Archives mensuelles : novembre 2013

Chiffrement, Cyber-attaque, Entreprise, Fuite de données, Leak, Paiement en ligne

Loyalty build piraté : 1,2 million d’internautes concernés

3 commentaires

Les bases de données, le nouveau jouet pour les pirates informatiques. Après ADOBE [lire], après MacRumors (860.000 comptes, ndr), voici le tour du site Loyalty build a se retrouver confronté à un vol de données numériques. Ce portail est spécialisé dans la fidélisation de clients pour de grandes enseignes comme AXA Irlande.

Loyalty build vient d’annoncer le passage d’un pirate dans ses entrailles numériques. Bilan, 1,2 millions d’inscrits se retrouvent avec leur vie privée dans les mains d’un inconnu. Emails, adresses physiques, numéros de téléphone. Pour 376.000 personnes, des suisses ou belges, les données bancaires sont à rajouter à la liste des données volées. Des informations financières… non chiffrées, ce qui est illégal en Europe.

Loyalbuild propose un système de fidélisation de clienteles. Voilà qui risque de lui faire mal ! Les entreprises affiliées viennent de fermer leur espace « Loyalbuild » afin de protéger leurs propres clients.

Chiffrement, cryptage, Cybersécurité, Mise à jour, Patch

Faille critique corrigée pour OpenSSH

Un commentaire

L’excellent outil OpenSSH permet de chiffrer les communications sur Internet. Une faille critique vient d’être corrigée. Sortez la rustine, la colle et votre plus beau sourire. OpenSSH, un outil qui offre la possibilité de chiffrer vos communications sur Internet, via le protocole SSH, vient de corriger une vulnérabilité considérée comme critique. « Une corruption de mémoire existe dans le processus de sshd post-authentification lors d’un chiffrement AES-GCM (AES128-GCM @ openssh.com ou aes256-gcm@openssh.com) » indique OpenSSH.

Si elle est exploitée, cette vulnérabilité pourrait permettre l’exécution de code avec les privilèges de l’utilisateur authentifié. La vulnérabilité a été identifiée par un développeur d’OpenSSH, Mark Friedl, le 7 Novembre.

Le correctif a immédiatement été mis en ligne. L’erreur est fixé dans OpenSSH version 6.4. Pour ceux qui veulent rester sous OpenSSH 6.2 et 6.3, des rustines sont disponibles.

Android, Sécurité, Smartphone

Android KitKat a des progrès à faire en matière de sécurité

Cinq spécifications qui permettraient à la version Android 4.4 de mieux protéger ses utilisateurs contre les malwares. Face à un nombre toujours croissant de menaces spécifiquement conçues pour les appareils mobiles, les laboratoires Bitdefender ont étudié la dernière version du système d’exploitation Android (4.4) afin d’identifier les spécifications manquantes en matière de sécurité et de protection des utilisateurs.

Bitdefender a ainsi listé 5 spécifications dont devrait disposer Android 4.4 pour assurer une meilleure protection des utilisateurs et permettre également aux éditeurs d’antivirus de lutter plus efficacement contre les malwares.

Android est aujourd’hui le 1er OS mobile avec plus de 900 millions d’appareils dans le monde, et donc une cible privilégiée des cybercriminels. Malgré les importantes modifications apportées à sa version Jelly Bean 4.3, le prochain système baptisé KitKat a cependant des progrès à faire en matière de sécurité :

1- Une API d’analyse antivirus
Par défaut, Android n’autorise pas les applications à interagir les unes avec les autres, sauf si l’application partage un identifiant utilisateur et est signée numériquement par le même développeur. Cela pose un problème aux développeurs antivirus qui ne peuvent pas analyser correctement les autres applications installées, à moins que le téléphone ne soit rooté.
Une API d’analyse antivirus permettrait aux éditeurs de mieux intégrer leur solution de sécurité au système d’exploitation et garantirait ainsi à l’utilisateur que toutes les applications soient analysées convenablement.

2- Un contrôle individuel des permissions des applications
Celui-ci permettrait à un utilisateur d’accepter ou de refuser des autorisations spécifiques à une application. Il semble que Google travaille dans ce sens puisque la version Android 4.3 dispose d’un menu caché qui permet de gérer de façon précise certaines autorisations avant d’installer l’APK.

3- Des applications de sécurité intégrées
La possibilité de disposer d’applications clés de sécurité et de protection des données, telles qu’un outil antivol, directement intégrées dans son appareil permettrait de parer à la suppression des données et à la restauration des paramètres d’usine.
En effet, lorsqu’un appareil est perdu ou dérobé par un tiers, il est d’usage que le voleur efface complètement les données utilisateur à l’aide du mode de restauration intégré, ce qui supprime entre autres les applications de sécurité et les outils antivol et par conséquent ne permet plus au propriétaire de contrôler son appareil à distance et d’activer la géolocalisation de l’appareil.

