Les pirates récupèrent les mots de passe de comptes Google via une attaque de phishing particulièrement difficile à détecter par une analyse heuristique classique.
Selon les Laboratoires antivirus Bitdefender, des cybercriminels récupèrent les mots de passe d’utilisateurs de comptes Google grâce à une attaque de phishing difficile à détecter par une analyse heuristique, en raison du mode spécifique d’affichage des données utilisé par Google Chrome. En effet, les URI (identifiant uniforme de ressource) rendent les utilisateurs de Chrome plus vulnérables, même si ce phishing cible aussi les utilisateurs de Mozilla Firefox.
En récupérant les mots de passe de comptes Google, les pirates peuvent potentiellement acheter des applications sur le Google Play, pirater le compte Google+ ou encore accéder aux documents personnels stockés sur Google Drive. Cette arnaque commence par un e-mail prétendument envoyé par Google avec pour objet « Mail Notice » ou « New Lockout Notice ». Ce message dit : « Pour rappel, votre compte e-mail sera bloqué dans 24h en raison de l’impossibilité d’augmenter votre espace de stockage. Cliquez sur « INSTANT INCREASE » pour augmenter automatiquement votre espace de stockage.»
Si l’utilisateur clique sur le lien “INSTANT INCREASE”, il est alors redirigé vers une fausse page de connexion Google, identique à l’originale, afin de renseigner son identifiant et son mot de passe. « La caractéristique de cette attaque de phishing est que la barre d’adresse de navigation n’affiche pas une URL habituelle mais une URI, en l’occurrence ici ‘data :’» explique Catalin Cosoi, Responsable de la stratégie de sécurité chez Bitdefender.
Ce schéma de données URI permet aux pirates d’intégrer les données correspondantes aux pages Web comme si elles étaient des ressources extérieures. Le modèle utilise le codage Base64 pour représenter les contenus des fichiers. Dans ce cas présent, les pirates fournissent le contenu des fausses pages Web dans une chaîne codée dans les données URI. Et, dans la mesure où Google Chrome n’affiche pas toute cette chaîne, il est difficile pour l’utilisateur, même habitué, de comprendre qu’il est victime d’une attaque par phishing.
Il est habituel pour les cybercriminels de se faire passer pour des prestataires de services envoyant des messages ou notifications prétendument issus d’organismes tels que Google, Facebook, eBay, d’opérateurs téléphoniques ou de banques, qui figurent parmi les « déguisements » favoris des spécialistes du phishing pour envahir les boites mail du monde entier. Une attaque similaire avait récemment ciblé la page d’accueil Google Drive afin de récupérer les identifiants Gmail. Afin de se prémunir contre des arnaques en ligne, Bitdefender préconise également aux internautes de toujours utiliser une solution de sécurité à jour.
84 % des incidents de sécurité informatique sont liés au facteur humain, alors que seulement la moitié des budgets est consacrée à ce type de menaces.
Voilà les premiers chiffres de l’étude menée lors de la RSA Conference et présentée lors du Gartner Identity & Access Management Summit 2014 par BalaBit. L’étude eCSI de BalaBit souligne le fait qu’il est désormais nécessaire d’ajuster le budget sécurité à hauteur des menaces liées au facteur humain.
BalaBit IT Security, acteur sur le marché des solutions dédiées à la gestion de logs et à la surveillance des comptes à privilèges, a présenté les résultats de son dernier rapport eCSI lors du Gartner Identity & Access Management Summit 2014. L’étude a été menée auprès de 300 participants lors de la récente RSA Conference à San Francisco. Les résultats de cette enquête montrent que 84 % des incidents de sécurité informatique sont liés au facteur humain (erreur humaine, attaques sophistiquées internes ou externes, etc.). En terme de budget, l’étude souligne également que les dépenses sont assez équilibrées entre : les 55 % du budget consacrés à la gestion du risque humain et les 45 % consacrés à l’infrastructure.
Ainsi, les entreprises concentrent toujours leurs ressources dédiées à la sécurité informatique à la sécurité des infrastructures et aux facteurs de risque externe. Les personnes interrogées ont classé les principaux facteurs de risque, en fonction du budget consacré : 30 % privilégient la menace externe, au-dessus de tous les autres risques ; 28 % ont déclaré que les dysfonctionnements du système sont parmi les risques les plus importants ; 17 % ont cité les attaques automatiques (injection SQL, DDoS, …) Alors que la protection dédiée aux erreurs humaines et aux hackers internes est une priorité budgétaire absolue pour seulement une petite minorité des personnes interrogées : respectivement 13 % et 12 %. Pourtant, en terme d’évaluation du coût potentiel de la menace, les résultats sont différents : 51 % des personnes interrogées ont déclaré que les erreurs humaines provoquent la plus grande perte financière ; Seulement 18 % pour la menace externe ; 15 % pour la menace interne et 9 % pour les dysfonctionnements du système et 7 % pour les attaques automatiques.
« La plus grande incohérence que notre étude ai permis de révéler est que les professionnels de l’IT savent clairement que les erreurs humaines causent 51 % de leurs pertes alors qu’en terme de budget, seulement 13 % d’entre eux placent le risque lié au facteur humain en haut de la liste et 40 % des personnes interrogées placent les erreurs humaines comme la menace la moins importante. Si les entreprises souhaitent dépenser leur budget de sécurité informatique de manière logique, il est temps de palier à cette contradiction », commente Zoltán Györko, CEO de BalaBit IT Security. BalaBit a également demandé aux participants de la RSA Conference d’estimer, jusqu’à combien le niveau de la sécurité informatique de leur entreprise pouvait être réduit pour satisfaire les besoins des utilisateurs à privilèges : 83 % des personnes interrogées ont répondu que leur niveau de sécurité était réduit (19 % fortement, notablement à 32 % et modérément à 32 %), pour satisfaire les utilisateurs privilégiés.
« En raison de leur manque de flexibilité, les solutions de contrôle d’accès ne sont souvent pas en mesure de prévenir les incidents mais empêchent les utilisateurs de travailler efficacement. La surveillance peut être un outil efficace contre les risques de sécurité liés au facteur humain, que la source soit interne ou externe. Les risques liés au facteur humain peuvent être considérablement diminués par la détection et le blocage des activités suspicieuses des utilisateurs. Les alertes et la surveillance en temps réel sont inévitables pour les comptes à privilèges, qui disposent de droits d’accès, de modification ou de suppression des informations sensibles de l’entreprise. Il n’est pas étonnant que leurs profils soient la cible principale des hackers. Un taux plus élevé de détection est plus dissuasif que le contrôle passif et plus favorable aux entreprises », ajoute Zoltán Györko.
Des pirates informatiques, se faisant passer pour votre banque, n’hésite pas à vous appeler au téléphone pour se faire passer pour votre conseiller financier.
Deux personnes âgées, basées dans le centre-ouest de la France, viennent de faire les frais d’une technique bien rodée, le voice phishing ou phone phishing. Les deux victimes vivent à Thouars et à Nueil-les-Aubiers dans le 79. Étonnamment, les escrocs ont attaqué deux clients de la même agence bancaire. Les pirates, dans ce cas, ne se sont pas fait passer pour la banque mais pour l’opérateur Orange. L’excuse, une mise à jour des informations bancaires des interlocuteurs.
Attention, Data Security Breach des preuves de la même attaque sous forme d’appel de conseillers financiers. La technique est la suivante. Une personne vous contacte en expliquant qu’il vous reste de l’argent sur un compte bancaire. Le pirate indique alors que cet argent peut vous être transféré. Malin, l’escroc connait l’identité et le téléphone de sa victime. Si ce dernier a repéré la banque du « poisson », un jeu d’enfant pour continuer son piège. Il indique, au téléphone, les 4 chiffres qui seraient les premiers nombre de la carte bancaire de la personne contactée par téléphone. Ici, le piège se referme sur la potentielle victime.
Les 4 premiers chiffres, tout le monde peut les connaitre. D’abord, la carte, une Visa ou une MasterCard ? Si le premier chiffre est 5, vous n’avez pas le propriétaire d’une carte Visa (4), mais d’une MasterCard. Les trois chiffres suivants correspondent à la « marque » de l’entreprise bancaire éditrice de la CB : BNPParibas : 974 ; Caisse d’épargne : 978/927 ; La Poste : 970 ; Crédit lyonnais : 972 ; Sofinco : 976 ; La Bred : 975 ; Société Générale 973 ; Auchan/Accord : 032 ; Crédit Mutuel : 132. Si le premier chiffre est 5, vous n’avez pas une carte Visa (4), mais MasterCard.
Bref, vous comprenez ainsi le tour de passe-passe qui pourrait en bluffer plus d’un. Prudence donc et retenez une seule chose : On ne donne aucune information par téléphone.
Peu importe la source, toutes les statistiques que vous trouverez prouvent que les navigateurs les plus utilisés sont Chrome, Firefox et Internet Explorer. De nombreuses études et tests ont été effectués pour découvrir quel était le plus sûr de tous. Cependant, les tests ne font que démontrer la capacité de chaque navigateur à répondre à un ensemble de tests prédéfinis, habituellement appelé « sécurité de base ». Néanmoins, cette base change radicalement tous les mois.
Résultat, aucun navigateur n’est sûr à 100% même si certains navigateurs réparent les failles de sécurité plus rapidement que d’autres. Alors comment est-il possible d’améliorer son expérience de navigation sur Internet ? C’est dans ce but, que Sorin Mustaca, expert en sécurité IT d’Avira, propose 5 étapes pour une navigation plus sûre, plus confidentielle et peut-être même indirectement, plus rapide:
1. Maintenez votre navigateur à jour
C’est la première étape de renforcement du navigateur car un navigateur vulnérable peut être exploité par une simple visite de sites Internet sans que vous n’en sachiez rien. Nous vous conseillons de toujours autoriser les mises à jour automatiques et de les installer aussitôt qu’elles sont disponibles. En cas de doute, installez un outil gratuit qui contrôle les failles potentielles de votre logiciel.
2. Augmenter la sécurité intégrée dans votre navigateur
C’est la deuxième étape de renforcement du navigateur, elle peut être gérer de différentes façons :
– Configurez votre navigateur pour qu’il rejette les cookies tiers
– Désactivez les plugins dont vous n’avez pas besoin comme : ActiveX, Java, Flash etc.
– Permettez la protection anti-phishing et anti-malware déjà intégrée
– Configurez le navigateur pour envoyer la requête « ne pas traquer » à votre historique de navigation
– Chaque fois que cela est possible, désactivez le script actif. Soyez conscient que certains sites web ne pourront tout simplement pas fonctionner sans script (JavaScript en particulier).
Dans Internet Explorer, nombre de ces configurations peuvent être mises en place en changeant les paramètres dans « Sécurité » et « Confidentialité ».
– Activez le bloqueur intégré de pop-up
– Désactivez les anciennes barres d’outils qui ne vous sont plus utiles. (Avez-vous vraiment besoin de voir la météo ou avoir un traducteur à portée de main tout le temps?)
3. Choisissez avec précaution quel plugin vous allez installer
Les plugins et add-ons permettent d’étendre facilement les fonctionnalités du navigateur. Cependant, il existe de nombreux plugins, même disponibles sur les stores officiels, qui sont, soit, malveillants, soit, qui présentent des problèmes importants en matière de sécurité et de confidentialité. Le plus inquiétant est que pour un utilisateur lambda, ces problèmes ne sont pas visibles jusqu’à ce qu’il soit trop tard. Ayez toujours en tête qu’un plugin a accès à tout ce que vous cliquez et voyez sur le navigateur, y compris toutes vos navigations en connexions cryptées. Le plugin réside dans le navigateur et a accès à tout ce que l’utilisateur voit. Le contenu est donc déjà décrypté et il n’y a absolument rien qui puisse empêcher un plugin malveillant d’envoyer toutes vos informations (bancaires, personnelles, etc.) à une quelconque adresse internet. Jetez toujours un coup d’œil sur le classement donné par d’autres utilisateurs avant d’installer un add-on. De plus, gardez un œil sur les autorisations demandées par l’add-on. Par exemple, si un message instantané d’add-on requiert l’accès à toutes vos URL, cela devrait vous mettre la puce à l’oreille.
