Archives quotidiennes :

Argent, Arnaque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Piratage, Social engineering

Faille de taille pour Internet Explorer 11

3 commentaires

Une faille vise le navigateur de Microsoft, Internet Explorer 11. Un XSS qui permet d’injecter des cochonneries numériques lors de votre visite d’un site piégé.

Les Cross-sites scripting, le site zataz.com vous en parle malheureusement très souvent. Cette vulnérabilité, baptisée XSS, permet de modifier une page d’un site web lors de la visite de ce dernier via un url particulièrement formulé, d’injecter un code malveillant dans l’ordinateur d’un internaute et de nombreuses autres possibilités aussi malveillantes les unes que les autres.

Aujourd’hui, c’est au tour du navigateur de Microsoft, Internet Explorer 11, de souffrir du problème. Un pirate peut contourner le « same-origin » du navigateur. Bilan, comme l’explique sur SecList l’inventeur de la faille, David Leo, un pirate peut diffuser ce qu’il veut dans le navigateur d’un visiteur ainsi piégé. Une démonstration a été faite dans les pages du journal britannique Daily Mail. Microsoft a confirmé la faille.

Pour « corriger » ce problème, il suffit aux webmasteurs de modifier leurs pages web, et de passer l’en-tête X-Frame-Options avec la valeur ‘deny’ ou ‘same-origin’. Bilan, plus aucune possibilité de CSS. A noter que la firme de Redmond a été alertée en octobre 2014 et n’a toujours pas patché son navigateur.

backdoor, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage

État des lieux de la sécurité sur internet du 4ème trimestre 2014

Sale ambiance numérique pour le dernier trimestre de 2014. Akamai indique que le nombre d’attaques DDoS a pratiquement doublé en un an ; le trafic DDoS a diversifié ses sources à l’échelon mondial et que près de la moitié des attaques DDoS ont exploité plusieurs vecteurs.

Akamai Technologies, l’un des principaux fournisseurs de services de cloud, d’optimisation et de sécurisation de contenus en ligne et d’applications professionnelles, annonce la publication du rapport « Etat des lieux de la sécurité sur internet » du 4ème trimestre 2014 sur les attaques DDoS. Produit par le PLXsert (Prolexic Security Engineering and Research Team), aujourd’hui rattaché à Akamai, qui rassemble des experts des services et stratégies de protection contre les attaques DDoS et de sécurisation cloud, il livre une analyse trimestriel et un éclairage sur les cyber-menaces et attaques à l’échelle mondiale, y compris sur les attaques DDoS observées sur le réseau PLXrouted.

« Un nombre impressionnant d’attaques DDoS ont eu lieu au 4ème trimestre, près du double par rapport à ce que nous avions observé à la même période un an plus tôt », souligne à DataSecurityBreach.fr John Summers, vice president, Security Business Unit chez Akamai. « Le déni de service est une menace répandue qui vise de nombreuses entreprises. Le trafic d’attaques DDoS n’a pas été cantonné à un secteur donné, comme celui du divertissement qui a pu faire la une des medias en décembre. Les attaques ont, au contraire, porté sur de multiples secteurs d’activité. »

Akamai a également observé une hausse de 52 % du débit moyen des attaques DDoS en comparaison du 4ème trimestre de l’année précédente. De volumineux paquets de trafic indésirable peuvent très vite anéantir la capacité d’une entreprise à traiter les requêtes légitimes de ses clients, et ce déni de service entraîner ainsi des pannes. Or, la plupart des sites non protégés sont incapables de résister à une attaque DDoS classique. Par conséquent, les attaques DDoS font aujourd’hui partie intégrante du paysage des menaces et de la cybersécurité que toute entreprise présente sur le Net se doit d’anticiper dans une évaluation des risques.

Le phénomène DDoS-for-hire et la montée en puissance des attaques par réflexion et multi vecteurs. Les suites de booters DDoS-for-hire, ont engagé peu de moyens puisqu’elles ont mis à profit des attaques DDoS par réflexion. Près de 40 % des attaques DDoS en tous genres ont fait appel à ces techniques, qui s’appuient sur des protocoles Internet pour générer un trafic en réponse considérablement amplifié et dispensent le hacker de prendre le contrôle du serveur ou du device.

La généralisation de services DDoS-for-hire a permis à des hackers amateurs d’acheter ces services prêts à l’emploi. L’essor de ce marché a également été propice à l’utilisation de campagnes multivectorielles, l’innovation des attaques étant stimulée par la concurrence. Les attaques multivecteurs observées ont été considérablement plus nombreuses – en hausse de 88 % par rapport au quatrième trimestre 2013. Plus de 44 % des attaques de toute nature ont exploité plusieurs vecteurs.

