Archives de catégorie : Chiffrement

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, Identité numérique, Vie privée

Configurer efficacement la double identification de son Dropbox

Un commentaire

Le 13 octobre 2014, un pirate informatique annonçait avoir mis la main sur plusieurs millions de comptes utilisateurs Dropbox.Voici comment protéger, au mieux, votre espace privé de sauvegarde.

Plusieurs listes ont été diffusées sur la toile, certaines étaient fausses. Pour éviter que vos données soient interceptées, via votre mot de passe intercepté par un pirate via de multiples possibilités (phishing, logiciel espion, fuite interne à l’entreprise, …) il est conseillé d’installer la double authentification. L’idée, recevoir un code de sécurité en supplément de votre mot de passe. Sans ce dernier, point de possibilité, même pour vous, d’accéder à vos informations. Voici la méthode pour installer efficacement la double authentification de votre dropbox. Nous vous proposons le même pas-à-pas pour Google, Youtube, gMail, ainsi que pour Facebook.

1 – Le site DropBox
D’abord se rentre sur la page dédiée double authentification de Dropbox. Comme le rappel Dropbox, la validation en deux étapes est une fonctionnalité facultative mais vivement recommandée. Elle ajoute un niveau supplémentaire de protection à votre compte Dropbox. Lorsqu’elle est activée, Dropbox exige un code de sécurité à six chiffres en plus de votre mot de passe dès que vous vous connectez à Dropbox ou que vous associez un nouvel ordinateur, téléphone ou tablette.

2 – Activation
Connectez-vous d’abord au site Web Dropbox. Attention, une seule et unique adresse (https://www.dropbox.com/login). Cliquez sur votre nom dans la partie supérieure droite de n’importe quelle page pour ouvrir le menu Compte. Dans ce menu, vous cliquez sur « Paramètres » et vous sélectionnez l’onglet « Sécurité« . Direction le lien « Validation en deux étapes » et vous l’activez. Il vous faudra votre mot de passe de connexion à DropBox pour valider la modification. Il vous suffit ensuite de suivre le pas-à-pas pour installer sur votre tablette/smarpthone l’outil de création de code de sécurité. Après avoir activé cette fonctionnalité, pensez à ajouter un numéro de téléphone secondaire doté d’une fonction de réception des SMS. Si vous perdez votre téléphone principal, DropBox vous communique un code de sécurité sur ce numéro de téléphone de secours.

3 – Sécurité dropbox
Une fois le système installé, il vous suffira de choisir le mode de réception de ce code de sécurité. Soit par SMS, soit une application tiers. Vous pouvez utiliser, par facilité et regroupement de vos autres doubles authentification, le logiciel gratuit proposé par Google, le Google Authenticator.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Propriété Industrielle, Vie privée

Comportements en matière de protection des données en Europe

77% des personnes interrogées doutent que leur entreprise respecte les lois relatives à la protection des données.

Sophos, l’éditeur spécialiste de la cybersécurité, a publié les résultats de sa toute dernière étude révélant les comportements des utilisateurs en matière de sécurité et de protection des données en Europe. Selon cette étude réalisée par Vanson Bourne, 84% des sondés pensent que l’Europe doit renforcer les lois relatives à la protection des données. Cependant, 77% doutent que leur entreprise soit conforme aux lois actuellement en vigueur. Il suffit d’ailleurs de lire les nombreuses révélations liées aux fuites de données, ici ou encore là, pour se dire que la victoire n’est pas pour demain.

Sur les 1500 professionnels interrogés en France, en Allemagne et au Royaume-Uni, une majorité a confirmé être inquiète pour ses données personnelles (79%) ainsi que pour les données de son entreprise (65%). Cependant, alors que 91% déclarent avoir installé un logiciel de protection de leurs données personnelles, seuls 59% sont équipés d’un antivirus. Par ailleurs, presque la moitié (49%) d’entre eux ont déclaré que leur entreprise n’avait pas mis en place de politique de protection des données, ou alors qu’on ne leur avait pas expliquée en détails.

Cette étude, dont le but premier était d’évaluer la compréhension et la connaissance des utilisateurs en matière de protection des données, dans le cadre du projet de nouveau règlement européen à venir, a permis de montrer que sur seuls 23% des personnes interrogées étaient convaincus que leur entreprise observait les règles actuellement en vigueur.

50% d’entre eux ont avoué ne pas savoir ce qu’est le chiffrement  (27%), ignorer si leur entreprise a mis en place des politiques de chiffrement (23%), ou que leur entreprise n’a rien mis en place dans ce domaine (20%). Seuls 23% ont confirmé que leur entreprise procédait au chiffrement des données des employés et des clients.

