Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Entreprise, Fuite de données, Identité numérique, Leak, loi, Vie privée

Besoin urgent d’étendre les lois obligatoires sur les fuites de données

Le distributeur en ligne américain eBay a annoncé avoir été victime d’une cyber-attaque et a recommandé à tous ses utilisateurs de changer leur mot de passe. Dans un bulletin émis le mercredi 21 mai, l’entreprise a indiqué que certains identifiants appartenant à des employés avaient été volés, donnant aux pirates l’accès à son réseau interne. Le piratage s’est concentré sur une base de données contenant des noms de clients d’eBay, des mots de passe encryptés, des adresses e-mails et des dates de naissance, et ne concerne donc – à priori – pas les informations financières. Selon eBay, l’attaque a eu lieu entre fin février et début mars et aucune activité anormale de la part des utilisateurs ne semble avoir été détectée depuis.

Nous faisons face à un déluge de données volées, et avec un nombre si important de victimes touchées, souvent des millions de clients, il est grand temps d’étendre les lois relatives à la déclaration obligatoire de divulgations de données à tous les secteurs d’activité – et pas seulement pour les fournisseurs d’accès internet ou les opérateurs télécoms. En dépit des recommandations qui sont faites, de nombreuses personnes continuent d’utiliser le même mot de passe pour plusieurs comptes et avec le temps qu’il a fallu pour avertir les clients de l’existence de cette faille, ces derniers ont été exposés à d’importants risques durant toute cette période. En outre, les dommages pourraient continuer de s’étendre. Avec plus 128 millions d’utilisateurs actifs sur le site d’eBay dans le monde, s’il existe ne serait-ce qu’un pourcent d’entre eux qui utilisent le même mot de passe pour différents comptes professionnels, cela signifie que plus de 1 280 000 millions de réseaux d’entreprises sont potentiellement menacés. « Les hackers n’auront pas de mal à identifier les organismes dans lesquels travaillent toutes ces personnes via des sites comme LinkedIn et détermineront leurs prochaines cibles en fonction de leur importance. Il devient donc urgent d’accélérer la mise en place de lois pour que les clients puissent être confiants et assurés que si leurs données tombent entre de mauvaises mains, des mesures seront prises très rapidement pour en limiter l’accès. » explique Jean-Pierre Carlin de chez LogRhythm.

Avec un tel volume de données traitées chaque jour par les entreprises, il est évident qu’il ne s’agit pas une tâche facile. Cela nécessite une surveillance permanente de la moindre activité sur le réseau ainsi que la capacité à comprendre et à considérer ce qu’est une activité « normale ». Un tel niveau d’information permet aux organismes de détecter les menaces en temps réel et d’y remédier en conséquence – non seulement en accélérant le temps nécessaire pour détecter une faille mais aussi celui qu’il faut pour avertir les clients. « Toutes les entreprises ont la responsabilité de protéger les données personnelles de leurs clients autant que possible et c’est seulement grâce à cette capacité à alerter rapidement les utilisateurs d’une éventuelle menace qu’ils pourront à nouveau accorder leur confiance. » termine Jean-Pierre Carlin.

Selon deux enquêtes commandées par IBM auprès de l’institut Ponemon, le coût moyen de la violation des données a augmenté de 15%, pour atteindre une moyenne de 3,5 millions de dollars. Les études indiquent également que les attaques ciblées sont considérées comme la plus grande menace par la majorité des entreprises. Leur coût est estimé à 9,4 millions de $ de perte en valeur intrinsèque pour la marque. Pour la France, le coût d’une violation de données est en moyenne de 4,19$ (2.88€). La France est le pays où la proportion des attaques ciblées est la plus forte. Des attaques qui sont les plus graves. Le taux d’érosion de clients suite à un incident de violation de données serait, toujours selon IBM, très fort en France.

Pour finir, DataSecurityBreach.rf rappelle l’article 34 de la loi Informatique et Libertés qui impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille d’une telle ampleur est découverte. Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement.

Chiffrement, Cybersécurité

Authentification multi-facteurs

Selon l’étude annuelle réalisée par SafeNet, de plus en plus d’entreprises à travers le monde prévoient d’adopter des solutions d’authentification mobiles ou basées sur le Cloud pour sécuriser des effectifs nomades en constante augmentation.