4- Une sandbox intégrée pour isoler les applications suspectes
Lorsque l’utilisateur installe une application à partir d’une source non fiable, comme des ‘market-places’ alternatives ou directement de développeurs, il faudrait qu’il ait la possibilité de l’exécuter dans une sandbox (bac-à-sable) et ainsi surveiller les éventuelles fuites d’informations ou les activités coûteuses (telles que l’envoi ou la réception de SMS premium).

5- Des profils selon les usages : Professionnel / Loisirs
La configuration de 2 profils pour un utilisateur sur un appareil unique : d’une part un profil Professionnel pour consulter les données liées à son entreprise, et d’autre part un profil Loisirs avec les applications personnelles, répondrait parfaitement au manque de politique de sécurité encadrant le BYOD qui permet aux salariés d’accéder aux données confidentielles de l’entreprise via leurs appareils personnels.

Selon le dernier rapport sur l’évolution des malwares Android publié par Bitdefender, les techniques utilisées par les menaces sur mobiles se rapprochent de plus en plus de celles utilisées sur PC, à l’exemple du malware bancaire Zeus qui s’est répandu sous l’appellation ZitMo dans sa version mobile. La sécurité mobile sur Android n’est plus facultative mais obligatoire. Plusieurs initiatives, plus ou moins pertinentes, vont dans le sens d’apporter plus de sécurité aux utilisateurs d’appareils mobiles à l’instar de Firefox OS de Mozilla, Knox de Samsung, Ubuntu for Touch de Canonical ou encore le projet DAVFI.

Chiffrement, Cyber-attaque, Entreprise, Fuite de données, ID, Leak, Vie privée

Près de 2 millions de mots de passe 123456 pour des clients ADOBE

3 commentaires

Après le piratage de 38 millions de clients de l’éditeur ADOBE, une étude montre que les mots de passe des piratés sont aussi ridicules qu’inutiles. A se demander si le piratage de 38 millions de clients ADOBE n’est pas un moyen de communiquer auprès des clients et entreprises utilisatrices des produits de l’éditeur de Photoshop, Adobe Acrobat, ColdFusion. Des chercheurs, qui ont été mettre la main sur les données diffusées sur un forum russe, ont analysé les mots de passe volés à ADOBE. Des précieux appartenant donc à ses clients.

Jeremi Gosney, chercheur chez Stricture Consulting Group révèle une liste des 100 mots de passe les plus utilisés. Autant dire qu’il y a des claques qui se perdent : 1,9 million de comptes utilisaient comme sésame : 123456 ; plus de 400 000 : 123456789. On vous passe les mots de passe « password« , « 12345678 » ou encore « adobe123« . Bref, avec de telle sécurité pas besoin de voler une base de données ! (Developpez)

Banque, Entreprise, Fuite de données, Paiement en ligne

Faille de sécurité pour Bitcoin ?

3 commentaires

L’existence d’une faille de sécurité potentielle dans la monnaie virtuelle Bitcoin inquiète le web… ou pas ! Alors que le Bitcoin rencontre un succès mondial, des chercheurs de l’université Cornell viennent de révéler l’existence d’une faille de sécurité potentielle dans la monnaie virtuelle. Sergey Lozhkin, chercheur senior en sécurité chez Kaspersky Lab, explique : “Comme pour chaque découverte scientifique, les recherches concernant une potentielle vulnérabilité du Bitcoin doivent être revues et analysées par la communauté. Cependant, nous pouvons d’ores et déjà noter que la vulnérabilité dont il est question ici relève davantage de l’économie que de la technologie. Même s’il était possible pour certains groupes de personnes (ou plus probablement une entité gouvernementale disposant d’un pouvoir informatique illimité) de disposer d’un contrôle sur le processus de ‘mining’ de Bitcoin, cela n’entrainerait pas forcément la chute et la disparition de la monnaie virtuelle. » L’agitation autour de ces recherches est donc injustifiée, bien que compréhensible. Actuellement, le Bitcoin est davantage menacé par des risques politiques que technologiques.

