Archives mensuelles : novembre 2016

Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Propriété Industrielle

Le patron sourd aux attaques informatiques ?

Si les RSSI en Europe tiennent la forme au plan de la cybersécurité, les échanges avec leurs directions s’avèrent tendus s’agissant de la notification des attaques. L’étude commandée par Palo Alto Networks établit également que les responsables de la sécurité informatique accueillent favorablement la législation de l’UE, mais redoutent les coûts et contraintes opérationnelles.

Une idée reçue veut que les professionnels de la sécurité informatique en Europe soient sous la coupe de leurs adversaires en matière de cybersécurité. Pourtant, une nouvelle étude approfondie sur les mentalités actuelles, réalisée pour Palo Alto Networks par un cabinet indépendant, met en évidence une profession plus déterminée et sûre d’elle qu’on ne pourrait le croire.

Les véritables tensions ressenties par les responsables de la sécurité informatique dans leur vie professionnelle ont trait aux échanges difficiles qu’ils ont immanquablement avec leurs supérieurs hiérarchiques au sujet des conséquences de ces attaques. Le rapport met également en évidence la nécessité de muscler les systèmes et processus, dans la perspective de notification des failles de sécurité exigée par le Règlement général de l’Union européenne sur la protection des données (RGPD) et la Directive NIS sur la sécurité des réseaux et des systèmes d’information.

Par ailleurs, plusieurs années de cyberattaques n’ont pas fait chanceler les professionnels de la sécurité informatique, au contraire : ils sont encore plus expérimentés et résolus à les contrer. Interrogés sur la manière dont ils réagiraient face à un cyberincident, ils avouent, pour la majorité (60 %), qu’ils y verraient là l’occasion de tirer les leçons de cette expérience et de rebondir ; 9 % seulement songeraient à donner leur démission. En Europe, la stratégie dominante consiste à tout miser sur la prévention puisque, en moyenne, 65 % du budget de la sécurité informatique lui est consacrée.

Là où les professionnels de la sécurité informatique sont moins à l’aise, c’est dans leurs relations avec la direction de l’entreprise :

·    Perplexité des hauts responsables sur les questions de sécurité – Après une faille de sécurité, près du tiers (32 %) des professionnels de la sécurité informatique constatent le désarroi de leurs supérieurs hiérarchiques, totalement perplexes sur les causes réelles de cet incident ; si, pour près d’un professionnel interrogé sur cinq, la direction rejette la responsabilité sur l’équipe en charge de la sécurité informatique, elle adresse personnellement des reproches à un professionnel sur dix.

·    La sécurité est un sujet de conversation délicat – Si la moitié des professionnels de la sécurité informatique (51 %) ont bien du mal à attirer l’attention de leur direction sur les déficiences éventuelles des systèmes de sécurité, le reste (49 %) a davantage de difficultés à admettre que quelque chose n’a pas fonctionné et qu’une faille s’est produite. Le dialogue devient extrêmement compliqué lorsque l’erreur humaine est en cause (28 %), que la faute est imputable à un fournisseur (23 %) et que davantage d’investissements sont nécessaires pour limiter les risques à l’avenir (21 %).

·    Impliquer la direction risque de se retourner contre eux – Le tiers des professionnels de l’informatique estime qu’en associant la direction, ils ne font que compliquer les choses. À noter que la troisième raison la plus couramment avancée pour ne pas signaler un incident tient au fait que la personne à l’origine de celui-ci faisait partie de l’équipe dirigeante.

·    La législation européenne ne fait qu’accroître les tensions managériales en interne – Près de la moitié des professionnels de l’informatique (47 %) s’attendent à des échanges « corsés » avec leur direction concernant ces nouvelles exigences de notification en matière de failles de sécurité. Même si la majorité (63 %) voit d’un bon œil l’impact de cette législation, les participants à l’étude s’inquiètent des coûts et complications supplémentaires induits ainsi que des contraintes opérationnelles que les nouveaux textes risquent d’entraîner (56 %). Si la principale raison avancée aujourd’hui pour ne pas faire état d’une faille de sécurité a trait au caractère insignifiant de celle-ci (30 % des cas) ou au manque de temps du professionnel de l’informatique (27 %), il est évident que d’immense défis restent à relever.

