Archives de catégorie : Chiffrement

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, santé

Trois logiciels destinés aux dentistes vulnérables aux pirates informatiques

Base de données vulnérables et manipulation possible pour 3 logiciels destinés aux dentistes.

Outils professionnels vulnérables ! Le CERT de l’Université américaine Carnegie Mellon vient d’annoncer la découverte de problèmes informatiques dans trois logiciels destinés aux dentistes souffraient de failles informatiques qui donneraient un accès aux données sauvegardées via ces outils professionnels. Des fuites qui concernent aussi les patients.

Parmi les failles, des injections SQL qui ouvrent les portes aux informations gardées par les bases de données. Sont concernés deux logiciels de gestion de dossiers dentaires : Dentsply Sirona et Open Dental. Ce dernier est très mignon, j’ai pu tester la chose chez un dentiste ami Belge, il n’y a pas de mot de passe pour accéder à l’outil de gestion MySQL (sic!).

Le troisième logiciel montré par la roulette du CERT, le Dexis Imaging Suite 10. L’éditeur vient de conseiller à ses utilisateurs de mettre à jour les informations d’identification de la base de données. Bref, lisez le mode d’emploi et changez les accès, les urls, …

L’ampleur du problème semble énorme. Des milliers de dentistes utiliseraient l’outil en question, dont des clients gouvernementaux américains comme des cliniques de la marine ou encore de l’US Air Force.

Open Dental, en tant que logiciel libre et open-source, est disponible pour quiconque souhaite le télécharger. 4000 cabinets dentaires l’utiliseraient.

Justin Shafer, l’auteur des trois découvertes, est un spécialiste de l’informatique « dentaire ». Ce Texan avait fait les manchettes de la presse US, l’année dernière, après que le FBI se soit invité chez lui, pour l’arrêter, après avoir divulgué une faille dans le logiciel Dentrix.

Chiffrement, cryptage, Cybersécurité, Identité numérique, Particuliers, Vie privée, VPN

Saisies de serveurs VPN chez Perfect Privacy

Un commentaire

La police néerlandaise a saisi deux serveurs appartenant à la société suisse Perfect Privacy dans le cadre d’une enquête. Les logs VPN concernés.

Récemment, la France et l’Allemagne ont déclaré la guerre au chiffrement avec un objectif de forcer les grandes sociétés de technologie à proposer des « outils » permettant de passer outre le chiffrement et l’anonymat des communications passant par les Internet. Bref, l’installation de backdoors [portes cachées]  dans les services de messageries sécurisés serait grandement appréciée. Et si cela ne fonctionne pas, la saisi du matériel reste la solution usitée par les autorités.

Le fournisseur de VPN [Virtual Private Network] Suisse, Perfect Privacy, informé, fin août, ses clients que deux de ses serveurs, basés chez I3D à Rotterdam au Pays-Bas, avaient été saisis par la police locale dans le cadre d’une enquête. La police n’a pas contacté directement la société Suisse, elle a été se servir directement chez son hébergeur néerlandais. Les fournisseurs de services VPN sont très souvent sollicités par la justice lors d’enquêtes en cours. Dans la majorité des cas, les sociétés, du moins celles basées dans des régions ou les législations sont peu regardantes sur le sujet, ne répondent pas. Il est fort probable que ce soit le cas pour Perfect Privacy.

En Avril 2016, la police néerlandaise avait déjà saisi du matériel, cette fois chez le fournisseur Ennetcom VPN, une société basée aux Pays-Bas et au Canada. Dans ce cas, la police avait  accusé Ennetcom d’aider les pirates informatiques et autres escrocs du numériques à se cacher.

A noter qu’un VPN reste un outil INDISPENSABLE si vous surfez hors de vos murs (Voyage, Gare, Hôtel, Aéroport…). Il permet de chiffrer vos communications entrantes et sortantes de votre ordinateur. Vos surfs sont, aussi, anonymes au regard du site, serveur, forum que vous visitez.

Chiffrement, cryptage, Cybersécurité, Justice, loi

Lutte anti-terrorisme et chiffrement : le Conseil national du numérique lance une réflexion à la rentrée 2016

Mardi 23 août, le ministre de l’Intérieur Bernard Cazeneuve a rencontré son homologue allemand pour soutenir une initiative européenne de lutte contre le terrorisme visant à limiter le chiffrement. En réaction, le Conseil national du numérique (CNNum) souhaite instruire les implications politiques, sociales et économiques d’une limitation du chiffrement. Le Conseil se saisira de cette question à la rentrée pour apporter sa contribution au débat.