L’augmentation des risques de sécurité et la volonté d’accéder à des applications et services de manière transparente et sécurisée, à tout moment et à partir de n’importe quel appareil, ont contribué à l’adoption croissante des solutions d’authentification. Telle est la principale conclusion d’une nouvelle étude publiée sous le titre 2014 Global Annual Authentication Survey par SafeNet, Inc., un leader mondial de la protection des données. Cette enquête révèle que plus d’un tiers des entreprises ont à présent recours à la technologie d’authentification multi-facteurs pour assurer à leurs utilisateurs un accès transparent et sécurisé à partir d’un large éventail d’appareils et de lieux, ce qui représente une hausse par rapport à 2013.

Cette étude montre qu’un nombre croissant d’entreprises adoptent l’authentification multi-facteurs au bénéfice d’un nombre également croissant d’utilisateurs. Ses conclusions confirment les résultats d’une enquête récemment publiée par le cabinet 451 Research, selon laquelle le contrôle d’accès et l’authentification représentent actuellement les principaux soucis et priorités des DSI. Alors que 57 % de l’ensemble des vulnérabilités de données enregistrées en 2013 sont le fait d’initiés malveillants, l’authentification multi-facteurs réduit le risque que des utilisateurs non autorisés puissent consulter des informations sensibles, tout en permettant aux employés de l’entreprise d’accéder à leur guise aux ressources de leur société.

Principaux enseignements de l’enquête
·       Augmentation sensible de l’adoption des solutions d’authentification multi-facteurs :
o   37 % des entreprises utilisent à présent l’authentification multi-facteurs pour une majorité de leurs employés, au lieu de 30 % l’année dernière ;
o   56 % des entreprises prévoient que d’ici à 2016, la majorité des utilisateurs utiliseront une solution d’authentification multi-facteurs.

·       L’authentification dans le Cloud commence à s’imposer :
o   33 % des entreprises déclarent préférer l’authentification basée sur le Cloud, contre 21 % l’année dernière – soit une progression de 50 % ;
o   33 % des entreprises sont à présent ouvertes au Cloud pour déployer des solutions d’authentification.

·       Authentification multi-facteurs et appareils mobiles :
o   Plus de 53 % des personnes interrogées ont déclaré que les utilisateurs d’appareils mobiles disposent d’un accès restreint aux ressources de l’entreprise ;
o   Le nombre d’entreprises ayant adopté l’authentification multi-facteurs pour les utilisateurs mobiles devrait atteindre 33 % en 2016 au lieu de 22 % actuellement, soit une augmentation de 30 %.

« Il apparaît clairement que certains services informatiques ont du mal à suivre la rapide évolution qu’induit l’apparition de nouvelles technologies. Le danger est que les entreprises ne puissent permettre à leurs collaborateurs d’accéder entièrement au système dont ils ont besoin pour effectuer leur travail car elles n’ont pas déployé une solution d’authentification sécurisée adaptée. Par ailleurs, il ne s’écoule pas une semaine sans qu’une entreprise soit victime d’un piratage avec vol de données à la clé. Les entreprises doivent par conséquent mener une lutte permanente pour suivre le rythme soutenu de l’évolution technologique, tout en essayant de se protéger et de minimiser les risques de sécurité », a déclaré Jason Hart, vice-président, Cloud Solutions, SafeNet.

Coût et priorités budgétaires
Le rapport publié par le cabinet 451 Research montre que l’authentification et la gestion des accès et des identités pointent en première ligne des projets liés à la sécurité[3]. Pourtant, il convient de signaler que selon l’enquête de SafeNet, près de 40 % des entreprises ne savent pas combien coûte leur solution d’authentification par utilisateur et par an, ce qui montre qu’elles ne se préoccupent guère de ce qui peut être le plus rentable pour leur fonctionnement. L’impression que les entreprises réalisent des économies en n’investissant pas dans des solutions d’authentification multi-facteurs pourrait être trompeuse pour les responsables des budgets informatiques. En fait, l’objectif des solutions d’authentification multi-facteurs est de réduire les coûts d’authentification et d’améliorer la facilité d’utilisation.

Authentification sur site ou dans le Cloud ?
Les entreprises ont répondu aux demandes croissantes des employés qui souhaitent se connecter au réseau avec leur propre appareil en augmentant les capacités d’authentification basée sur le Cloud. Cette année, 33 % des entreprises interrogées ont indiqué qu’elles privilégient l’authentification sur le Cloud, contre 20 % en 2013.