« Tensions et méconnaissance sont manifestes, au vu de cette étude. Dans mes échanges avec les acteurs en région EMEA, je consacre énormément de temps à les aider à déterminer dans quelle mesure les professionnels de la sécurité informatique et le reste des équipes dirigeantes peuvent se rapprocher sur des questions de cybersécurité aussi complexes et stratégiques. La technologie peut contribuer à simplifier les processus en jeu, en prévenant les incidents et en automatisant les réponses à apporter. Mais, à l’évidence, un dialogue plus ouvert s’impose au sein même de l’équipe dirigeante afin de mettre en œuvre et perfectionner perpétuellement les stratégies de prévention des cyberattaques »,  Greg Day, vice-président et directeur régional de la sécurité EMEA, Palo Alto Networks

Réussir à parler un même langage : Nombre de hauts responsables ont des difficultés à appréhender le cyber-risque. Faites en sorte qu’ils parviennent à le maîtriser en définissant des indicateurs clairs en matière de cybersécurité :

·    Dans le cadre de votre stratégie de prévention, associez ces dirigeants à un exercice de préparation destiné à tester les processus de cybersécurité ; ils pourront ainsi mesurer pleinement les problématiques et les risques.

·    Insistez sur le fait qu’avec les nouvelles réglementations, comme le RGPD et la Directive NIS, les responsabilités de l’entreprise sont accrues. Même si la nécessité d’une cybersécurité de pointe n’a jamais été aussi forte, gardez à l’esprit que le parcours de l’équipe de direction n’a rien d’un long fleuve tranquille.

Les incidents sont inévitables, alors préparez-vous à les affronter. Sachez néanmoins que vous pouvez éviter nombre d’entre eux en vous recentrant sur certains principes clés, en tirant parti de l’automatisation, en misant sur la formation et en privilégiant la prévention.

Chiffrement, Cyber-attaque, Cybersécurité, Mise à jour, Patch, Piratage, Virus

Sednit : dissection d’un groupe de cyber espions

Les chercheurs ESET annoncent la publication d’un vaste document de recherche en 3 parties « En route with Sednit ». L’observation de l’utilisation simultanée d’un bootkit et d’un rootkit par les cybercriminels a permis d’analyser leurs cibles et méthodes.

Ce groupe aussi connu sous le nom d’APT28, Fancy Bear ou Sofacy, agit depuis 2004. Son principal objectif est le vol d’informations confidentielles de cibles spécifiques.

Partie 1 : « En route with Sednit : Approaching the Target » se concentre sur la cible des campagnes de phishing, les méthodes d’attaque utilisées ainsi que la première phase de l’attaque utilisant le malware SEDUPLOADER, composé d’un compte à rebours et d’une charge utile associée.

Partie 2 : « En route with Sednit : Observing the comings and goings » couvre les activités de Sednit depuis 2014 et détaille la boîte à outils d’espionnage utilisée pour la surveillance à long terme des ordinateurs compromis. Cela est rendu possible grâce à deux backdoor SEDRECO et XAGENT, ainsi qu’à l’outil réseau XTUNNEL.

Partie 3 : « En route with Sednit : a mysterious downloader » décrit le logiciel permettant la première phase de l’attaque DOWNDHELPH qui selon nos données de télémétrie n’aurait servi que 7 fois. A noter que certains de ces déploiements ont requis des méthodes de « persistances avancées » : Windows bootkit et Windows rootkit. « L’intérêt pour ces activités malveillantes est née de la détection d’un nombre impressionnant de logiciels personnalisés déployés par le groupe Sednit au cours des deux dernières années », déclare Alexis Dorais-Joncas, Security Intelligence team lead chez ESET et dédié à l’exploration des activités du groupe Sednit. « L’arsenal de Sednit est en constante évolution. Le groupe déploie régulièrement des logiciels et techniques de pointe, tandis que leur malware phare a également évolué de manière significative au cours des dernières années ».

Selon les chercheurs, les données collectées à partir des campagnes de phishing menées par Sednit montrent que plus de 1.000 profils d’individus hauts-placés impliqués dans la politique d’Europe de l’EST ont été attaqués. Contrairement aux autres groupes d’espionnage, le groupe Sednit a développé son propre « exploit kit » et utilisé un nombre étonnamment important d’exploits 0-day. Les activités du groupe cybercriminel de ces dernières années envers les personnalités hauts-placées, ont suscité l’intérêt de nombreux chercheurs.