4. Installez les plugins de sécurité et de confidentialité
Il existe des extensions qui améliorent votre sécurité en faisant un filtrage sur les URL que vous visitez ou même de manière dynamique en analysant le contenu des pages internet. C’est le cas d’Avira Browser Safety. Si vous préférez choisir vous-mêmes vos extensions, il en existe de nombreuses qui empêchent le « tracking » et la publicité. Vous pouvez également utiliser Web of Trust (WOT), basé sur le crowdsourcing, il donne un point de vue indépendant sur le statut des URL.
5. Forcez l’utilisation du protocole SSL quand cela est possible
Des extensions telles que HTTPS Anywhere essaient de choisir une connexion HTTPS au lieu de HTTP quand celle-ci est disponible pour sécuriser votre navigation.
Deux ressortissants bulgares, arrêtés en 2011, viennent d’apprendre que leurs cas n’allaient pas s’arranger de sitôt.
La police Français, qui les avait arrêté en flagrant délit de pose de skimmeur sur un distributeur de billets, vient de débarquer ce 22 mai à leurs domiciles de Varna et Silistra, en Bulgarie. Les deux voleurs avaient caché dans leurs appartements respectifs le parfait petit nécessaire du pirate de distributeur de banque.
Des centaines de cartes bancaires vierges, prêtes à être clonées, et du matériel de skimming ont été saisis. La procédure de mandat d’arrêt européen a été lancée par le parquet de la Juridiction Inter-régionale Spécialisée (JIRS) de Nancy. Les deux hommes font partie d’un réseau international. Ils auraient trafiqué, avant de venir en France, des Guichets Automatiques de Billets allemands. (F3)
Le distributeur en ligne américain eBay a annoncé avoir été victime d’une cyber-attaque et a recommandé à tous ses utilisateurs de changer leur mot de passe. Dans un bulletin émis le mercredi 21 mai, l’entreprise a indiqué que certains identifiants appartenant à des employés avaient été volés, donnant aux pirates l’accès à son réseau interne. Le piratage s’est concentré sur une base de données contenant des noms de clients d’eBay, des mots de passe encryptés, des adresses e-mails et des dates de naissance, et ne concerne donc – à priori – pas les informations financières. Selon eBay, l’attaque a eu lieu entre fin février et début mars et aucune activité anormale de la part des utilisateurs ne semble avoir été détectée depuis.
Nous faisons face à un déluge de données volées, et avec un nombre si important de victimes touchées, souvent des millions de clients, il est grand temps d’étendre les lois relatives à la déclaration obligatoire de divulgations de données à tous les secteurs d’activité – et pas seulement pour les fournisseurs d’accès internet ou les opérateurs télécoms. En dépit des recommandations qui sont faites, de nombreuses personnes continuent d’utiliser le même mot de passe pour plusieurs comptes et avec le temps qu’il a fallu pour avertir les clients de l’existence de cette faille, ces derniers ont été exposés à d’importants risques durant toute cette période. En outre, les dommages pourraient continuer de s’étendre. Avec plus 128 millions d’utilisateurs actifs sur le site d’eBay dans le monde, s’il existe ne serait-ce qu’un pourcent d’entre eux qui utilisent le même mot de passe pour différents comptes professionnels, cela signifie que plus de 1 280 000 millions de réseaux d’entreprises sont potentiellement menacés. « Les hackers n’auront pas de mal à identifier les organismes dans lesquels travaillent toutes ces personnes via des sites comme LinkedIn et détermineront leurs prochaines cibles en fonction de leur importance. Il devient donc urgent d’accélérer la mise en place de lois pour que les clients puissent être confiants et assurés que si leurs données tombent entre de mauvaises mains, des mesures seront prises très rapidement pour en limiter l’accès. » explique Jean-Pierre Carlin de chez LogRhythm.
Avec un tel volume de données traitées chaque jour par les entreprises, il est évident qu’il ne s’agit pas une tâche facile. Cela nécessite une surveillance permanente de la moindre activité sur le réseau ainsi que la capacité à comprendre et à considérer ce qu’est une activité « normale ». Un tel niveau d’information permet aux organismes de détecter les menaces en temps réel et d’y remédier en conséquence – non seulement en accélérant le temps nécessaire pour détecter une faille mais aussi celui qu’il faut pour avertir les clients. « Toutes les entreprises ont la responsabilité de protéger les données personnelles de leurs clients autant que possible et c’est seulement grâce à cette capacité à alerter rapidement les utilisateurs d’une éventuelle menace qu’ils pourront à nouveau accorder leur confiance. » termine Jean-Pierre Carlin.
Selon deux enquêtes commandées par IBM auprès de l’institut Ponemon, le coût moyen de la violation des données a augmenté de 15%, pour atteindre une moyenne de 3,5 millions de dollars. Les études indiquent également que les attaques ciblées sont considérées comme la plus grande menace par la majorité des entreprises. Leur coût est estimé à 9,4 millions de $ de perte en valeur intrinsèque pour la marque. Pour la France, le coût d’une violation de données est en moyenne de 4,19$ (2.88€). La France est le pays où la proportion des attaques ciblées est la plus forte. Des attaques qui sont les plus graves. Le taux d’érosion de clients suite à un incident de violation de données serait, toujours selon IBM, très fort en France.
Pour finir, DataSecurityBreach.rf rappelle l’article 34 de la loi Informatique et Libertés qui impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille d’une telle ampleur est découverte. Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement.
Tout le monde partage des informations via les réseaux sociaux, plus que sur tout autre support. Mais avec les réseaux sociaux, les exploits sur des comptes personnels ainsi que des comptes d’entreprises font souvent les gros titres : il est donc temps de protéger les identités numériques des consommateurs avec de nouvelles méthodes. F-Secure et Facebook se sont associés pour aider les utilisateurs du plus grand réseau social au monde à sécuriser leurs données en ligne.
Facebook va offrir un scan de malware directement basé dans le navigateur comme service gratuit. Le service sera disponible pour les utilisateurs de Facebook dont le compte a été temporairement gelé en raison d’une activité suspecte provoquée par une infection potentielle de malware. Les malwares ou les logiciels indésirables sur un ordinateur ou un appareil mobile peuvent perturber les performances du dispositif, voler des informations personnelles mais également accéder au système. Ils peuvent duper les utilisateurs de Facebook et leurs amis en affichant des liens malveillants ou des spams qui semblent provenir du compte d’un utilisateur légitime.
« Aider les gens à rester en sécurité sur Facebook constitue une grande partie de notre travail. Nous sommes heureux de pouvoir ajouter la force de la technologie anti-virus de F-Secure à nos systèmes déjà existants pour bloquer et éliminer les logiciels malveillants », déclare Chetan Gowda, Software Engineer chez Facebook. « La croissance spectaculaire au niveau mondial de Facebook a considérablement changé la façon dont les gens interagissent avec leurs amis et leur famille », déclare Olivier Quiniou, Directeur de F-Secure France. « La popularité soudaine de Facebook en a fait une cible majeure pour les cybercriminels. Nous sommes heureux de collaborer avec Facebook pour empêcher les cybercriminels de détourner des données des utilisateurs à des fins malveillantes ».
L’outil de détection et de nettoyage en ligne des malware de F-Secure est entièrement intégré à l’expérience utilisateur de Facebook. Quand Facebook identifie un compte ayant un comportement suspect, il redirigera l’utilisateur vers le processus de nettoyage en ligne. Le scan et le nettoyage sont exécutés directement depuis la fenêtre du navigateur, au sein même de Facebook. Dès que le nettoyage est effectué, l’utilisateur pourra en toute sécurité se connecter à son compte Facebook et sera à l’abri des cybercriminels, et des logiciels espions.
Fonctionnement
· Quand un utilisateur se connecte à partir d’un appareil infecté, il verra apparaître à l’écran une notification lui indiquant l’infection par un malware avec une recommandation de lancer un scan F-Secure. Le scanner étant adapté au type de menace détecté, il est donc recommandé de l’exécuter même si l’appareil dispose déjà d’un programme anti-virus préalablement installé. Le scanner est mis à jour et se retire une fois l’action réalisée, il n’y a donc pas besoin de s’inquiéter de son entretien.
· L’utilisateur peut choisir d’ignorer le processus de suppression des malware ou de télécharger le scan recommandé. Les utilisateurs qui sautent l’étape de suppression de logiciels malveillants peuvent être invités à le refaire plus tard.
· Les utilisateurs qui téléchargent et exécutent le scanner peuvent continuer à utiliser Facebook et d’autres services au cours de l’analyse. Lorsque cette dernière est terminée, l’utilisateur recevra une notification via Facebook et sera en mesure d’examiner les résultats de l’analyse.
Alors que les Etats-Unis d’Amérique réfléchissent à implanter la carte à puce dans le pays, lire notre actualité de mars 2014, des chercheurs de la prestigieuse université de Cambridge viennent de démontrer deux faiblesses dans la procédure ‘chip & pin’, une puce, un code secret. Il est évident que la puce, couplée à un mot de passe reste la meilleure des sécurité face à une carte bancaire n’utilisant que la bande magnétique, cependant, les chercheurs de Cambridge ont observé qu’il était possible de jouer avec la puce EMV.
Cette protection, utilisée dans un terminal de paiement que l’on retrouve dans quasiment tous les commerces, engendre un code d’authentification unique, un numéro aléatoire. Ce code pourrait être contourné de deux façons. Les chercheurs expliquent d’ailleurs que cela a déjà été constaté. Dans le premier cas, le code unique peut être prévu. Dans le second problème apparait quand le terminal de paiement a été piraté. Si des pirates peuvent prévoir les codes, voir l’adapter, il devient possible, via une carte bancaire préalablement clonée, de retirer de l’argent ou de faire un paiement.
Bref, l’étape du skimming 3.0 est en marche. Les banques auront bien du mal à définir un paiement légitime, d’un paiement cloné. Les clients piégés ne pourront plus se faire rembourser, à moins de prouver qu’ils n’étaient pas sur le lieu de la transaction. Et même dans ce cas, nous avons un doute sur la potentialité de remboursement. Il existerait dans le monde 1,62 milliard de cartes exploitant le protocole EMV. ZATAZ.COM révélait (voir les archives) des cas de piratages, via des DAB modifiés/piratés, l’année derniére.
« Cogito Ergo Sum » : je pense, donc je suis. Le concept d’existence et, par là-même, d’identité tel qu’il a été formulé par Descartes au 17e siècle n’a cessé d’évoluer depuis. Qu’est-ce qui fait notre identité de nos jours ? Notre numéro de sécurité sociale, de compte en banque ? Nos mots de passe récurrents ? Nos actes, les cercles des personnes avec lesquelles nous échangeons ? Avons-nous une seule ou plusieurs identités ? Avec chaque décennie vient un nouveau moyen de définir de notre identité…ou de la perdre selon le point de vue.
Pour nous, l’identité représente l’identifiant unique d’une personne ou d’une chose, qui permet de la différencier. On peut l’affiner par l’ajout d’attributs propres à chacun, la liste des tiers avec lesquels nous échangeons ou encore certains paramètres comportementaux. Notre identité était auparavant scindée en deux facettes, « personnelle » et « professionnelle », mais ça c’était avant ! Avant l’ère de la consumérisation de l’IT. Notre identité professionnelle est désormais définie le plus souvent par la fusion de ces deux facettes et prend également en compte l’utilisation d’appareils mobiles, les règles d’accès aux applications, d’identités sociales, etc. qui permettent de classer un individu en tant qu’employé, consultant, partenaire commercial, client etc.
Alors comment une organisation peut-elle établir le niveau de sécurité adéquat pour son système d’information quand les données personnelles et professionnelles sont si étroitement entrelacées ? C’est un défi de taille pour les services informatiques, qui doivent miser sur une identification claire et précise pour le relever. Plus que jamais, l’enjeu de la sécurité ne réside pas dans des aspects matériels ou technologiques mais plutôt dans la capacité de l’organisation à comprendre les tenants et aboutissants du concept d’identité et in fine à reconnaître l’individu qui se trouve derrière le terminal.