Sécurité des appareils mobiles
L’étude se penche également sur les comportements des utilisateurs en termes de sécurité des appareils mobiles. 98% des sondés, soit presque la totalité d’entre eux, sont d’accord sur le fait que les données stockées sont presque plus importantes que l’appareil mobile en tant que tel. Et pourtant, malgré cela, un quart de ces personnes ont avoué stocker des données d’entreprise sur leur ordinateur ou leur téléphone personnel ; quasiment 1 personne sur 5 (soit 19%) expliquant qu’elle avait déjà perdu un appareil mobile ou personnel par le passé.

Toujours en ce qui concerne la sécurité des appareils mobiles, alors que la majorité des entreprises des sondés (64%) avait mis en place des mots de passe pour protéger les mobiles, seules 31% des personnes équipées de téléphones d’entreprise savaient si ceux-ci étaient également chiffrés. Mis en comparaison avec les 51% possédant un portable d’entreprise et capables d’affirmer que celui-ci est bel et bien chiffré, ceci démontre bien que les mobiles sont désormais perçus comme vecteur de risque.

Le partage de données
La plupart des sondés pense que l’information est ce qu’il y a de plus important : 95% d’entre eux explique que, pour travailler correctement, ils ont besoin de partager, d’envoyer et d’accéder aux données de leur entreprise à partir de n’importe quel endroit ou système. Cette étude démontre également que 66% des sondés ne vérifient pas toujours s’il est prudent de partager ces données ou non. Par ailleurs, pour partager ces données plus facilement, 2/3 d’entre eux (soit 64%) sont prêts à passer par des services informatiques ou en Cloud « non autorisés » pour contourner les limites et les politiques de sécurité mises en place par leur entreprise.

On remarque également des attitudes différentes quant au stockage dans le Cloud, d’un pays à l’autre. Tous pays confondus, 31% des sondés déclarent que l’usage de solutions de stockage dans le Cloud, type Dropbox, est autorisé par l’entreprise. Cependant, ce pourcentage atteint 44% au Royaume-Uni, mais seulement 27% en France et 23% en Allemagne. En revanche, 11% déclarent ne pas être autorisés à utiliser des solutions de stockage dans le Cloud, mais le font quand même. De la même façon, ce sont bien les Britanniques qui partagent le plus de données dans le Cloud : ils sont 52% à le faire, alors que la France en compte 40% et l’Allemagne 34%.

Perception des lois relatives à la protection des données en Europe
61% des sondés déclarent qu’il est important de renforcer les lois autour de la protection des données et ce dans tous les pays européens. Ce pourcentage est ainsi réparti par pays : 68% pour les Français, 62% pour les Allemands et 54% pour les Britanniques. On note également des divergences d’opinion d’un pays à l’autre en ce qui concerne la sécurité des données personnelles : avec 86%, la France apparaît plus inquiète que le Royaume-Uni (78%) ou même l’Allemagne (74%). L’Allemagne apparaît particulièrement peu préoccupée par d’éventuels cybercriminels mettant la main sur des données (29%). En France, ils sont 49% à s’inquiéter de ce phénomène et 45% au Royaume-Uni. De la même façon, la France s’inquiète davantage de la protection des données d’entreprise (76%) contre 62% au Royaume-Uni et 59% en Allemagne.

Il est intéressant de noter que 60% des employés du Royaume-Uni déclarent que leur entreprise a mis en place des politiques de protection des données et que celles-ci leur ont clairement été expliquées, contre 43% en France et 50% en Allemagne. On note également que plus l’entreprise est importante en taille, mieux les employés sont renseignés sur les politiques de protection des données.

Gerhard Eschelbeck, directeur technique de Sophos explique à DataSecuritybreach.fr que « la cybercriminalité étant désormais partout, les grandes entreprises doivent s’assurer de la bonne mise en place de politiques de sécurisation des données, et ce pour mettre à l’abri les données d’entreprise, mais également celles de leurs employés. Cette étude montre clairement que même si la majorité des utilisateurs comprennent que l’information est stratégique et qu’il l’est tout autant de la protéger, ceux-ci sont malgré tout prêts à ignorer ces risques pour se faciliter la vie. Si les entreprises souhaitent lutter contre la cybercriminalité, elles doivent s’assurer de la pertinence et de la bonne mise en place des politiques de sécurité. Il ne s’agit pas uniquement de protéger les informations essentielles à l’entreprise, mais également de répondre aux besoins de ses employés. »

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle

87% des entreprises françaises pensent courir un risque de sécurité actuellement, mais 70% ne changent rien

Plus de 80% des responsables IT pensent qu’un vol de données interne est probable dans leur entreprise, mais environ 60% déclarent ne pas avoir de procédure stricte dans ce domaine.

LogRhythm, spécialiste de la Security Intelligence, annonce les résultats d’une étude* menée auprès de responsables IT d’entreprises françaises, à propos de leur perception de la sécurité au sein de leurs entreprises, et notamment des risques en interne. D’après l’enquête, les entreprises françaises ont bien conscience des dangers liés au vol de données et des conséquences pour leurs organisations. Toutefois, il semble que les bonnes intentions ne soient pas mises en pratique et qu’une remise en question des systèmes et stratégies de sécurité en place ne soit toujours pas à l’ordre du jour.