Chiffrement, cryptage, Cybersécurité, Mise à jour, Patch

Contrer les cyber menaces qui ont le vent en poupe

Entre malware, vols de mots de passe et hameçonnage, les menaces en ligne sont de plus en plus nombreuses et sophistiquées. Les experts révèlent d’ailleurs que le marché des logiciels de cyber-sécurité génèrera près de 7 milliards de dollars en Europe de l’Ouest d’ici 2020, en partie pour contrer la multiplication des attaques.

Toutefois, bien que les utilisateurs puissent compter sur des outils performants, la sensibilisation et la vigilance peuvent également aider à éviter certaines menaces présentes sur le web. Les cyber risques prennent différentes formes et sont conçus pour piéger les gens. C’est pourquoi il est impératif de prendre de bonnes habitudes préventives contre certaines attaques répandues. De cette façon, les internautes peuvent apprendre à reconnaitre les menaces et ainsi réduire les risques de se faire pirater.

« L’expansion des technologies nous incite à utiliser davantage les services en ligne au quotidien : effectuer un virement depuis notre compte bancaire, réserver un billet d’avion ou encore télécharger une application, commente Par Michal Salat, Directeur du Service de Renseignements sur les Menaces Informatiques chez Avast. Tout cela est bien pratique, mais expose aussi davantage l’utilisateur aux attaques s’il n’est pas attentif et n’applique pas quelques bonnes pratiques pour se protéger.« 

Attention aux données partagées publiquement
Les nombreuses plateformes de réseaux sociaux nous poussent à mettre en avant nos moments de joie, nos sentiments, les endroits dans lesquels nous sortons et les personnes que nous fréquentons. Alors que ce sont des choses agréables à partager avec nos amis et notre famille, ces informations peuvent devenir dangereuses en tombant entre de mauvaises mains. Les hackers sont en mesure de collecter les données personnelles exposées publiquement qui leur permettront non seulement d’en savoir le plus sur nous, mais également de deviner un mot de passe ou de personnaliser des attaques ciblées. Par exemple, les utilisateurs ne se méfient pas lorsqu’ils révèlent qui ils sont sur Facebook, mais ils oublient à quel point il est facile de trouver le nom de jeune fille de leur mère – qui est souvent une question posée lorsque l’on veut réinitialiser son mot de passe. C’est pourquoi il faut absolument faire attention au type d’informations personnelles que nous mettons en ligne, aux personnes que nous autorisons à voir ces données que nous postons et éviter de poster celles qui pourraient permettre aux hackers de « deviner » nos identifiants et s’en servir à des fins malhonnêtes. Pour limiter ce risque, les utilisateurs doivent tout d’abord régulièrement vérifier les paramètres « vie privée » de leurs réseaux sociaux et savoir exactement qui voit leurs posts. De plus, les utilisateurs doivent s’efforcer de choisir des mots de passe aléatoires, longs, complexes, et composés de lettres, de chiffres et de caractères spéciaux. Il est également conseillé de créer un mot de passe différent pour chaque compte et de les changer régulièrement.

Les arnaques au phishing
Cette tactique, qui découle directement de l’ingénierie sociale, est fréquemment utilisée par les hackers. Une fois que le pirate a récolté des informations personnelles, il peut créer des arnaques si personnalisées qu’elles trompent facilement la confiance des utilisateurs. En utilisant ces données ainsi que les codes visuels d’organisations telles que les banques, les pirates cherchent en général à accéder aux comptes bancaires, ou encore à infecter les appareils dans le but d’obtenir les informations de connexion et de dérober de l’argent. La première chose fondamentale dont il faut se rappeler est que la majorité des organismes officiels et notamment les établissements bancaires ne demandent jamais à leurs clients d’envoyer leurs identifiants ou mots de passe par email. Par ailleurs, si le message contient un lien ou un fichier suspect, dans le doute, mieux vaut ne pas les ouvrir, supprimer immédiatement l’email par précaution et se renseigner auprès d’interlocuteurs fiables afin de vérifier de vive voix ce qu’il en est réellement.