Répartition mondiale des cibles et des sources d’attaques DDoS
Le rythme des attaques DDoS a été plus homogène au 4ème trimestre lié à un nombre croissant de cibles importantes dans des zones géographiques jusqu’alors sous-représentées. Par ailleurs, l’origine géographique du trafic malveillant s’est déplacée. Les États-Unis et la Chine ont continué à répondre de la plupart du trafic DDoS, mais à la différence du 3ème trimestre 2014 marqué par la domination du groupe BRIC (Brésil, Russie, Inde et Chine), le trafic d’attaques DDoS, au 4ème trimestre 2014, a émané, pour l’essentiel, des États-Unis, de la Chine et de l’Europe occidentale. Quelques faits et chiffres marquants :

Par rapport au 4ème trimestre 2013
– Nombre d’attaques DDoS : + 57 %
– Débit crête moyen : + 52 %
– Nombre crête moyen de paquets par seconde : – 77 %
– Attaques de couches applicatives : + 51 %
– Attaques de couches d’infrastructure : + 58 %
– Durée moyenne des attaques : + 28 %
– Nombre d’attaques multivecteurs : + 84 %
– Attaques à plus de 100 Gb/s : + 200 % (9 contre 3)

Par rapport au 3ème trimestre 2014
– Nombre d’attaques DDoS :+ 90 %
– Débit crête moyen des attaques : + 54 %
– Nombre crête moyen de paquets par seconde : – 83 %
– Attaques de couches applicatives : + 16 %
– Attaques de couches d’infrastructure : + 121 %
– Durée moyenne des attaques : + 31 %
– Nombre d’attaques multivecteurs : + 38 %
– Attaques à plus de 100 Gb/s : – 47 % (9 contre 17)

Les botnets à la loupe
Les logiciels malveillants sont souvent utilisés pour favoriser la propagation des botnets DDoS. Leurs caractéristiques – infection multiplate-forme, détection du système d’exploitation et maliciels destructifs – sont exposées dans le Rapport de sécurité. Akamai a, par ailleurs, défini le profil de plusieurs botnets d’attaques visant des applications web au moyen d’une nouvelle technique d’analyse tirant parti de données glanées sur Akamai Intelligent Platform™. Les botnets en question visaient à automatiser la découverte de vulnérabilités dans ces applications web face à des attaques par injection de commandes RFI (Remote File Inclusion) et OS (Operating System). Les experts Akamai ont établi leur profil en isolant des URL et charges utiles de code malveillant identiques entre des attaques apparemment sans lien. Une charge utile a servi à regrouper les données et à cartographier l’activité des botnets, les acteurs en lice et les applications web victimes de ces attaques. Cette technique de profilage permettra de recenser d’autres sources d’attaques.

Neutralisation des bots, scrapers et autres spiders
Si les attaques par déni de service ralentissent considérablement les performances d’un site, les robots d’indexation ont, eux aussi, une incidence, mais dans un degré moindre. Les plus mal codés peuvent même s’apparenter à du trafic DDoS. Akamai établit un classement des robots d’indexation en fonction de leur intérêt et de leur impact sur les performances des sites. Le Rapport de sécurité documente la hiérarchisation et la neutralisation de leurs effets.(Le rapport)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Sauvegarde

Comment préserver les données confidentielles de sa messagerie ?

Google a récemment révélé à trois journalistes de Wikileaks que l’entreprise avait du fournir au FBI le contenu de leurs messageries suite à un mandat de perquisition resté secret. Une opération plutôt indélicate qui aurait pu être en partie contrée.

Lorsque l’on aborde la sécurité des données, on parle souvent de protection contre les cybercriminels ou contre les employés peu scrupuleux, prêts à partager les informations confidentielles de l’entreprise. On oublie souvent l’aspect juridique. Il arrive en effet que dans le cadre d’une enquête ou d’une procédure judiciaire, la justice donne accès à tout ou partie des données d’une entreprise ou d’une personne.

C’est la mésaventure qui est récemment arrivée à trois journalistes de Wikileaks qui ont été informés par Google, que ce dernier avait été contraint de fournir le contenu de leurs messageries et potentiellement d’autres informations sur eux au FBI. Cette démarche qui reste relativement exceptionnelle faisait suite à un mandat de perquisition secret.

Sans les révélations de Google, peu de chance que les journalistes eussent été informés. Cela pose néanmoins un problème de confiance. Comment se fait-il que Google ai attendu deux ans avant d’informer les journalistes de cette requête et qu’a-t-il fait de concret pour protéger les données de ses utilisateurs ? Certains rétorqueront qu’il ne fallait pas faire confiance à Google et à sa messagerie gratuite – « si c’est gratuit vous êtes le produit ». Néanmoins, entre une utilisation marketing de certaines informations stipulées dans les conditions d’utilisation et les révélations de ces informations dans le plus grand secret, il y a quand même une différence.