En effet, selon l’étude, 87% des entreprises françaises pensent qu’elles courent peut-être un risque de sécurité actuellement, dont 34,5% des répondants qui en sont persuadés. Pourtant, 70% des organisations indiquent n’avoir rien changé à leurs systèmes de sécurité suite aux récentes affaires de vol de données, alors que 58% d’entre elles se disent plus inquiètes sur ce sujet suite aux révélations de Snowden.

Bien que cette dernière affaire ait été érigée en parfait exemple de ce que l’on peut craindre pour les données confidentielles de la part d’employés ou de partenaires mal intentionnés, l’étude révèle que les entreprises y attachent moins d’importance qu’aux menaces externes : 52% des répondants pensent que les menaces les plus sérieuses pour les informations confidentielles de leur entreprise viennent de l’extérieur contre 37% qui jugent les menaces internes comme étant plus importantes.

Pourtant, les risques associés sont bien identifiés : lorsqu’on interroge les responsables IT sur la possibilité que des employés accèdent à des données sensibles au sein du système d’information, 81% pensent que cela est tout à fait probable, dont 23,5% déclarant que cela était déjà arrivé.

Les menaces internes jugées moins importantes
Si 41,5% des entreprises disposent de procédures contre le vol de données confidentielles en interne, environ 34,5% des personnes interrogées pensent que les systèmes en place ne sont soit pas appliqués, soit pas satisfaisants. 15% ne savent même pas si ce type de procédure existe dans leur entreprise et 9% confirment ne pas en avoir du tout. Parmi ces derniers exempts de tout contrôle de sécurité, 15% des personnes interrogées pensent que cela n’est tout simplement « pas nécessaire ».

En ce qui concerne les procédures de sécurité élémentaires, l’étude montre qu’environ 30% des personnes interrogées ne procèdent toujours pas au renouvellement de leurs mots de passe. Parmi eux, il y a ceux qui savent que c’est nécessaire mais qui ne le font pas (24%) mais aussi 5,5% des répondants qui estiment que cela ne sert à rien !

« Les entreprises françaises sont sensibilisées aux risques majeurs de sécurité mais les bonnes pratiques ne sont toujours pas appliquées, confie Jean-Pierre Carlin, Directeur Europe du Sud chez LogRhythm. Les données des entreprises ne sont peut-être pas aussi critiques que celles de la NSA, il n’en reste pas moins étonnant que les employés ne soient pas plus impliqués par la direction sur cette pratique essentielle pour la sécurité de leurs données alors que la menace est bien réelle. Il est très surprenant que des procédures aussi basiques que le renouvellement régulier de mot de passe ne soient pas encore systématiquement appliquées. »

Selon cette étude, le manque d’information, mais aussi d’implication de la part des directions à se saisir de ces problématiques, engendre une sorte de laisser-aller sur la question de l’accès aux données, surtout en interne. Malgré les inquiétudes justifiées, les stratégies et procédures en place restent insuffisantes à ce jour. La formation des employés, l’application systématique des bonnes pratiques liées au contrôle d’accès et à la gestion des mots de passe est aujourd’hui indispensable pour initier une vraie stratégie de sécurité des données. Sans compter que ces mesures doivent elles-mêmes être complétées par d’autres procédures régissant l’ensemble des questions relatives à la protection des ressources de l’entreprise, que ce soit en matière de contrôle d’accès, ou de sanction des employés en cas de manquement ou de mauvaise application des règles de sécurité.

Malgré l’augmentation du nombre de failles de données, auxquelles viennent s’ajouter le vol et la perte de plus de 2 milliards d’enregistrements de données à travers le monde depuis 2013, les entreprises restent convaincues que les technologies de sécurité périmétrique sont efficaces pour protéger leurs données. Telles sont les conclusions d’une nouvelle étude publiée par SafeNet, Inc., un des leaders mondiaux de la protection des données.

Réalisé par SafeNet, l’indice 2014 de confiance dans la sécurité des données (SafeNet Data Security Confidence Index) indique que pour près de trois quarts (74 %) des décideurs informatiques, le firewall de leur entreprise est efficace contre l’intrusion d’utilisateurs non autorisés (84% pour les répondants français). Cependant, près de la moitié (44 %) admettent que ce firewall a connu une défaillance ou ignorent si une telle situation s’est produite (les français étant eux 34% à admettre une faille et 13% à ignorer si leur entreprise y a été confrontée). De plus, plus de 60 % d’entre eux ne sont pas convaincus que les données seraient en sécurité si des utilisateurs non autorisés réussissaient à forcer la sécurité périmétrique de leur réseau (70% pour les répondants français).