Des logiciels malveillants bien trop présents
En termes de menaces en lignes, les malwares sont également légions. Ils sont partout, dans les sites web piratés, les publicités, les démos de jeux, des photos ou encore des fichiers musicaux frauduleux. Les hackers utilisent ces malwares à de nombreuses fins, mais principalement par appât du gain. La méthode ransomware est très populaire en ce moment, et surtout la pire de toutes ! Une fois qu’ils ont infiltré le système, les cybercriminels accèdent aux informations personnelles, chiffrent ces données ou verrouillent complètement l’appareil et demandent une rançon à la victime pour les rendre de nouveau accessibles. Pour s’en préserver, deux astuces imparables : ne pas ouvrir de pièces jointes ou de liens provenant d’expéditeurs inconnus et télécharger des jeux, musiques et autres applications depuis des sites officiels uniquement. Il est également impératif de s’équiper d’outils capables de détecter et de supprimer les malwares, et de mettre régulièrement à jour son antivirus, son routeur ou sa box Wifi, ainsi que les systèmes d’exploitation de ses appareils afin de mettre toutes les chances de son côté pour ne pas tomber dans les pièges.

C’est une chance d’avoir accès à des solutions de sécurité de qualité, mais ce n’est malheureusement pas toujours suffisant. Prendre l’habitude de suivre ces quelques conseils peut faire toute la différence et permettre de protéger ses données personnelles mais également de préserver ses deniers !

Base de données, Chiffrement, Cybersécurité, double authentification, Entreprise, Fuite de données, Sauvegarde

65% des DSI anticipent une fuite massive de données dans les prochains mois

Un rapport d’OKTA montre un paradoxe saisissant : les entreprises migrent de plus en plus sur le cloud, mais n’investissent pas suffisamment en sécurité. La sécurité reste le parent pauvre du cloud, et les DSI peinent à convaincre de son impact positif sur la productivité.

Okta, le leader de la gestion des identités et des terminaux à l’heure du cloud et de la mobilité d’entreprise, annonce les résultats de la première édition de son rapport Secure Business Agility. Selon les données compilées à l’issue d’une enquête menée auprès de 300 DSI et RSSI, la plupart des organisations sont intimement convaincues de la nécessité absolue d’offrir les meilleures technologies à leurs utilisateurs pour stimuler leur productivité. Pourtant, nombreuses sont celles qui peinent à faire preuve d’agilité, à cause d’une vision de la sécurité dépassée et focalisée sur leurs systèmes internes.

L’incapacité des organisations à adapter et à mettre à niveau leurs outils de sécurité représente pour elles un risque sur le plan de la sécurité. Ainsi, 65% des répondants s’attendent à ce que leur organisation soit victime d’une fuite de données dans les 12 prochains mois, à moins qu’elles ne parviennent à mettre à jour leurs solutions de sécurité à temps.

« Dans un souci de productivité, les organisations du monde entier investissent dans des technologies cloud et mobiles permettant à leur personnel de travailler virtuellement de n’importe où. Néanmoins, cette approche n’est pas la garantie d’une véritable agilité. Les organisations étant de plus en plus connectées, l’idée que l’on se fait traditionnellement des frontières de leurs réseaux est en train de disparaître. Les entreprises doivent donc renforcer leur sécurité en priorité », déclare David Baker, responsable de la sécurité des systèmes d’information chez Okta. « Afin de bien maîtriser leur nouveau périmètre et d’éviter de compromettre la sécurité et la productivité des salariés, les DSI doivent adopter des outils allant au-delà des frontières classiques des sociétés et de leurs réseaux, et rendre l’ensemble de leur organisation agile.»

Les principaux enseignements du rapport :
–      Les organisations sont divisées quant à l’impact positif ou négatif de leurs stratégies de sécurité sur leur productivité et leur agilité : On constate des divergences d’opinions au sein des personnes interrogées sur l’effet favorable ou non de leurs mesures de sécurité sur la productivité. Ainsi, plus de la moitié des répondants (52%) affirment que leurs solutions de sécurité actuelles compromettent la productivité, tandis que 48% d’entre eux estiment que les mesures en place permettent à leur organisation d’adopter des solutions de premier plan favorisant la productivité et l’agilité. Le DSI est pris dans l’étau, entre sa mission qui est d’assurer une sécurité maximale à l’entreprise et sa volonté de ne pas brider la productivité.

–       La visibilité sur l’utilisation des applications est limitée : Selon les résultats de notre enquête, 85% des DSI souffriraient d’un manque d’informations sur les individus ayant accès aux différentes applications au sein de leur organisation. Plus inquiétant encore : 80% des répondants considèrent que la faiblesse des mots de passe ou des contrôles d’accès constitue une problématique de sécurité.