Comment protéger ses données sur le web ?
Aujourd’hui les données d’une entreprise ou des personnes sont stockées en plusieurs endroits : serveurs, disques externes, services Cloud et les différents terminaux (PC, tablettes, téléphones). Difficile d’assurer la sécurité de tous les terminaux à tout moment et d’être totalement sûr de la fiabilité de la protection assurée par les services tiers susceptibles d’être utilisés. Reste alors la solution de protéger la donnée elle-même.

Le chiffrement, une solution idéale !
Comme le définit Wikipedia « Le chiffrement est un procédé de cryptographie grâce auquel on souhaite rendre la compréhension d’un document impossible à toute personne qui n’a pas la clé de (dé)chiffrement. ». Le chiffrement présente donc un réel intérêt pour les entreprises ou les particuliers qui souhaitent protéger leurs données et les rendre illisibles, même (et surtout) en cas de vol. Il faudrait en effet déployer des efforts considérables et utiliser un matériel tel qu’un supercalculateur, pour avoir une chance de déchiffrer des données chiffrées obtenues de manière frauduleuse.

Une fois chiffrées, les données, où qu’elles se trouvent, ne peuvent effectivement être lues que par les personnes ayant connaissance du mot de passe. Qu’elles soient dans le périmètre de l’entreprise, dans le cloud, sur une clé USB ou qu’elles soient échangées par mail ou tout autre moyen, les données chiffrées resteront constamment protégées. Seul le détenteur de la clé de chiffrement pourra accéder au contenu des fichiers garantissant ainsi leur totale sécurité.

Et en cas de requête judiciaire ?
Pour en revenir au sujet des journalistes de Wikileaks, le chiffrement n’aurait pas empêché la justice d’obliger Google de livrer des données privées au FBI. Toutefois, sans la clé il est quasiment certain que le FBI aurait été incapable de lire ces dernières. De plus, si la justice peut vous contraindre à fournir votre clé, au moins vous êtes informé de la démarche et en mesure de pouvoir intervenir et de faire appel à un avocat.

Sur quels critères choisir sa solution de chiffrement ?
Le choix d’une solution de chiffrement doit être effectué avec soin. Mieux vaut éviter les solutions de chiffrement non validées ou gratuites dont la fiabilité n’est pas complètement garantie. Idéalement une entreprise devra porter son choix vers une solution certifiée par des organismes reconnus tel que l’ANSSI. Ensuite, il faut que cette solution garantisse à l’entreprise ou à l’utilisateur, et uniquement à ce dernier, la totale responsabilité en ce qui concerne la gestion des clés. Le chiffrement doit se faire sur votre système avec la clé conservée en interne. Si vous décidez d’opter pour le chiffrement et que vous restez maître de vos clés, alors la sécurité de vos données sera pleinement garantie. Des solutions telles que Zed! permettent à des utilisateurs de chiffrer très facilement des données confidentielles et de les échanger en toute sécurité que ce soit par mail, par téléchargement FTP ou au travers de solutions de type Cloud. Seuls les détenteurs de la clé permettant d’accéder aux données seront en mesure de lire ces dernières. Les données confidentielles sont ainsi protégées à tout moment, où qu’elles soient. Par Xavier Dreux, Responsable Marketing Prim’X.

Emploi, Entreprise, ID, Identité numérique, Particuliers, Propriété Industrielle

Bon plan

Découvrez les dernières innovations technologiques le 14 et 15 mars au Grand Palais de Lille.

Google Glass, Oculus Rift, objets connectées, imprimantes 3D, drones… L’innovation, ce n’est pas qu’en Californie ! Le 14 et 15 mars, vous aurez l’opportunité d’essayer ces technologies du futur lors de la 3ème édition du salon HelloWorld!.

Le Forum HelloWorld! est le salon Lillois consacré aux nouvelles technologies. C’est un véritable moment d’échange, où les professionnels issus du numérique  et le grand public se côtoient pendant deux jours. L’innovation est mise à l’honneur, et permet aux visiteurs de découvrir les nouvelles créations et tendances. Des grandes entreprises comme Microsoft, IBM ou OVH aux jeunes startups, ce ne sont pas moins de 30 exposants qui présenteront les nouveautés sur 1500 m².

De nombreuses animations et tests auront lieu : tests des Google Glass, de l’Oculus Rift, de montres et bracelets connectées, de drones Parrot, tests de plusieurs jeux vidéo en avant-première. Envie d’aller plus loin ? Certaines entreprises prestigieuses et d’envergures mondiales ouvriront leurs portes. N’oubliez pas d’amener votre CV, comme l’ont fait plus de 200 étudiants l’an dernier !