L’identité professionnelle, les paramètres personnels qui viennent se greffer dans l’environnement de travail et les éléments comportementaux sont autant de données qui s’amalgament et permettent de discerner ce qui se passe dans le périmètre professionnel, et au-delà. Et comme ce périmètre évolue, l’identité va inévitablement devenir l’unique préoccupation des équipes de sécurité car elle seule permet de faire le tri parmi les parasites événementiels et les données non pertinentes, sources de confusion qui empêchent de répondre aux menaces réelles ou de simplement détecter une attaque. L’incapacité à gérer l’identité, et les accès qui vont de pair, est le plus grand risque informatique de gestion pour une organisation. Une entité qui ignore « qui fait quoi » ne peut saisir les opportunités qui s’offrent à elle et s’expose à un risque organisationnel majeur.
La sécurité informatique au service de la performance de l’entreprise
Des changements doivent être opérés à la fois dans les rôles et les priorités des équipes informatiques et de sécurité. Elles se doivent de maîtriser ces enjeux et d’adapter leur stratégie pour non seulement fournir un environnement informatique de travail sécurisé mais aussi pour soutenir le développement du business et répondre aux attentes d’utilisateurs qualifiés. L’un des plus grands défis est incontestablement de suivre le rythme du changement, de s’adapter à la vitesse à laquelle évolue l’organisation. Les utilisateurs sont toujours plus exigeants quant à leurs besoins et souhaitent travailler comme ils l’entendent. Ils réclament des services encore plus personnalisés, une plus grande agilité pour répondre aux opportunités qui se présentent, une connectivité plus poussée et, bien entendu, moins de contrôles aux endroits où ils interagissent. Pour cela, les organisations doivent être capables d’adopter et d’assimiler des environnements informatiques hybrides et des outils mobiles qui peuvent s’ajuster aux besoins organisationnels et aux opportunités du moment. Répondre avec promptitude aux exigences croissantes des utilisateurs est devenu le quotidien des équipes informatiques.
C’est pour cela qu’il faut se concentrer sur l’exploitation du concept d’identité et relever le défi de la gestion des accès ; ce premier pas permettra de répondre avec diligence aux besoins futurs, tout en respectant les impératifs de sécurité et de conformité. Alors que l’Internet des Objets devient une réalité, de nouveaux défis et possibilités se présentent. Toute chose a ou aura une identité, et chacune de ces identités peut receler la réalité d’un utilisateur, d’un employé ou d’un client. La gestion de ces identités, et l’utilisation de sources d’identités fédérées toujours plus complexes, va dévoiler aux entreprises et administrations les multiples facettes d’un monde hyper-connecté. (Par Jean-Philippe Sanchez, Consultant Sécurité chez NetIQ France)
Ce ne sont pas seulement les fans qui se frottent les mains à l’idée de la prochaine Coupe du Monde au Brésil. Les fraudeurs du monde entier sont entrés en action : ils offrent en ligne une foule d’articles autour de l’événement allant des maillots de football et objets promotionnels des équipes, mais aussi des applications mobiles ou de faux sites de paris en ligne. Mais la plus grande menace liée au succès du tournoi reste la vente illégale de billets.
MarkMonitor, le spécialiste de la protection de marque a suivi la présence de sites de vente en ligne de billets depuis début avril et a identifié 510 annonces de vente de billets pour la Coupe du Monde, tous expédiés en France ou dans le reste de l’Europe, ce qui équivaut à plus de 275 000 €, pour un prix moyen de 553 € le billet. Malgré la politique de revente de billets stricte de la FIFA, des billets non valables, sont toujours proposés à la vente en ligne. En les achetant, les fans s’exposent à être refoulés à l’entrée de stades, incapables de profiter des jeux qu’ils ont payés pour voir.
Et autant dire que se retrouver au Brésil, avec de faux billets, face à un stade hurlant, ça risque de faire drôle au porte monnaie.
Après OpenSSL, voici une nouvelle vulnérabilité mondiale qui vient toucher la sécurité informatique. Après Heartbleed, qui touchait les serveurs ayant implémenté le protocole TLS (OpenSSL), voici venir les modules de connexion basés sur les protocoles OAuth et OpenID. C’est un chercheur de Singapour qui a mis à jour la chose. Wang Jing, un étudiant local, a découvert que ces « outils » utilisés par Facebook, Google, Yahoo, Spotify, LinkedIn, Microsoft, PayPal, GitHub, QQ, Taobao, Weibo, VK, Mail.Ru, Sina, Sohu… pouvaient être malmenés.
A la base, OAuth et OpenID permettent à des sites Internet de partager nos informations (avec notre accord, ndr). Jing a découvert qu’en créant un site frauduleux, mais qui affiche une pop-up contenant l’accès légitime au site visé, un pirate pourrait intercepter le certificat de sécurité renvoyé par le site légitime. Google et Facebook indique être au courant et préparent un correctif qui ne sera pas lancé rapidement. Il faut tout réécrire !
Il n’est plus suffisant de protéger son propre site sans prêter attention à celui de ses voisins
« Comme l’Internet devient de plus en plus connecté, il n’est plus suffisant de protéger son propre site sans prêter attention à celui de ses voisins » explique Jing. « Le patch de cette vulnérabilité est plus facile à dire qu’à faire. Si toutes les applications tierces respectaient strictement les régles, alors il n’y aurait pas de place pour les attaques. Cependant, dans le monde réel, un grand nombre d’applications tierces ne le font pas pour diverses raisons. Cela rend les systèmes basés sur OAuth 2.0 ou OpenID très vulnérables. » Bref, nous ne cessons pas de le dire, lier des sites entre-eux, pour un « confort » dans l’authentification de votre compte est dangereux. En voici une nouvelle preuve criante !
Depuis vendredi 2 mai, l’Etat Français dispose d’une nouvelle arme de dissuation électronique baptisée DGSI. Le journal officiel présente la Direction Générale de la Sécurité Intérieure (DGSI) comme ayant pour mission « la surveillance des communications électroniques et radioélectriques« . Une nouvelle direction qui avait été annoncée par le Ministre de l’Intérieur Emmanuel Valls, en juin 2013.
« Les menaces auxquelles est exposé le pays nécessitent une action déterminée de l’Etat qui doit se doter de moyens performants de prévention et de répression de toute forme d’ingérence étrangère, d’actes de terrorisme, d’atteintes à la sûreté de l’Etat, à l’intégrité du territoire, à la permanence des institutions de la République et aux intérêts fondamentaux de la France. » explique le site Gouvernement.fr. C’est dans cette perspective qu’est créée la direction générale de la sécurité intérieure.
Dans son decret n° 2014-445 (du 30 avril 2014) on apprend que la DGSI est rattachée au Ministére de l’Intérieur. La DGSI remplace la DCRI, fusion de la DST et des RG. Dorénavant, la Dame est chargée « sur l’ensemble du territoire de la République, de rechercher, de centraliser et d’exploiter le renseignement intéressant la sécurité nationale ou les intérêts fondamentaux de la Nation« . Bref, nos services de renseignements intérieurs passent en mode 2.0 pour la sécurité des Français et des entreprises hexagonales. La DGSI va pouvoir, officiellement, mettre sur écoute téléphone, Internet, et les réseaux qui devront être surveillés. Bien entendu, la justice donnera son feu vert (ou non). La DGSI devra faire ses demandes auprès de la Commission nationale de contrôle des interceptions de sécurité (CNCIS).
Dans son article 2, le décret explique qu' »Au titre de ses missions, la direction générale de la sécurité intérieure pour assurer la prévention et concourt à la répression de toute forme d’ingérence étrangère ;
Concourir à la prévention et à la répression des actes de terrorisme ou portant atteinte à la sûreté de l’Etat, à l’intégrité du territoire ou à la permanence des institutions de la République ;
Participer à la surveillance des individus et groupes d’inspiration radicale susceptibles de recourir à la violence et de porter atteinte à la sécurité nationale ;
Concourir à la prévention et à la répression des actes portant atteinte au secret de la défense nationale ou à ceux portant atteinte au potentiel économique, industriel ou scientifique du pays ;
Concourir à la prévention et à la répression des activités liées à l’acquisition ou à la fabrication d’armes de destruction massive ;
Concourir à la surveillance des activités menées par des organisations criminelles internationales et susceptibles d’affecter la sécurité nationale ;
Concourir à la prévention et à la répression de la criminalité liée aux technologies de l’information et de la communication ».
432 agents devraient constituer, d’ici 2018, cette nouvelle Direction. A ce rythme là, la DGSI et la DGSE devrait fusionner d’ici quelques mois, histoire de partager les coûts, les moyens et les techniciens.
Le chercheur en sécurité Andreas Kurtz vient de lâcher un grain de sable dans la communication d’Apple. La grosse pomme affirmait que les documents communiquées par courriel d’un iPhone ou d’un Ipad étaient sécurisés quand elles étaient sauvegardés dans ces « précieux ». Les pièces jointes ne pouvaient être lues, car chiffrées « à partir des capacités de chiffrement matériel de l’iPhone et de l’iPad, la sécurité des e-mails et pièces jointes stockés sur l’appareil peut être renforcée par l’utilisation des fonctionnalités de protection des données intégrées à iOS« . Bref, un charabia qui indique que l’on peut dormir tranquille, c’est « secure ».
Sauf que Kurtz vient de démontrer le contraire. Via son iPhone 4, sous iOS 7, et une fois l’option de protection des données activée, le chercheur s’est rendu compte que ses courriels étaient bien inaccessibles. Les pièces jointes, elles, étaient lisibles et non sécurisées. Inquiétant, Apple semble au courant de la faille et ne l’a toujours pas corrigé. La nouvelle version d’iOS (V. 7.1.1) n’a pas pris en compte cette potentialité malveillante, et ne la corrige pas. C’est étonnant, car Andreas Kurtz a prouvé qu’il était possible à un malveillant de mettre la main sur les données envoyées d’un appareil Apple.
Fin avril les Sénateurs Alain Anziani et Antoine Lefèvre sont revenus sur le vote électronique en France. Une innovation qui n’a pas prospéré. DataSecurityBreach.fr a reçu le rapport des deux sénateurs. Découverte ! Le vote par machine figure dans notre droit électoral depuis 45 ans comme une alternative au bulletin papier (vote à l’urne). Leur utilisation relève du libre choix des communes. Les nombreuses critiques qu’elles ont suscitées à l’occasion de l’élection présidentielle de 2007, « bien qu’aucun fait majeur n’ait perturbé la régularité des scrutins organisés dans les bureaux dotés de machines à voter », indique les sénateurs Alain Anziani et Antoine Lefèvre ont conduit le Gouvernement à geler, en 2008, le périmètre des communes utilisatrices. Cette décision est toujours en vigueur.
Plus de six ans après, Alain Anziani et Antoine Lefèvre ont proposé que ce dossier soit réouvert en tenant compte des données récentes. Critiqué dès sa création, ce dispositif n’est jamais parvenu à écarter toutes les craintes résultant de ce bouleversement de notre rituel républicain. Son implantation reste modeste. Quant au débat sur sa conformité aux exigences entourant l’exercice du droit de vote, il n’est pas clos, malgré l’évolution des technologies.
Lutter contre la fraude électorale
Inspiré des États-Unis, le recours à des machines comme mode alternatif du vote à l’urne pour les élections politiques a été prévu par la loi n° 69-419 du 10 mai 1969 modifiant certaines dispositions du code électoral. Ce texte avait pour objectif de lutter contre la fraude constatée dans plusieurs circonscriptions. Il prévoyait d’introduire des machines à voter dans les communes de plus de 30 000 habitants. Pour le secrétaire d’État à l’intérieur, André Bord, « l’utilisation de ces machines est de nature à éliminer les fraudes qui peuvent être commises pendant le déroulement des opérations de vote et pendant le dépouillement du scrutin ». Le Gouvernement soulignait aussi que cette technique moderniserait les opérations de vote « en évitant l’emploi de scrutateurs et en supprimant tout risque d’erreur, dans les circonscriptions qui comptent un nombre élevé d’électeurs ».