–       Investir dans de nouvelles technologies mobiles, d’automatisation et cloud s’avère être une stratégie payante pour les organisations : 92% des personnes interrogées estiment que leur organisation pourrait faire davantage pour intégrer et prendre en charge des applications cloud dans leurs infrastructure et systèmes. Les équipes informatiques ont donc une formidable opportunité de réduire ce pourcentage en augmentant l’agilité et la productivité au sein de leur entreprise.

Pour plus de renseignements sur les facteurs encourageant le renforcement de la sécurité via le cloud, et sur les risques liés au maintien d’une approche statique basée sur des technologies dépassées, consultez le rapport Secure Business Agility ICI.

Argent, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, escroquerie, Leak, Particuliers, Piratage, santé

L’hygiène informatique dans les hôpitaux, un enjeu de sécurité publique

La numérisation de la société et des services publics n’épargne pas les hôpitaux et autres institutions de soins. Mais depuis plusieurs mois, ces établissements sont la cible de pirates dont les attaques représentent un vrai danger pour l’intégrité de notre système de santé.

Hygiène informatique dans les hôpitaux – C’est un chiffre qui a de quoi étonner : en 2015, en France, 1300 attaques informatiques ont été dirigées contre des établissements de santé, hôpitaux inclus. A l’échelle quotidienne, le chiffre est encore plus saisissant avec une moyenne de 3 à 4 actions malveillantes par jour à l’encontre des systèmes informatiques (SI) de ces établissements. Et encore, on ne parle ici que des actes de piratage officiellement déclarés aux ministères des Affaires sociales et de la Santé. La discrétion observée dans le milieu ne laisse entrevoir que la partie émergée de l’iceberg. Pour des raisons de sécurité mais aussi de réputation…

Aujourd’hui, le bon fonctionnement d’un hôpital dépend toujours de l’organisation et des compétences de son personnel. Mais plus seulement ! Il dépend aussi des outils numériques utilisés à tous les étages. Tous ces équipements connectés qui constituent l’hôpital moderne, désigné officiellement par les pouvoirs publics comme l’hôpital numérique.

A l’accueil par exemple, c’est l’ordinateur qui permet de créer un dossier patient sur le système central de l’établissement. C’est la borne interactive destinée à orienter les visiteurs. En salle d’opération, ce sont les écrans d’aide à l’intervention chirurgicale, les moniteurs de suivi du patient.

Dans le stock de médicaments, ce sont les robots préparateurs en pharmacie. Dans les chambres, c’est le système de divertissement et d’informations médicales consultable par le patient sur tablette tactile.

C’est aussi le réseau Wi-Fi local qui permet au personnel de consulter les dossiers médicaux à partir de n’importe quelle pièce, de n’importe quel support, vers n’importe quelle source, interne ou externe…

15 000 euros de rançon
Chacun de ces appareils connectés à l’avantage de faire gagner du temps, de la précision, et de l’argent. Mais ils ont le principal défaut d’être le plus souvent reliés à un seul et même réseau. Pour des raisons de coût et de négligence…

Un caillou jeté dans cette vitrine technologique, et c’est le fonctionnement de tout l’établissement qui s’en trouve perturber. Le centre médical presbytérien d’Hollywood, aux États-Unis, en a fait l’amère expérience en février 2016.

Un ransomware, baptisé Locky, a été injecté dans le réseau de l’établissement, verrouillant l’accès aux serveurs et ordinateurs utilisés par le personnel. Moyennant une somme négociée à 15 000 euros avec les pirates à l’origine de cette paralysie, le centre a pu retrouver l’accès à son réseau.

En France, quelques semaines plus tard, c’est le centre hospitalier d’Épinal qui était la cible d’une attaque. Croyant recevoir un mail de son avocat, un médecin a cliqué sur la pièce jointe au message. Le geste a contaminé l’ensemble du réseau de l’hôpital. La direction de l’établissement est restée très évasive sur ce piratage, sans confirmer l’attaque du ransomware avancée par le site spécialisé Zataz.

Comme son nom l’indique, le ransomware, ou rançongiciel en français, a vocation à permettre de soutirer une rançon avant de redonner accès aux outils numériques d’un établissement. Où il est ici « seulement » question d’argent.

Mais l’attaque d’un hôpital peut provoquer plus de dégâts, encore hypothétiques aujourd’hui. Tout d’abord sur le matériel, comme l’a expérimenté le spécialiste en cybersécurité, Sergey Lozhkin.