Détail des chiffres par pays accessible ici.

Investissements IT : sécurité périmétrique plutôt que défense en profondeur
Les résultats de l’étude montrent que malgré le nombre croissant des failles réseau et des pertes d’enregistrements de données, les entreprises continuent d’investir davantage dans les technologies de sécurité périmétrique et de lutte contre les failles de sécurité qu’en faveur des stratégies de défense en profondeur, qui incluent l’authentification multi-facteurs (MFA) et le chiffrement fort des données. Selon l’indice BLI de SafeNet (Breach Level Index), plus de 375 millions d’enregistrements de données clients ont été volés au cours du seul premier semestre 2014, soit une hausse de 31 % par rapport à la même période de l’année précédente.

L’étude révèle par ailleurs que pour 93 % des décideurs informatiques, les investissements effectués par leur entreprise en faveur de la sécurité périmétrique ont augmenté ou sont restés identiques au cours des cinq dernières années (pour 48% des français ce budget en sécurité périmétrique a augmenté), représentant en moyenne 9 % du budget informatique actuellement consacré à l’achat, au déploiement et à la maintenance des technologies de firewall (8% du budget des français). Pour les douze prochains mois, les personnes interrogées indiquent que cette tendance devrait continuer, les dépenses consacrées aux firewalls ne variant pratiquement pas (9,05 %).

Deux tiers des décideurs informatiques (67 %) admettent en outre ne pas envisager de réduire les investissements consacrés aux défenses périmétriques — technologie de firewall, par exemple — pour les remplacer par d’autres technologies (85% en France). D’ailleurs, s’ils devaient abandonner une méthode de protection des données sensibles, les responsables informatiques déclarent en majorité qu’ils supprimeraient les solutions de détection d’anomalies (49 % au niveau mondial, 38% en France) ou de sécurité des données telles que le chiffrement (24 % monde, 28% France), plutôt que la sécurité périmétrique (15 % monde, 21% France).

Une confiance limitée quant à la capacité de prévenir les failles de sécurité et repousser efficacement les cybercriminels

De plus, malgré la confiance élevée qu’ils accordent à la sécurité périmétrique et à son efficacité, les décideurs informatiques se déclarent moins convaincus par la capacité de leur entreprise à protéger les données contre des menaces de sécurité en plein essor. L’étude souligne les points suivants :

·        Plus de la moitié (60 % mondialement, 70% en France) des responsables doutent que les données soient en sécurité si des utilisateurs non autorisés parviennent à franchir le périmètre de sécurité de leur réseau.

·        Près de la moitié (41 % mondialement, 44% en France) d’entre eux pensent que des utilisateurs non autorisés peuvent accéder à leur réseau.

·        Un tiers (34 % mondialement, 35% en France) des décideurs informatiques se disent moins confiants quant à la capacité de l’industrie de la sécurité à détecter les menaces de sécurité et à les contrer.

·        Un quart des décideurs informatiques (25 % mondialement, 22% en France) admettent qu’en tant que client de leur propre entreprise, ils ne lui feraient pas confiance pour stocker et gérer leurs données personnelles.

·        Plus de la moitié (53 % mondialement, 41% en France) estiment que les grandes failles de données annoncées dans la presse ont amené leur entreprise à revoir sa stratégie de sécurité.

« Les conclusions de cette étude soulignent quelques contradictions intéressantes entre la façon dont la sécurité des données est perçue et la réalité », a déclaré Tsion Gonen, directeur de la stratégie de SafeNet. « Il est en revanche inquiétant qu’un si grand nombre d’entreprises continue à mettre tous leurs œufs dans le même panier. Bien que la sécurité périmétrique ne représente qu’une simple couche de protection, bon nombre d’entreprises l’utilisent comme socle de leur stratégie de sécurité de données alors que dans la réalité, ce périmètre n’existe plus. Le simple volume de failles de données indique à lui seul que si un cybercriminel veut pirater le système ou voler des données, il trouvera le moyen d’arriver à ses fins. C’est pourquoi les entreprises doivent se concentrer sur le plus important, c’est-à-dire la protection des données. Elles doivent à cet effet définir des stratégies de sécurité plus intelligentes et associer les technologies de défense en profondeur et d’authentification multi-facteurs tout en intégrant directement la sécurité dans les données grâce au chiffrement. »

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Vie privée

Le Cloud en confiance : oui, c’est possible !

Volontaires, de plus en plus, pour adopter des solutions dans le cloud, de nombreuses entreprises restent freinées par l’absence de clarté autour de la sécurité de leurs données, en particulier les plus sensibles. Pourtant, la souplesse et la simplicité peuvent parfaitement cohabiter avec la sécurité dans le cloud.