La première expérience intervint lors des élections législatives des 4 et 11 mars 1973. Elle donna lieu à de nombreux incidents : « un des modèles agréés ne présentait pas de garanties suffisantes de fiabilité ». Après son retrait, les deux autres modèles furent à nouveau utilisés pour les scrutins suivants (élections cantonales de 1973 et 1976, municipales de 1977, législatives de 1978 et diverses élections partielles) sans que leur mise en service soit très concluante : « les défaillances, les pannes subies par ces matériels de même que le coût très élevé de leur maintenance, ont conduit à les retirer peu à peu du service».
420 machines étaient en service en 1977. Elles furent supprimées dans la région parisienne à compter de 1984 après les conclusions d’un nouveau bilan. En 1988, elles ne subsistaient que dans les communes de Bastia et d’Ajaccio. Lors de l’élection présidentielle de 2007, quatre-vingt-trois communes étaient autorisées à utiliser des machines à voter. Elles comptaient 1,5 million d’électeurs, soit 3 % du corps électoral. Plusieurs difficultés survenues au cours du premier tour ont à nouveau conduit à de nombreuses critiques répertoriées par le groupe de travail mis en place par le ministre de l’intérieur en septembre 2007.
114 critères techniques
Sur la base des 114 critères techniques fixés par le règlement technique, trois types de machines à voter sont aujourd’hui agréés : les machines ESF1 fabriquées par la société néerlandaise NEDAP et commercialisées par France Élections. Leur agrément a été délivré par un arrêté du 12 avril 2007 ; les machines iVotronic de la société américaine Election Systems & Software (ES&S), distribuées par Berger Levrault et agréées par un arrêté du 15 février 2008 ; les machines Point & Vote plus de la société espagnole Indra Sistemas SA. Le maintien de l’agrément est soumis à un contrôle de la machine tous les deux ans. Le ministère de l’intérieur a indiqué aux sénateurs Alain Anziani et Antoine Lefèvre que le bureau Veritas a inspecté les machines ESF1 et iVotronic en 2012. En revanche, il ne détient aujourd’hui aucune information sur le matériel Point & Vote plus. Il est précisé, à cet égard, que les constructeurs et organismes certificateurs ne sont pas soumis à une obligation de transmission au ministère des rapports de contrôle. France élections estime entre 5 000 et 6 000 euros hors taxe (HT) le coût moyen d’équipement d’un bureau de vote. Les frais de maintenance et prestations annexes s’élèvent de 65 à 150 euros HT par bureau –donc par machine- et par élection. Pour Berger Levrault, le coût estimatif de la location d’une machine est de 2 300 euros HT pour une élection à deux tours et de 1 400 euros HT pour une élection à un tour lorsque celle-ci est postérieure à l’élection à deux tours. Ces montants incluent les matériels associés (BIP, Flash card, scellés, pack de communication) et l’ensemble des prestations induites (programmation, paramétrage, formation des présidents de bureau de vote, mise sous scellés, mise en place d’un serveur de centralisation le cas échéant, mise à disposition de techniciens le jour du scrutin, gestion de projet). Le prix de vente de la machine Point & Vote plus d’Indra est estimé
à 3 800 euros environ.
Trois types d’incidents
M. François Pellegrini a recensé trois types d’incidents susceptibles d’altérer la sincérité des résultats du scrutin : un dysfonctionnement de la machine comme celui de Schaerbeek, des rayonnements cosmiques, la malveillance. Celle-ci peut s’exercer par l’introduction d’un logiciel de détournement du vote qui, ensuite, s’autodétruit ou la modification du code du logiciel pour falsifier les résultats. Ces fragilités techniques justifient la procédure rigoureuse et sécurisée de stockage des machines destinée à préserver l’intégrité des équipements. Ce défaut de fiabilité du vote électronique a conduit l’Irlande, en 2009, à renoncer à l’utilisation des machines à voter. Même l’Estonie, à la pointe des nouvelles technologies, préfère le papier au numérique. Ces exigences ont conduit, en 2006, les Pays-Bas à interdire un modèle de machines à voter à la suite d’un grave incident. Leur ambassade indiquait alors à Alain Anziani et Antoine Lefèvre qu’« un certain type d’irradiation des écrans, due à la présence de caractères accentués dans le texte, s’est avérée non sécurisée et pourrait être lue à distance». Dans le même temps, des chercheurs prouvaient la simplicité à modifier les équipements. Dès lors que la confiance dans le vote était rompue, les machines ont été supprimées. Une étude du Chaos computer club a prouvé que « les appareils utilisés étaient facilement manipulables, sans que lesdites manipulations puissent être perçues par le votant ou par le président de la commission électorale». Et ce en dépit du fait que les appareils utilisés avaient été agréés par le ministère fédéral de l’intérieur, comme l’exigeait la procédure, après la délivrance d’un avis favorable de l’office fédéral de physique et de technique. Le groupe de travail du ministère de l’intérieur Français (2007) a, notamment, déploré qu’il « se révèle largement insuffisant sur certains points en ce qui concerne la sécurité informatique des machines, ce qui explique également que les trois modèles agréés présentent des niveaux de sécurité relativement différents ».
Exemples de faille
En 2011, une faille découverte dans l´un de ces isoloirs hitech. Une vulnérabilité informatique découverte dans le système de vote électronique Diebold AccuVote. La faille pouvait être utilisée pour altérer les résultats du vote. Bien évidement, ce « bug » ne laisse aucune trace d’effraction. Un dispositif peu couteux, aucune reprogrammation et encore moins devenir dans les jours qui viennent un génie de l’informatique. La vidéo ci-dessous montre comment il était simple de prendre le contrôle quasi complet sur ?la machine. Le plus délirant est que cela pourra se faire, à distance.
Démonter un bureau de vote en 59 secondes… pour le piéger
C’est pourquoi, au terme de leur réflexion, Alain Anziani et Antoine Lefèvre n’étaient pas, en l’état, favorables à la levée du moratoire décidé en 2007. « En définitive, le seul avantage décelé réside dans le gain de temps permis par le dépouillement électronique, indiquent les Sénateurs. Mérite-t-il de prendre, en contrepartie, tous les risques attachés à l’utilisation de l’électronique? » Alain Anziani et Antoine Lefèvre ne le pensent pas.
La dernière étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) annonce plus de 700.000 piratages bancaires en France, par an. Voilà qui devient intéressant. Les chiffres de la dernière étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) montre qu’il y aurait eu une hausse de 43% des piratages de données bancaires, en France, entre 2010 et 2013. Plus de 700.000 victimes se sont déclarées.
Le rythme des arnaques à la carte bancaire en France ne cesserait d’augmenter indique le Figaro à la suite de cette étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) relative aux « débits frauduleux sur les comptes bancaires ». Des faits déclarés par des victimes lors d’une enquête « cadre de vie et sécurité» lancée par l’Insee. 14.500 ménages ont été interrogés pour cette enquête.
En 2010, 500.000 cas de fraudes bancaires avaient été annoncés. Trois ans plus tard, 200.000 nouveaux se sont invités dans ce compteur qui ne cesse d’augmenter. A noter que le rapport officiel de l’Observatoire de la Sécurité des Cartes de Paiement (OSCP) sur ce sujet doit être publié en juillet prochain. En 2012 (le site n’affiche aucun rapport pour 2013, ndr) l’OSCP annonçait un taux de fraude pour l’année 2011 à 0,077 % « en légère augmentation pour la quatrième année consécutive« . Cela correspondait à un montant total de fraude de 413,2 millions d’euros (contre 0,074 % et 368,9 millions d’euros en 2010).
Un collectif Anonymous, via une filiale baptisée Lulz Lab, vient d’annoncer sur GitHub la création du projet AirChat. Dans une vidéo mise en ligne sur Vimeo, Lulz Lab explique que « nous croyons fermement que les communications devraient être libres. Libre autant que l’air lui-même. » AirChat a pour mission d’aider ceux qui n’ont pas les moyens de communiquer. Pauvres, dissidents, ONG, … « Maintenant le feu de notre liberté se consume. Nos voix sont soumises à des contrôles innombrables : financier, brevets, droits, règlements, censure…«
L’outil se compose d’une radio, d’un ordinateur, de quelques outils faits maison. AirChat permet de communiquer gratuitement, sans passer par Internet, ni d’un réseau de téléphonie cellulaire. C’est du moins ce que propose, sur le papier, AirChat. Il s’appuie sur une liaison radio disponible « ou tout autre appareil capable de transmettre de l’audio » souligne Lulz Lab.
Pour le moment, le projet n’est qu’en mode « papier », même si les inventeurs annoncent des essais sur plusieurs centaines de kilomètres de distance. « Ce projet a été conçu de nos leçons apprises lors d »es révolutions égyptienne, libyenne et syrienne« . Des appareils radios bon marché, des minis ordinateurs de poche « Fabriqués en Chine ». Voilà un projet qui pourraient être utilisés par un grand nombre de personnes dont les libertés sont baffouées. On ne peut qu’applaudir des deux mains.
Jusqu’à présent, Lulz Lab a pu jouer à des jeux interactifs d’échecs avec des personnes situées à plus de 200 kilomètres de distance. « Nous avons partagé des photos et établies des chats chiffrés. Nous avons pu aussi lancer une impression 3D sur des distances de 80 miles (128km) et transmis des dossiers médicaux à des distances de plus de 100 miles (160km). »
Avec plus de 2 millions de membres du monde entier et des échanges de domaines en plus de 20 langues, Sedo est la première plate-forme mondiale d´achat-vente de noms de domaine. Autant dire qu’elle attire les regards des « financiers » du web, des webmasters mais aussi des pirates informatiques. Il semble que ces derniers soient rentrés dans la danse, ce samedi 12 avril. « Nous tenons à vous informer que le site Sedo a été la cible d´une attaque informatique révélant une faille de notre système de sécurité, jusqu’alors inconnue, souligne l’entreprise basée à Cologne. Ainsi un email intitulé « Activation de votre compte » a été envoyé illicitement à un nombre limité de nos clients« .
Une enquête immédiate à ce sujet a révélé que les adresses mails exploitées ont été trouvées directement dans le service proposé par Sedo. « Aucunes autres données n’ont été compromises : aucun mot de passe ou autres informations associées au compte n´ont été rendus publics » indique le géant du web. Les services de Sedo ont pallié à cette faille dès que celle-ci a été détectée et tout accès non autorisé a été bloqué. « Vous n’avez pas besoin de prendre d´ultérieures mesures pour protéger les données renseignées dans votre compte. Enfin si vous avez cliqué sur le lien contenu dans l’email non autorisé, cela n´aura aucune conséquence nuisible« .
La vulnérabilité Heartbleed est l’une des plus importantes failles découverte sur Internet depuis 10 ans. Depuis mars 2012, une part considérable des serveurs sur Internet a été vulnérable à des attaques qui ne laissent pas de traces, et peuvent accéder à des informations essentielles (identifiant, mot de passe, informations personnelles, numéro de carte de crédit, clé de cryptage). Cette vulnérabilité a été révélée publiquement le 7 avril, mais il est impossible de connaître l’étendue des dommages qui ont eu lieu avant le 7 avril ou même depuis.
La vulnérabilité Heartbleed arrive comme une piqure de rappel de deux faits importants lié à la sécurité personnelle sur Internet, à l’heure où tant de nos informations personnelles sont désormais sur Internet : Il est vital d’utiliser un mot de passe diffèrent sur chaque site web. Cela limite les risques, même en cas d’une faille – les dommages ne pourront s’étendre. Si vous réutilisez le même mot de passe sur plusieurs sites web, vous êtes clairement exposé et vous devriez modifier cela au plus vite.
« Vous devriez changer tous vos mots de passe le plus rapidement possible, confirme Emmanuel Schalit, CEO de Dashlane, car chacun d’entre eux a pu être dérobé, et vous assurez que vous utilisez un mot de passe différent pour chaque site web« . De plus, pour les sites web les plus importants (voir ci-dessous, NDR DataSecurityBreach.fr), vous devriez probablement changer vos mots de passe dans les 10 jours, au cas où les sites en questions n’auraient pas encore appliqué les correctifs nécessaires depuis le 7 avril.