Pendant ce temps, en Australie, le responsable du site internet Inputs.io a déposé plainte après avoir été ponctionné d’un million de dollars de Bitcoin. L’atteinte à la sécurité de cette « banque » Bitcoin aurait eu lieu les 23 et 26 Octobre derniers. Les pirates auraient réussi à voler 4.100 bitcoins. Un porte-parole de la police fédérale australienne a déclaré au Daily Mail qu’un vol de bitcoin n’a jamais été étudié par ses services. Les serveurs étaient basés aux USA. Sur son site web, le responsable d’Inputs indique « Je sais que cela ne signifie pas grand-chose, mais je suis désolé, et dire que je suis très triste de ce qui s’est passé est un euphémisme. »

Banque, Cybersécurité, Fuite de données, RFID, Vie privée, VPN

ZATAZ Web TV HD episode S3E3

Au sommaire de ce nouvel opus de ZATAZWeb.tv HD de Novembre :

1 – Découverte de Gith, un environnement sécurisé et chiffré que vous allez pouvoir emmener partout avec vous sans peur d’être espionné. Cerise sur le gâteau, Gith est une application Mac, Linux, Windows et Smartphone « Made in France ».

2 – Espionner une carte bancaire qui permet le paiement sans fil, une puce RFID, de plus en plus simple. En avant-première, zatazweb.tv va vous présenter l’alarme anti RFID de poche. De la taille d’un porte-clés, il vous indique quand une lecture NFC est en cours.

3 – Contrer la contrefaçon de diplôme ? Une première européenne pour un lycée lillois qui tag les diplômes de ses bacheliers.

4 – WatchDogs retardé ? ZATAZWeb.tv a été tirer les vers du nez d’Ubi Soft pour en savoir plus sur ce jeu qui nous fait baver.

5 – Un 0Day découvert dans plus d’une dizaine de sites de rectorats français. Explications et démonstration.

6 – Pour sauver les hackers, donnez-leur du travail. Découverte de Yes We Hack, le portail dédié à l’emploi de la sécurité informatique.

7 – Wizzywig : la BD qui retrace les « aventures » de l’ancien hacker, Kévin Mitnick.

8 – HackNowLedge – La grande finale (les 7 et 8 décembre) : 6 pays, 12 équipes, 70 épreuves de hacking éthique.

Retrouvez les autres épisodes de ZATAZ Web TV HD sur http://www.zatazweb.tv

Justice, Particuliers

Une fillette virtuelle piège 20.000 pédophiles

Un commentaire

Sweeties a 10 ans. Cette enfant de 10 ans a réussi à attirer à elle pas moins de 20.000 prédateurs de l’Internet. Des pédophiles qui étaient prêts à payer pour voir la jeune fille participer à des actes sexuels. Une horreur… sauf que Sweeties n’existe pas. C’est un personnage en 3d créé par l’ONG néerlandaise Terre des Hommes. L’idée de l’organisation de lutte contre la pédophilie sur le réseau des réseaux, créer une petite fille et un « bot » capable de piéger les internautes, consommateurs de documents pédopornographiques. 20.000 pédophiles, via 71 pays, ont été piégés de la sorte. Sweeties a permis de remonter à « seulement », 1.000 d’entre eux. Interpol a été saisi. D’après l’ONU, 750.000 pédophiles évolueraient sur les réseaux.

backdoor, Cybersécurité, Espionnae, Fuite de données, Leak

Backdoor dans le routeur Tenda

Nous vous expliquions, en octobre, comment une backdoor, une porte cachée donnant accès à l’administration d’un espace informatique, avait été découvert dans plusieurs routeurs de la marque D-Link. Début novembre, nouvelle marque chinoise dans le collimateur avec Tenda.

TTSO a découvert un accès possible et cela via un seul petit paquet UDP. Après extraction du firmware dédié à ce routeur sans fil (Tenda W302R), il a été découvert une possibilité d’écoute des informations. A la différence de D-Link, l’espionnage ne peut se faire qu’en mode réseau local, pas d’exploit à partir du WAN. Ou est donc le problème vont rapidement chantonner les plus pointilleux. L’exploit passe via le réseau mobile. Ce dernier a le WPS activé par défaut, sans aucune limitation de test de mots de passe. Autant dire que le brute forçage de la bête n’est plus qu’un détail. Cette backdoor existe dabs le Tenda W302R, mais aussi dans le Tenda W330R, ainsi que dans le Medialink MWN-WAPR150N.

Il y a un déjà, une étonnante fuite visant Tenda (un ingénieur ?) expliquait comment la porte cachée « MfgThread » fonctionnait. Bref, si vous n’invitez pas la planète sur votre réseau, que le WPS n’est pas activé et que l’utilisation d’un mot de passe digne de ce nom en WPA vous est familier, peu de risque. Il est possible aussi que cette porte cachée soit un oubli d’un codeur local, payé quelques euros, utilisée lors de la fabrication de l’outil et qui n’a pas été effacée.