Un tournoi LAN de jeux vidéo inter-écoles, la HelloWorld!CUP, sera organisée en parallèle. Des étudiants de toute la France viendront représenter leurs écoles et s’affronteront pour tenter de remporter 10000€ de lots sur les célèbres jeux League of Legends et HearthStone. Ce moment de convivialité et de festivité sera commenté par des professionnels de l’eSport, et des pizzas et boissons seront distribués gratuitement à tous les joueurs.

le salon du numérique se déroulera du 14 au 15 mars à Lille Grand Palais de 9h à 18h. Entrée Gratuite.

Emploi, Entreprise, Sauvegarde

e-reputation des entreprises et des administrations

Une norme internationale – ISO 20488 – se prépare et la France est en tête de pont. Le comité technique international de normalisation « réputation en ligne » (ISO) a été créé à l’initiative de la France. AFNOR appelle tous les professionnels français de l’e-reputation à rejoindre la commission créée pour participer à la diffusion de leur savoir-faire dans le monde.

A l’international, les entreprises partagent toutes les mêmes problématiques. Leur réputation est désormais liée à la digitalisation des comportements des consommateurs. Les clients décident de ce qu’elles sont, ils le partagent à toute heure et dans toutes les langues. Le besoin de capitaliser sur les pratiques des professionnels d’e-réputation est partagé au niveau international. En mettant en commun leur savoir-faire en commission de normalisation AFNOR, les français pourront participer à la définition des outils et des méthodes de référence internationales de demain. Par des normes d’application volontaire, toutes les parties prenantes pourront partager des bonnes pratiques, et donc les faire connaître.

Les premières pistes de réflexion
·      Elaborer à l’échelle internationale une méthode fiable de traitement des avis de consommateurs,
sur la base de la 1ere norme française qui a ouvert la voie en 2013.
·      S’accorder sur un glossaire commun sur la e-réputation des organisations publiques et privées.
·      Etudier le rôle des médias sociaux et des autres outils dans les débats de normalisation.

D’abord renforcer la commission de normalisation française
La France est au coeur de norme internationale du projet pour plusieurs raisons.

1 – Son avance avec la 1ere norme française internationalement reconnue, publiée en 2013.

2 – Le pilotage du projet international confié à un français, Laurent Petit dialogue & digital skills manager de Décathlon et président du comité technique ISO « online reputation ». Son rôle : susciter un travail constructif entre tous les pays volontaires, créer un consensus, et  encourager d’autres pays à s’investir dans les travaux…

3 – La France s’engage aussi avec la volonté de diversifier la commission de normalisation nationale qui défendra nos couleurs dans les discussions internationales. Les représentants des voyagistes et des hôteliers, déjà très présents, doivent être rejoints par des professionnels de la e-reputation car la France a un vrai savoir-faire en la matière.

Les représentants de l’automobile, des nouvelles technologies, des équipements sportifs, des médicaments, du secteur des services, du secteur bancaire ont toute leur place au sein de la commission française.

Qui compose le comité de l’ISO sur l’e-reputation piloté par La France ?
27 pays représentés par des entreprises, des administrations et des associations de consommateurs. 9 ont le statut de participants actifs (Allemagne, Canada, Chine, Espagne, Finlande, France, Malaisie, Royaume-Uni et République Tchèque) ; 18 sont des observateurs, parmi les quels le Brésil, le Japon et l’Inde. Cette liste est appelée à évoluer selon les choix stratégiques opérés par les parties intéressées.
Le rôle d’AFNOR est de contribuer aux travaux des instances de normalisation européenne et internationale où 87% des normes volontaires, disponibles en France, ont été réalisées en 2014.

Les initiatives prises par les parties prenantes, les bureaux de normalisation sectoriels et AFNOR ont permis, en 2014, de maintenir la France en 2ème position en Europe et en 3ème place au niveau mondial (devant le Royaume-Uni et le Japon) en termes d’exercices de responsabilités au sein des instances de normalisation. Pour rejoindre la commission de normalisation française E-reputation.

Qu’est-ce qu’une norme volontaire ?
A la différence de la réglementation, une norme volontaire est une méthode de référence élaborée à la demande et avec le concours actifs des parties intéressées, réunies de manière représentative (industriels, consommateurs, associations, syndicats, collectivités locales…) par AFNOR. Elle est d’application optionnelle, sauf si la réglementation l’impose (1% des cas). Les normes volontaires fournissent des principes et des exigences pour une activité ou ses résultats. Elles sont revues systématiquement et a minima tous les cinq ans. Les utilisateurs décident de leur maintien, de leur mise à jour ou de leur annulation.

Les normes volontaires en chiffres
33 614 normes volontaires étaient disponibles à fin 2014. 756 nouvelles normes ont été publiées en 2014 (87% d’origine européenne ou internationale). 1 249 ont été mises à jour et 1790 ont été supprimées.