Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, loi, Mise à jour, Patch, santé, Social engineering

Nos données de santé, source de convoitises pour les pirates

2 commentaires

91% des entreprises de santé interrogées ont subi une violation de leurs données au cours de ces 2 dernières années selon l’étude « Privacy and Security of Healthcare Data » du Ponemon Institute et seulement 32% pensent avoir les ressources suffisantes pour parer ces incidents1. La majorité des entreprises de santé sont désarmées et ne sont absolument pas en mesure de répondre à la Réglementation européenne sur la Protection des Données qui devrait être mise en application très prochainement.

L’étude Ponemon montre que, pour la première fois, les attaques criminelles sont la première cause de violations de données de santé. Jusqu’alors, la perte ou le vol d’ordinateurs, de tablettes ou de smartphones par négligence avait conduit à des violations de données. Aujourd’hui, les choses ont évolué. Nous passons des violations de données accidentelles ou opportunistes aux violations de données intentionnelles. Une tendance qui s’affirme. Les cybercriminels ciblent de plus en plus les données médicales. Ils exploitent cette mine de renseignements personnels, financièrement lucratifs. Les centres hospitaliers, laboratoires d’analyses médicales, pharmacies… ne disposent malheureusement pas des ressources, des processus et des technologies pour prévenir et détecter les attaques contre les données sensibles qu’elles manipulent. Leur défaillance, régulièrement pointée du doigt par les médias, se traduit par la fuite des données sensibles de leurs patients. On se souvient par exemple, des centaines de résultats d’analyses médicales provenant d’une soixantaine de laboratoires, accessibles sur Internet à cause d’une faille2 ou de la publication du dossier médical de Michael Schumacher3.

Si l’on observe une légère hausse des investissements des organisations de santé pour protéger les informations médicales, ces efforts restent cependant insuffisants pour contrer les cyber-menaces qui évoluent très rapidement. La moitié des entreprises de santé ont peu confiance – parfois même pas du tout – dans leur capacité à détecter une perte ou un vol de données de leurs patients.

Une faiblesse en décalage avec les obligations légales
En France, les informations relatives à l’état de santé physique et psychique d’un patient sont des données personnelles, soumises au Code de la santé publique et à la loi Informatique et Liberté. La Réglementation générale sur la protection des données, en cours d’adoption par le Conseil de l’Union Européenne vient compléter la législation française. Les professionnels et les établissements de santé sont strictement tenus au respect des obligations concernant la collecte, l’utilisation, la communication, le stockage et la destruction des données à caractère personnel. En pratique, les professionnels de la santé doivent prendre toutes les précautions nécessaires pour empêcher que ces données soient modifiées, effacées (par erreur ou volontairement) et que des tiers non autorisés y aient accès.

L’absence de mise en œuvre de mesures de sécurité est considérée comme une atteinte grave à la protection de la vie privée et peut être pénalement sanctionnée (amende et emprisonnement). Cependant, de nombreux professionnels ont des difficultés à se mettre en conformité avec la réglementation. En milieu hospitalier, par exemple, médecins, infirmiers et personnel administratif n’ont pas toujours été sensibilisés aux règles à respecter en matière de sécurité et de confidentialité des données.

Une réglementation unique pour toute l’Europe
La mise en œuvre de la future Réglementation sur la Protection des Données qui s’effectuera de manière identique dans tous les pays membres contrairement à la Directive actuelle, devrait avoir d’importantes conséquences sur l’organisation de l’entreprise. Comment respecter cette norme qui va engendrer des changements au niveau de la collecte, du stockage, de l’accessibilité et de l’utilisation des données ?

Toute violation des données devra obligatoirement être déclarée. Concrètement, un système actif de surveillance des échanges et des flux de données devient nécessaire. Il convient en premier d’examiner avec attention le rôle et la responsabilité des différents acteurs de l’entreprise manipulant les dossiers médicaux. Il faut engager une sensibilisation forte au respect des bonnes pratiques, puis établir une politique de sécurité et de protection des données. On commence par évaluer les risques pour décider les actions à adopter, en fonction des faiblesses de l’établissement de santé. Le point clé est la visibilité sur la circulation des données au sein du réseau, compte tenu du risque que leur transmission génère. La mise en place d’une solution de SIEM* est le moyen efficace pour surveiller la sécurité des systèmes informatiques, contrôler l’accès aux systèmes où sont stockées les données médicales et recevoir des alertes quand on y accède. Les logs fournissent une vision complète et exacte de ce qui a été consulté. Informer rapidement les organismes de réglementation en cas de violation des données devient alors possible ainsi que configurer des rapports prouvant la conformité à la Réglementation.

Anticiper la mise en place de solutions efficaces
La communauté des entreprises de santé partage des données vulnérables et offrent une grande surface d’attaque avec de nombreux points d’accès aux cybercriminels de plus en plus habiles à dérober et exploiter des informations personnelles. Aussi convient-il de faire appel à des experts pour mettre en place dès à présent ces exigences en matière de sécurité et de conformité. On peut bien sûr penser que rien ne presse, la mise en œuvre effective de la réglementation étant prévue après une période de deux ans. L’expérience montre que l’examen d’une structure organisationnelle ainsi que les mises à niveau nécessaires du système prennent du temps. (par Frédéric Saulet, pour DataSecurityBreach.fr, Directeur Régional Europe du Sud de LogPoint)

* SIEM : Security Information and Event Management – Le principe du security information management est de gérer les événements du système d’information (Wikipédia).

backdoor, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Mise à jour, pourriel, Propriété Industrielle, ransomware, Sauvegarde, Social engineering

Les collaborateurs, première menace pour les données de l’entreprise ?

Selon une récente étude[1] réalisée en France, les salariés seraient très confiants quant à la sécurité informatique au sein de leur entreprise. En effet, seuls 36% d’entre eux pensent qu’elle a déjà été la cible de hackers alors qu’en réalité, 90% des organisations reconnaissent avoir déjà subi une attaque. En outre, 85% des personnes interrogées estiment que leur entreprise est bien protégée contre les cyber-attaques et les hackers.

Des résultats qui révèlent une importante contradiction entre la perception des employés et la réalité des risques actuels qui planent sur les ressources et les données d’une organisation alors que les menaces se multiplient et sont de plus en plus sophistiquées. Jean-Pierre Carlin, Directeur Europe du Sud chez LogRhythm, a fait les commentaires suivants : « Ces chiffres sont surprenants dans la mesure où les affaires de faille de sécurité et de vol de données massifs font très régulièrement la une des médias depuis quelques mois. Ce sentiment de confiance représente une véritable porte ouverte aux hackers car si les collaborateurs n’ont pas conscience des risques qui planent sur les données et les ressources de l’entreprise, il y a fort à parier pour que les bonnes pratiques et les procédures essentielles en matière de sécurité ne soient pas non plus appliquées, voire négligées ».

En outre, ce n’est pas parce qu’une entreprise est protégée qu’elle ne subira pas d’attaque, ce que semblent pourtant penser les employés interrogés. En effet, des hackers qui souhaitent pénétrer au sein d’un système d’information finiront tôt ou tard par y parvenir, même si cela prend du temps.

Pour que les collaborateurs aient une perception en adéquation avec la réalité, les entreprises doivent impérativement poursuivre leurs efforts pour les sensibiliser aux cyber-risques, aussi bien pour leurs données personnelles que pour celles de l’organisation, ainsi qu’aux conséquences préjudiciables que peut entrainer une fuite de données. La formation de l’ensemble des membres d’une organisation aux risques, aux différents types d’attaques potentielles ainsi qu’à l’application systématique des bonnes pratiques représentent la base pour initier une stratégie globale de sécurité efficace. Le contrôle d’accès, la vigilance relative aux emails ainsi que le renouvellement régulier des mots de passe font notamment partie des mesures indispensables. En outre, les responsables de la sécurité doivent mettre en place un dispositif de sanction pour les employés qui ne respectent pas les règles imposées par l’entreprise, pour une meilleure implication mais aussi pour engager leur responsabilité.

Selon l’étude Capgemini, 28% des personnes interrogées estiment que la politique de sécurité informatique de leur société n’est pas vraiment claire, voire pas du tout, et 39% déclarent ne pas la connaître. Ces résultats révèlent un manque d’information et peut-être un manque d’implication de la part des directions à se saisir de ces problématiques auquel les entreprises doivent rapidement remédier. Pour les entreprises qui ne possèdent pas forcément les ressources en interne (un CSO par exemple, responsable principal de la sécurité), l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) et la Confédération Générale du Patronat des Petites et Moyennes Entreprises (CGPME) ont publié en mars dernier un guide des bonnes pratiques pour les PME. Cette excellente initiative répond à l’urgente nécessité de sensibiliser les salariés aux conséquences qui peuvent résulter d’une simple négligence et des règles de base à respecter, et aide les organisations en leur proposant une expertise adaptée à leurs besoins. Nous les encourageons donc vivement à partager ce guide en marge de leur stratégie globale de sécurité pour une meilleure information, prévention et prise de conscience des risques qui conduiront à l’adoption des bons réflexes.

La contradiction entre la perception de la cyber-sécurité par les salariés et la réalité met en avant le fait que l’humain reste l’un des maillons faibles d’une organisation. Les hackers le savent très bien, c’est la raison pour laquelle ils sont à l’affût du moindre faux pas. Dans ce contexte, la protection des données et des ressources représente aujourd’hui un véritable défi pour les entreprises. Il est donc primordial de faire prendre conscience aux employés que les cyber-risques sont réels, que les attaques ne sont pas uniquement portées sur les grandes organisations connues, et qu’ils peuvent eux-mêmes en être à l’origine. Avec une plus grande implication de la direction générale pour la formation de l’ensemble des collaborateurs, associée aux initiatives des autorités régissant la sécurité informatique, les entreprises vont pouvoir renforcer la protection de leurs données ainsi que l’efficacité de leur politique de sécurité, un enjeu majeur à l’heure où les cyber-attaques sont devenues monnaie courante.

[1] Etude « La Cybersécurité vue par les collaborateurs » menée par Opinion Way pour Capgemini auprès d’un échantillon de 1010 salariés français de bureau d’entreprises privées en mai 2015

Chiffrement, Cybersécurité, Emploi, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Social engineering

Comment élaborer une bonne stratégie de sécurité

Les DSI ont pris note des scénarios de cauchemar que les violations de données peuvent engendrer : vous souvenez-vous de Sony ou de Target ? Pour combattre ces bombes à retardement, ils ont étoffé leurs budgets de sécurité. L’équipe d’intervention informatique d’urgence (CERT) de la Carnegie Mellon University recommande également de mettre en place une stratégie de sécurité que vous pouvez consulter si vos systèmes sont compromis.

Pourquoi avez-vous besoin d’une stratégie de sécurité ? Une stratégie de sécurité contient des procédures organisationnelles qui vous indiquent exactement quoi faire pour prévenir les problèmes ainsi que la marche à suivre si vous vous trouvez en situation de violation de données. Les problèmes de sécurité peuvent concerner :
– la confidentialité, lorsque des personnes obtiennent ou divulguent des informations de manière inappropriée ;
– l’intégrité, quand des informations sont altérées ou validées de manière erronée, délibérément ou accidentellement ;
– la disponibilité, avec des informations inaccessibles lorsqu’elles sont requises ou disponibles à plus d’utilisateurs que nécessaire.

En tout cas, disposer d’une stratégie permettra d’assurer que tous les membres du service informatique se trouvent sur la même longueur d’onde en ce qui concerne les processus et procédures de sécurité.