Certains le qualifiaient de « buzzword ». Il faut dire qu’une déferlante sans précédent s’est abattue sur la presse spécialisée – et même un peu plus – autour du cloud. Mais force est de constater qu’au-delà de l’effet de mode, le cloud s’est bel et bien installé durablement sur le marché de l’IT en général, et dans les systèmes d’information des entreprises en particulier.

Il faut dire que le cloud tient ses promesses. Comparativement à une infrastructure en propre gérée par l’entreprise, le cloud est moins cher, plus souple et beaucoup plus simple : externalisée, l’infrastructure est louée et totalement administrée par le fournisseur de services cloud. Et s’adapte précisément aux besoins de l’entreprise, sans nécessiter d’investissements lourds au départ.

Seulement voilà, le cloud rencontre encore, dans de nombreux cas, un obstacle de taille : le manque de confiance. A tort ou à raison, les entreprises sont encore frileuses à l’idée de stocker et gérer leurs données, notamment les plus sensibles, à l’extérieur du périmètre de leur système d’information. Considérant à ce titre que leur propre système d’information est parfaitement sécurisé, ce qui est loin d’être toujours le cas.

Sensibles ou non : la gestion kafkaïenne des données
Les médias en font leurs choux gras : de nombreuses affaires de vols de données, d’intrusions sur les comptes d’autrui, etc., éclaboussent régulièrement des géants du Web. Apple et les photos de stars volées a été la dernière victime de cet acharnement médiatique. Résultat : les inquiétudes et le manque de confiance persistent. Car outre la protection des données, c’est aussi l’usage qui prime. Et les systèmes de sécurité peuvent être si contraignants qu’ils retardent ou restreignent l’adoption des solutions.

Pour éliminer ce risque, nombreuses sont les entreprises à avoir fait le choix d’un système d’information à deux vitesses. Et ventilé leurs solutions en deux catégories distinctes : celles qui hébergent des données sensibles et qui doivent nécessairement rester sur site d’une part ; et celles dont les données, moins sensibles, peuvent être externalisées vers le cloud d’autre part.

Mais cette gestion dichotomique des données ne va pas sans poser problème. Tout d’abord sur la qualification de la sensibilité des données : en tant que telles, les données d’une entreprise sont toutes plus ou moins sensibles. Et celles qui ne le sont pas pour un département de l’entreprise, peuvent l’être pour un autre.

Ensuite, parce que le système d’information des entreprises est nécessairement poreux, ne serait-ce qu’au travers des échanges avec leur environnement immédiat : clients, partenaires, fournisseurs, etc. Un cloisonnement strict des deux types de données est donc,  complexe et nécessite une classification précise des données.

Un référentiel pour gagner la confiance des entreprises
Conscients de ces questionnements quant à la confiance dans le cloud des entreprises, autant que des enjeux économiques que représente le cloud, des acteurs du secteur se sont réunis autour d’une table pour construire les outils de la confiance dans le cloud. Composé d’éditeurs et d’auditeurs spécialisés, et à l’initiative de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), représentant les pouvoirs publics, le consortium ainsi réuni a récemment publié un référentiel de « qualification de prestataires de services sécurisés d’informatique en nuage ».

L’objectif est clair : proposer un cadre à ces prestataires, et surtout une certification selon les critères de ce référentiel. En particulier autour des questions de sécurité : disponibilité, intégrité et confidentialité des données, mais également traçabilité des données et des actions entreprises.

Une certification qui permet dès lors aux entreprises d’être en pleine confiance auprès d’un prestataire de services cloud certifié : plus aucun besoin de s’interroger sur la sensibilité ou non des données. Si l’entreprise estime qu’une solution cloud est la réponse à son besoin, elle peut l’intégrer à son système d’information en toute confiance. Quels que soient les données, les départements de l’entreprise ou les processus (métiers, commerciaux, administratifs, financiers…) concernés. (Frédéric Fouyet, Directeur de l’Innovation et des produits et RSSI chez Oodrive)

BYOD, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Vie privée

Le Wi-Fi peut-il garantir la sécurité de l’Internet des Objets ?

En matière d’Internet des Objets, on se satisfait souvent du fait que le système fonctionne, pourtant, la connexion physique et la sécurité inhérente sont des aspects non négligeables.  Le Wi-Fi est et restera le mécanisme de connexion prépondérant pour L’Internet des Objets, car l’infrastructure permettant de l’exploiter de façon sécurisée existe déjà. Les autres modes de connectivité, tels que le Bluetooth Low Energy, sont moins répandus, et donc plus difficiles à pirater. Chacun a son propre niveau de sécurité, mais nécessite la mise en place d’une infrastructure sous-jacente. Pour permettre le déploiement étendu de L’Internet des Objets grâce au Wi-Fi, il faut s’attaquer à d’importantes problématiques, parmi lesquelles la sécurité des réseaux.