A l’initiative du Président du CNNum Mounir MAHJOUBI, plusieurs membres du Conseil et experts extérieurs (dont Isabelle FALQUE-PIERROTIN – Présidente de la CNIL, Gilles BABINET – Digital Champion de la France auprès de l’Union européenne et Tristan NITOT – Fondateur de Mozilla Europe et Chief Product Officer de Cozy Cloud) se sont exprimés en faveur du chiffrement dans une tribune publiée dans “Le Monde” le 22 août. Ils alertent le gouvernement français sur les conséquences graves et non anticipées d’une limitation du chiffrement ou d’une généralisation des portes dérobées (backdoors). De telles mesures auraient pour conséquence d’affaiblir la sécurité des systèmes d’information dans leur ensemble” en ouvrant des failles de sécurité utilisables par tous, à des fins légitimes ou mal-intentionnées. De plus, elles auraient “une efficacité toute relative sur l’infime minorité d’utilisateurs ciblés”.

Accusé de faciliter la propagande et la préparation d’actes terroristes, le chiffrement est avant tout utilisé par les citoyens, entreprises et pouvoirs publics pour protéger des communications ou transactions. Il consiste à protéger des données en les rendant illisibles de l’extérieur et déverrouillables par une clé.

Mounir MAHJOUBI, Président du CNNum, résume ainsi les enjeux : “Il n’est pas question de nier les enjeux de sécurité et l’urgence d’agir. Le chiffrement peut être utilisé par des terroristes mais il constitue surtout un élément essentiel de notre sécurité en ligne et, partant, de celle de notre pays.”

Afin d’apporter à ce débat un éclairage à la hauteur des enjeux liés au chiffrement, le Conseil national du numérique prévoit donc de lancer dès la rentrée des travaux dédiés à ce sujet, notamment sur les règles de coopération judiciaire internationale et la généralisation d’une culture du chiffrement.

Chiffrement, cryptage, Cybersécurité, Espionnae, Logiciels, Microsoft, Mise à jour, Particuliers, Patch

Microsoft diffuse des infos chiffrées via votre port 80

Microsoft se fait envoyer, de votre ordinateur, des informations chiffrées. Toutes les 5 minutes des « trucs » passent par le port 80 de votre machine.

Âllo, le port 80 ? Voilà qui est « amusant ». Mike Patterson, patron de la société Plixer, spécialisée dans la sécurité informatique, découvre que les options de « confidentialité » proposées par Windows 10 ne servent à rien, mais qu’en plus, l’OS du géant américain communique toutes les 5 minutes des données chiffrées à un de ses serveurs.

Finesse de la chose, pour ne pas éveiller les soupçons, les données chiffrées communiquées à ssw.live.com le sont pas le port 80, via un bon gros HTTP. Il faut dire aussi que si les informations collectées, on ne sait pas lesquelles, passaient par un HTTPS (port 443), les soupçons auraient été plus rapide.

Lors de sa recherche, Mike Patterson a découverte que l’éditeur d’antivirus McAfee, ainsi que le fabriquant de casque Plantronics agissaient aussi de la sorte. [Techradar]

Chiffrement, cryptage, Cybersécurité, Facebook, Particuliers, Social engineering

Pirater des systèmes biométriques à partir de vos photos Facebook

Des chercheurs découvrent comment pirater des systèmes biométriques grâce à Facebook. Les photographies sauvegardées dans les pages de Facebook peuvent permettre de vous espionner.

De nombreuses entreprises de haute technologie considèrent le système de reconnaissance faciale comme l’une des méthodes fiables pour être reconnu par votre ordinateur. J’utilise moi-même la reconnaissance biométrique digitale, rétinienne et du visage pour certaines de mes machines. C’est clairement un des moyens simples et fiables de vérification d’une identité. Cependant, des chercheurs prouvent que la biométrie peut se contourner, dans certains cas, avec une photo, de la colle…

Une nouvelle découverte vient de mettre à mal, cette fois, la reconnaissance faciale mise en place par Facebook. Comme je pouvais vous en parler en 2014, Facebook met en place une reconnaissance faciale que des commerçants Américains ont pu tester avec succès. Des chercheurs ont découvert que cette prouesse technologique n’est pas encore parfaite et sujette au piratage. Des pirates peuvent utiliser votre profil Facebook, et les photos sauvegarder.