À quoi ressemble une bonne stratégie de sécurité ?
Vous avez peut-être une idée de ce à quoi la stratégie de sécurité de votre entreprise doit ressembler. Mais si vous souhaitez vérifier votre travail ou disposer d’indicateurs supplémentaires, visitez la page consacrée aux modèles de stratégies de sécurité de l’information  de SANS. Vous y trouverez vingt-sept stratégies de sécurité à consulter et utiliser gratuitement. Une bonne stratégie de sécurité doit ressembler à :
– Objectifs : des attentes et des buts clairs.
– Conformité : les législations peuvent faire partie des exigences d’une stratégie de sécurité, et il est donc essentiel de les énumérer.
– Dernière date de test : les stratégies doivent constituer une documentation vivante fréquemment contrôlée et remise en question.
– Date de dernière mise à jour : les documents d’une stratégie de sécurité doivent être mis à jour pour s’adapter aux changements de l’entreprise, aux menaces extérieures et aux évolutions technologiques.
– Contact : les informations contenues dans les stratégies de sécurité sont censées être lues, comprises et mises en application par tous les collaborateurs d’une entreprise et s’il y a des questions, un propriétaire du document doit y répondre.

Questions à poser lors de la création de votre stratégie de sécurité ?
Lorsque vous créez une stratégie de sécurité, il est utile de poser des questions parce qu’en y répondant, vous découvrirez ce qui est important pour votre entreprise et vous pourrez discerner les ressources nécessaires pour former et maintenir votre stratégie. Voici quelques questions pour démarrer :
– De quelle(s) personne(s) vous faudra-t-il l’approbation ?
– Qui sera le propriétaire de cette stratégie de sécurité ?
– Quel est le public concerné par cette stratégie ?
– Quelles réglementations s’appliquent à votre secteur d’activité (par exemple, GLBA, HIPAA, Sarbanes-Oxley, etc.) ?
– Qui a besoin d’avoir accès aux données de votre entreprise ?
– Qui possède les données que vous gérez ? Votre entreprise ? Vos clients ?
– Combien de demandes d’accès aux données recevez-vous chaque semaine ?
– Comment ces demandes sont-elles satisfaites ?
– Comment et quand l’accès est-il examiné ?
– Comment pouvez-vous vous assurer qu’aucun conteneur ne sera ouvert à un groupe d’accès global (Tout le monde, Utilisateurs du domaine, Utilisateurs authentifiés, etc.) sans autorisation explicite des propriétaires de données et de la hiérarchie concernée ?
– Comment toutes les activités d’accès seront-elles enregistrées et disponibles pour audit ?
– Si des données n’ont pas été consultées depuis 18 mois, comment seront-elles identifiées et restreintes afin que seuls leurs propriétaires y aient accès jusqu’à ce qu’une demande soit formulée par un autre utilisateur ?
– Comment harmoniserez-vous votre stratégie de sécurité aux objectifs de l’entreprise ?

Derniers conseils
Les stratégies de sécurité donnent de meilleurs résultats lorsqu’elles sont concises et vont droit au but. Elles doivent aussi favoriser et répondre aux besoins de l’activité. Grâce à une maintenance régulière, la stratégie de sécurité de votre entreprise contribuera à en protéger les actifs. (Par Norman Girard, pour DataSecurityBreach.fr, Vice Président et directeur général Europe de Varonis)

Argent, Banque, BYOD, Cloud, Cybersécurité, Entreprise, Fuite de données, Paiement en ligne, Particuliers, Propriété Industrielle

Les organismes de services financiers EMEA de plus en plus touchés par des menaces de fraudes en ligne

Les décideurs IT de dix pays mettent en évidence les pertes financières et les préoccupations réglementaires liées à aux logiciels malveillants, au phishing, aux vols d’identifiants et aux piratages de profils d’employés.

Les organismes de services financiers de la zone EMEA sont de plus en plus exposés et préoccupés par l’augmentation des menaces de fraude en ligne, selon une enquête commandée par F5 Networks. Les décideurs informatiques révèlent qu’ils doivent constamment faire face à des attaques significatives ciblant les finances et la réputation de leur entreprise dues à des programmes malveillants, des campagnes de phishing, des attaques visant à s’accaparer des identifiants utilisateurs ou détourner leurs sessions. Cela a pour conséquence de générer un besoin croissant pour des solutions multi-couches de protection et de détection des fraudes en ligne et sur mobiles.

L’enquête a révélé que 48 % des organisations ont, au cours des deux dernières années, déjà subi des pertes financières allant de 70 000 € à 700 000 € et ayant pour origine des fraudes en ligne. 9 % de ces actes de malveillance ont permis de dérober des sommes supérieures à 700 000 € et 3 % supérieures à 1 000 000 €.

73 % ont cité les atteintes à la réputation comme étant la principale préoccupation liée à ces attaques, alors que 72 % craignent la perte de revenus et le fardeau de devoir effectuer des audits de sécurité complets. Parmi les autres impacts négatifs majeurs figurent la perte de la confiance et la fidélité des clients (64 %) et les amendes potentielles par les organismes de réglementation (62 %).

« Que ce soit des attaques de type phishing, Man-in-the-middle, Man-In-The-Browser ou d’autres activités basées Trojan comme des injections Web, des détournements de formulaire en ligne, des modifications de pages ou des modifications de transactions, les dangers de la fraude en ligne sont inévitables et vaste pour les entreprises quel que soit leur secteur », déclare à DataSecurityBreach.fr Gad Elkin, Directeur EMEA de la sécurité de F5. Plus que jamais, il est essentiel de comprendre la nature des menaces et de mettre en œuvre des solutions qui éliminent les attaques avant qu’elles ne puissent vraiment nuire. Ceux qui feront cela correctement seront récompensés par la fidélité de leurs clients et en retireront les bénéfices. »

Plus de 35% des répondants ont affirmé avoir subi des pertes liées à des fraudes ayant pour origine une large variété d’attaques en ligne. Les programmes malveillants ont été le principal coupable (75 %), suivie par le phishing (53 %), le piratage d’identifiants (53 %) et le piratage de session (35 %).

Lorsque les stratégies de défense ont été abordées, 37% des entreprises interrogées ont déclaré qu’elles préféraient la défense à fraude en ligne faisant appel à des solutions hybrides combinant des prestations et sur site ou en ligne. Le chiffre est plus élevé (59 % des répondants) pour les organisations de plus de 5.000 employés.

55 % des répondants affirment avoir adopté des solutions de prévention contre la fraude multi-couches. Les solutions embarquées sur les terminaux sont les plus populaires (62 %), suivie par l’analyse de navigation de page pour identifier les schémas de navigation suspects (59 %), et l’analyse des liens de relations entre les utilisateurs, les comptes et les terminaux pour détecter les activités criminelle et/ou les abus (59 »%). Les solutions fournissant une analyse comportementale de l’utilisateur et de comparaison pour des canaux spécifiques figurent également en bonne place (55 %).

Ce contexte explique les raisons pour lesquelles il y a une demande croissante pour des solutions en ligne bénéficiant de capacités de protection contre la fraude sans nécessité d’installer quoi que ce soit sur le poste. Ceux-ci permettent aux organisations d’équiper en temps réel tous les types de postes contre toutes les variétés de menaces en ligne sans que l’utilisateur ait à faire quoi que ce soit, écartant tout danger dans des situations telles que des injections de code HTML ou de script malveillants. Cela inclut les menaces les plus récentes telles comme le malware Dyre, qui dispose d’un large éventail de capacités qui en font l’un des chevaux de Troie bancaires les plus dangereux actuellement. « Les fraudeurs continuent d’évoluer et d’exploiter le maillon le plus faible : l’utilisateur final », conclut Gad Elkin.

250 employés ont été interrogés au Royaume-Unis, France, Allemagne, Italie, Espagne, Pays-Bas, Suède, Pologne et Arabie Saoudite.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Social engineering

Stratégies BYOD : sécuriser les données d’entreprise dans un monde mobile

Les environnements des entreprises évoluent rapidement. Dans ce contexte, les employés doivent pouvoir accéder à leurs informations professionnelles à tout moment en situation de mobilité, ceci afin d’améliorer leur productivité, leur niveau de satisfaction et les performances globales de leur entreprise. Souvent, les salariés veulent accéder à leurs messageries, calendriers, contacts, données clients et documents sensibles sur leurs appareils personnels, ce qui représente un potentiel cauchemar pour les départements informatiques, qui doivent s’assurer de la sécurité des informations professionnelles.

Selon les prévisions du Gartner, d’ici 2017, un employeur sur deux exigera de ses employés qu’ils utilisent leurs appareils personnels au travail. Les entreprises doivent donc impérativement prendre des mesures appropriées afin de s’assurer que la vague de smartphones et de tablettes pénétrant dans le périmètre de l’entreprise soit sécurisée. Pour cela, elles doivent mettre en œuvre des stratégies BYOD offrant de la flexibilité aux employés, et assurant dans le même temps la sécurité au niveau de l’entreprise. De telles stratégies peuvent faire toute la différence, car elles instaurent des règles strictes permettant de faire face à diverses problématiques essentielles : quels appareils et applications sont autorisés à accéder aux informations professionnelles ; qui est responsable des applications et des données ; quelles données doivent être en lecture seule / modifiables, ou disponibles hors ligne ; ou encore qui doit payer pour la consommation professionnelle de données et de voix.

Déterminer en quoi il est nécessaire de migrer vers le BYOD
La première étape dans la mise en œuvre d’un programme BYOD efficace est tout d’abord de définir en quoi celui-ci est nécessaire, et d’établir clairement des indicateurs de réussite. Un tel programme est-il nécessaire pour réduire les dépenses d’investissements et les frais ? L’objectif est-il de stimuler la productivité du personnel ? Lorsque l’on détermine la nécessité d’un programme BYOD pour une entreprise, il est important de s’assurer que le raisonnement adopté soit en accord avec les objectifs de l’entreprise. Une fois le but clairement défini, il sera plus facile pour les dirigeants de justifier un investissement continu dans un tel programme, et l’adoption de ce dernier devrait également s’en trouver renforcée dans l’entreprise.

Il est également essentiel de démontrer la valeur ajoutée du BYOD pour l’entreprise, et de présenter ses avantages et ses risques aux utilisateurs mobiles, ainsi que la façon dont le programme envisagé permettra d’en assurer la protection. Les équipes informatiques pourront faire l’objet d’un certain rejet lors d’un tel déploiement  : en effet, certains employés verront cela comme une excuse pour accéder aux appareils personnels, craindront de voir leurs informations personnelles effacées, ou encore que leur consommation personnelle de données et de voix augmente sur leurs forfaits mensuels. Cependant, les départements informatiques prenant le temps d’expliquer en quoi ce programme leur sera bénéfique et permettra de les protéger ont alors plus de chance de rencontrer de l’enthousiasme de la part des utilisateurs plutôt que l’inverse. Une stratégie BYOD pertinente implique que chacune des parties soit sur la même longueur d’onde dès le début pour que les organisations récoltent rapidement les fruits de leurs efforts.

Exposer les droits de la société en matière de gestion de données professionnelles sur des appareils personnels
Lors de la mise en œuvre d’un programme BYOD, un contrat de licence de l’utilisateur final (EULA) devrait clairement définir le comportement attendu des employés et promouvoir le respect volontaire des stratégies d’entreprise et de sécurité, tout en protégeant leur vie privée. Le cas échéant, la stratégie mise en œuvre devrait clairement préciser que l’entreprise se réserve le droit d’effacer ses données et applications lorsque nécessaire.