Heartbleed prouve que dans le monde numérique d’aujourd’hui, il est devenu impossible d’être en sécurité si vous n’utilisez pas un gestionnaire de mots de passe comme Dashlane. Premièrement car c’est la seule façon d’avoir des mots de passe forts et uniques sur chaque site web et d’être capable de les changer rapidement et sans effort. Deuxièmement parce que les gestionnaires de mots de passe sont conçus de telle manière que les données de leur utilisateurs ne peuvent pas être compromises par ce type de vulnérabilité, car les gestionnaires de mots de passe de qualité comme Dashlane n’ont pas accès aux clés de chiffrement de leurs utilisateurs.
Les sites les plus utilisés
Facebook annoncé avoir ajouté des protections supplémentaires avec OpenSSL. Des sécurités avant l’annonce de la faille de sécurité. Facebook a tout de même conseillé de changer les mots de passe. Même proposition pour Tumblr. Twitter n’a rien dit… pour le moment. Google a confirmé des problèmes avec OpenSSL. Google Chrome et Google OS ne sont pas concernés. Google, lui aussi, que nous changions nos mots de passe. Yahoo Mail, Yahoo Finance, Yahoo Sports, Flickr ont été sécurisés. Changement de mot de passe conseillé, comme pour DropBox. Hotmail n’utilise pas OpenSSL. Même confiance chez eBay et Paypal.
Le cabinet Ovum vient de publier un rapport qui devrait faire tendre l’oreille. Cette étude commanditée par Vormetric met en évidence le faible contrôle des utilisateurs privilégiés au sein des entreprises françaises et la reconnaissance du chiffrement comme la technologie la plus efficace pour prévenir le risque des menaces intérieures. En outre, 53% des entreprises européennes trouvent ces menaces plus difficiles à détecter qu’auparavant.
Cette enquête, réalisée auprès de plus de 500 décideurs dans le domaine des hautes technologies de moyennes et grandes entreprises au Royaume-Uni, en France, en Allemagne, conclut que seuls 9% des entreprises se sentent à l’abri des menaces provenant de l’intérieur, avec presque la moitié des sondés en France (42%) reconnaissant que ce sont les « utilisateurs privilégiés » (administrateurs systèmes, de bases de données, réseaux, etc.) qui représentent le plus grand risque pour leur entreprise.
Les menaces intérieures ne proviennent plus seulement des utilisateurs habituels ayant des droits d’accès légitimes et qui en abuseraient pour voler des données et d’en retirer un gain personnel. Les utilisateurs privilégiés qui administrent les systèmes et les réseaux représentent désormais une inquiétude supplémentaire puisque leurs métiers requièrent évidemment un accès à toutes les données accessibles sur les systèmes pour effectuer leur travail. Une troisième menace intérieure identifiée comme étant particulièrement préoccupante concerne les infiltrations par des cybercriminels cherchant activement le moyen de compromettre des comptes d’utilisateurs internes (en visant principalement les comptes avec les privilèges les plus avancés) afin de s’infiltrer dans les systèmes et d’y voler des données en utilisant les identifiants usurpés.
« Environ la moitié des organisations estiment que ces menaces internes sont de plus en plus difficiles à détecter, et les responsables informatiques sont extrêmement inquiets de ce que leurs utilisateurs peuvent faire avec les données de leur entreprise, déclare Andrew Kellet, analyste principal chez Ovum, le cabinet d’analystes en charge de l’enquête.Ce risque se combine avec la menace posée par les cyberattaques qui visent les comptes utilisateurs – ce qui n’est pas complètement ignoré puisque 30 % des organisations citent les Menaces Persistantes Avancées comme motivation principale pour l’amélioration des défenses contre le vol de données. »
Selon l’étude menée, Seulement 9 % des organisations européennes interrogées se sentent à l’abri des menaces internes contre 11% des entreprises françaises ; 47 % des organisations estiment actuellement qu’il est plus difficile de détecter des incidents provenant des menaces internes qu’en 2012 ; Le contrôle d’accès aux données est identifié comme la plus grande menace pour les organisations. Pour certaines, les employés non-techniciens avec un accès autorisé aux données sensibles et aux ressources IT représentent le risque le plus important (49 %), tandis que pour d’autres, ce sont les postes de haut niveau tels que les Directeurs Administratifs et Financiers ou les PDG qui sont le principal risque (29 %) ; Le passage au cloud augmente les risques de sécurité, en raison d’une perte de visibilité sur les mesures de sécurité autour des données stockées dans le cloud, représentant une inquiétude pour 62 % des personnes interrogées ; Le Big Data peut également poser problème, avec plus de la moitié des entreprises concernées par la sécurité du Big Data (53 %) indiquant que des données sensibles peuvent y être contenues ; Il y a de bonnes nouvelles : les organisations prennent des mesures pour lutter contre les menaces intérieures avec 66 % d’entre elles qui envisagent d’augmenter leurs budgets de sécurité en réponse directe à ce risque. « Les entreprises accentuent leur utilisation du cloud computing afin de profiter de la flexibilité et des avantages financiers qu’il apporte, indique Danièle Catteddu, Responsable EMEA pour la Cloud Security Alliance. L’étude démontre qu’elles sont conscientes des nouveaux risques lié à cet usage accru, et détaille la façon dont les fournisseurs peuvent améliorer leurs offres afin de mieux satisfaire les besoins des entreprises en matière de sécurité pour contrebalancer les menaces intérieures»
« Clairement, les exigences liées à la conformité légale, les contraintes concernant la vie privée et les vols de données incessants ont un effet marqué sur les entreprises, déclare Stewart Room, partenaire du Field Fisher Waterhouse’s Technology and Outsourcing Group. Avec 66% d’entre elles qui envisagent d’augmenter leurs dépenses en sécurité pour bloquer les menaces intérieures, et en fonction du défi que la protection des données dans le cloud, les environnements mobiles et Big Data représente, les entreprises comprennent que leur niveau de sécurité doit être mis à jour et font ce qu’il faut pour. »
De plus, les entreprises reconnaissent que le chiffrement est la technologie la plus efficace pour bloquer les menaces internes, avec la plus grande proportion des organisations (38 %) la citant comme la mesure de sécurité la plus importante. (étude)
Après l’affaire PRISM de l’été 2013 et la joute entre Google et la CNIL (Commission Nationale Informatique et Liberté) en France, la collecte et l’utilisation de données digitales personnelles ou anonymes sont des sujets qui suscitent des interrogations légitimes chez les consommateurs dans tous les pays. Pour les cookies, les temps sont durs. Ces fichiers s’apparentent à des logiciels espions installés directement dans les navigateurs et permettent à un annonceur, à l’éditeur d’un site internet ou bien à un prestataire publicitaire d’identifier de façon anonyme un internaute et de construire un profil plus ou moins détaillé de ce dernier sur la base des informations collectées.
Le processus d’harmonisation de la réglementation européenne sur la protection des données personnelles est en marche. L’ensemble des acteurs du marché de la communication digitale et plus particulièrement les spécialistes de la publicité en ligne sont directement concernés par ces questions du moment. De plus en plus souvent, les cookies sont désignés comme une cible à abattre ou tout du moins comme une technologie nécessitant plus de transparence et de réglementation quant à son utilisation.
Il devient nécessaire pour tous les acteurs du secteur de songer dès maintenant à des technologies alternatives pour continuer à délivrer des campagnes publicitaires efficaces. A court-terme, le cookie va résister, mais qu’en sera-t-il à l’avenir?
Les cookies, témoins d’une époque publicitaire révolue
En pratique, les cookies peuvent d’ores et déjà être très facilement bloqués par des programmes dits « ad-blocker » directement intégrés dans certains navigateurs. Les cookies restent aussi à la merci d’un possible revirement stratégique des grands acteurs de l’écosystème digital que sont Google, Facebook, Microsoft ou Apple. Ceux-ci pourraient décider du jour au lendemain de fermer leur environnement aux cookies.
Par ailleurs, avec l’explosion de l’utilisation des smartphones et des tablettes, force est de reconnaître que les cookies sont impuissants à pénétrer l’environnement mobile auquel ils ne sont pas adaptés. Avec des internautes nomades et connectés en permanence (et qui le seront de plus en plus), les cookies font figure de technologie dépassée, incapables d’intégrer les usages en mobilité. L’optimisation de la pertinence et de la performance des campagnes publicitaires digitales passe pourtant par une prise en compte de ces nouveaux usages et fait appel au final à des technologies adaptées à ce nouveau paradigme.
Avec le « finger printing », un plus grand respect de la vie privée
Fort heureusement, des technologies alternatives aux cookies existent et offrent déjà des résultats prometteurs : le « finger printing » est une méthode consistant à identifier de façon anonyme un internaute quel que soit son appareil (PC, tablette ou mobile) à travers toutes les traces digitales (d’où la terminologie de « finger printing » ou « empreinte digitale » en anglais) que sa navigation peut communiquer. A chaque visite de site ou d’application mobile, l’internaute envoie jusqu’à 80 informations techniques comme son fuseau horaire, la version de son navigateur, la résolution de son écran, les plug-ins installés, etc… L’ensemble de ces données est passé ensuite à travers différents filtres et tableaux de correspondances afin de former une empreinte digitale unique (« finger print ») pour l’appareil utilisé. Certains acteurs ont même développé des solutions capables de reconnaître un même utilisateur à travers différents appareils, qu’il se connecte à Internet via son PC, son smartphone ou sa tablette par exemple.
Derrière ces nouvelles technologies en phase avec l’évolution des comportements et des usages, les enjeux sont clairs : pouvoir détecter un profil d’utilisateur quel que soit son moyen de connexion digitale – web, mobile ou tablette – de manière totalement anonyme. Avec le finger printing, la réalité d’un système respectueux des données personnelles prend forme, tout en réconciliant enfin les informations entre web et mobile (cross-device) et en s’affranchissant de la menace d’évolutions techniques et réglementaires comme c’est le cas avec les cookies.
Un écosystème publicitaire qui doit évoluer
Aujourd’hui, le finger priting en est encore à ses balbutiements. Le principal obstacle à son utilisation généralisée se situe au niveau de l’organisation actuelle de l’écosystème publicitaire qui repose en grande partie sur le cookie comme identifiant commun entre les différents acteurs du marché (éditeurs, annonceurs, prestataires, …). Paradoxalement, même les plateformes de gestion de la vie privée mises en place par l’IAB – représentant officiel de l’industrie de la publicité digitale – en Europe et aux Etats-Unis reposent actuellement sur une technologie traditionnelle de « cookie matching » (à savoir le croisement des données collectées par leurs plateformes et par les acteurs du marché). Certaines sociétés ont toutefois développé leur propre technologie de fingerprinting et l’utilisent aujourd’hui en parallèle.
La mise en place d’un standard technologique de fingerprinting à grande échelle nécessite une mise en commun des algorithmes d’identification entre les participants de l’écosystème, comme le propose la société Adtruth. Mais le marché est-il prêt pour ce grand bouleversement ou attend-il simplement d’y être forcé ?
Le drame psychologique de la fin des cookies est un faux problème en soi, puisque le nombre grandissant de campagnes publicitaires sur mobile nécessite déjà l’emploi de nouvelles approches. Si le cookie est encore la norme aujourd’hui, il convient rapidement pour les acteurs du marketing digital de préparer leur indépendance vis-à-vis du cookie. Ceux qui ont investi en R&D pour développer une technologie de fingerprinting disposent d’ores et déjà d’une longueur d’avance… (Par Stéphane DARRACQ, PDG de makazi group)
L’Union européenne invalide la directive controversée sur la rétention des données. Dans un arrêt publié ce mardi 8 avril, la Cour de Justice de l’Union Européenne (CJUE) a invalidé la directive européenne 2006/24 sur la rétention des données ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, notamment pour non-respect du principe de proportionnalité. Le juge européen reproche en outre à la directive de ne pas imposer une conservation des données sur le territoire de l’UE.