Systèmes biométriques

Des étudiants de l’Université de Caroline du Nord ont expliqué lors de la conférence d’Usenix, à Austin, avoir découvert une nouvelle technique particulièrement exaspérante pour intercepter l’intégralité d’un visage, via Facebook. Le rendu 3D et certaines « lumières » peuvent permettre de cartographier votre visage en deux clics de souris. Les chercheurs ont présenté un système qui créé des modèles 3D du visage via les photos trouvées sur Facebook. Leur modèle 3D va réussir ensuite à tromper quatre systèmes de reconnaissance faciale… sur 5 testés : KeyLemon, Mobius, TrueKey, BioID, et 1D.

Pour leur étude, 20 cobayes volontaires ont participé à l’expérience. Leurs photos sont tirées d’espaces publiques comme Facebook, mais aussi LinkedIn et Google+. La modélisation des visages à partir de 27 images différentes va permettre de créer des modèles en 3D, avec des animations faciales : bouches, yeux… Les chercheurs ont reconstruit les visages via les bouts trouvés sur les différentes photographies.

Argent, Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Leak, Paiement en ligne, Particuliers, Piratage

Infiltration de centaines de boutiques de prêt à porter

La chaîne de magasins de vêtements Eddie Bauer vient de confirmer l’infiltration de plus de 350 de ses magasins d’Amérique du Nord.

Les amateurs de vêtements connaissent la marque Eddie Bauer. Une enseigne bien implanter aux États-Unis. La société vient de confirmer que plus de 350 de ses points de vente avaient été infiltrés par un pirate informatique. Un code malveillant a été détecté et supprimé des systèmes de paiement des boutiques d’Amérique du Nord. Les pirates ont pu mettre la main, depuis le début d’année 2016, sur les données bancaires fournies par les clients.

KrebsOnSecurity avait alerté sur cette fuite au mois de juillet 2016. Eddie Bauer a mis 6 semaines pour confirmer et rassurer (ou pas) ses clients. Cette découverte se fait l’écho de l’infiltration d’un des espaces de la firme Oracle concernant les clients de son outil de paiement pour magasin (point-of-sale), MICROS.

https://krebsonsecurity.com/2016/08/malware-infected-all-eddie-bauer-stores-in-u-s-canada/

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Firefox, Leak, Logiciels, Microsoft, Mise à jour, Paiement en ligne, Patch, Piratage

Abuser le HTTPS des sites Internet

Un commentaire
Deux chercheurs en sécurité informatique découvrent une méthode pour abuser les sites Internet en mode sécurisé (https).

Deux informaticiens Belges viennent d’alerter Google, Microsoft et les participants de la Black Hat conférence d’un problème découvert permettant de piéger les sites Internet et leur mode sécurisé, le HTTPS. Pour Tom Van Goethem et Mathy Vanhoef, deux étudiants de l’université de Leuven, la technique exploitée est baptisée HTTP Encrypted Information can be Stolen Through TCP-Windows (HEIST).

L’idée malveillante est d’intercepter les données transmisses, passant par les protocoles de sécurité tels que SSL ou TLS. Bilan, le HTTPS (connexion sécurisé) ne sert plus à rien si l’interception du trafic est orchestré, dans la foulée, par un fichier JavaScript caché sur une page web dédiée, ou exploitée à cet effet. Une publicité diffusée par une régie extérieure, qui elle n’est pas sécurisée, peut permettre cette infiltration.

La présentation des deux doctorants en informatique est disponible ICI. Pour vous protéger de ce genre d’indiscrétion, désactivez les ‘third-party cookies’ dans les paramètres de votre navigateur. Je vais être clair, pas pratique, cela va perturber le bon fonctionnement des sites en HTTPS. Mais en attendant une correction des géants de l’Internet, pas d’autres solutions.

Chiffrement, cryptage, Cybersécurité, IOT, ransomware

Objets connectés : prise d’otage possible

Deux chercheurs démontrent que les prochaines prises d’otage numérique pourraient toucher nos objets connectés.

Objets connectés dangereux ? Je vous racontais, l’année dernière, comment des routeurs et des répartiteurs Wifi avaient été pris en otage par des pirates informatiques. Une méthode simple qui permet d’utiliser le matériel infiltré pour d’autres attaques. Les caméras de vidéo surveillance, des bouilloires ou encore des congélateurs connectés avaient pu être utilisés dans ce genre de malveillance. Heureusement, dans la plupart des cas, des démonstrations de chercheurs.

Lors du Defcon de Las vegas, Andrew Tierney et Ken Munro, deux chercheurs en sécurité informatique se sont amusés à démontrer que les objets connectés, comme par exemple des thermostats connectés, pouvaient être pris en otage par un ransomware. Des pirates pourraient réclamer quelques euros aux propriétaires piégés par leur thermostat bloqué.