Beaucoup d’organisations se tournent vers une solution de conteneurisation garantissant une séparation nette entre les données professionnelles et personnelles. Une telle solution permet de satisfaire le besoin de confidentialité des employés mobiles, ainsi que les exigences des départements informatiques en matière de sécurité des données professionnelles. De cette façon, en cas de vol ou de perte de l’appareil, ou si un employé quitte l’entreprise, seules les données professionnelles seront effacées à distance, réduisant ainsi le risque de compromission de données sensibles. Pour les équipes informatiques, la conteneurisation est un gage de confiance quant à la sécurité des données. Ils peuvent ainsi promouvoir en toute sérénité l’utilisation d’informations professionnelles sur des appareils appartenant aux employés ou à l’entreprise dans le cadre de workflows mobiles. Du côté des employés, le fait que leurs messageries personnelles, photos et bibliothèques musicales soient inaccessibles et ne puissent pas être effacées par leur département informatique est une source supplémentaire de tranquillité quant au respect de leur vie privée.

Envisager des solutions de facturation partagée
Le BYOD est récemment devenu un point de discorde quant à l’identité de celui devant payer la facture mensuelle de services de téléphonie mobile. Ainsi, en 2014, la Cour suprême et la Cour d’appel de Californie se sont prononcées sur la question.

La facturation partagée peut faciliter la transition vers la gestion de la mobilité d’entreprise (EMM) pour les entreprises, en leur évitant des problématiques complexes d’indemnisation, de remboursement et d’attribution de crédits. Au lieu d’inclure les frais de données liées à une consommation professionnelle sur des forfaits mensuels personnels, l’accès aux applications fournies par l’entreprise peut être directement facturé à l’employeur et aux partenaires. Les remboursements peuvent ainsi être rationalisés en même temps que les questions de responsabilité des RH et juridique quant aux contenus des utilisateurs. Plus besoin d’enregistrer des notes de frais, de payer des frais cachés liés au traitement des remboursements, ou de gérer des questions fiscales liées à des indemnisations.

En intégrant un forfait de données professionnel et une facturation partagée à leurs stratégies BYOD, les dirigeants d’entreprise peuvent accélérer la transition de leur personnel vers la mobilité.

Impliquer également les employés
Malgré toutes les meilleures intentions du monde, les services juridiques et informatiques élaborent parfois une stratégie BYOD manquant de convivialité. Lorsqu’ils définissent et déploient une telle stratégie, les dirigeants doivent impliquer tous les services, y compris les RH, le service financier et juridique, les responsables de la sécurité et de la confidentialité, ainsi que les responsables informatiques. Ils pourront ainsi exposer à ces principaux acteurs un cadre de meilleures pratiques de BYOD structuré afin de favoriser une prise de décision rapide et collaborative.

La mobilité est essentielle pour lutter contre la concurrence. En donnant aux employés la possibilité de travailler sur les appareils de leur choix, il est possible d’accélérer les tâches quotidiennes et d’accroître ainsi la productivité des salariés et leur degré de satisfaction. Lors de la mise en œuvre de stratégies BYOD complètes, les dirigeants doivent clairement présenter les arguments en faveur du déploiement de tels programmes, et établir avec précision le droit de leur entreprise à gérer les données professionnelles stockées sur les appareils personnels. Ils doivent également envisager de mettre en place une solution de conteneurisation afin de séparer les données professionnelles et personnelles, et réfléchir à une solution de facturation partagée afin d’éviter les problématiques complexes d’indemnisation, de responsabilité quant au contenu de l’utilisateur final et de contrôle des notes de frais des employés.

Enfin, il est essentiel d’aborder le déploiement de stratégies et de solutions BYOD dans votre entreprise comme un effort commun à tous vos services. Créez une campagne de marketing interne proactive destinée aux utilisateurs d’appareils mobiles en vous assurant qu’elle soit engageante et facile à comprendre, comme avec des vidéos, des posters, des FAQ, ou des événements dédiés à des endroits stratégiques. Expliquez clairement les avantages, et comment votre stratégie et votre solution BYOD permettent de gérer les risques au niveau des données professionnelles. La clé d’une stratégie efficace est de s’assurer que le programme créé profite aux employés tout en renforçant la sécurité des données professionnelles. (Par Florian Bienvenu, pour datasecuritybreach.fr, vice-président UK, Europe Centrale, Europe du Sud et Moyen Orient de Good Technology)

Chiffrement, cryptage, Cybersécurité, Justice, loi

Le Sénat a adopté les conclusions de la commission mixte paritaire sur le projet de loi relatif au renseignement

Un commentaire

Au cours de la séance du 23 juin 2015, le Sénat a adopté les conclusions de la commission mixte paritaire (CMP) sur le projet de loi relatif au renseignement. La CMP avait adopté plusieurs dispositions dans la rédaction issue des travaux du Sénat.

Ainsi, les dispositions du Sénat visant à garantir les libertés publiques ont été maintenues. Il s’agit notamment de la définition du respect de la vie privée qui implique le secret des correspondances, protection des données personnelles et l’inviolabilité du domicile ; la possibilité pour toute personne souhaitant vérifier qu’aucune technique de renseignement n’est mise en oeuvre de manière irrégulière à son encontre de saisir la CNCTR (Commission nationale de contrôle des techniques de renseignement) sans avoir à démontrer un “intérêt direct et personnel” à agir ; – la limitation à deux mois de la durée d’autorisation de mise en oeuvre des techniques particulières de renseignement portant sur les données de connexion ; la possibilité pour le Conseil d’Etat de statuer en référé en premier et dernier ressort dans le cadre de contentieux sur la mise en oeuvre des techniques de renseignement.

En outre, l’administration pénitentiaire ne pourra pas utiliser les techniques de recueil de renseignement et la computation du délai de conservation des renseignements se fera à partir du recueil de la donnée et non de son exploitation. En commission mixte paritaire, sénateurs et députés se sont accordés sur le délai de conservation des données recueillies par les techniques de renseignement, fixé à 30 jours pour les interceptions de correspondances, à 120 jours pour les renseignements collectés dans le cadre de la captation d’images ou de données informatiques, à quatre ans pour les données de connexion et à six ans pour les données cryptées.

En séance, lors de la lecture des conclusions de CMP, le Sénat a adopté l’amendement n° 8 du Gouvernement qui supprime une disposition adoptée par la commission mixte paritaire et qui prévoyait que le Premier ministre pouvait autoriser le recours aux techniques de renseignement sans avis préalable de la CNCTR lorsque leur mise en œuvre ne concerne ni un Français, ni un résident habituel en France.

Ce texte sera adopté définitivement si l’Assemblée nationale adopte les conclusions de la commission mixte paritaire dans les mêmes termes le 24 juin 2015.

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, Patch, Piratage, Propriété Industrielle, Sauvegarde

Microsoft ne veut pas corriger une faille

Un commentaire

Le géant de l’informatique, Microsoft, ne corrigera pas une faille visant Internte Explorer. Les chercheurs, derrière la découverte de la vulnérabilité, annonce diffuser le problème pour s’en protéger, seul.

En Février 2015, l’équipe de sécurité informatique de HP mettait à jour un 0day, une faille non publique, visant Internet Explorer. Présenté à Microsoft lors du Zero Day Initiative, l’équipe HP avait gagné 125.000 dollars de la Microsoft Mitigation Bypass Bounty.

Lors de la conférence RECon de Montréal, l’équipe a divulgué les détails de leur recherche. Ils ont expliqué cette divulgation par le fait que Microsoft a annoncé ne pas avoir l’intention de corriger la faille et de laisser Internet Explorer en danger face à l’utilisation de la vulnérabilité par des pirates. DataSecurityBreach.fr pense tout simplement que Microsoft faisant disparaitre son navigateur dans la prochaine monture de Windows, cette non correction peut inciter « consommateurs » à migrer vers Microsoft Edge.

Bilan, le problème découvert dans l’Address Space Layout Randomization (ASLR) restera problème. « Libérer des informations sur une faille non corrigée est une première pour nous, confirme l’équipe HP, nous ne faisons pas cela par dépit ou par malveillance. Nous préférerions expliquer le problème une fois corrigé. Cependant, depuis que Microsoft a confirmé nos contacts, ils ont indiqué ne pas prévoir de mesures à partir de nos recherches ». A noter que cela ne doit pas être si compliqué à protéger, HP en profite pour annoncer que ses outils de sécurité bloquent l’attaque !

Les informations techniques se trouvent sur GitHub. Une non correction, qui ressemble bizarrement aux inquiétudes autours du non « patchage », par certains opérateurs, des smartphones Samsung s4, s5, s6 en danger face à un piratage possible de masse.

backdoor, BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage, Propriété Industrielle, Sauvegarde

Une nouvelle menace nommée Equation Group

En février dernier, la sphère de la cyber-sécurité a pris conscience des efforts déployés par Equation Group, organisation de cyber-espionnage de haut niveau qui exploite les firmwares HDD et SSD.

McAfee Labs a évalué les modules de reprogrammation exposés et a observé qu’ils pouvaient reprogrammés les firmwares des HDD et des SSD. Ainsi, les logiciels malveillants peuvent être rechargés et infecter l’ordinateur à chaque redémarrage du système : ils ne disparaissent pas, même en cas de reformatage du disque ou de réinstallation du système d’exploitation. Une fois infecté, le logiciel de sécurité ne peut plus détecter le malware qui est caché au sein du système. « Chez Intel Security, explique David Grout, nous avons suivi de près ces types de menaces hybrides software/hardware. En effet, bien que ces logiciels malveillants aient historiquement été déployés pour des attaques ciblées, les entreprises doivent se préparer à l’inévitable volet commercial que pourraient représenter de telles menaces à l’avenir ».

Il est nécessaire pour une entreprise de prendre des mesures pour renforcer la détection des menaces existantes telles que l’hameçonnage intégrant des liens frauduleux et les malwares infestant les périphériques USB, et d’envisager des solutions qui pourraient prévaloir l’exfiltration des données.

backdoor, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle

Nouvelles cyberattaques contre des réseaux gouvernementaux et militaires en Asie du Sud-Est

Palo Alto Networks, spécialiste en sécurité d’entreprise, dévoile  les résultats d’une étude sur une série de cyber attaques qui pourraient être commanditées par des États pour cibler des organismes publics et militaires de pays d’Asie du Sud-Est.

Découverte par l’équipe de cyberveille de l’Unité 42 de Palo Alto Networks et surnommée « Opération Lotus Blossom », l’attaque s’apparente à une tentative de récupérer des informations internes sur le fonctionnement d’États nations dans la région. La campagne remonte à trois ans et plusieurs cibles basées à Hong Kong, Taiwan, au Vietnam, aux Philippines et en Indonésie sont concernées.

Plus de 50 attaques distinctes ont été identifiées dans l’Opération Lotus Blossom. Toutes utilisent un cheval de Troie développé spécifiquement et baptisé « Élise » pour lancer des attaques de spear phishing ultra ciblées par le biais d’e-mails et s’introduire dans les systèmes visés. Selon l’Unité 42, le malware Élise a été développé pour les besoins spécifiques de l’opération, bien qu’il soit également utilisé par l’adversaire dans d’autres attaques sans rapport.

Reconnaissables à leurs outils spécifiques, aux vastes ressources mobilisées et à la ténacité des assaillants depuis plusieurs années, ces attaques présupposent l’intervention en coulisses d’une équipe organisée dotée de moyens suffisants. Pour l’Unité 42, ces caractéristiques et la nature des cibles évoquent des motivations qui relèvent du cyberespionnage. Les acteurs à la manœuvre pourraient, toujours d’après l’Unité 42, avoir des liens ou être financièrement soutenus par un État nation ayant de puissants intérêts dans les affaires régionales en Asie du Sud-Est.