« Au bout du compte, les entreprises doivent accepter le fait que leurs employés trouveront toujours le moyen d’utiliser leurs appareils mobiles pour accéder aux données de l’entreprise – avec ou sans autorisation. Au lieu de leur interdire cet accès, les DSI doivent déployer une solution d’authentification multi-facteurs, ce qui permet de protéger les ressources de l’entreprise, tout en autorisant l’accès du personnel et en maintenant les plus hauts niveaux de productivité et de performances », a ajouté Jason Hart.

Authentification des appareils mobiles
En ce qui concerne l’utilisation de l’authentification forte pour les appareils mobiles avec accès aux ressources de l’entreprise, la majorité des réponses sont regroupées aux deux extrémités de l’échelle, faisant état de pratiques polarisées. Près de 40 % des entreprises ont déclaré que moins de 10 % des employés doivent utiliser l’authentification forte, tandis que plus de 20 % indiquent que 90 à 100 % des utilisateurs en ont actuellement besoin. Il est intéressant de souligner que ces chiffres devraient évoluer de façon sensible : 33 % des personnes interrogées prévoient en effet que 90 à 100 % des utilisateurs nécessiteront une authentification forte au cours des deux prochaines années, tandis que seulement 15 % suggèrent que cette proportion sera inférieure à 10 %, ce qui souligne l’importance croissante de l’authentification mobile.

L’évolution vers l’authentification mobile nourrit également la « dématérialisation » des tokens d’authentification. L’étude révèle en effet que l’utilisation de solutions d’authentification logicielles est passée de 27 % en 2013 à 40 % en 2014, un pourcentage qui devrait atteindre 50 % en 2016. A contrario, l’utilisation de solutions d’authentification matérielles a chuté de 60 % en 2013 à 41 % en 2014.

« Les entreprises du secteur informatique réagissent indubitablement à l’essor de la mobilité en jouant la carte de l’authentification à base logicielle. Il semble toutefois qu’il existe un écart entre la volonté de favoriser la mobilité et la difficulté à suivre son évolution tout en protégeant les ressources et les données contre les menaces extérieures. En outre, alors que l’adoption du Cloud computing se poursuit, une sécurité accrue devient indispensable. En effet, les environnements de Cloud présentent de nombreux avantages pour l’authentification et les applications, mais sans le niveau de sécurité requis, ils représentent une menace accrue », a conclu Jason Hart.

Cette étude a été réalisée par SafeNet auprès de plus de 350 décideurs informatiques du monde entier à savoir environ 29 % de la région Asie-Pacifique, 42 % de la région EMEA (Europe, Moyen-Orient et Afrique) et 29 % d’Amérique du Nord. Les informations qu’elle contient ont été comparées aux données figurant dans l’étude publiée en 2013.

Argent, Banque, Chiffrement, cryptage, Cybersécurité

Faiblesses dans les cartes à puces

Alors que les Etats-Unis d’Amérique réfléchissent à implanter la carte à puce dans le pays, lire notre actualité de mars 2014, des chercheurs de la prestigieuse université de Cambridge viennent de démontrer deux faiblesses dans la procédure ‘chip & pin’, une puce, un code secret. Il est évident que la puce, couplée à un mot de passe reste la meilleure des sécurité face à une carte bancaire n’utilisant que la bande magnétique, cependant, les chercheurs de Cambridge ont observé qu’il était possible de jouer avec la puce EMV.

Cette protection, utilisée dans un terminal de paiement que l’on retrouve dans quasiment tous les commerces, engendre un code d’authentification unique, un numéro aléatoire. Ce code pourrait être contourné de deux façons. Les chercheurs expliquent d’ailleurs que cela a déjà été constaté. Dans le premier cas, le code unique peut être prévu. Dans le second problème apparait quand le terminal de paiement a été piraté. Si des pirates peuvent prévoir les codes, voir l’adapter, il devient possible, via une carte bancaire préalablement clonée, de retirer de l’argent ou de faire un paiement.