Pour les deux ingénieurs, mais cela devient une lapalissade que de le dire, encore trop de créateurs de périphériques connectés ne prennent pas de précautions dans la sécurité de leurs objets, mettant en danger les utilisateurs. « Nous ne disposons de quasdiment aucun contrôle sur nos appareils, soulignent les deux britanniques à Mother board, et nous ne savons pas vraiment ce qu’ils font et comment ils le font« .

Chiffrement, cryptage, Cybersécurité, Facebook, Justice, loi, Particuliers

Facebook a répondu à une demande sur deux de la Justice Française

Le portail communautaire sollicité par la justice ne répond pas toujours positivement aux autorités. Une demande sur deux en France trouve écoute.

Les autorités judiciaires souhaiteraient que Facebook répondent plus souvent, positivement, à leurs demandes d’informations sur des utilisateurs ciblés par une enquête policière. Facebook ne répond pas en cas de demande vague ou non correctement formulée.

En 2015, Facebook a fourni des données d’internautes [lire quels types de données Facebook possède sur ses utilisateurs] dans 54% des cas, en France ; 82 % en Grande Bretagne et 42 % en Allemagne. La semaine dernière, les autorités Allemandes avaient montré du doigt Facebook en indiquant que le portail communautaire était réticent à collaborer avec la justice locale. Facebook a rejeté l’accusation en expliquant qu’un grand nombre de demandes reçues d’Allemagne avait été mal formulé.

Facebook a confirmé avoir aidé les services de renseignements Allemands en ouvrant les vannes après les attaques de Munich, Wuerzburg et Ansbach. L’un des terroristes, Ansbach, avait six comptes Facebook, y compris un compte sous une fausse identité. « Les réseaux sociaux sont une méthode de communication pour les djihadistes. Par conséquent, une coopération plus étroite entre les agences de sécurité et les opérateurs de réseaux sociaux est nécessaire » souligne Hans-Georg Maassen, le chef de l’agence de renseignement intérieur Allemande BfV.

Android, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, ios, Mise à jour, Particuliers, Sécurité, Smartphone, Téléphonie, Windows phone

PokemonGo : un ami qui vous veut du mal ?

La folie PokemonGo n’est plus à démontrer. Il suffit de marcher dans les rues, dans les parcs, sur les plages pour croiser des centaines de « dompteurs ». La question se pose tout de même : et si ce jeu n’était qu’un maître espion.

Ah, le grand jeu vidéo de l’été. Chasser des petits bêtes via l’application PokemonGo. De la « pseudo » réalité augmentée qui a su attirer des millions d’adeptes en quelques jours. Des millions de joueurs qui fournissent des milliards de données privées.

Pokemon GO récupère la position GPS, l’historique des endroits visités, la fréquence et les habitudes de jeu. Un archivage pour une période indéterminée. La société californienne collecte adresses Google, Facebook, l’ensemble de vos informations publiques, l’IP de l’utilisateur, le nom et la version de votre système d’exploitation.

Cerise sur le gâteau, Pokemon Go sauvegarde aussi le nom de la page Web que vous visitiez avant de jouer à Pokémon Go, ainsi que les mots clés que vous avez pu utiliser pour rejoindre PokemonGo lors de votre première visite. A noter que la lecture des conditions d’utilisations est, une fois de plus, magique. L’éditeur Niantic se dégage de toute responsabilité en cas de partage des données. Des données baptisées « actifs ». Autant dire que les partenaires Google et Pokémon Company font partis de ces collecteurs. Un véritable trésor numérique.

Home sweet home pokemonGo

Les joueurs peuvent réclamer la destruction des données. Il faut envoyer un mail, ou visiter la page dédiée, ou écrire une lettre postale. Cependant, n’oublier pas de réclamer la destruction des mêmes données qui se retrouvent dans les sauvegardes.

Pour rappel, l’application était capable, à son lancement, d’ouvrir votre compte Google. Niantic avait le droit de modifier l’ensemble des données, lire vos courriels Gmail, modifier vos documents Google Drive, consulter votre historique de recherche, vos photos personnelles. Du bonheur que cette famille de Pikachu ! Est-ce que cela vaut-il vraiment le coup de lâcher toutes ses données pour quelques Pokeballs ? Bref, une fois de plus, quand une application est gratuite, c’est vous qui êtes le produit. Et si on regarde un peu plus loin, sans la jouer complotiste, PokemonGo n’aurait-il pas un but plus discret, celui de cartographier là ou Google ne peut se rendre avec ses Google Caméra ?

A lire, l’étude de SANS Institut sur l’analyse du logiciel.