« Au regard des standards actuels, le cheval de Troie de type porte dérobée et les exploits de vulnérabilités utilisés dans l’Opération Lotus Blossom ne sont pas des techniques nouvelles. Ces attaques peuvent néanmoins être préjudiciables si elles aboutissent, car elles permettent aux pirates d’accéder à des données sensibles. L’utilisation actuelle de vulnérabilités plus anciennes est symptomatique : tant que les entreprises ne seront pas axées sur la prévention et qu’elles n’auront pas pris les mesures nécessaires pour améliorer la cybersécurité, les cyberpirates continueront d’employer les bonnes vieilles méthodes parce qu’elles marchent encore », commente à DataSecurityBreach.fr Ryan Olson, directeur de la veille, Unité 42, Palo Alto Networks

L’équipe de l’Unité 42 a pu découvrir la campagne Lotus Blossom grâce au tout récent service AutoFocus de Palo Alto Networks. Ce service permet aux analystes de sécurité de corréler et d’interroger des événements de sécurité provenant de plus de 6 000 abonnés WildFire et d’autres sources de cyberveille. Les abonnés des services Palo Alto Networks Threat Prevention et WildFire sont automatiquement protégés contre ces attaques. Les autres sont invités à vérifier leur réseau pour y rechercher d’éventuels signes d’intrusion et renforcer leurs contrôles de sécurité par l’ajout d’indicateurs pertinents, comme indiqué en détail dans la version intégrale du rapport.

Android, backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers, Patch, Sécurité, Smartphone, Téléphonie, Vie privée, VPN

600 millions d’utilisateurs d’un téléphone Samsung en danger ?

Un commentaire

Plus de 600 millions d’utilisateurs de téléphones portables Samsung ont été touchés par un risque de sécurité important. Samsung S3, S4, S5 et S6 touchés par une vulnérabilité dans un clavier pré-installé qui permet à un pirate d’exécuter du code à distance.

Intéressant ! Après la diffusion de faille et bug visant le téléphone portable d’Apple, l’iPhone, voici venir la faille pour le concurrent direct de la grosse pomme, la famille des Samsung S. Cette faille a été découverte par le chercheur Ryan Welton de la société américaine de NowSecure. Samsung a été alerté en décembre 2014.

Compte tenu de l’ampleur du problème, NowSecure a aussi notifié le CERT américain afin de faire corriger le problème rapidement (CVE-2015-2865). L’équipe de sécurité de Google Android a elle aussi été mise dans la boucle. L’attaque permet de récupérer la connexion GPS, brancher caméra et micro, installer en cachette des applications malveillantes, lire les messages (SMS, MMS, Mails, …). Bref, une petite cochonnerie.

Samsung n’a rien dit, mais propose depuis début de 2015 un correctif. Impossible de savoir si les opérateurs ont suivi la même mouvance sécuritaire… mais particulièrement pratique pour espionner une cible précise. A la lecture de la liste ci-dessous, qui ne concerne que des opérateurs américains, il y a de forte chance que votre téléphone soit toujours un espion en puissance dans votre poche.

Malheureusement, l’application du clavier défectueux ne peut pas être désinstallé. Côté solution : ne pas utiliser de wifi non sécurisé (utilisez un VPN, INDISPENSABLE NDLR)… ou changez de téléphone.

Galaxy S6      Verizon  Non corrigée
Galaxy S6       AT & T   Inconnu
Galaxy S6       Sprint   Non corrigée
Galaxy S6       T Mobile Inconnu
Galaxy S5       Verizon  Inc9nnu
Galaxy S5       AT & T   Inconnu
Galaxy S5       Sprint   Inconnu
Galaxy S5       T Mobile N8n c2rrigée
Galaxie S4       Verizon  Inconnu
Galaxie S4       AT & T   Inconnu
Galaxie S4       Sprint   Inconnu
Galaxie S4       T Mobile Inc8nnu
Galaxy S4 Mini  Verizon  Inconnu
Galaxy S4 Mini  AT & T   Non corrigée
Galaxy S4 Mini  Sprint   Inconnu
Galaxy S4 Mini  T Mobile Inc9nnu

Merci à @dodutils pour l’alerte.

Argent, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Espionnae, Facebook, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Vie privée

Piratage confirmé pour LastPass

2 commentaires

Le système de mot de passe LastPass piraté. L’éditeur confirme le passage malveillant de visiteurs qui ont mis la main sur les données des clients de l’entreprise.

LastPass est un coffre fort de mot de passe. Au lieu de retenir des dizaines de précieux sésames, l’excellent LastPass propose de les sauvegarder dans son service et de ne retenir que le password proposé par le service, le mot de passe principal, dit maître. Sauf que si un pirate met la main sur cet unique clé généraliste, le danger est réel. Autant dire que le malveillant n’a plus qu’à se servir. C’est ce qui semble se passer pour LastPass.

L’entreprise vient de confirmer une intrusion dans son serveur. Sur son blog, l’éditeur explique qu’une enquête est en cours et qu’elle a pour le moment « démontré que les adresses mails des comptes LastPass, ainsi que des informations dédiées aux mots de passe (mais pas les mots de passe directement, NLDR), le salage et le hachage d’authentification ont été piratés« .

Bref, pas besoin de vous faire un dessin. Changez votre mot de passe LastPast, comme le propose les ingénieurs de Lastpast. Les utilisateurs touchés ont/vont reçu/recevoir un courriel. On peut aussi conseiller de modifier l’ensemble des mots de passe sauvegardés dans l’outil, sait-on jamais… ou prenez des vitamines pour sauvegarder vos précieux uniquement dans votre cerveau. Les utilisateurs qui passeraient par un nouveau matériel doivent, de nouveau, se valider par mail.

Cybersécurité, Entreprise, Logiciels, Microsoft, Mise à jour, Patch, Propriété Industrielle, Sauvegarde

Windows Server 2003 : la fin des mises à jour le 14 juillet

Microsoft Windows Server 2003 ne sera plus mis à jour à partir du 14 juillet 2015. Changer ou subir de potentielles futures failles ? Faîtes vos jeux !

Les utilisateurs de Windows Server 2003 sont encore très nombreux. Microsoft parle même de 23,8 millions de WS 2003 en fonction dans le monde. Le cabinet  Enterprise Strategy Group a révélé dernièrement que 25% des sociétés interrogées déclaraient vouloir continuer à utiliser WS 2003 après le 14 juillet.  Difficile de passer à autre chose. Le coût, premier frein.

Sans service de support, ni de maintenance

Utiliser Windows Server 2003 peut être perçu comme une vulnérabilité d’exploitation dès la mis juillet. Un danger potentiel, comme les utilisateurs, et ils sont encore nombreux, de Windows XP.  Pour une question de budget, de temps ou tout simplement par manque d’information, vous ne changerez pas avant le 15 juillet. Ou parce que certaines de vos applications critiques exigent cet OS. Selon Distributique l’opération couterait 60 000 dollars par migration. Si vous êtes dans une situation qui vous oblige à garder Windows Server 2003 au-delà du 15 juillet, vous devriez vous pencher sur la gestion des vulnérabilités sans patch, grâce aux fonctionnalités de Deep Security comme le préconise Trend Micro.

Attention, l’outil ne va pas combattre une éventuelle vulnérabilité qui affecte le système, mais elle fournira une protection contre les attaques susceptibles d’utiliser cette vulnérabilité indique Sophie Saulet sur le blog de l’éditeur japonais. Trend Micro a diffusé un livre blanc sur le sujet. A consulter pour ce faire une idée. La meilleure des options est de mettre au rebut Windows Server 2003 avant la date butoir.

Cybersécurité

Orange Business Services et Gemalto s’allient pour offrir un accès hautement sécurisé aux applications cloud

La solution d’authentification multi-facteurs de Gemalto disponible sur la galerie de services cloud sécurisée d’Orange Business Services.

Gemalto et Orange Business Services ont annoncé l’intégration de SafeNet Authentication Service de Gemalto au sein de Business VPN Galerie, la galerie de services cloud sécurisée d’Orange Business Services. Les clients d’Orange Business Services accèdent au service d’authentification multi-facteurs SafeNet à travers son offre Flexible Identity.  L’authentification multi-facteurs permet de s’assurer qu’un utilisateur est bien celui qu’il prétend être en combinant plusieurs facteurs pour l’authentifier.

L’intégration de SafeNet Authentication Service au sein des applications déjà disponibles sur Business VPN Galerie permet aux entreprises d’accéder, sans à avoir à passer par le réseau internet, à une solution intégrée offrant un système d’authentification multi-facteurs unique pour accéder à leurs infrastructures, services et applications dans le cloud, tels que Office 365 ou Salesforce.com. Elles bénéficient ainsi de plus de sécurité et de performance. « En tant que première plate-forme mondiale reliant le réseau privé de l’entreprise à des fournisseurs de services cloud, Business VPN Galerie offre un accès sécurisé aux services cloud à plus 1 200 entreprises clientes sur plus de 33 000 sites à travers le monde. En proposant les solutions d’authentification de Gemalto, nous élargissons l’écosystème des applications accessibles via la Business VPN Galerie et renforçons la sécurité des accès à ces applications via notre réseau cloud mondial », affirme Pierre-Louis Biaggi, Vice-président en charge des réseaux au sein d’Orange Business Services. « Avec toujours plus de services disponibles et accessibles à travers le cloud, la sécurité est au centre des préoccupations des fournisseurs de réseaux et de leurs clients. En combinant les services d’authentification forte de Gemalto et le réseau Business VPN Galerie, nous garantissons aux entreprises un accès plus sûr aux applications et aux données, tout en offrant aux utilisateurs finaux une expérience transparente et aux administrateurs informatiques une gestion simplifiée », se réjouit Andrew Young, vice-président de Gemalto en charge des solutions d’authentification et d’identité.

Le partenariat entre Gemalto et Orange Business Services permet de proposer une solution unique offrant, à travers le réseau IP VPN d’Orange, un accès de bout-en-bout aux services cloud multi-tiers et mutualisés d’authentification forte de Gemalto.

Banque, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers, Propriété Industrielle, Vie privée

HP facilite la sécurisation des impressions

HP a annoncé des solutions et des services, nouveaux et actualisés, qui permettent aux clients de mieux sécuriser leur environnement d’impression et de gagner en efficacité. Cette initiative s’inscrit dans le cadre de la stratégie HP visant à proposer des offres innovantes pour la sécurité des impressions et à les rendre accessibles au plus grand nombre.

« La sécurité et la protection des données d’entreprise sont des problématiques qui revêtent une importance croissante pour nos clients », souligne Edmund Wingate, vice-président Solutions LaserJet Enterprise chez HP. « HP continue à jouer un rôle moteur dans la sécurisation des imprimantes au travers d’offres qui renforcent la sécurité de nos modèles réseau et contribuent à protéger les données de notre clientèle. »

 Une sécurisation des impressions de pointe, plus accessible aux clients

Nouvelle fonctionnalité de HP Access Control, l’impression sécurisée, en mode «serverless», évite le recours à des serveurs dans de petits bureaux (agences par exemple). Ce mode d’impression sécurisée peut être déployé pour préserver la confidentialité des documents, se conformer à la politique d’impression de l’entreprise (par exemple, impression en noir et blanc et/ou recto-verso uniquement), mais aussi pour économiser des consommables (toner, papier) et de l’énergie. A présent exploitable sous forme de solution de mobilité managée, HP Access Control permet également d’envoyer, depuis un appareil mobile, des impressions par e-mail à une file d’attente sécurisée en mode « pull ». Ainsi, l’impression à partir d’un terminal mobile s’effectue aussi facilement que depuis un ordinateur de bureau ou portable connecté au réseau de l’entreprise, en bénéficiant d’un contrôle d’accès, d’un suivi et de mesures de sécurité identiques. Ces nouvelles capacités sont mises à la disposition de tous les clients équipés de HP Access Control.