Hygiène informatique dans les hôpitaux

Le vrai-faux pirate a réussi à prendre le contrôle du scanner médical d’un hôpital via le réseau interne wi-fi de l’établissement. Rien de malveillant dans l’intention. Juste la démonstration qu’aux commandes de la machine, il pouvait en dérégler les paramètres, jusqu’à provoquer une panne sur un outil précieux, tant du point de vue médical que financier.

Ce qui peut être fait sur un scanner, peut l’être tout autant sur une climatisation ou, pire, sur un appareil d’assistance branché sur un malade. Et dans ce cas, le changement des paramètres peut alors avoir des conséquences bien plus fatales…

Face à ces attaques, les hôpitaux et autres établissement de santé se donnent-ils pour autant la force d’agir et de réagir ? Oui, pour une grande majorité si l’on se réfère à l’Atlas 2016 des systèmes d’information hospitaliers (SIH). Selon ce rapport annuel délivré par la Direction Générale de l’Offre de Soins (DGOS), 88% des établissements de santé disent avoir engagé une politique de sécurité du système informatique, contre 74% l’année précédente. L’objectif imposé par l’Etat dans son programme Hôpital numérique est de 100% d’ici à 2018.

La sensibilisation du personnel à l’ Hygiène informatique

Mais reste à savoir quels moyens cela implique. Un chiffre relativise cette notion de politique de sécurité : seuls 8% des établissements ont un référent à temps complet. L’implication est plus importante pour les CHU et CHR, avec un Monsieur -ou une Madame- Sécurité SI à temps complet dans 42% des cas. Les autres mutualisent ou externalisent.

Quelle que soit la formule choisie, la politique de sécurité informatique d’un hôpital passe par la sensibilisation de son personnel. Car le point d’entrée le plus vulnérable d’un réseau, c’est bien l’humain. Sa méconnaissance des dangers, comme l’ouverture d’une pièce jointe dans un mail, peut conduire à la catastrophe. Ou l’affichage d’un mot de passe sur un bout de papier collé sur un bureau pour l’ensemble d’un service…

L’hygiène informatique en milieu hospitalier passe aussi par une évaluation de la solidité du réseau et des matériels connectés, des ordinateurs jusqu’à l’IRM. Par une protection anti-virus et l’utilisation de mots de passe complexes, pour accéder au réseau, puis à chacun des appareils connectés. Par une utilisation des derniers logiciels, et un suivi régulier de leurs mises à jour.

Tout comme les infections nosocomiales, les virus informatiques représentent une réelle menace pour les hôpitaux et autres établissements de santé. Ils n’ont donc d’autres choix, aujourd’hui et demain plus encore, que d’appliquer une politique d’hygiène informatique stricte. Il y va de la confidentialité de nos dossiers médicaux, mais aussi et surtout de l’intégrité du système de santé et de son bon fonctionnement au service du public. (Tanguy de Coatpont, directeur général de Kaspersky Lab France)

BYOD, Chiffrement, cryptage, Cybersécurité, double authentification, Entreprise

L’authentification forte est-elle l’avenir du mot de passe ?

Les actualités le prouvent trop souvent : la combinaison identifiant/mot de passe ne suffit plus à protéger correctement les accès aux applications aussi bien personnelles que professionnelles. En 2014 déjà, les vols de mots de passe ont coûté près de 3 millions d’euros à l’économie mondiale. C’est pourquoi de plus en plus d’entreprises et particuliers se tournent vers d’autres moyens pour sécuriser leurs données. Afin de contrer tout piratage, nous devons désormais choisir des mots de passe plus longs et plus complexes, un procédé qui s’avère de plus en plus pénible et fastidieux.

Mais alors que le mot de passe est le mode d’authentification (dit simple) le plus utilisé, peut-on envisager un autre moyen d’accéder à ses comptes en toute sécurité ? Comment la formule « moins de mots de passe = plus de sécurité » peut-elle marcher ?

Authentification forte vs authentification unique
Si l’identification requiert des internautes de répondre à la question « Qui êtes-vous ? » au travers d’un identifiant unique, ceci n’est pas à confondre avec le processus d’authentification qui, quant à lui, vise à valider l’identité, et peut se décliner sous deux formes différentes pouvant se compléter :

L’authentification forte (ou Multi-facteurs), qui demande d’associer plusieurs preuves en vue d’effectuer cette validation, par exemple quelque chose que l’on sait (mot de passe, code PIN) avec quelque chose que l’on possède (un élément biométrique, un objet ou une action). L’authentification unique (SSO), utilisant un compte unique donnant accès à plusieurs applications en ne s’authentifiant qu’une seule fois.