Que ce soit à la maison ou en entreprise, tout le monde utilise un seul et même réseau sans fil et utilise la même clé pré-partagée afin de s’y connecter. Dans ce contexte, la problématique se situe dans le partage répété de cette clé, et donc dans la nécessité de définir le niveau de sécurité adéquat pour les nouveaux périphériques se connectant au réseau afin de ne pas devenir une proie facile pour les pirates.  L’important n’est pas la sécurité du réseau, mais celle des périphériques s’y connectant. Ces périphériques sont en général des appareils low cost, bien plus que les clients Wi-Fi traditionnels, et disposent de bien moins de fonctionnalités pour assurer leur protection et celle du réseau Wi-Fi auquel ils se connectent. Ces appareils doivent être facilement paramétrables, ce qui rend leur piratage plus simple, les identifiants utilisés pour accéder au réseau étant plus vulnérables.

Une équipe de chercheurs du cabinet de conseil Context Information Security a récemment pu confirmer ce risque en cherchant à démontrer la vulnérabilité des systèmes d’éclairage intelligent. En obtenant l’accès à l’ampoule principale, ils ont pu contrôler l’ensemble des ampoules connectées, et ainsi découvrir les configurations réseau des utilisateurs.

Généralement, ces ampoules et autres périphériques se connectent au réseau à l’aide d’une clé pré-partagée. Le problème au sein des réseaux sans fil traditionnels vient justement du fait qu’il n’y a qu’une seule clé : les organisations sont ainsi contraintes à créer un réseau Wi-Fi distinct pour chaque appareil à connecter à l’Internet des Objets. En outre, et comme l’ont démontré les chercheurs du cabinet Context, il est facile de découvrir une clé pré-partagée. Les identifiants étant potentiellement menacés, il apparaît donc logique qu’ils disposent de droits limités sur le réseau. Pourquoi ? La principale problématique avec l’Internet des Objets est la capacité des appareils à enregistrer des identifiants, surtout lorsque l’on considère tout ce que ces informations permettent de faire à l’arrivée, de la gestion de l’éclairage au contrôle autonome de la température par les réfrigérateurs, en passant par les équipements sportifs envoyant des informations personnelles à d’autres terminaux.

Si l’on utilise une clé pré-partagée pour se connecter au réseau, il faut alors que le réseau en question soit verrouillé et que les fonctionnalités de l’appareil soient limitées. En utilisant des clés pré-partagées privées, une organisation peut utiliser différentes clés pour ses différents appareils, et avec des droits spécifiques sur le réseau. Un groupe de clés pourrait ainsi être utilisé pour les accès en mode invité ou le BYOD, tandis qu’un autre pourrait permettre la gestion des bâtiments en s’appuyant sur une stratégie de pare-feu très contrôlée autorisant uniquement les changements effectués par les systèmes automatisés, et refusant ceux provenant de toute autre personne connectée au réseau. Les systèmes d’éclairage pourraient être contrôlés par un autre groupe de clés, avec éventuellement une stratégie de pare-feu propre permettant aux employés d’ajuster l’éclairage en salles de réunion, mais pas dans les couloirs.

Cette approche permettrait aux utilisateurs de disposer de milliers de clés pré-partagées différentes pour un seul réseau et avec différents profils de connexion, y compris via des pare-feu et des réseaux locaux virtuels. Dans ce scénario, si l’intégrité d’une ampoule venait à être compromise, la menace ne pourrait s’étendre aux autres, car la clé pré-partagée utilisée pour l’une n’aurait pas les privilèges nécessaires pour cela. La menace liée à cette compromission serait par conséquent limitée.

Il est également absolument essentiel que les informations d’identification utilisées n’aient qu’une faible utilité pour tout individu piratant le réseau. Il est donc nécessaire de disposer d’une méthode d’authentification et d’identification des appareils simple et sécurisée. En autorisant les périphériques sur le réseau et en leur fournissant un accès approprié à leur catégorie, les organisations doivent pouvoir gérer la menace une fois l’intégrité des identifiants compromise, afin de s’assurer qu’ils ne présentent qu’une valeur limitée pour toute personne s’en servant pour  découvrir et pirater le réseau.

La méthode la plus évidente pour cela serait de placer les certificats sur les appareils afin de bien les authentifier, mais il s’agit là d’une approche coûteuse et complexe. Pour éviter ces inconvénients, les entreprises devraient alors préférer l’utilisation de différents réseaux pour leurs différents types d’appareils, ce qui représenterait un gaspillage de temps et de ressources, davantage de complexité pour l’utilisateur, ainsi qu’un ralentissement des performances globales. Il faut donc pouvoir surmonter cet obstacle plus simplement afin de s’assurer que tous les périphériques soient gérés de façon sécurisée depuis un point d’accès. En matière de Wi-Fi, l’Internet des Objets est le BYOD d’aujourd’hui, et les organisations rencontrent exactement les mêmes problèmes sur le plan de  la sécurité.