De son côté, HP JetAdvantage Security Manager (ou HP Imaging and Printing Security Center) élargit son périmètre aux dernières imprimantes HP LaserJet Pro. Concrètement, les clients peuvent faire appel à cette solution HP d’administration et de contrôle automatisé de la sécurité de leur parc d’imprimantes HP pour sécuriser une plus large gamme de périphériques. L’offre HP Printing Security Advisory Services, quant à elle, étend sa couverture géographique, se dotant de nouveaux conseillers en sécurité en Europe et en Asie afin de rendre l’expertise HP en matière de sécurité d’impression accessible aux clients dans ces régions du monde.

Une sécurité renforcée par l’analyse et l’automatisation

HP assortit sa solution HP Capture & Route d’un nouveau module de reconnaissance automatique de document (RAD). Celui-ci permet d’accélérer et de faciliter la dématérialisation des documents papier et leur routage dans le workflow de l’entreprise (applications métier ou solution d’archivage par exemple). Il permet aussi de réduire les erreurs et d’améliorer la sécurité et la conformité des données. Destinée aux clients qui entendent accroître l’automatisation de leurs workflows et affiner leurs analyses, l’offre Managed Services, via son intégration avec HP Big Data, HP Teleform et HP Process Automation, contribue encore à améliorer la sécurité, la conformité et la gouvernance des informations dans divers secteurs d’activité (services juridiques, santé, services financiers, commerce, etc.).

Pour les clients désireux d’optimiser l’efficacité et la productivité de leur parc d’imprimantes, HP lance Proactive Print Advisor, un service qui leur propose des rapports, analyses et recommandations personnalisés en fonction de leur environnement d’impression. Accessible dans le monde entier, ce service allège la charge d’administration des structures informatiques, à grand renfort de recommandations sur l’optimisation de la rentabilité de leur parc et l’application de règles, ainsi que de conseils leur permettant de demeurer au fait des mises à jour.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, VPN

Attaque LogJam : les clés Diffie-Hellman visées

Des milliers de messagerie, Web, SSH, et les serveurs VPN sont vulnérables à une nouvelle attaque. Appelée Logjam, elle affecte l’échange de clés Diffie-Hellman. Le protocole d’échange de clé Internet (IKE) qui utilise l’algorithme de Diffie-Hellman est largement mis en œuvre dans le cryptage des données (par exemple, par SSL / TLS).

Le 20 mai 2015, une équipe de plusieurs chercheurs en sécurité de US a annoncé une faiblesse dans l’échange de clés Diffie-Hellman exploitée par l’«attaque Logjam » (Logjam attack). La faiblesse est causée par un défaut dans le protocole TLS qui est utilisé pour HTTP, SSH, et le cryptage de la connexion VPN. Elle peut être exploitée par la technique de l’homme du milieu (Man-in-the-Middle – MITM). Les cybercriminels peuvent surveiller ou même manipuler le trafic de données entre deux ou plusieurs parties de communication. La faiblesse est en fait dans la procédure de prise de contact TLS, au cours de laquelle l’attaquant fragilise l’exportation et l’échange de clés au lieu de l’échange de clés Diffie-Hellman normale. En réponse, le serveur continue échanger la clé de 512 bits, mais sans résultat.

Généralement, l’attaque de Logjam met en péril toutes les méthodes de chiffrement qui utilisent l’algorithme de Diffie-Hellman et l’échange de clés sur Internet (IKE). Comme déjà mentionné, ils comprennent le protocole TLS et SSL son prédécesseur qui sont largement utilisés pour SSH, courrier, web, et le cryptage de la connexion VPN.

Chiffrement, cryptage, Cybersécurité, Entreprise

Le modèle de maturité TLS

Dans le cadre de son activité SSL Labs,  Ivan Ristic du Qualys SSL Labs (Centre de recherches sur TLS et PKI qui fournit des outils de sécurité, de la documentation ainsi que des études sur les écosystèmes) passe beaucoup de temps à aider les autres à renforcer leur sécurité TLS. Soit directement ou en développant des outils et en rédigeant de la documentation. Avec le temps, il a remarqué que déployer TLS en toute fiabilité était de plus en plus compliqué alors que ce devrait être le contraire.

C’est pourquoi il présente dans DataSecurityBreach.fr  un modèle de maturité TLS, un modèle de déploiement conceptuel avec une feuille de route pour une sécurité TLS puissante. Ce modèle offre cinq niveaux de maturité.

Au Niveau 1 se trouve le chaos. Sans aucune politique ni règle associée à TLS, votre sécurité est aux mains du hasard (par exemple la configuration constructeur par défaut), d’individus ou plus généralement d’initiatives ad-hoc. Si bien que vous ne savez pas ce dont vous disposez ni quelle sera votre sécurité. Même si vos sites existants bénéficient d’une bonne sécurité, impossible de garantir que cela sera aussi le cas pour vos nouveaux projets. Tout le monde commence à ce niveau.

Le Niveau 2, celui de la configuration, ne concerne que la sécurité du protocole TLS et ignore les protocoles supérieurs. C’est de ce niveau dont nous parlons le plus, mais c’est généralement celui le plus facile à atteindre. Pour les systèmes modernes, il s’agit essentiellement d’un problème de reconfiguration des serveurs. Les systèmes plus anciens peuvent nécessiter une mise à niveau, ou, en dernier recours, un proxy plus sécurisé installé en frontal.

Le niveau 3, celui de la sécurité applicative, concerne la sécurisation de ces protocoles applicatifs supérieurs pour éviter des problèmes susceptibles de compromettre le chiffrement. Pour ce qui est des sites Web, ce niveau exige d’éviter de mélanger du texte en clair avec du contenu chiffré au sein de la même application ou sur la même page. Autrement dit, l’ensemble de la surface applicative doit être chiffrée. En outre, tous les cookies applicatifs doivent être bloqués et leur intégrité doit être vérifiée dès leur arrivée afin de se protéger contre des attaques à base d’injection de cookies.

Le Niveau 4, celui de l’engagement, a trait à l’engagement sur le long terme en matière de chiffrement. Concernant les sites Web, ce niveau est atteint en activant HTTP Strict Transport Security (HSTS), une norme relativement récente et prise en charge par les navigateurs modernes (par exemple supportée par IE sous Windows 10). HTTP Strict Transport Security applique un modèle de sécurité TLS plus strict pour mettre en échec les attaques visant à supprimer SSL ainsi que celles incitant les utilisateurs à cliquer sur les avertissements relatifs aux certificats.

Enfin, au niveau 5 se trouve une puissante sécurité. Vous définissez votre propre protection privée dans le Cloud PKI pour vous prémunir contre la plus importante faiblesse de l’infrastructure PKI, à savoir la possibilité pour une quelconque autorité de certification d’émettre un certificat pour un site Web sans la permission de son propriétaire. Pour ce faire, la technique d’« épinglage » des certificats (« public key pinning ») permet de restreindre le nombre d’autorités de certification susceptibles d’émettre des certificats pour vos sites Web. Il est également possible d’adopter une approche plus sécurisée en approuvant chaque certificat individuellement.

La simplicité conceptuelle du modèle de maturité de la sécurité TLS permet de savoir facilement où nous en sommes et ce qu’il reste à améliorer. Nous pourrons ainsi nous concentrer sur ce qui importe vraiment. Même s’il offre la meilleure sécurité, le niveau 5 nécessite beaucoup de travail et gère des risques inexistants pour la plupart des sites. Et s’il ne fait pas l’unanimité, le Niveau 4 reste le niveau minimum reconnu comme sécurisé et vers lequel devraient tendre la plupart des entreprises.

backdoor, Cyber-attaque, Cybersécurité, Piratage, Virus

RunPE, le tueur de logiciels espion

Un commentaire

Phrozen RunPE Detector : Nouveau logiciel indispensable dans son kit de secours informatique.

Phrozen RunPE Detector est la nouvelle création d’un informaticien chercheur Français que nous vous présentons souvent dans les colonnes de Data Security Breach. En plus d’être un ami, il est surtout un sérieux dompteur de codes via son site Internet Phrozen Soft. Il y a quelques années, il sortait le logiciel RAT DarkComet. Un excellent outil qu’il devra stopper. Des malveillants ayant détourné son outil… comme le gouvernement Syrien pour espionner les opposants au régime. Une mésaventure qui n’a pas assommé notre codeur Français, bien au contraire. Depuis, il concocte des outils de sécurité qui mériteraient de se retrouver sur les étagères des éditeurs d’antivirus de la planète web. En attendant, ce nouveau logiciel, baptisé Phrozen RunPE Detector, va devenir un indispensable de votre boite à outil sécurité informatique.

Pour faire simple, la technique RunPE consiste à démarrer un processus légitime souvent signé puis de le suspendre pour remplacer son contenu par une application malicieuse, ainsi cela permet de contourner les restrictions des par feux et d’exécuter du code directement en mémoire. Malheureusement, très pratique pour piéger les antivirus. Une technique utilisée par les pirates dans leurs « crypteurs », mais aussi dans de nombreux RAT. De nombreux outils malveillants continuent d’utiliser cette technique populaire, bilan, JP Lesueur a décidé de faire un outil qui se charge de repérer la menace.

Un logiciel d’analyse dynamique, et non statique, qui détecte la menace et, permet même dans certains cas, de récupérer la source de la menace. Le logiciel est gratuit.

backdoor, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage

Confirmation du piratage du Bundestag

L’assemblée parlementaire Allemande, le Bundestag, piratée. Un cheval de Troie infiltré dans des machines.

Un porte-parole de la chambre basse du Parlement allemand, le Bundestag, a confirmé que des pirates avaient réussi à s’infiltrer et à voler des données après le piratage d’ordinateurs appartenant à l’assemblée parlementaire Allemande. Une attaque qui aurait débuté en mai. L’infiltration n’a été détectée que deux semaines plus tard.

Les détails ne sont pas claires quant aux services touchés par ce piratage. Un cheval de Troie a été découvert. Il aurait permis les actions malveillantes (vols de données ? rebond pour DDoS sur d’autres sites ? Espionnage ?).

Autant dire qu’un employé a très bien pu cliquer sur un lien en visitant un site pour adultes, télécharger un torrent moisi ou reçu un courriel piégé.  (DW)

Argent, backdoor, Banque, Cybersécurité, Emploi, Entreprise, escroquerie, Fuite de données, Paiement en ligne, Particuliers, Social engineering

166816, le code secret qui pirate 90% des lecteurs de CB

Voilà qui est amusant. Le code secret de notre carte bancaire est un précieux sésame qu’il vaut mieux garder au secret. Il faudrait, maintenant, que les banques obligent le changement des mots de passe des lecteurs de cartes bancaires que l’on trouve dans les boutiques, restaurants, …

Si je vous dit 166816 ou encore Z66816, vous aller vous demander ce que sont ces mystérieux codes. La réponse est malheureusement très simple. Ils représentent 90% des mots de passe usine trouvés dans des lecteurs de cartes bancaires. Des lecteurs disposés chez les commerçants.

Des chercheurs de Trustwave, un cabinet spécialisé dans la cybersécurité, ont découvert que 9 propriétaires sur 10 de lecteurs de CB n’avaient pas modifié le mot de passe de leur boitier. Des mots de passe qui existent depuis … 1990.

Charles Henderson, de chez TrustWave, explique qu’un pirate, armé de ces mots de passe était
capable d’atteindre un accès à l’administration des lecteurs de cartes et, pour les plus joueurs, installer un code malveillant. Pour arriver à cette inquiétante conclusion, les chercheurs ont étudié les terminaux de cartes de crédit de plus de 120 détaillants du pays.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Piratage, Propriété Industrielle

Sésame ouvre-toi : un jouet Mattel ouvre les portes des garages

Le jouet Mattel IM-ME permet, avec une petite modification, d’ouvrir les portes des garages. Vive le sans-fil !