C’est justement ce dernier procédé que le gouvernement français a voulu soutenir via le dispositif « France Connect » permettant aux citoyens français de s’identifier sur les principaux sites publics via un seul jeu d’identifiants. Cela permet aux utilisateurs de s’identifier une seule fois, limitant ainsi les risques en réduisant le nombre de mots de passe à retenir.

Partant du constat simple que le premier élément de sécurité est l’identité et que le vrai point faible de l’identité est le mot de passe, l’authentification unique apparaît également comme une bonne stratégie à adopter pour toute entreprise ou particulier souhaitant en finir avec la multiplicité des identifiants et des mots de passe tels que nous les avons connus jusqu’à présent. Cette approche fournit également une expérience utilisateur améliorée pour les employés, les clients ou les citoyens. Pourtant, elle ne résout pas seule les enjeux de sécurité associés à l’authentification.

Alors que la mobilité et le Cloud font voler en éclat le périmètre de sécurité traditionnel des entreprises, celles-ci doivent s’efforcer de trouver de nouvelles stratégies pour se protéger.

L’authentification forte, clef de voûte de la sécurité de vos données
Depuis quelques mois, le niveau de créativité des cybercriminels a encore monté d’un cran, en ce qui concerne les techniques utilisées pour dérober des données personnelles des consommateurs. Avec l’utilisation accrue d’appareils mobiles et l’émergence des objets connectés stockant chaque jour d’avantage d’informations personnelles et confidentielles, il devient critique pour les particuliers et les entreprises de protéger efficacement leurs données sensibles. Fin 2015, Dropbox avait donné l’exemple, en annonçant une forme de sécurisation additionnelle de l’accès à leur service via des clés USB permettant une double authentification de ses utilisateurs visant à renforcer la sécurité des espaces de stockage de ses différents utilisateurs.

Par ailleurs, l’apparition de la génération Y et du tout connecté a chamboulé l’utilisation des appareils aussi bien à la maison qu’au travail, notamment avec l’avènement du BYOD. Alors que bon nombre d’employés connaissent les bonnes pratiques en termes de mots de passe, la facilité l’emporte très souvent sur la sécurité. Ainsi, près de la moitié des employés admettent qu’ils sont susceptibles de réutiliser des mots de passe personnels pour des comptes liés au travail[1]. Pourtant, l’avènement du BYOD fournit justement de nouveaux moyens de renforcer le processus d’authentification en adoptant des facteurs logiciels déployés sur l’équipement (mobile) de l’employé.

Enfin, concernant les services en ligne aux consommateurs (messagerie, collaboratif, stockage), les vols massifs d’identifiants et mots de passe soulignent d’autant plus le besoin de renforcer l’authentification avec plusieurs facteurs afin de limiter les risques de fraude liés à une simple authentification du couple identifiant/mot de passe. Yahoo en est à ce titre le dernier exemple de taille avec l’annonce il y a quelques jours d’un piratage de près de 500 Millions d’identifiants et mots de passe de clients s’étant déroulé plus de 18 mois auparavant !

Vers l’authentification adaptive
Les entreprises doivent donc s’efforcer d’adopter des mesures de sécurité simplifiées mais néanmoins plus robustes. Dernièrement, plusieurs gros acteurs du numérique ont choisi d’adopter de nouveaux moyens technologiques afin de s’assurer un niveau optimal de protection.

La biométrie a été l’une des dernières adoptions en date, alors même qu’elle ne représente pas une alternative 100% fiable lorsqu’elle est utilisée seule. Il y a un an, 5,6 millions d’empreintes digitales appartenant à un organisme gérant la carrière professionnelle des fonctionnaires fédéraux américains avaient été dérobées. Cette actualité démontre que la biométrie – ce système de reconnaissance basé sur des caractéristiques physiques ou comportementales d’un individu pour vérifier son identité – ne serait pas aussi fiable qu’on pourrait le penser et reste un moyen d’authentification encore fragile. Début 2015, un hacker était déjà parvenu à cloner l’empreinte digitale de la ministre fédérale de la Défense Allemande en la reconstituant grâce à des photos publiques en haute définition.