Bref, l’étape du skimming 3.0 est en marche. Les banques auront bien du mal à définir un paiement légitime, d’un paiement cloné. Les clients piégés ne pourront plus se faire rembourser, à moins de prouver qu’ils n’étaient pas sur le lieu de la transaction. Et même dans ce cas, nous avons un doute sur la potentialité de remboursement. Il existerait dans le monde 1,62 milliard de cartes exploitant le protocole EMV. ZATAZ.COM révélait (voir les archives) des cas de piratages, via des DAB modifiés/piratés, l’année derniére.

 

Cybersécurité, Entreprise, Fuite de données, Identité numérique

Sécurité informatique : Dis-moi qui tu es, je te dirai comment te protéger

Un commentaire

« Cogito Ergo Sum » : je pense, donc je suis. Le concept d’existence et, par là-même, d’identité tel qu’il a été formulé par Descartes au 17e siècle n’a cessé d’évoluer depuis. Qu’est-ce qui fait notre identité de nos jours ? Notre numéro de sécurité sociale, de compte en banque ? Nos mots de passe récurrents ? Nos actes, les cercles des personnes avec lesquelles nous échangeons ? Avons-nous une seule ou plusieurs identités ? Avec chaque décennie vient un nouveau moyen de définir de notre identité…ou de la perdre selon le point de vue.

Pour nous, l’identité représente l’identifiant unique d’une personne ou d’une chose, qui permet de la différencier. On peut l’affiner par l’ajout d’attributs propres à chacun, la liste des tiers avec lesquels nous échangeons ou encore certains paramètres comportementaux. Notre identité était auparavant scindée en deux facettes, « personnelle » et « professionnelle », mais ça c’était avant ! Avant l’ère de la consumérisation de l’IT. Notre identité professionnelle est désormais définie le plus souvent par la fusion de ces deux facettes et prend également en compte l’utilisation d’appareils mobiles, les règles d’accès aux applications, d’identités sociales, etc. qui permettent de classer un individu en tant qu’employé, consultant, partenaire commercial, client etc.

Alors comment une organisation peut-elle établir le niveau de sécurité adéquat pour son système d’information quand les données personnelles et professionnelles sont si étroitement entrelacées ? C’est un défi de taille pour les services informatiques, qui doivent miser sur une identification claire et précise pour le relever. Plus que jamais, l’enjeu de la sécurité ne réside pas dans des aspects matériels ou technologiques mais plutôt dans la capacité de l’organisation à comprendre les tenants et aboutissants du concept d’identité et in fine à reconnaître l’individu qui se trouve derrière le terminal.

L’identité professionnelle, les paramètres personnels qui viennent se greffer dans l’environnement de travail et les éléments comportementaux sont autant de données qui s’amalgament et permettent de discerner ce qui se passe dans le périmètre professionnel, et au-delà. Et comme ce périmètre évolue, l’identité va inévitablement devenir l’unique préoccupation des équipes de sécurité car elle seule permet de faire le tri parmi les parasites événementiels et les données non pertinentes, sources de confusion qui empêchent de répondre aux menaces réelles ou de simplement détecter une attaque. L’incapacité à gérer l’identité, et les accès qui vont de pair, est le plus grand risque informatique de gestion pour une organisation. Une entité qui ignore « qui fait quoi » ne peut saisir les opportunités qui s’offrent à elle et s’expose à un risque organisationnel majeur.

La sécurité informatique au service de la performance de l’entreprise
Des changements doivent être opérés à la fois dans les rôles et les priorités des équipes informatiques et de sécurité. Elles se doivent de maîtriser ces enjeux et d’adapter leur stratégie pour non seulement fournir un environnement informatique de travail sécurisé mais aussi pour soutenir le développement du business et répondre aux attentes d’utilisateurs qualifiés. L’un des plus grands défis est incontestablement de suivre le rythme du changement, de s’adapter à la vitesse à laquelle évolue l’organisation. Les utilisateurs sont toujours plus exigeants quant à leurs besoins et souhaitent travailler comme ils l’entendent. Ils réclament des services encore plus personnalisés, une plus grande agilité pour répondre aux opportunités qui se présentent, une connectivité plus poussée et, bien entendu, moins de contrôles aux endroits où ils interagissent. Pour cela, les organisations doivent être capables d’adopter et d’assimiler des environnements informatiques hybrides et des outils mobiles qui peuvent s’ajuster aux besoins organisationnels et aux opportunités du moment. Répondre avec promptitude aux exigences croissantes des utilisateurs est devenu le quotidien des équipes informatiques.