Les garages des Américains, nouvel espace de jeu pour les pirates ? Samy Kamkar, un informaticien curieux, a découvert qu’avec le jouet IM-ME de Mattel, et un code de son invention, il devenait possible d’ouvrir les portes des garages. Un outil qui ne coûte que quelques dollars.

Le problème est que certains garages ne sont protégés que par un code dont la sécurité est équivalente à un mot de passe à deux caractères. Samy Kamkar a réussi à cracker (pirater) la chose, avec son tool OpenSesame, en quelques secondes. « Une sécurité qui est une vaste blague, dit Kamkar. Un pirate peut entrer dans votre garage, en utilisant un appareil que vous ne remarquerez même pas dans sa poche, et en quelques secondes, votre porte de garage est ouverte.« 

OpenSesame ne fonctionne qu’avec les portes de garage dont l’ouverture se fait par un code unique, transmis en sans-fil via une télécommande. Bref, les portes ne tiennent pas longtemps, en ce moment, face aux pirates. Comme le cas du piratage des portières de voitures que ZATAZ vous révélait dernièrement. (Wired)

Android, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, ios, Mise à jour, OS X, Sauvegarde, Sécurité, Smartphone, Social engineering, Windows phone

56 millions de données exposées par des applications de smartphones

Des chercheurs de l’Université Allemande de Darmstadt annoncent que les développeurs d’applications prennent la sécurité des données par dessus la jambe.

Leurs applications auraient exposé 56 millions de données en utilisant les services de Google, Amazon et Facebook. L’équipe de chercheurs a testé 750.000 applications Android et iOS. Ils ont utilisé les services d’identité « fédérés » afin de s’authentifier plus simplement, plus rapidement, entre leurs différents appareils. Sauf qu’il semble y avoir un gros problème. L’équipe a trouvé des données, y compris les adresses mails, mots de passe, et les dossiers de santé, se promenant entre les connexions. Autant de données qui pourraient être exposées à des yeux indiscrets, et les comptes respectifs compromis si les jetons d’authentifications étaient  capturés. « Les développeurs d’applications utilisent des bases de données dans le cloud, explique les étudiants. Ils stockent  les données des utilisateurs, mais apparemment ignorent les recommandations de sécurité des données que recommandent pourtant les fournisseurs cloud.»

Les pirates ont besoin, cependant, d’extraire la clé de l’application et/ou exploiter une connexion sans fil non sécurisée, pour agir. Les sociétés qui hébergent ont besoin de beaucoup moins ! (The Register)

Android, Apple, Cybersécurité, Entreprise, ios, Logiciels, Microsoft, Mise à jour, Patch, Sécurité, Smartphone, Téléphonie, Windows phone

Planter Skype à coup de http://:

Planter le Skype d’un correspondant et l’empêcher de redémarrer la machine, simple comme un message de 8 signes.

Nous avions vu, la semaine dernière, comment une commande mal interprétée dans certains iPhone, utilisant une version iMessage boguée (L’ensemble des iPhone n’était pas sensible à ce bug comme on a pu le lire un peu partout, NDLR).

Cette fois, prenons Skype avec une vulnérabilité bien plus gênante. Que vous soyez sous iOS, Android, Windows (sauf Windows 8.1) ou Mac, le fait d’envoyer le message  » http://:  » à un correspondant fait planter son outil de communication en ligne. Plus gênant encore, le chercheur russe qui est tombé sur ce bug, s’est rendu compte que le « code » continué le blocage de Skype si le message n’était pas effacé par l’émetteur. La solution, réinstaller l’outil de Microsoft dans sa nouvelle version. La rédaction s’est amusée à bloquer ses propres Skype sous MAC (OS X 10.10.3) ou Windows (Skype 7.3.0.101). Ca fonctionne malheureusement que trop bien. Imaginez les entreprises, utilisatrices de ce moyen de conversation. Lors d’un rendez-vous important, plus possible de communiquer. Bref, mise à jour obligatoire !

Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Mise à jour, Particuliers, Patch, Piratage, Vie privée

Les Risques Cachés de l’Explosion du Trafic HTTPS

Si vous n’êtes pas préparé à une forte augmentation du trafic HTTPS, votre réseau est menacé !

Paradoxal, non ? HTTPS, après tout, est une bonne chose. Comme tout le monde le sait, HTTPS est la version sécurisée du Hypertext Transfer Protocol (HTTP), qui utilise le protocole SSL/TLS pour crypter et protéger le trafic web. Si vous souhaitez privatiser n’importe quelle action en ligne — qu’il s’agisse de l’achat de nouvelles chaussures ou du paiement d’une facture— HTTPS est ce qui protège vos communications des regards mal intentionnés.

Les professionnels de la sécurité ont toujours encouragé l’utilisation d’HTTPS par les applications web. Il semble que leurs vœux aient été exhaussés. Comme le confirme l’ouvrage The Cost of “S” in HTTPS, 50% des flux sur le web sont aujourd’hui sécurisés. En fait, beaucoup des plus grands sites web ont adopté HTTPS comme leur protocole par défaut, dont Google, Facebook et YouTube. Mieux encore, les fournisseurs de navigateurs tels que Google ont même commencé à considérer toutes les pages non HTTPS comme non sécurisées, un nouveau pas vers la standardisation par défaut d’HTTPS.

De nombreux facteurs contribuent à cette ruée vers HTTPS, dont le principal est probablement « l’effet Snowden. » Certes, les spécialistes ont toujours compris la facilité avec laquelle nos conversations sur Internet peuvent être interceptées, mais les documents secrets dévoilés par Edward Snowden n’ont pas seulement permis au grand public d’identifier le risque du ‘man-in-the-middle’ (MitM), mais ont prouvé que les gouvernements y ont participé activement depuis des années. Maintenant que nous savons que quelqu’un nous regarde, nous prenons la protection de nos conversations beaucoup plus sérieusement.

Au sens large, cet accroissement du trafic HTTPS est une bonne chose. Toutefois, sous la surface il dissimule deux écueils qui peuvent sérieusement affecter votre sécurité, si vous n’y êtes pas préparé. Spécifiquement,

1.      Les méchants utilisent aussi HTTPS,
2.      La sécurisation de ce trafic entraîne de nouvelles contraintes en matière de performances.

Les avantages que vous retirez d’HTTPS profitent également aux hackers. Les pirates veulent dissimuler leurs communications, qu’il s’agisse de leurs téléchargements de malware ou des canaux de commande et de contrôle (C&C) que leur malware utilise pour communiquer avec eux. HTTPS fournit un mécanisme très efficace pour faire précisément cela. Les méchants ont compris que HTTPS est typiquement un « trou noir » pour vos outils de sécurité réseau, et ont donc commencé à l’utiliser pour leurs activités malveillantes, afin de les masquer.

C’est la raison pour laquelle il est plus important que jamais de commencer à sécuriser HTTPS. Vous avez besoin de solutions de sécurité capables de “voir” à l’intérieur des communications HTTPS, et d’y appliquer les scans traditionnels de sécurité (IPS, antivirus, etc.).

Heureusement, il existe une solution à ce problème. De nombreuses solutions de sécurité réseau actuelles, telles que de nouvelles versions de boîtiers UTM, des firewalls de nouvelle génération (NGFW), et d’autres proxies de sécurité, disposent de passerelles sur la couche applicative ou de capacités d’inspection DPI pour HTTPS. En gros, ils effectuent une attaque MitM « amicale » sur HTTPS afin de le décrypter de façon temporaire et de mettre en œuvre les scans de sécurité. Le boîtier ré encrypte ensuite le trafic pour le délivrer au réseau. Ces outils nécessitent que vos clients acceptent un certificat numérique, afin de maintenir la confidentialité de la connexion HTTPS. En bref, ils vous permettent de potentiellement détecter des activités malicieuses dans un trafic normalement indéchiffrable, sans remettre en cause la vie privée de vos utilisateurs.

Toutefois, sécuriser le trafic HTTPS met en lumière et exacerbe le second problème – les contraintes d’HTTPS en matière de performances. En termes simples, encrypter quelque chose consomme des ressources de traitement et accroît le volume du trafic. Si vous désirez savoir dans quelle proportion, il vous suffit de consulter l’ouvrage que j’ai cité précédemment. En gros, les conséquences ne sont pas négligeables, mais nous disposons généralement des ressources processeur et réseau pour les gérer… Ceci, avant d’y ajouter les solutions de sécurité dont j’ai parlé plus haut.

Comme je l’ai mentionné précédemment, des solutions de sécurité peuvent maintenant décrypter le trafic HTTPS. Toutefois, ce décryptage double le temps de traitement d’HTTPS, le boîtier de sécurité devant décrypter puis ré encrypter avant de délivrer le trafic. De plus, dans l’environnement actuel riche de menaces, vous souhaiterez que plusieurs couches de sécurité (par exemple IPS, antivirus, détection C&C) contrôlent votre trafic HTTPS. Si vous avez mis en place un contrôle de sécurité séparé pour chaque couche, chacune d’entre elles nécessite un traitement, ce qui ralentit singulièrement le trafic. Si 50% du trafic Internet est en protocole HTTPS, cela représente un vrai goulet d’étranglement.

La solution ? Utiliser des contrôles de sécurité tout en un conçus pour traiter la charge HTTPS. Un des avantages des nouveaux boîtiers UTM et des firewalls de nouvelle génération est que leurs couches de sécurité sont toutes appliquées en un seul point. Ceci veut dire qu’ils n’ont à décrypter HTTPS qu’une seule fois. Cependant, si votre sécurité dépend à ce point d’un seul boîtier, mieux vaut être sûr qu’il sera capable de supporter la charge. Beaucoup de boîtiers UTM ou Next Generation Firewalls mettent en avant leurs performances firewall, qui ne tiennent pas compte des autres contrôles de sécurité et de l’inspection des paquets HTTPS. Il est donc très important d’examiner la performance du boîtier lorsque tous les contrôles de sécurité sont activés, et spécialement l’inspection des paquets HTTPS. Ce n’est qu’une fois cette vérification faite que vous saurez si votre boîtier sera capable ou non de traiter, et de sécuriser, l’explosion des flux HTTPS.

Pour résumer, l’usage accru du protocole HTTPS est une très bonne chose pour la sécurité du web. Toutefois, vous devez vous assurer que vos solutions de sécurité en place sont capables réellement d’identifier les menaces à l’intérieur d’HTTPS, et qu’elles peuvent supporter l’accroissement de la charge HTTPS induit par l’effet Snowden. (Par Pierre Poggy, Country Manager Watchguard France / TechDirt)

Argent, Arnaque, Banque, Contrefaçon, Cybersécurité, Emploi, Entreprise, escroquerie, Particuliers, Social engineering

Soldes : consommateurs, gare aux contrefaçons sur Internet !

A la recherche d’une bonne affaire pendant les soldes, les consommateurs n’ont qu’une idée en tête : dégoter l’article le moins cher possible. A leurs risques et périls. Car entre produits de luxe, accessoires, vêtements et produits multimédia,les contrefaçons sont légion sur Internet.

Avec 9 millions d’articles contrefaits saisis par les douanes, 2014 est l’une des années record pour la contrefaçon. Elle marque une hausse de 15% par rapport à l’année précédente : la vente sur Internet représente ainsi 20% des articles contrefaits saisis par la Poste ou en colis express. A l’échelle internationale, la contrefaçon représente 10% du commerce mondial !