La Député Européenne Françoise Castex salue cette décision de la CJUE: « après le rapport Moraes sur le programme d’espionnage de la NSA, et l’adoption du paquet données personnelles par les eurodéputés, c’est un signal fort envoyé au Conseil. » La directive 2006/24 oblige les opérateurs télécoms à stocker des données sur l’ensemble des communications de leurs clients afin de faciliter la recherche, la détection et la poursuite d’infractions graves.
Pour la Vice-Présidente de la Commission des Affaires juridiques du Parlement européen: « cette directive, qui a été votée dans le cadre des accords UE/États-Unis après les attentats du 11 septembre, ne répondait pas aux exigences imposées par les droits fondamentaux à la vie privée et à la protection des données« .
« Cet arrêt confirme ma conviction qu’il est urgent de doter l’Europe d’un habeas corpus numérique, et de suspendre, une fois pour toute, les accords Safe Harbour et Swift/TFTP qui autorisent le transfert des données personnelles des Européens aux autorités américaines« , conclut l’eurodéputée Nouvelle Donne.
L’effet de conditionnement de Facebook : Que nous a appris (ou non) le réseau social sur la protection de nos données ? Voici quelques statistiques sociales étonnantes concernant les photos : plus de 250 milliards de photos ont déjà été téléchargées sur Facebook, avec une moyenne de 350 millions de photos par jour. Le téléchargement moyen par utilisateur est de 217 photos. Et ce n’est que pour Facebook ! Mark Zuckerberg a dépensé 1 milliard de dollars pour l’acquisition d’Instagram, qui atteint les quelques 55 millions de clichés téléchargés via son application chaque jour (c’est plus de 600 clichés par seconde).
Alors, que disent de nous tous ces téléchargements, outre le fait que nous aimons tous un bon «selfie» ? Les résultats d’une enquête récente ont révélé que lorsqu’on leur donne le choix, 74 % des répondants préfèrent protéger leurs photos personnelles que le terminal (téléphone portable, ordinateur portable ou tablette) sur lesquelles elles sont stockées. En fait, de tous les fichiers enregistrés sur leurs dispositifs, les consommateurs ont majoritairement déclaré qu’ils considéraient leurs photos personnelles comme les plus importantes.
Les albums photo appartiennent au passé, les nouvelles images se mettent directement sur les pages (sans poussière) des réseaux sociaux. Mais quelque chose de beaucoup plus profond et d’une plus grande envergure est en train de se passer : lorsque nous partageons des photos sur les réseaux sociaux basés dans le cloud, nous créons une deuxième copie de cette information – une copie partagée qui souvent, à l’heure actuelle, appartient à quelqu’un d’autre – même si ce n’est pas l’intention principale.
Nous appelons cela l’« Effet de conditionnement de Facebook » – l’idée que les réseaux sociaux font acte de sauvegarder au-delà de notre conscience. Le problème est que les images que nous voyons sur les réseaux sociaux sont souvent une copie de mauvaise qualité de nos photos, et ce, même si nous ne sommes pas au courant de ce fait. Et, le plus ironique dans l’histoire, c’est que même si nos « selfies » et photos de « fooding » sont stockés dans un second emplacement, bon nombre de nos documents beaucoup plus importants sont exposés à des risques. La bonne nouvelle est que l’action de télécharger et d’enregistrer une copie de ces fichiers numériques à un emplacement supplémentaire est en train de nous conditionner pour sauvegarder et protéger davantage nos données globales.
Pourquoi ne devrions-nous pas penser de cette façon ? Avec les récents progrès dans les technologies de cloud computing et l’expérience utilisateur, la sauvegarde des données est désormais aussi simple que d’appuyer sur le bouton « Envoyer ». C’est de cette manière que cela fonctionne sur Instagram, n’est-ce pas ?
Mais il y a tellement de données personnelles – les choses vraiment personnelles – qui ne sont pas sauvegardées correctement et sans risques. Pourquoi ? Pourquoi l’ensemble de nos données et non pas uniquement quelques-unes de nos photos personnelles ne seraient-elles pas stockées dans un univers numérique sans risques ? Qu’est-ce qui nous empêche de faire le grand saut depuis une tendance sociale vers une habitude saine englobant toutes les données, où tout est sauvegardé et protégé ?
La réponse la plus évidente résiderait dans le fait qu’il n’existe pas de Facebook pour vous rappeler de protéger les documents relatifs à vos impôts. Les jeunes entreprises font d’énormes progrès quant à la création de systèmes de stockage de données qui proposent une mise en forme facile à utiliser et un format comparable aux formats des sites de réseaux sociaux, mais les deux plus grandes d’entre elles combinées ont moins de 20 % du nombre d’utilisateurs de Facebook. Donc, s’il ne s’agit pas d’une question de simplicité, qu’est-ce qui empêche réellement l’effet de conditionnement de Facebook d’influer une transformation globale de nos comportements numériques ?
Le problème : vie privée et protection
Même si nous sommes devenus beaucoup plus aptes à enregistrer des fichiers non critiques dans le cloud, beaucoup d’entre nous n’ont pas encore sauvegardé la totalité de nos vies numériques, notamment en raison de la médiatisation récente d’un nombre de cas de violation de données qui ont mis en évidence notre principale préoccupation : nos données ne sont pas sûres quand elles ne sont pas manipulées directement par nous. Snapchat a été piraté et en un clin d’œil des millions de numéros de téléphone ont été rendus publics. La violation relativement tapageuse de la cible a mis les informations personnelles de 70 millions de personnes en danger.
Ainsi, alors que nous continuons à télécharger chacun des photos que nous prenons, nous oublions ce qui est réellement important – nos documents de travail, informations bancaires, dossiers de santé et autres informations personnelles et professionnelles – dans de vieux classeurs et/ou dans des fichiers portant la mention « personnel » dans nos ordinateurs.
La clé est d’identifier et de séparer la « confidentialité des données » de la « protection des données ». Alors que la confidentialité des données se concentre davantage sur les problèmes juridiques et de sécurité concernant l’utilisation de données et de stockage, la protection des données a pour objet de préserver les informations après qu’elles aient été créées et enregistrées. Tous les utilisateurs d’appareils connectés à Internet devraient être plus conscients et en alerte lorsqu’il s’agit de la protection des données – comme la lecture attentive de tous les accords de confidentialité sur les sites et applications, ainsi que le partage d’informations qui ne révéleraient aucune information, en cas de fuite – , mais pas au détriment de la protection des données.
Lorsqu’il s’agit de la protection des données, le moyen le plus sûr est de les stocker dans plusieurs emplacements sécurisés. Tout comme nos photos vivent maintenant à la fois dans nos terminaux et sur Facebook, sauvegarder les informations personnelles importantes dans de multiples endroits (par exemple : un disque dur et sur le cloud computing, un lecteur de sauvegarde, etc.) devrait être naturel et évident. Pour faire simple, il suffit de penser à la règle 3-2-1 : garder trois copies des données importantes sur deux différents types de médias, et une copie sur un emplacement à distance. Rappelez-vous que lorsque les outils de base de stockage dans un environnement de cloud computing sont un bon point de départ, ils ne sont pas sans faille quand il s’agit de sécurité, de ce fait trouver le juste équilibre entre la sécurité et la simplicité est un élément clé du processus. – Par Nat Maple, vice-président et directeur général, Global Consumer Business, Acronis.
Les escrocs s’attaquent à notre porte-monnaie via le téléphone. La gendarmerie nationale décide de lancer l’alerte auprès des Français, cibles potentielles de cette escroquerie qui gagne du terrain. Compte tenu de la méfiance des internautes face au phishing, les cybers fraudeurs s’attaquent maintenant à des victimes par l’entremise du vishing appelé aussi hameçonnage vocal. Le vishing est l’utilisation de la technologie VoIP (voix sur IP) dans le but de duper quelqu’un en lui faisant divulguer de l’information personnelle et/ou financière.
Les fraudeurs ont plusieurs méthodes d’attaques. « Un automate téléphonique est utilisé pour contacter les victimes potentielles en composant au hasard des numéros de téléphone fixe dans une région géographique déterminée » explique la Gendarmerie Nationale. Lorsque la victime potentielle décroche, un message préenregistré supposé provenir de sa banque la prévient que des opérations inhabituelles ont été récemment effectuées sur son compte bancaire. Elle est par la suite invitée à composer un numéro de téléphone généralement surtaxé pour vérifier la situation de ce dernier. Ce numéro correspond à une boîte vocale, un message demande alors à la victime de fournir ses identifiants bancaires (les 16 chiffres et la date de validité de sa carte bancaire). Ces informations pourront ensuite être utilisées pour effectuer des achats frauduleux sur Internet.
Une autre possibilité d’attaque par le biais d’un appel vers une victime potentielle. L’escroc se fait passer pour quelqu’un du département de sécurité Visa, Master Card ou simplement de son établissement bancaire. Elle lui signale que sa carte de crédit a été utilisée pour un achat plus que douteux et lui demande si elle est à l’origine de cette opération. « Sa réponse étant négative, elle lui attribue un numéro de contrat de fraude, donnant ainsi à l’appel un aspect réaliste, puis lui demande de communiquer les coordonnées de sa carte bancaire afin de vérifier qu’elle est toujours en sa possession. Une fois la conversation terminée, la personne ajoute n’hésitez pas à nous rappeler si vous avez d’autres questions et raccroche. » explique les militaires.
Pour se protéger, comme pour les cas de phishing web, il faut juste se dire que votre banque, votre FAI, les Impôts, la CAF… ne vous réclameront jamais vos informations bancaires par téléphone. Un commerçant « légitime » vous réclame vos données par téléphone, refusez. Dans tous les cas, votre signature (et un temps de réflexion dans le cas d’un achat, ndr) pour un achat est obligatoire. Les fraudeurs jouent sur une vulnérabilité psychologique du consommateur en créant en lui un stress et un faux sentiment d’urgence lié à la possibilité d’avoir été fraudé. « Si un message vous demande de rappeler tel numéro, ne le composez pas. Prenez le temps de retrouver le véritable numéro de téléphone qui vous a été donné par l’émetteur de votre carte de crédit et utilisez le » terminent les gendarmes. En cas de fraude, il ne vous reste plus qu’à alerte votre banque et déposer plainte dans les plus brefs délais, que ce soit auprès d’un NTECH (cyber gendarme) ou un OPJ dans un commissariat central habilité à prendre une plainte liée aux fraudes aux nouvelles technologies.
Attention à vos standards téléphoniques
Certains pirates informatiques spécialisés dans la téléphonie, baptisée les phreakers, s’intéressent aux standards téléphoniques et autres PABX. Un détail juridique devrait intéresser les administrateurs. Le site Legalis revient sur un arrêt du 25 mars 2014 de la cour d’appel de Versailles. Le tribunal a condamné une société de maintenance « pour avoir manqué à ses obligations contractuelles en ne donnant pas les moyens à son client d’éviter le piratage de communications téléphoniques dont il a été victime. Un nombre élevé d’appels injustifiés à destination du Timor oriental avait été constaté« . L’installation téléphonique avait été piratée grâce au mot de passe « usine » du système, soit les mythiques 0000.
Il est possible (toujours au moment de la diffusion de cet article, ndr) d’accéder aux photographies privées via une petite manipulation dans les paramètres de Facebook. Pour accéder aux images privées des personnes qui ne sont pas vos ami(e)s, il suffit d’un seul petit clic de souris. Vous devez changer la langue utilisée dans votre compte en mettant « English US ». Option que vous trouverez dans « paramètres ». Il ne vous reste plus qu’à rentrer le nom de la personne que vous souhaitez « regarder » sans y avoir été invité. Pour éviter le regard des curieux, c’est aussi simple, ou presque. Il vous suffit de vous rendre dans le paramétrage de votre compte, et retirer TOUTES les identifications de vos photographies que vous ne souhaitez pas voir apparaitre. Les deux autres solutions : maitriser ce que vous diffusez ou ne diffusez rien du tout !