On peut imaginer renforcer la sécurité grâce à l’authentification adaptative et ainsi éviter de sacrifier l’expérience utilisateur. L’authentification adaptative permet de tenir compte de données telles que les adresses IP, la géolocalisation, la distance parcourue ou les empreintes comportementales pour attribuer un niveau de risque qui détermine si le client doit faire l’objet d’une demande d’authentification complémentaire. Si un client Uber commande un véhicule à New York et qu’une nouvelle commande se fait à Paris quelques minutes après, le contexte permettra d’établir un niveau de risque et, en fonction de celui-ci, d’appliquer une méthode d’authentification complémentaire telle que la biométrie, un jeton numérique (par exemple généré depuis le smartphone référencé du client) ou d’autres combinaisons de facteurs permettant de sécuriser la transaction.

Le couple SSO / Authentification Forte
Le couplage de l’authentification unique à l’authentification forte rend un double service auprès des utilisateurs : d’une part le consommateur ou l’employé bénéficie d’une expérience améliorée (et d’un réel confort), et d’autre part il permet d’élever de manière très conséquente la sécurité des services rendus tout en diminuant le risque de fraude. L’avenir est à la combinaison de ces deux moyens.

Les solutions de gestion des identités connaissent une adoption de plus en plus généralisée car elles proposent une expérience client homogène et répondent à des contraintes strictes en matière de  sécurité, de performances et de besoins techniques. Beaucoup d’entreprises et autres organismes ont déclaré que la fin du mot de passe était proche, il faut maintenant se pencher sur ce qui vient après. (Par Arnaud Gallut, Directeur Commercial France de Ping Identity).

Chiffrement, Cybersécurité, Entreprise, Fraude au président, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch

Cybersécurité : la France, bonne élève face à la menace croissante des arnaques aux services clients ?

Dans le cadre du Mois de la Cybersécurité, Microsoft a conduit une étude couvrant 12 pays*, dont la France, sur le comportement des internautes face aux arnaques aux faux services clients qui proposent un support technique (en anglais Tech Support Scam), actuellement en pleine croissance. Si l’Inde, la Chine et les Etats-Unis dénombrent le nombre de victimes le plus important (respectivement 54%, 35% et 33%), la France tire son épingle du jeu en n’affichant que 5% de victimes. Méfiant, plus d’un Français sur deux (51%) ne donne pas suite à ce type de sollicitation malveillante.

Parmi les menaces et escroqueries actuellement en pleine croissance sur Internet figurent les arnaques aux services clients. Il s’agit pour les usurpateurs de se faire passer pour un représentant du support technique d’un éditeur comme Microsoft afin de bloquer un ordinateur à distance jusqu’à ce que son utilisateur verse une rançon. Ce type d’escroqueries constitue la déclinaison de ce qui se faisait auparavant par téléphone et peut être désormais initié par e-mails, via des fenêtres pop-up ou des sites Internet. Effrayé, l’internaute est alors bien souvent tenté de répondre à la sollicitation et d’entrer dans le jeu des escrocs.

Afin de sensibiliser les internautes à ce phénomène de plus en plus courant, Microsoft publie les résultats d’une étude portant sur les comportements constatés dans 12 pays* face à ces menaces. Si globalement un tiers de la population de ces pays n’a jamais été confronté à ce type de menaces, 20% en ont en revanche été victimes. Dans ce cadre, certains pays se démarquent, tels que l’Inde, la Chine ou les Etats-Unis qui affichent un nombre de victimes bien supérieur. De même, les populations les plus vulnérables sont les Millenials (18-34 ans), ce qui s’explique probablement par leur confiance intuitive dans Internet.

La France : une population mature face à ce genre d’escroqueries
Près de 43% des internautes français n’ont jamais rencontré ce type de menaces ; Un Français sur deux, confronté à un risque d’attaque, a ignoré l’interaction (51%) ; 5 % des Français ont déjà été victimes de l’arnaque au support technique, dont 4% qui reconnaissent avoir subi des dommages financiers.

Pour aider les internautes français à renforcer leur vigilance et éviter ces escroqueries, Microsoft a mis en ligne une page pédagogique expliquant les différents types de menaces existants sur Internet et le comportement à adopter pour les éviter. Cette page est régulièrement mise à jour afin de permettre à chacun de se défendre dans le cadre d’un Internet toujours plus sûr.