C’est pour cela qu’il faut se concentrer sur l’exploitation du concept d’identité et relever le défi de la gestion des accès ; ce premier pas permettra de répondre avec diligence aux besoins futurs, tout en respectant les impératifs de sécurité et de conformité. Alors que l’Internet des Objets devient une réalité, de nouveaux défis et possibilités se présentent. Toute chose a ou aura une identité, et chacune de ces identités peut receler la réalité d’un utilisateur, d’un employé ou d’un client. La gestion de ces identités, et l’utilisation de sources d’identités fédérées toujours plus complexes, va dévoiler aux entreprises et administrations les multiples facettes d’un monde hyper-connecté. (Par Jean-Philippe Sanchez, Consultant Sécurité chez NetIQ France)

BYOD, Cloud, Cybersécurité, Fuite de données

Les enjeux de l’Internet des objets (IdO) et du stockage Big Data

Un commentaire

L’augmentation du nombre de terminaux connectés, des réfrigérateurs aux thermostats, en passant par les appareils médicaux, soulève un problème de données plutôt singulier.

La question est de savoir comment les utilisateurs peuvent collecter, surveiller et stocker les quantités astronomiques de données générées par tous ces appareils. Revenons ici sur les implications du stockage des données de l’IdO, et tentons d’expliquer pourquoi une approche unique de la sauvegarde n’est pas adaptée et comment gérer le flot de données générées par les terminaux connectés.

Que représente la notion d’IdO ?
L’IdO, dont la définition englobe aujourd’hui tout terminal connecté, autre que les appareils traditionnels comme les tablettes, les smartphones et les ordinateurs de bureau et portables, progresse à la fois dans sa forme et son niveau de sophistication. En 2003, Hitachi a présenté des puces si petites qu’elles pouvaient être intégrées à la nourriture et utilisées pour contrôler les aliments que les gens consomment. Aujourd’hui, nous avons tout pour nous permettre de collecter et contôler les données: des moniteurs cardiaques aux caméras de surveillance ou réfrigérateurs intelligents.

Quel impact une telle quantité de données peut-elle avoir sur le stockage ?
Comment peut-on tracker toutes les données que nous créons? Nous en sommes déjà au stade où nous gaspillons des ressources en collectant trop de données. Les caméras de surveillance, par exemple: Quel est l’intérêt d’enregistrer toutes les séquences filmées par l’une de ces caméras ? Des millions de caméras sont en service dans le monde, et elles génèrent une quantité astronomique de données qui ne sont pas toutes forcément utiles.

Cependant, lorsque ces données sont agrégées et utilisées à des fins d’analyses, elles gagnent en utilité et deviennent plus faciles à gérer. Les particuliers et les entreprises doivent se demander quelles données sont les plus utiles sous forme détaillées, et quelles données sont plus utiles sous une forme agrégée et ont donc un simple intérêt statistique. Prenons l’exemple d’un moniteur cardiaque. Un patient est équipé d’un capteur qui mesure chaque battement de cœur. Les données capturées lors de palpitations sont importantes à la fois pour le patient et son médecin. Cependant, si les données étaient contrôlées par une société pharmaceutique, celle-ci trouverait intéressant de les consulter sous forme agrégée afin de mesurer les effets de certains médicaments pour le cœur sur un grand nombre de patients.

Comment les entreprises devraient définir l’importance des données collectées par les appareils connectés ?
Certaines sociétés suppriment les données collectées au bout d’une semaine, alors que d’autres appliquent des politiques plus systématiques et conservent uniquement les données d’une semaine sur deux pour une année en particulier. La politique de conservation appliquée prend son importance en fonction de la définition des données dont la conservation est utile, et de la manière d’y accéder. Une société étudiant les effets du réchauffement climatique peut avoir besoin de stocker des données relatives aux températures quotidiennes pendant des centaines d’années, alors qu’un fournisseur d’électricité peut n’avoir besoin de telles données qu’une fois par heure, sur une période de 10 ans ou moins. Il a simplement besoin de connaître la quantité d’électricité à générer en fonction des prévisions météorologiques locales et des données relatives à la consommation de ses clients à différents niveaux de températures.

