été par des individus déjà connus du ministère de l’intérieur, celui-ci n’a pas eu besoin d’écouter tout Internet pour les identifier jusqu’ici.

Vouloir identifier des individus déjà connus, qui communiquent de manière chiffrée en analysant des Téraoctets de données par jour à la recherche d’un signal qui n’y sera probablement pas ou sera tout le moins noyé dans l’immensité de l’information semble totalement inutile. Ceci est d’autant plus vrai que la Loi étant publique, les utilisations des réseaux potentiellement à but d’attentats passeront par ailleurs, un autre pays ou un autre réseau et encore une fois, de manière chiffrée.

En contrepartie, les contraintes imposées aux hébergeurs semblent bien démesurées quant aux violations des normes de sécurité internationales comme PCI/DSS ou ISO 2700x qui ne permettent pas l’inclusion d’un matériel externe, non contrôlé par l’hébergeur. Cette Loi ferait donc perdre à nos hébergeurs la plupart de leurs certifications, leur imposerait d’ouvrir leurs réseaux à des tiers, qui ne sont bien souvent pas les plus sécurisés. Il semble inutile de préciser ici que de nombreux sites étatiques se sont déjà fait compromettre, ce qui induirait donc encore plus de danger pour l’hébergeur et ses clients, des risques que par ailleurs il ne maîtrisera pas.

Par ailleurs, et c’est là le plus grave, les clients partiront simplement se faire héberger ailleurs. Dans un pays ayant un respect de la communication et de la vie privée, à nos frontières. C’est déjà l’effet qu’a eu le Patriot Act aux US à l’époque, et dont la portée était moindre. À n’en pas douter, cela détruira un pan de notre économie, un des rares à être encore en croissance, ce qui semble disproportionné pour finalement ne rien trouver.

D’autant plus que la Loi ne semble pas mettre de périmètre à cette écoute systématique. Si l’on n’héberge aucun forum, aucun lieu d’échange, aucune VoIP et aucun blog, ce dispositif sera quand même imposé. Cela semble inutile puisque les personnes recherchées ne pourraient pas utiliser un quelconque service d’un hébergeur de ce type, mais pourtant, celui-ci aurait à installer la Boite noire… A l’inverse, l’usage de Skype ou d’autres réseaux d’échanges non contrôlés par ces dispositifs semble courant chez les personnes visées par ces mesures, et ces moyens de communications sont hébergés à l’étranger (et, là encore, chiffrés).

Beaucoup de questions subsistent, qui seraient réglées par des juristes et des parlementaires dont la spécialité ne semble pas nécessairement liée à l’architecture de réseaux de communications. Il reste par exemple à définir les frontières de cette écoute. Les VPN avec nos clients devront-ils aussi tous être écoutés, chacun avec une boite noire séparée ? Ou devrons-nous rejoindre tous ces VPN au même endroit, leur faisant peser un risque de sécurité colossal pour faire des économies et n’avoir à déployer qu’une seule boite noire ? La téléphonie sur IP est-elle un service concerné ? Nos conversations téléphoniques sont-elles donc aussi visées ?

Au final, quelle garanties seront données contre l’abus de ce pouvoir ? Et pourquoi ne pas laisser les juges, comme c’est le cas actuellement, arbitrer du bien-fondé ou non d’une écoute et la commanditer au besoin, comme la Loi le permet déjà aujourd’hui ? Pourquoi serait-ce aux juristes, Parlementaires et Sénateurs de décider qui, quand et comment ? Quelle garantie que le pouvoir politique en place à un moment donné ne l’utilisera pas comme une arme contre ses opposants ?

M. le Premier Ministre, Mesdames et Messieurs les Députés et Sénateurs, nous ne saurions souligner assez que tout ceci, au-delà d’être bien inutile en termes de résultats, semble être une très mauvaise direction à adopter, tant pour la confidentialité à laquelle chacun n’aurait plus jamais droit que pour le fait que cela tuera net un pan de notre économie, un des seuls encore en croissance.

Nous nous joignons à ce titre à nos confrères iKoula, Gandi, Lomaco, AFHADS, Online et OVH pour vous demander solennellement de reconsidérer ce projet.

Actualité cybersécurité pour PME/PMI/TPE