Comment est-ce possible ? Tout simplement parce que la législation américaine n’est pas la même qu’en Europe. Bilan, changer de langue (sur Facebook, mais aussi sur consoles, smartphone, …) peut faire croire au système ainsi modifié que vous êtes installés dans le pays en question. Et la vie privée sur le sol américain n’a pas autant de « freins » qu’en Europe. Bilan, ce qui est « protégé » sur le vieux continent, l’est beaucoup moins sur les terres de l’Oncle Sam. Facebook veut aussi se positionner, de plus en plus, comme un moteur de recherche. Bilan, Graph Search et recherche globale rendent les informations, privées ou non, accessibles à qui sait les chercher, Facebook en tête. CQFD !
Communiqué de presse de la Quadrature du Net – Depuis mai 2013, notamment grâce aux documents fournis par le lanceur d’alerte Edward Snowden, les révélations concernant les pratiques extra-légales des autorités françaises en matière de surveillance des communications Internet se multiplient. Après le vote de la loi de programmation militaire fin 2013 [1] et les dernières révélations [2] concernant la collaboration entre les services de renseignement et l’opérateur Orange, le gouvernement doit mettre fin à son silence assourdissant pour permettre la tenue d’un débat démocratique sur l’étendue des pratiques de surveillance. Au-delà, la France doit œuvrer à réformer sa législation afin de respecter le droit international en matière de protection de la vie privée.
Dans son édition du 21 mars dernier, Le Monde s’appuie sur les documents fuités par Edward Snowden pour lever un peu plus le voile sur les pratiques des autorités françaises en matière de surveillance d’Internet. Le journal met notamment en exergue la collaboration [2] de l’opérateur Orange et les services de renseignement français, lesquels disposeraient « d’un accès libre et total à ses réseaux et aux flux de données qui y transitent » en dehors de tout cadre légal. Ces informations témoignent des dérives auxquelles aboutit le passage au secteur privé des hauts fonctionnaires en charge de fonctions régaliennes liées à la sécurité nationale.
Elles s’ajoutent aux informations déjà publiées concernant notamment le transfert massif de données entre les services français et la NSA américaine (accord LUSTRE [3]), ou la mise en place [4] d’un large dispositif d’interception des flux circulant sur les réseaux internationaux avec l’appui d’entreprises comme Alcatel-Lucent ou Amesys. Le Monde indique être en possession de nombreuses pièces encore inexploitées et à partir desquels ses journalistes poursuivent leur travail d’investigation.
Alors que depuis plus de huit mois est détaillée l’étendue des pratiques de surveillance d’Internet par les États-Unis et le Royaume-Uni, mais aussi par leurs alliés comme la France ou l’Allemagne, l’absence de toute réaction politique substantielle au niveau français est révélatrice de l’hypocrisie des autorités. Ainsi, le président de la République François Hollande s’est adonné à de ridicules gesticulations politiques en réclamant sans succès un accord [5] encadrant les pratiques d’espionnage des dirigeants entre les États-Unis et les pays de l’Union européenne et en appuyant l’appel [6] d’Angela Merkel à l’édification d’un « Internet européen ».
Pour autant, il se refuse à soutenir la seule mesure de poids immédiatement applicable et efficace pour œuvrer à la protection des données personnelles des citoyens européens, à savoir la suspension de l’accord « safe-harbor » [7] entre l’Union européenne et les États-Unis, et que défend [8] le Parlement européen.
Quant au gouvernement, le lancement de son opération de communication politique [9] pour vanter son action dans le domaine numérique ne doit tromper personne : le projet de loi sur les « libertés numériques » promis il y a un an s’annonce [10] comme un texte avant tout répressif (le mot « liberté » semble d’ailleurs avoir opportunément disparu de son intitulé), tandis que le premier ministre Jean-Marc Ayrault se fait l’avocat de politiques inconséquentes [11] en matière de chiffrement des correspondances électroniques. Dans le même temps, les responsables politiques français ont l’audace de se doter d’une législation d’exception en matière de surveillance d’Internet au travers de la scandaleuse Loi de programmation militaire [12], tout en refusant de collaborer avec la commission d’enquête du Parlement européen consacrée aux révélations d’Edward Snowden [13]. Ce jeu de dupes doit cesser.
« Depuis des mois, l’exécutif français s’enferme dans un silence assourdissant pour échapper au débat démocratique sur la surveillance d’Internet. Cette position n’est plus tenable au vu des éléments qui s’accumulent et qui démontrent l’inquiétante fuite en avant dans ce domaine. Il est grand temps que l’ensemble des acteurs institutionnels – qu’il s’agisse de François Hollande, du gouvernement, du Parlement, de l’autorité judiciaire ou même de la CNIL – soient mis devant leurs responsabilités pour que ces graves violations des droits fondamentaux cessent et que leurs responsables soient condamnés », déclare Félix Tréguer, cofondateur de La Quadrature du Net.
« Au delà d’un débat inévitable sur la surveillance d’Internet et la nécessaire souveraineté sur nos infrastructures, la maîtrise de nos communications ne sera possible que par l’utilisation de logiciels libres, du chiffrement de bout en bout et de services décentralisés. En parallèle, une réforme législative s’impose afin que la France respecte le droit international [14] et que les services de renseignement fassent l’objet d’un contrôle adéquat. », conclut Benjamin Sonntag, cofondateur de La Quadrature du Net.
Le projet SQRL permet de sécuriser une connexion sans taper le moindre mot de passe. Étonnante, mais néamoins très sympathique idée que celle proposée par Gibson Research Corporation. SQRL, que vous pouvez prononcer (en anglais, ndr) « squirrel » (Ecureuil), est un système de sécurité qui permet de se passer de mot de passe, de one-time-code authenticators à la sauce Google ou tout autre codes envoyés par SMS pour exploiter la double autentification d’un site Internet, d’une connexion à une administration ou tout autre espace sécurisé.
GRC explique que son idée élimine de nombreux problèmes inhérents aux techniques traditionnelles de connexion. Dans sa démonstration, l’utilisateur scanne le QRCode présent dans une page de connexion. Un espace qui réclame, à la base, login et mot de passe. Sauf qu’ici, l’utilisateur n’a pas à rentrer la moindre donnée. Il scanne et SQRL se charge de l’authentification et de la connexion.
Chaque QRCode contient un long chiffre aléatoire généré afin que chaque présentation de la page de connexion affiche un QR code différent. Une paire de clés publiques spécifiques au site est générée. Une clé privée, liée au site, se charge de sécuriser le tout. Bref, l’interaction avec le clavier disparait. Laissant plus aucune possibilité aux logiciels espions révant de vous voler vos « précieux ».
La NSA serait capable d’infecter un ordinateur en 8 secondes avec un logiciel datant de 2004. Un porte-parole de la NSA l’a indiqué, l’utilisation de Turbine ne se fait qu’« exclusivement à des fins de contre-espionnage ou d’espionnage à l’étranger pour des missions nationales ou ministérielles, et rien d’autre ». Voilà qui va rassurer les millions de propriétaires d’ordinateurs touchés par un kit pirate concocté par les grandes oreilles américaines.
D’après le magazine The Intercept (webzine créé par G. Greenwald, L. Poitras et J. Scahill. Il a pour mission de diffuser les informations récupérées par l’ancien analyste privé de la NSA, Edward Snowden), la NSA a utilisé un système de diffusion de codes malveillants baptisé Turbine. Le « truc », géré par l’unité TAO, infecterait des ordinateurs à partir de courriels piégés ou de phishing aux couleurs de Facebook. Des attaques à « echelle industrielle » indique l’un des documents de Snowden. Le « plug-in » Facebook est baptisé QUANTUMHAND (voir la vidéo ci-dessous du document top secret de la NSA, ndr). Pour rappel, des conseillers de l’Élysée ont été piégés par de faux Facebook, voilà 2 ans.
Le journal américain indique que l’agence d’espionnage américaine « a automatisé des processus auparavant automatisés ». Turbine ne serait donc rien d’autres qu’un couteau suisse d’exploit comme les aiment tant les pirates russes. D’après le Parisien, ce système de piratage a également de lancer des cyberattaques en détournant le système de téléchargement de fichiers ou en refusant l’accès à des sites. Des actions lançaient de Fort Meade, dans le Maryland, puis du Royaume-Unis, des Etats-Unis et du Japon. Des « modifications » de cible, comme le piratage et la modification du journal électronique d’Al Qaida, Inspire 11, que nous vous expliquions en juin 2013.
La NSA, en 2004, possédait un petit réseau de 100 à 150 « implants ». Plus de dix ans plus tard, les « outils » seraient au nombre de plusieurs dizaines de milliers. Le système Turbine serait opérationnel dans une certaine mesure depuis au moins Juillet 2010, et son rôle est devenu de plus en plus centrale pour les opérations de piratage de la NSA. Entre 85.000 et 100.000 « virus » seraient en action à travers le monde. Dans les options de Turbine, UNITEDRAKE, un cheval de Troie capable de prendre la main intégralement sur un ordinateur infecté. CAPTIVATEDAUDIENCE, capable d’enregistrer le son d’un micro branché sur la machine. GUMFISH, la webcam. FOGGYBOTTOM, les mots de passe et l’historique de navigation. GROK, un keylogger qui intercepte les frappes clavier. SALVAGERABBIT, copie les données via une clé USB. Un peu comme le petit canard jaune présenté dans zatazweb.tv du mois de décembre 2013.
Bref, il ne fait plus grand doute que Stuxnet et Flame, le premier a attaqué les installations nucléaires Iraniennes, le second visait les ordinateurs du Moyen-Orient. Les cibles ? Si le terrorisme semble être la premiére mission, une note interne de la NSA, baptisée « I hunt sys admins« , explique que les cibles peuvent être aussi les administrateurs de systèmes « qui travaillent pour des fournisseurs de téléphonie et des services Internet » étrangers.
Le poste interne – intitulé « Je chasse admins sys » – indique clairement que les terroristes ne sont pas les seules cibles de ces attaques de la NSA. Compromettre un administrateur de systèmes, les notes opérationnelles, il est plus facile pour se rendre à d’autres objectifs d’intérêt, y compris les « fonctionnaire du gouvernement qui se trouve être en utilisant le réseau certaine administration prend en charge. »
Pendant ce temps, aux USA, la sénatrice Dianne Feinstein, présidente de la commission du Renseignement du Sénat, accusait la CIA d’avoir « visité » les ordinateurs de l’institution politique américaine. Une violation de la Constitution. « Rien n’est plus éloigné de la vérité », a déclaré le directeur de la CIA, John Brennan. La sénatrice affirme que l’agence a tenté de savoir ce que tramait le Sénat au sujet des interrogatoires « musclés » de la Central Intelligence Agency, entre 2009 et 2012. Des enquêtes du département de la Justice sont en cours. Elles doivent permettre de savoir si des fonctionnaires de la CIA, ou des collaborateurs privés, ont utilisé la torture pour soutirer des informations.
Vous possedez un smartphone Galaxy de Samsung ? Vous allez apprécier l’annonce effectuée par la Free Software Foundation qui vient d’annoncer la découverte d’une porte cachée, une backdoor, dans les appareils android de la marque sud coréenne. Tout en travaillant sur Replicant, une version entièrement gratuite/libre d’Android, un concepteur a découvert que le logiciel propriétaire de Samsung, en cours d’exécution sur le processeur d’applications en charge de gérer le protocole de communication avec le modem, met en œuvre une porte dérobée qui permet au modem d’effectuer des opérations sur le système de fichiers, le tout à distance. Bilan, il serait possible à celui qui connait le « truc », d’accéder à aux données personnelles stockées dans le materiel.
Autant dire que le système de chiffrement que propose Samsung ne servirait à rien face à ce tour de passe-passe. Les Galaxy S3, Galaxy Note 2 et le Galaxy Nexus sont concernés. Paul Kocialkowski, développeur de Replicant, propose aux clients Samsung d’interpeller publiquement le constructeur pour une explication sur cette porte cachée et éliminer cet outil intrusif. Faut-il encore qu’il eut été au courant que le logiciel indépendant d’Android, qui gére les « baseband chips », était « piégé ». Nous imaginons difficilement que la société commerciale tente de jouer avec le feu en cachant, bien mal, ce système espion.