À mesure que ce système s’affirmera comme la nouvelle vague en matière de réseaux, l’industrie trouvera un certain nombre de solutions afin de résoudre ces problèmes. Mais il faut cependant garder en tête que l’Internet des Objets va changer et se développer, et que dans ce contexte, il  sera difficile de s’assurer que l’infrastructure puisse faire face à différents scénarios en même temps. Bien que l’on s’intéresse aujourd’hui aux failles de sécurité de l’Internet des Objets en matière de gestion des bâtiments et d’interfaces personnelles d’accès au réseau, il reste cependant un large éventail de scénarios relevant également de l’Internet des Objets dans d’autres secteurs, tels que l’automobile et les infrastructures. Une fois que nous aurons pris en compte ces types de scénarios, les problématiques en matière de sécurité se feront plus nombreuses, et les solutions permettant d’y faire face revêtiront un caractère de plus en plus urgent. (Par Benoit Mangin, Directeur Commercial Europe du Sud, Aerohive pour datasecuritybreach.fr)

Chiffrement, cryptage, Cybersécurité, Facebook, Fuite de données, Patch

Facebook : voler nom, mail et jeton de connexion

Deux chercheurs en sécurité informatique, evil_xorb et Michał Bentkowski, ont découvert une faille qui permettait de mettre la main sur le nom, le mail et le jeton de connexion d’un utilsateur de Facebook. Le bug partait du plugin FriendFeed. Après avoir cliqué sur le bouton « Enregistrer », une requête POST à ​​redirect_uri était délivrée. Cette requête contenait les données de l’utilisateur. Rien n’était chiffré. Nom, mail et le jeton d’accès accessibles. Une vulnérabilité sensible au Clickjacking. Le bug a été signalé à Facebook et a été corrigé assez rapidement. (Bentkowski)

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données

Google va mettre en avant les pages web chiffrées

Un commentaire

Google l’a confirmé : son algorithme de ranking attribue désormais des “points bonus” de référencement aux pages web chiffrées.

Cette initiative vise à encourager les développeurs de sites web à adopter des technologies de chiffrement (via l’utilisation du protocole HTTPS), qui empêchent les hackers de pirater leurs sites web et voler des informations clients. C’est très bien de voir une initiative de la part de Google pour augmenter l’utilisation du chiffrement. C’est une démarche intelligente et susceptible d’avoir un impact significatif sur la façon dont les organisations sécurisent leurs sites web. Toutes les entreprises veulent un bon Google PageRank, il est donc dans leur meilleur intérêt de s’assurer que leurs pages web sont chiffrées.

A la suite d’HeartBleed nous préconisons aussi de conserver les clés racines en dur dans des modules cryptographiques. Il faut dire aussi que les données texte en clair sont faciles à lire. Donc tout site web qui stocke ou transmet des logins, mots de passe ou toutes autres données de clients en clair met ces données clients et la réputation de son entreprise en danger.

Par le passé les entreprises ont pu ignorer le chiffrement pour des contraintes de coûts ou la peur de ralentir le temps de réponse de leur site web. « Mais des technologies de chiffrement à haute vitesse sont désormais disponibles qui éliminent ces problèmes de coût et de vitesse. Ceux qui transmettent ou stockent des données texte en clair n’ont donc vraiment plus d’excuse. » confirme à Data Security Breach Julien Champagne, Directeur Commercial France et Maghreb de SafeNet.

Banque, BYOD, Chiffrement, Cloud, cryptage, Entreprise, Fuite de données, Paiement en ligne, Propriété Industrielle

Un livre blanc sur les risques associés aux certificats numériques

À chaque fois que des transactions ou accès au réseau sécurisés sont requis, la personne demandant l’accès doit d’abord prouver son identité. L’une des méthodes d’identification de l’utilisateur est l’emploi de certificats numériques qui sont semblables à des cartes d’identité numériques. Cette procédure fait l’objet d’un examen dans un nouveau livre blanc publié par les spécialistes de la sécurité informatique de SecurEnvoy, intitulé « Les Risques de l’authentification à l’aide des certificats numériques ». Vous pouvez le télécharger gratuitement sur le site Web de la société [Lien ci-dessous, ndlr DataSecurityBreach.fr].

Un certificat numérique est en réalité une clé privée stockée sur une carte à puce ou un dispositif mobile, que l’utilisateur porte toujours sur lui. Toutefois, dans ce cas le problème des identités distribuées représente un désavantage important. Étant donné que pour chaque dispositif (final) qu’un utilisateur veut utiliser pour son travail, qu’il s’agisse d’un PC, d’un smartphone ou d’une tablette, un certificat séparé est requis. Ceci entraîne un travail d’installation pénible, ainsi qu’une véritable « jungle de certificats » en fonction du nombre de périphériques impliqués.