Ce sont les médicaments qui sont les plus contrefaits (30 %), suivis des vêtements, des accessoires de mode et des chaussures, puis des produits informatiques et multimédia. La vigilance est donc de mise, surtout en période de soldes, encore plus trompeuse pour les consommateurs alors que les contrefaçons se noient dans la masse des prix cassés.

MarkMonitor, société de protection des marques sur Internet, donne quelques conseils aux lecteurs de DataSecurityBreach.fr pour se protéger des contrefaçons.

Comment repérer un produit contrefait en période de soldes ?
De nombreux produits contrefaits ne sont jamais fortement soldés : hors période de soldes, il est facile de les identifier, et donc d’être prudent. Il faut pour cela avoir conscience que pendant les soldes, notre vigilance est altérée par la profusion de produits discountés ainsi que par la recherche de bonnes affaires. Il faut donc garder à l’esprit que le prix est un indicateur faussé et trompeur.

Comment reconnaitre les sites qui vendent des contrefaçons ?
Il est difficile de démêler le vrai du faux sur les places de marché. L’élément déterminant reste le prix : si le produit connaît un rabais de plus de 50 % de son prix normal, il y a une forte probabilité que ce soit un faux. Côté sites de e-commerce, les plus gros garantissent un contrôle des marchandises qu’ils vendent. Les moins connus, en revanche, peuvent être plus dangereux : il faut vérifier leurs mentions légales, leur charte de confidentialité, leurs coordonnées, la disponibilité d’un espace de paiement sécurisé ou encore la politique de retour des produits. Ainsi que la présence de fautes d’orthographes, souvent révélatrice…

Enfin, faites attention aux sites de petites annonces : il existe aussi des arnaques de vente de contrefaçons maquillées en produits d’occasion.

Comment éviter de se faire avoir ?
Si vous pensez avoir repéré un vendeur louche, faites confiance à la communauté online et partez à la recherche d’avis ou de commentaires sur les réseaux sociaux et les forums : les internautes partagent souvent leurs mauvaises expériences. Regardez également l’adresse du e-commerçant : 89 % des produits contrefaits saisis proviennent de Chine.

Que faire si on a été berné ?
Il n’y a malheureusement rien à faire. Les entreprises et les marques doivent mettre en place des actions en amont, pour lutter contre les contrefaçons au moment où elles sont mises en vente en ligne, ainsi que contre les fausses adresses de sites en enregistrant au préalable des noms de domaines pour protéger leur marque. Consommateurs, vous ne devez pour votre part pas hésiter à déposer plainte si vous ne recevez pas votre colis ou pour déclarer un faux. Avec l’accumulation de plaintes, une procédure judiciaire pourra être lancée par les marques lésées. Et restez donc, quoiqu’il arrive, prudent et vigilant, surtout pendant les soldes !

Argent, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Paiement en ligne, Particuliers, Propriété Industrielle, Vie privée

Sécurité en ligne, il faut s’inspirer de la prévention routière !

L’utilisation des mots de passe sur internet ressemble étrangement aux comportements des automobilistes dans les années soixante, heureusement depuis, ils se sont améliorés grâce aux campagnes de sensibilisation. Il serait temps que tous les acteurs qui gèrent les mots de passe prennent exemple sur la sécurité routière, y compris l’état.

Il y a vingt ans, nous n’utilisions pas Internet. Aujourd’hui, nous passons en moyenne quatre heures par jour à surfer sur le web (étude wearesocial). C’est un nouveau territoire que nous découvrons souvent avec enthousiasme car il nous permet de gagner en productivité, de rencontrer des gens, de voyager plus facilement…Mais il y a des risques associés à ces usages. Nous nous identifions et stockons des données sur des dizaines de sites souvent sans prendre de précautions particulières. Selon une étude Dashlane/IFOP, seuls 9% des français ont ainsi conscience de prendre des risques en utilisant le même mot de passe sur plusieurs sites ! Nous prêtons donc le flanc à l’industrie du piratage qui se développe aussi vite que les technologies de l’information. Une étude menée par un éditeur de logiciels antivirus a estimé que l’industrie de la cybercriminalité représentait 0.8% du PIB mondial, soit à peu près autant que le trafic de drogue. En France, le CREDOC avait estimé en 2009 que 210 000 personnes par an étaient victimes d’un vol d’identité, pour un coût total de 414M d’€.

Notre comportement sur le web est assez similaire à celui des automobilistes dans les années 60. A cette époque, une grande partie de la population découvrait la voiture, qui était alors d’abord perçue comme un instrument de liberté et d’évasion. Les risques n’étaient pas pris en compte à leur juste mesure. On roulait très vite, sans ceinture, dans des voitures peu sécurisées, avec des conséquences néfastes : en 1972, on comptait plus de 16 000 morts par an sur les routes en France.  Heureusement des progrès considérables ont été réalisés depuis. En 2014, il y a eu 3 103 morts sur les routes de France. L’État a joué son rôle en menant de nombreuses et coûteuses campagnes de sensibilisation pour le port de la ceinture et contre l’alcool au volant. Les industriels ont construit des voitures plus sûres. Et les particuliers ont pris conscience du danger et modifié leurs comportements.

Nous circulons aujourd’hui sur Internet sans ceinture de sécurité et cela nous met en danger. Il faut s’inspirer de la prévention routière. Quand de nouveaux risques émergent, il faut une action concertée de la part de l’État, des industriels et des particuliers. Si le budget de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) a été récemment augmenté, ses missions restent encore très focalisées sur la protection des administrations et des entreprises d’intérêt vital, les fameux OIV. On peut le regretter car certains de nos voisins ont une approche plus ambitieuse. Au Royaume-Uni, la sensibilisation des consommateurs est au cœur de la politique de cyber sécurité. Les programmes Get Safe Online et Cyber Street Wise, financés par le gouvernement britannique, mènent des campagnes de communication pour rappeler les règles de base de la sécurité en ligne, comme l’utilisation de mots de passe forts (composés d’au moins huit caractères alphanumériques) et différents pour chaque site. Les écoliers britanniques sont aussi sensibilisés à la sécurité en ligne grâce à des kits pédagogiques réalisés par le gouvernement. L’État doit financer des campagnes importantes de sensibilisation aux règles de base de la sécurité en ligne et être exemplaire sur l’ensemble des services publics en ligne. Aujourd’hui il n’est par exemple pas possible d’utiliser un mot de passe fort sur le site ameli.fr de la sécurité sociale…

Les sites qui vendent des biens ou services en ligne doivent également s’assurer que leurs clients se connectent de manière sécurisée et utilisent des mots de passe forts. L’étude menée par Dashlane en janvier 2014 avait montré que certains d’entre eux acceptent des mots de passe très peu sécurisés ou les envoient en clair par mail, ce qui est évidemment très dangereux. Enfin, les utilisateurs doivent également se prendre en main. Nous sommes nombreux à savoir que le seul moyen d’éviter à coup sûr les piratages est d’utiliser des mots de passe forts, différents pour chaque site, mais nous ne le faisons pas toujours car nous trouvons cela trop compliqué.

« Quand on peut prévenir c’est faiblesse d’attendre » disait Jean de Rotrou. Nos sociétés modernes ont montré qu’elles pouvaient être fortes faces à certains risques et œuvrer efficacement à les prévenir. Utilisons les mêmes méthodes et attaquons nous sérieusement au problème de la sécurité en ligne ! (Par Guillaume Desnoes, Responsable des marchés européens de Dashlane.)

backdoor, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch, Piratage, Social engineering, Virus

Stegosploit : l’outil qui cache un code malveillant dans une image

Lors de la conférence Hack In The Box d’Amsterdam, un chercheur en sécurité informatique présente Stegosploit, un outil qui permet de cacher un code malveillant dans une image.

Imaginez, vous êtes en train de surfer quand soudain votre machine devient folle ! Un code malveillant vient d’être installé alors que vous avez un antivirus et vos logiciels à jour. Une image, affichait par un site que vous veniez de visiter vient de lancer l’attaque. De la science-fiction ? Pas avec les preuves de Saumil Shah, un chercheur en sécurité informatique.

L’ingénieur a expliqué lors de la conférence (HiP) Hack In The Box que des pirates étaient très certainement en train d’exploiter sa découverte. L’idée, cacher un code malveillant dans une image en utilisant la stéganographie (cacher une information dans un autre document, NDR). Des recherches de Shah est sorti Stegosploit, un logiciel qui code en Javascript un logiciel malveillant dans les pixels d’une image au format JPEG ou PNG.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, pourriel, Social engineering

Signatures numériques

Peut-on se passer de l’e-mail dans le cadre de ses activités professionnelles ? Pratique et instantanée, la communication par e-mail s’est imposée au quotidien dans l’entreprise. Certaines études évaluent à plus de 100 milliards le nombre d’e-mails professionnels qui sont échangés chaque jour.

Malgré ses nombreux atouts, l’e-mail présente également certains risques. Des récits de fuites de données sensibles font régulièrement la une des médias. Un des derniers incidents en date : la récente divulgation des numéros de passeport de 31 leaders mondiaux. En cause ? La fonctionnalité de saisie automatique à partir du carnet d’adresses d’Outlook. Cette fonctionnalité – aussi pratique soit-elle – ne fait qu’accentuer le risque de diffuser, par erreur, des données confidentielles.

Malgré l’augmentation du nombre d’erreurs d’aiguillage d’e-mails et l’évolution du contexte législatif – comme en atteste la récente loi australienne sur l’obligation de conserver des métadonnées et d’autres textes réglementant la transmission de données confidentielles (HIPAA, FIPPA et PCI) –, on peut s’étonner que les entreprises ne soient pas plus nombreuses à choisir de sécuriser le contenu de leurs e-mails.

L’e-mail est sans doute un peu trop pratique à en juger par la facilité avec laquelle des informations sensibles peuvent être envoyées, au risque de tomber dans les mauvaises mains.

Quelques chiffres
53 % des employés ont déjà reçu des données sensibles d’entreprise non cryptées par e-mail ou en pièces jointes. (2)
21 % des employés déclarent envoyer des données sensibles sans les chiffrer2. Les coûts liés à la perte de données s’envolent, sans parler des conséquences sur la réputation des entreprises et des éventuelles répercussions sur le plan juridique en cas de violation de la réglementation sur la  transmission et le stockage de données confidentielles (notamment dans le cadre des lois HIPAA et FIPPA, et du standard PCI).
22 % des entreprises sont concernées chaque année par la perte de données via e-mail. (3)
3,5 millions de dollars : coût moyen d’une violation de données pour une entreprise. (4)

La solution ?
Il existe heureusement des solutions de sécurité des emails qui mettent les utilisateurs et leur entreprise à l’abri de ces menaces. La signature numérique et le chiffrement des courriels garantissent la confidentialité d’un message et évitent que des données sensibles ne tombent dans de mauvaises mains. Le destinataire a également l’assurance de l’identité réelle de l’expéditeur de l’e-mail et que le contenu du message n’a pas été modifié après son envoi.

Le chiffrement d’un e-mail revient à sceller son message puis à le déposer dans un dossier verrouillé dont seul le destinataire prévu possède la clé. Il est alors impossible pour une personne interceptant le message, pendant son transit ou à son emplacement de stockage sur le serveur, d’en voir le contenu. Sur le plan de la sécurité, le chiffrement des e-mails présente les avantages suivants :

Confidentialité : le processus de chiffrement requiert des informations de la part du destinataire prévu, qui est le seul à pouvoir consulter le contenu déchiffré.
Intégrité du message : une partie du processus de déchiffrement consiste à vérifier que le contenu du message d’origine chiffré correspond au nouvel mail déchiffré. Le moindre changement apporté au message d’origine ferait échouer le processus de déchiffrement.