A noter que Replicant propose un patch bloquant cette backdoor. Une façon de faire un peu de pub à Replicant face à l’annonce de Knox, le système de sécurité de Samsung ? Korben propose une lettre à envoyer à Samsung. Une idée proposée par la FsF.
« Bonjour,
Je tiens à exprimer mon mécontentement suite à la découverte, dans la gamme Galaxy de vos smartphones, d’une puissante backdoor dans la puce baseband. Etant moi-même propriétaire d’un Samsung Galaxy S3, j’aimerais que vous me disiez ce que vous faites de cette backdoor, qui visiblement permet un contrôle total sur le smartphone et ses données.
A l’heure des révélations d’Edward Snowden et de la mise en cause de nombreuses grandes sociétés comme Google ou Microsoft, il est dommage de constater que Samsung rejoint le banc des accusés en offrant à n’importe qui sachant y faire, NSA en tête, la possibilité de prendre le contrôle total de n’importe quel smartphone, incluant les messages, les fichiers, le GPS et la caméra.
J’attends donc de votre part des explications, et bien sûr une correction de ce système qui ne peut pas être un simple erreur. Il est temps de mettre fin à l’espionnage de masse. En tant que leader dans les nouvelles technologies, au lieu de conforter un système de surveillante malsain, Samsung devrait au contraire montrer la voie d’une technologie au service de ses utilisateurs, et non l’inverse.
Avoir besoin de communiquer de manière anonyme et sécurisé peut se faire sentir. Protéger un courriel et son contenu n’est pas à négliger. Il est évident que la première protection d’une fuite de donnée, d’un espionnage… et de ne rien diffuser sur Internet. Mais aujourd’hui, bien malin celui qui pensera que l’Internet, les mails peuvent être mis de côté. Dans cet article, nous allons voir comment écrire sans laisser de trace (ou presque, ndr), autodétruire un courriel, le chiffrer. Nous ne parlerons pas des outils déjà présenté ICI et LA, mais des sites web offrant des services gratuits d’anonymisation de vos correspondances. Je rappellerai tout de même qu’aucun système n’est infaillible et rien ne remplacera le chiffrement fort et un mot de passe sérieux. Bien entendu, évitez de communiquer des informations « top » sensibles: données bancaires, …
PrivNote
PrivNote est un service Web gratuit qui vous permet d’envoyer des notes secrètes sur Internet. C’est rapide, facile, et ne nécessite pas de mot de passe ou l’enregistrement des utilisateurs. Il suffit d’écrire votre lettre, et vous obtiendrez un lien. Ensuite, vous copiez et collez ce lien dans un mail (ou un message instantané) que vous envoyez à votre correspondant. Lorsque cette personne clique sur le lien pour la première fois, il pourra lire le message dans son navigateur. Au même moment, la missive sera automatiquement détruite, ce qui signifie que personne (même cette personne) ne lira le courrier ensuite. Le lien ne fonctionnera plus.
Vous pouvez, éventuellement, choisir d’être averti lorsque votre note est lue en laissant votre email et une référence. https, rapide, les adresses IP sont supprimées dès qu’elles ne sont plus nécessaires à des fins de communication. Les notes sont détruites au bout de 30 jours si elles n’ont pas été lues. Les administrateurs ont enregistré PrivNote en Uruguay. https://privnote.com
Note shred
Les messages envoyés avec Noteshred s’autodétruisent après la lecture ou après un certain temps. Programmable entre 1 heure et 24 semaines. Chaque note est obligatoirement envoyée avec un mot de passe que votre correspondant devra connaitre. Les messages sont chiffrés (256 bits AES), connexion https, une version mobile est disponible. Noteshred est un service gratuit. http://www.noteshred.com
One time secret
Même principe que PrivNote. Ce site propose un lien, vers le message. Le premier lecteur qui ouvrira l’url pourra lire le message. Les suivants se retrouveront face à un message d’erreur : “It either never existed or has already been viewed.” sauvegarde IP, information sur le navigateur et la provenance du visiteur (site web, moteur de recherche, …) Les messages sont gardés 7 jours pour les « anonymes », et 30 pour les internautes qui se sont inscrits. Le code source de l’outil est proposé. https://onetimesecret.com
This message will self-destruct
Comme ses cousins One Time Secret et PrivNote, This message will self destruct propose d’envoyer un lien vers un message qui s’autodétruira une fois que ce dernier sera lu. Une option de création d’un mot de passe est possible. Simple, efficace, sans fioriture. Petit détail, tout de même, s’inscrire à ce service (pas obligatoire, ndr) permet d’afficher un historique des messages envoyés et reçus. https://tmwsd.ws
cloak my
Parmi les nombreux services que nous avons testés pour vous, cloak my propose une originalité qui n’est pas négligeable. Le service permet de décider une plage horaire de lecture en plus de l’autodestruction. Il est possible de choisir une destruction manuelle (déconseillée, ndr). Log les IP, Https, basé en Californie (USA). Les mots de passe, si vous en décidez un, sont hachés en utilisant Bcrypt. Les adresses IP sont également enregistrés au cours de tentatives de connexion « seulement après un mauvais mot de passe et ou un mauvais lien, souligne les administrateurs. Afin de prévenir contre les attaques et pour nous permettre d’interdire les demandes excessives. » http://www.cloakmy.org
Destructing message
Voilà un service intéressant. Les messages sont minutés. Vous décidez de la durée de présence du message chiffré, de 15 secondes à 5 minutes. Le site propose un lien qui servira d’accès à la missive. Dès que le lien est cliqué, le compte à rebours est lancé. Les messages doivent être affichés dans les 90 jours. Le site existe depuis 2006, il est édité par Spiffy. http://www.Destructingmessage.com
ZeroBin
ZeroBin de Seb Sauvage est un outil qui est indispensable dans ses adresses. Outil simple et très efficace, qui chiffre les données avec un clé AES 256 bits. Il vous suffit de communiquer le lien à votre correspondant. Permet de choisir un temps d’expiration de votre message, de 5 minutes à 1 an. http://sebsauvage.net/paste/
Il existe aussi des applications pour vos navigateurs. Pour Firefox, TrashMail. Permet de créer des adresses jetables. Il faut cependant ouvrir un compte pour utiliser le service. Pour vos fichiers, AnonFiles permet de sauvegarder des fichiers de manière anonyme. Le plus intéressant, à mon avis, reste CryptoBin. Il permet de chiffrer un message, garder lisible la missive entre 10 minutes (1 heure, 1 journée, 1 an) et à l’infini. Il utilise l’AES 256 pour chiffrer les informations.
Côté image, Let’s Upload that Image (LUT.IM) permet d’envoyer une image et de la faire disparaitre à sa premiére lecture. Possibilité de choisir sa durée de rétention, entre 24 heures et un an. Un outil Français, signé par Luc Didry. Si les fichiers sont bien supprimés, et si vous en avez exprimé le choix, leur empreinte SHA512 est toutefois conservée. L’IP de la personne ayant déposé l’image est stockée de manière définitive pour des questions légales. https://lut.im ; Même possibilité pour IMG.BI. Ici aussi, les images sont chiffrées en AES-256. Les auteurs utilisent aussi TLS pour éviter les attaques dites de l’homme du milieu (Man-in-the-Middle), entre vous et le serveur de stockage. Les adresses IP sont codées en SHA-3 durant une journée. Les auteurs rappellent que les sociétés tierces peuvent sotcker, de leur côté, votre IP. https://img.bi
N’hésitez pas à nous faire partager vos propres outils.
Ce mercredi à Strasbourg, le Parlement européen a enfin adopté le paquet sur les données personnelles. Après trois ans de travail parlementaire les eurodéputés ont adopté à une forte majorité le règlement (621+, 10-, 22 abst) et, malgré l’opposition de la droite européenne, la directive (371+, 276 –, 30 abst) sur les données personnelles et ont octroyé aux deux rapporteurs du Parlement européen, Jan-Philippe Albrecht (Verts, All) et Dimitrios Droutsas (S&D, GR), un large mandat de négociation avec le Conseil et la Commission européenne.
« C’est un signal politique fort envoyé aux citoyens européens, qui tranche avec le silence du Conseil! », se félicite Françoise Castex. « Les données personnelles des Européens ne sont pas à vendre! »
« Après le scandale de la NSA et alors que nous négocions un accord de libre-échange avec un État qui espionne nos concitoyens, il était fondamental de redéfinir les règles du jeu« , souligne l’eurodéputée Nouvelle Donne.
Les deux textes visent à renforcer la protection des données des citoyens européens et à restaurer la confiance des consommateurs dans les entreprises sur internet. « Nous souhaitions un encadrement plus strict des données pseudonymes, mais ce résultat est dans l’ensemble un bon résultat qui était encore impensable il y a quelques mois”, note Françoise Castex. « Le consentement explicite, l’encadrement des transferts de données vers un État tiers ou la possibilité de déréférencement sont des avancées réelles pour la protection de la vie privée des citoyens européens. »
Avant de conclure: “L’affaire PRISM, et les plaintes de plus en plus nombreuses des consommateurs montrent que la question de la protection des données personnelles est devenue une priorité pour nos concitoyens. Le Conseil ferait une grave erreur en écartant ce sujet à trois mois des élections européennes ».
Pour la Quadrature du Net, des failles majeures subsistent dans le règlement du Parlement européen sur la protection des données. Le Parlement européen vient d’adopter en première lecture le rapport [1] de Jan Philipp Albrecht concernant le règlement général sur la protection des données. Les eurodéputés sont finalement parvenus à résister aux pressions des lobbys [2] et ont rejeté la plupart de leurs propositions préjudiciables [3]. Bien que d’importants progrès ait été réalisés aujourd’hui, les dangereuses notions d’« intérêt légitime » et de « données pseudonymisées » ont été conservées, et pourraient empêcher le texte définitif de protéger les citoyens de manière effective. ***
Le 21 octobre 2013, la commission « libertés civiles » (LIBE) a adopté son rapport relatif au règlement général sur la protection des données, avant de donner mandat à son rapporteur, Jan Philipp Albrecht (Verts/ALE – Allemagne), pour négocier à huis clos un accord avec la Commission européenne et le Conseil des Ministres (trilogue). Ces négociations n’ayant pas débouché sur un consensus, le Parlement européen a finalement adopté un texte identique à celui de LIBE.
Malgré une campagne de lobbying sans précédent menée à Bruxelles par les secteurs de la banque, des technologies et des gouvernements étrangers, la mobilisation de la société civile est parvenue à convaincre les députés de préserver la plupart des progrès introduits par la Commission européenne en 2012 : le consentement explicite [4], des sanctions effectives (pouvant à présent atteindre 5% du chiffre d’affaires mondial d’une entreprise), un champ d’application territorial large et clairement défini, ainsi que des droits plus forts et équilibrés pour les citoyens.
Malheureusement, les députés ne sont pas parvenus à corriger la faille la plus dangereuse laissée dans la proposition initiale par la Commission en 2012 : la définition bien trop large de la notion d’« intérêt légitime ». En tant que tel, l’« intérêt légitime » de quiconque peut être utilisé comme fondement légal permettant d’outrepasser le consentement d’un individu afin de traiter les données le concernant. En outre, le rapport introduit le concept insidieux de données « pseudonymisées », si cher aux lobbys des technologies.
La publication de la position du Conseil sur le règlement est prévue pour les 5 et 6 juin prochains.
« Le vote d’aujourd’hui ferme le premier chapitre d’un long processus qui déterminera si les citoyens européens regagneront le contrôle de leur vie privée. Bien que la société civile se soit fermement opposée aux lobbys des banques, des géants de l’Internet et de certains gouvernements, les eurodéputés ne sont pas parvenus à corriger les failles majeures du texte. Les citoyens doivent exiger de leur gouvernement qu’il corrige ces failles, préserve les avancées, et n’introduise pas de nouvelles exceptions dans le texte. Ce règlement devant être finalisé par le prochain Parlement, les citoyens doivent attirer l’attention des candidats à l’élection européenne sur ces questions. », déclare Miriam Artino, analyste politique à La Quadrature du Net.