En outre, les certificats demeurent sur les appareils finaux et peuvent tomber aux mains de criminels s’ils sont perdus ou vendus, ce qui pose un problème pour les données sensibles. Une alternative plus simple, mais doublement sécurisée est l’authentification forte sans jeton, qui est également décrite dans le livre blanc [En Anglais].

Banque, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Paiement en ligne

Traitement des paiements conformes à PCI

Les sociétés de service en particulier détiennent de grandes quantités de données clients qui nécessitent un niveau élevé de protection. Lors du tri des informations pour le traitement des paiements, les sociétés doivent également satisfaire aux exigences de conformité PCI DSS (normes de sécurité des données des cartes de paiement).

Ces exigences stipulent, entre autre, que la connexion au système interne d’une société ne peut pas être simplement protégée par un mot de passe. Dans cette situation, l’authentification forte sans jeton de SecurEnvoy offre la solution idéale. Les employés reçoivent un code numérique par SMS sur leur téléphone mobile, qu’ils peuvent saisir en plus de leur mot de passe.

Lors du traitement des paiements, les sociétés sont soumises à plusieurs règlements de conformité. Par exemple, les règlements PCI DSS stipulent la nécessité d’un accès hautement sécurisé aux réseaux contenant des informations sensibles à propos des paiements par carte de crédit. Les employés accédant à distance à ces réseaux sont particulièrement affectés par ces exigences spécifiques : conformément à PCI DSS, se connecter en utilisant uniquement un mot de passe n’est pas autorisée.

Sécurité supplémentaire au moment de la connexion
Les sociétés doivent répondre à cette exigence et établir une sécurité supplémentaire pour la connexion au réseau. L’authentification forte est idéale pour cette situation. De nombreuses sociétés ne sont pas satisfaites de devoir acquérir des cartes à puce coûteuses ou d’autres jetons pour l’authentification du personnel. Mais il existe une alternative moins onéreuse et sécurisée : l’authentification forte sans jeton telle que SecurAccess.Avec cette solution, les téléphones mobiles sont utilisés à la place des jetons physiques traditionnels. Lorsqu’un utilisateur souhaite se connecter au réseau, un code numérique à six chiffres est envoyé par SMS ou e-mail. Des applications à jeton virtuel sont également proposées pour toutes les plateformes mobiles principales sans frais supplémentaires. Le mot de passe est saisi avec les identifiants de connexion personnels de l’utilisateur, afin d’assurer une identification sans ambigüité. Le numéro d’identification n’est valide qu’une fois et expire immédiatement après avoir été saisi. Pour la connexion au réseau suivante, SecurAccess envoie une nouvelle combinaison de chiffres à l’utilisateur.

« SecurAccess utilise les téléphones mobiles en tant que jetons pour plusieurs bonnes raisons, » explique Steve Watts, directeur des ventes et du marketing à SecurEnvoy. « Tout d’abord, presque tout le monde possède un téléphone mobile ou un smartphone et deuxièmement, tout le monde porte son téléphone sur soi. Les jetons physiques sont souvent perdus ou les employés les oublient accidentellement chez eux. Ceci entraîne non seulement des coûts de remplacement, mais cela ralentit le travail car pendant une certaine période de temps, les employés ne peuvent pas s’authentifier et ne peuvent donc pas accéder au réseau. Par conséquent, pour les sociétés de service, la transmission d’un numéro d’identification par SMS est le moyen le plus efficace et le moins coûteux d’assurer la conformité PCI DSS ».

Bitcoin, BYOD, Chiffrement, Cloud, cryptage, Entreprise, Sauvegarde

Attaque à l’encontre de NAS de la marque Synology

2 commentaires

Depuis quelques semaines, des utilisateurs de NAS de la marque Synology, des boitiers de stockages, ont été visés par un logiciel malveillant qui chiffre le contenu des disques durs du produit de la société américaine.

Baptisé Synolocker, le code malveillant est injecté de différente manière, dont une technique toute simple, retrouver l’ip du boitier et de s’y connecter pour bloquer la lecture des contenus.

Une technique qui vise de vieux NAS, du moins dont les mises à jour n’ont pas été effectuées.  Le pirate réclame entre 250 et 300 euros, en bitcoin (0.6 bitcoin). L’entreprise a mis à jour son firmware pour contrer plusieurs failles qui ont pu être exploitées par le malveillant. Une technique, pour bloquer l’attaque, du moins la freiner, fermer le NAS. Cela provoquera un arrêt du chiffrement en cours.

Preuve, aussi, qu’une sauvegarde parallèle et hors connexion est loin d’être négligeable.

Message d’alerte du NAS

Dear user,
The IP address [211.228.238.239] experienced 5 failed attempts when attempting to log into DSM running on SYN1 within 5 minutes, and was blocked at Thu Jul 31 22:41:50 2014.

Sincerely,
Synology DiskStation