La notion d’IdO implique une combinaison de nombreux éléments, et les informations pertinentes à en tirer dépendent de la manière dont ces éléments se combinent dans l’exécution de tâches spécifiques. (Joel Berman, vice-président du Marketing Corporate d’Acronis)

Chiffrement, cryptage, Entreprise, Logiciels, Paiement en ligne

API IDentité Numérique Développeurs de La Poste

Un commentaire

Avec l’API IDentité Numérique Développeurs, La Poste offre à tous les acteurs du web des échanges numériques sécurisés et renforce son rôle d’acteur majeur de l’internet de confiance. Dans le cadre du OUISHARE FEST 2014, le festival international de l’économie collaborative réunissant plus de 1 000 pionniers et start up innovantes, qui s’est tienu les 5, 6 et 7 mai derniers au Cabaret Sauvage (Porte de la Villette), La Poste a présenté son service IDentité Numérique dédié aux développeurs. En intégrant cette API, les acteurs du web et les ecommerçants développent la confiance entre des internautes et offrent la possibilité d’utiliser leur profil qualifié par La Poste pour se connecter sur leur site.

Qu’est-ce que l’IDentité Numérique ?
L’IDentité Numérique permet à un internaute  d’attester que son identité a été vérifiée physiquement par La Poste. Avec des profils qualifiés, les échanges entre particuliers se font en toute confiance. Grâce à La Poste, les particuliers peuvent se doter gratuitement d’une IDentité Numérique sur le site www.laposte.fr/identitenumerique. L’utilisation de l’IDentité Numérique de La Poste permet ainsi de bénéficier d’une confiance accrue pour échanger plus facilement, des biens ou des services comme la location entre particuliers par exemple.

L’API, comment ça marche ?
Simple et facile à intégrer, les développeurs intègrent l’API IDentité Numérique sur  leur site en se rendant au lien suivant : https://developpeurs.idn.laposte.fr. – la demande d’accès à ce service s’effectue via un formulaire de contact.

Quels bénéfices de l’API pour les sites ?
A chaque fois qu’un internaute utilise son identité numérique pour se connecter ou s’inscrire sur un site, le site en question reçoit les données de l’internaute que La Poste a vérifiées (Civilité, Nom, Prénom, date de naissance, adresse e-mail, adresse postale, N° de mobile). Les profils clients sont fiabilisés : un badge de confiance s’affiche sur le profil de l’internaute, attestant que son identité a été vérifiée par La Poste. Le badge sur son profil étant visible par les autres utilisateurs du site, cela lui permet de rassurer la communauté tout en gardant son anonymat. Grâce à la confiance que les autres ont en son profil, l’internaute va booster son profil et ses échanges. Par exemple, sur les sites partenaires comme prêtachanger.fr, les internautes ayant un badge La Poste troquent 5 fois plus que les autres. Les sites dotés de cette API renvoient également une image positive auprès des internautes et bénéficient d’un outil de communication, vecteur de notoriété pour acquérir de nouveaux clients.

 

Cybersécurité, Fuite de données, Propriété Industrielle

Protection contre les menaces persistantes complexes

Symantec a annoncé une approche totalement nouvelle de la protection contre les menaces persistantes complexes, dévoilant un programme de solutions intégrées, qui démontrent une capacité d’innovation en sécurité unique destinée à aider les entreprises à résoudre leurs problèmes les plus complexes.

Cette approche se fonde sur deux nouvelles offres : Symantec Managed Security Services – Advanced Threat Protection et Symantec Advanced Threat Protection Solution, qui corrèlent information et alertes à travers un large spectre de technologies de sécurité, pour offrir une prévention contre les attaques plus complètes. L’approche holistique de Symantec permet de générer des bénéfices issus de la collaboration des technologies de sécurité, transformant le combat complexe contre les attaques ciblées en une fonction gérable qui offre une protection et une valeur ajoutée plus élevée pour les entreprises.

Symantec va s’appuyer sur ses technologies de sécurité innovantes et son réseau de surveillance mondial qui protège déjà contre les APT (Advanced Threat Protection) pour développer de nouvelles défenses en fonction de l’évolution des attaques sophistiquées. Les nouvelles offres de prévention contre les menaces persistantes complexes utiliseront en effet les informations et l’expérience réunies sur ce type d’attaques par ses solutions de protection déjà installées sur 200 millions de postes de travail, et par ses solutions de sécurité web et email qui vérifient quotidiennement 8,4 milliards d’emails et 1,7 milliard de requêtes Internet.