Avant de choisir une solution, il est important d’avoir en tête plusieurs choses. L’utilisateur est le mieux placé, car il connaît son entreprise mieux que personne. Phishing, perte de données… quels sont ses principaux sujets de préoccupation ? Quelle est l’infrastructure de messagerie en place dans l’entreprise ? Quel est le cadre réglementaire ? Les réponses propres à chaque entreprise orienteront les choix vers la solution la plus appropriée.

Sources :
1 Email Statistics Report 2013-2017, The Radicati Group, Inc.
2 SilverSky Email Security Habits Survey Report, SilverSky, 2013
3 Best Practices in Email, Web, and Social Media Security, Osterman Research, Inc., January 2014
4 Global Cost of Data Breach St’sudy, Ponemon Institute

Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch, Virus

Un antivirus collaboratif Made in France à 3€

La société d’édition AxBx annonce la sortie de la version « C.E » de son antivirus VirusKeeper. VirusKeeper C.E (C.E pour Collaborative Edition) est un antivirus complet dont la licence est d’un genre nouveau.

La Collaborative Edition de VirusKeeper propose une licence de la version complète de l’antivirus en échange d’une collaboration des utilisateurs à l’amélioration du produit et d’un coût de licence réduit au minimum. La licence VirusKeeper C.E est en effet proposée au tarif de 3 € soit près de 10 fois moins cher que le coût d’une licence antivirus habituelle.

Ce nouveau type de licence répond aux besoins des utilisateurs qui avaient le choix entre les antivirus commerciaux dont le coût annuel varient de 30 à 60 € et des antivirus gratuits mais limités ou bridés qui s’avèrent décevants et insuffisants. « Nous avions régulièrement des demandes de la part des étudiants et des seniors qui souhaitaient acquérir notre antivirus VirusKeeper mais dont le budget ne le permettait pas. D’autre part, des utilisateurs nous proposent leur aide pour enrichir notre produit. Nous avons donc réfléchi à une nouvelle approche « gagnant/gagnant » où l’utilisateur pourrait disposer d’un antivirus de haut niveau en version complète sans limitation à des conditions accessibles à tous et nous faire part de ses retours pour améliorer encore le produit. » explique à DataSecurityBreach.fr Grégory SNAUWAERT, Dirigeant-fondateur d’AxBx.

Autre nouveauté, l’utilisateur peut régler sa licence par SMS ou d’un simple appel téléphonique ! Les moyens classiques (CB, PayPal) sont également supportés. Rappelons que VirusKeeper est le seul antivirus français. Il repose sur un moteur d’analyse comportementale exclusif qui lui permet de détecter les malwares connus ou non. L’analyse comportementale présente également l’énorme avantage de consommer très peu de ressources contrairement aux technologies de type scanner. Ainsi VirusKeeper consomme très peu de mémoire et ne ralentit pas l’ordinateur.

A noter que l’outil propose un gestionnaire de cookies (possible d’effacer les fichiers, NDR) ou encore le très pratique module Vikee qui analyse les programmes installés sur votre système et contrôle que les mises à jours critiques de sécurité ont bien été installées.

Cybersécurité, DDoS, Entreprise, Fuite de données, Piratage, Propriété Industrielle

DDoS : diversion et intox

Pour des objectifs souvent très différents, de courtes attaques DDoS jouent un rôle de profilers réseau. Observant la stratégie de défense et de sécurité du réseau de leur cible, les DDoS – éclaireurs collectent des renseignements qui permettront à des attaques ciblées complexes et sophistiquées de contourner les outils de cyber-sécurité de l’entreprise visée. DDoS et APT, même combat.

Le paysage des menaces DDoS change. Historiquement, DDoS (distributed denial of service attack) était le nom donné aux attaques qui bloquaient ou ralentissaient l’accès aux sites web ou aux solutions basées sur le web. Bien que ce soit encore vrai dans bien des cas, les entreprises subissent
aujourd’hui un nouveau type d’attaque par DDoS. Celles-ci sont désormais opportunistes (i.e. les attaques qui ont suivi les événements de janvier 2015 en France) et ciblées. Les motivations sous-jacentes sont multiples : cyber-terrorisme, politique et idéologie, fraude, rançon, appât du gain, exfiltration de données et même avantage compétitif… Avec autant d’intérêts en jeu, les attaques sont nombreuses et la menace croît.Par exemple, au dernier trimestre 2014, Corero Network Security a observé que ses clients, hébergeurs, data centers, FAI et entreprises en ligne, tous professionnels expérimentés, ont subi en moyenne près de 4 tentatives journalières d’attaques par DDoS ! En particulier, un seul et même client, dans un environnement de multi-data center, a supporté 12 attaques/jour, en moyenne, pendant trois mois.

Les fournisseurs de mitigation des DDoS publient aussi des informations à ce sujet, bien sûr axées sur le cloud. Très intéressants en ce qui concerne les attaques DDoS à grande échelle, ces rapports ne parlent cependant que d’une fraction du trafic DDoS auquel chaque entreprise doit faire face
quotidiennement.

Les nouvelles attaques DDoS risquent de passer inaperçues ! Mais le mal est fait

Les attaques DDoS font régulièrement la une des journaux. La majorité des non-spécialistes pensent qu’il n’existe qu’un seul type d’attaque par DDoS. Pour eux, DDoS est synonyme de volume important et de longue durée. C’est malheureusement faux. Certaines attaques dont ont été victimes les hébergeurs, les data centers, les FAI et les entreprises en ligne évoqués dans notre propos, ont duré moins de cinq minutes et 96% d’entre elles ont été inférieures à 30 minutes ! Ce qui remet en cause ce que l’on savait sur le sujet. De toute évidence, cette nouvelle tendance constitue un changement radical. Nous avons désormais affaire à de courtes explosions de trafic et de moins en moins à des attaques prolongées. Une seconde tendance est synonyme de plus grand danger encore. Nous assistons actuellement à des attaques par saturation partielle des liaisons et non plus par inondation totale du réseau. Si l’on se réfère à l’exemple des clients de Corero, 87% des tentatives d’attaques utilisaient moins de 1 Gbps de bande passante. L’attaque est conçue pour laisser suffisamment de bande passante disponible pour d’autres attaques qui sont très sophistiquées et multi-vectorielles avec comme objectif principal l’exfiltration de données. C’est une méthode furtive où l’on vole sous la couverture radar. Si ce type d’attaque DDoS n’est pas atténué ou bloqué au niveau du réseau, il peut ne pas être remarqué par les solutions de sécurité traditionnelles et passer complètement inaperçu. L’attaque DDoS visible est en réalité un subterfuge, une intox qui masque la réalité : une autre attaque, discrète et dangereuse se prépare à partir des renseignements obtenus sur la stratégie de sécurité de la cible grâce à ce déni de service.

Des attaques DDoS multi-vectorielles et adaptables à leur cible

Les DDoS sont historiquement considérés comme des attaques volumétriques. Ce n’est pas surprenant. Les attaques avec une consommation élevée de la bande passante sont plus facilement identifiables par les solutions de défense sur site ou basées dans le cloud ou par la combinaison des deux. Mais les choses changent et les attaques s’affinent. La tendance qui se profile montre que les attaquants mettent en œuvre des méthodes multi-vecteur qui s’adaptent à leur cible afin de profiler la défense du réseau visé. Fort des renseignements obtenus, ils lancent ensuite une seconde voire une troisième attaque qui contournera les couches de protection de l’entreprise. Si les attaques volumétriques demeurent encore le type d’attaque le plus courant, les attaques adaptatives sont de nouvelles menaces dont il faut tenir compte et qui ciblent de plus en plus d’entreprises(1).

Quelle défense adopter ?

Les entreprises ont besoin de moyens de défense supplémentaires pour se prémunir contre un tel risque. A peine de courtes rafales de trafic illégitime sont-elles observées qu’il faut décider de la nécessité d’une intervention. Va-t-on basculer ou non vers le service anti-DDoS basé dans le Cloud ? Le temps de détection du trafic illégitime additionné au temps de lancement des mesures de mitigation peut durer plus d’une heure. Compte tenu, nous l’avons déjà dit, que 96% des attaques DDoS ont une durée de 30 minutes ou moins, le temps que la défense à la demande soit engagée, le mal est fait. De plus, ce n’est pas une surprise, le coût substantiel d’une approche de défense à la demande pour chaque attaque DDoS de courte durée à saturation partielle devient un vrai problème.

Défense anti-DDoS en temps réel

L’exécution précise de la politique de mitigation contre le trafic des attaques DDoS doit s’accomplir avec une efficacité maximum et conserver une haute disponibilité des réseaux. Sur site ou en ligne, la technologie est conçue pour gérer les différents types de DDoS en temps réel. Du fait de leur capacité en bande passante et de leur volume de clients, les attaques DDoS et les cyber-menaces constituent un important challenge pour les fournisseurs de service internet, particulièrement visés.

Les solutions en ligne de protection préventive contre les DDoS et les cyber-menaces permettent aux hébergeurs, aux data centers et aux FAI de répondre au défi des DDoS. Ils protègent non seulement leur infrastructure mais aussi celle de leurs clients des DDoS. Les fournisseurs des services internet peuvent ainsi étendre leur offre en proposant des services de sécurité à valeur ajoutée contre les menaces à leurs clients hébergés. Dans l’entreprise, une solution sur site de protection contre les DDoS devra être déployée en complément des pare-feu traditionnels ou de nouvelle génération, des IPS, des ADC et de tous les dispositifs de sécurité des infrastructures. Il est en effet indispensable d’empêcher que le trafic non désiré des attaques accède au réseau. Les risques sont alors réduits et les interruptions de service du site web à la suite d’une attaque DDoS diminuées. Les attaques par déni de service sont une réelle menace. Elles deviennent de plus en plus sophistiquées depuis quelques années. Les attaques deviennent multi-vectorielles et intelligents ; elles débordent les mécanismes traditionnels de défense et les contre-mesures. Comme l’expérience de certains fournisseurs l’indique, la régularité de la progression et de la virulence de ces attaques souligne simplement le besoin croissant d’une protection adaptée pour les vaincre à la périphérie du réseau. Tout le monde sur ce sujet est d’accord : rien n’est plus important que d’assurer la fluidité de l’accès à l’entreprise connectée à Internet ou aux fournisseurs d’accès Internet eux-mêmes. (Par Adrian Bisaz, Vice President Sales EMEA de Corero Network Security)

Le rapport trimestriel complet Tendances et analyse des DDoS.

Chiffrement, cryptage, cryptolocker, Cybersécurité, Entreprise, Logiciels, Mise à jour, Patch, ransomware

Attaque de masse de Locker, un nouveau ransomware mort né

Voilà qui reste étonnant. Un étudiant ayant mis en place une démonstration qui a mal tourné ? Le code malveillant Locker touche des centaines de machines. Son auteur s’excuse et diffuse de quoi se soigner ?

Il se nomme Poka BrightMinds. Derrière ce pseudonyme, l’auteur du ransomware V Locker. Depuis le 25 mai, ce microbe infecte et chiffre des milliers de données dans le monde. Une démonstration qui aurait mal tourné ? Son auteur vient de s’excuser en diffusant la base de données des clés publiques, privées et bitcoins employés par V Locker.

Dans la foulée, et avec la présence de ces données, un outil a été réalisé afin de déchiffrer les fichiers. Locker Unlocker va déchiffrer les fichiers infectés par « v Locker ». L’ensemble de la base de données des clés a été inclus dans l’outil. Bilan, le programme de Nathan Scott fait tout de même 70 Mo mais permet de sauver les contenus des disques durs piégés. Attention, cette version ne fonctionnera que pour les victimes qui connaissent leur adresse BitCoin. Une adresse donnée lors de l’attaque.