« Le besoin d’une plus grande protection contre les menaces ciblées sur le marché est grandissant, et peu d’éditeurs disposent de la couverture ou des fonctionnalités complètes qui permettent de détecter et de répondre de façon adaptée aux attaques ciblées, » explique  Jon Oltsik, senior principal analyst, Enterprise Security Group (ESG). « Symantec est bien positionné pour proposer une solution de protection contre les menaces ciblées de bout en bout, en s’appuyant sur ses technologies existantes, en intégrant son portefeuille de solutions et en la développant comme un service, augmenté par un écosystème de partenaires en constante évolution. En utilisant son réseau de surveillance mondial et en développant de toutes nouvelles capacités de réponse aux incidents, Symantec peut réellement satisfaire un grand nombre de besoins des entreprises en matière de cyber sécurité ».

Les menaces persistantes complexes augmentent, les cybercriminels sont plus impitoyables que jamais et l’équation à plusieurs inconnues contre ces menaces est devenue plus difficile à résoudre. Si l’intérêt pour les solutions basées sur la sécurité des réseaux, considérées comme la réponse idéale, augmente, les départements informatiques doivent cependant toujours faire face à un nombre massif d’incidents, trop de faux-positifs et une liste trop importante de processus manuels qui doivent être gérés sans avoir nécessairement à disposition les ressources ou les connaissances nécessaires, ce qui laisse les entreprises exposées et vulnérables.

« Pour se défendre avec succès contre les menaces persistantes complexes que nous voyons aujourd’hui, les entreprises doivent dépasser le cadre de la prévention pour intégrer la détection et la réponse, » explique Brian Dye, senior vice president of Symantec Information Security. « La sécurité des réseaux seule ne va pas résoudre le problème. Les cybercriminels ciblent tous les points de contrôle, depuis la passerelle jusqu’à l’email en passant par le poste de travail. Les entreprises ont besoin d’une sécurité sur l’ensemble de ces points de contrôle qui collaborent, avec des capacités de réponse et une intelligence mondiale, pour combattre ces attaquants. Symantec propose désormais cet arsenal. »

Un service managé pour résoudre la détection pratique et les défis de réponse
Disponible en juin 2014, la prochaine offre de l’approche de protection contre les menaces persistantes complexes se nomme Symantec Managed Security Services – Advanced Threat Protection (MSS-ATP), un service managé qui réduit de façon significative le temps de détection, de définition des priorités et de réponse aux incidents de sécurité en intégrant la sécurité des postes de travail avec les produits de sécurité réseaux de vendeurs tiers. Ces données permettent aux clients de contenir, investiguer et résoudre rapidement et efficacement les attaques inconnues et de type zero-day qui passent à travers les solutions de sécurité existantes. En donnant la priorité aux menaces réelles sur les faux-positifs, les départements informatiques peuvent ainsi optimiser leurs ressources et s’assurer qu’ils protègent bien leur entreprise contre les vulnérabilités les plus importantes.

L’Advanced Threat Protection Alliance de Symantec (Alliance de protection contre les menaces ciblées) est un écosystème de partenaires de sécurité réseaux qui rassemblent à ce jour Check Point Software Technologies, Palo Alto Networks and Sourcefire (désormais intégrée à Cisco). A travers cet écosystème, la détection et la corrélation d’activité malveillante contre les postes de travail et les réseaux contribue à diminuer de façon substantielle les fausses alertes en pointant les incidents importants, permettant ainsi aux entreprises de répondre de plus rapidement aux incidents les plus critiques.

Une réponse puissante aux incidents et des services adverses managés
Dans les six prochains mois, Symantec va introduire deux nouveaux services clés. Le premier est un tout nouveau service de réponse aux incidents, permettant aux entreprises d’accéder immédiatement à des capacités, des connaissances et une expertise critiques lors de scénarios de réponses à des incidents. Le second est un nouveau service d’intelligence, permettant une visibilité et une analyse des menaces sans équivalent et une compréhension des risques liés au patrimoine informationnel clé de l’entreprise. Il intègre une offre d’intelligence, de flux de données et de portail, ainsi qu’une information managée adverse qui délivre des rapports précis sur les acteurs des menaces, pour une visibilité sans précédent sur les types d’attaques ciblant une entreprise.

Une nouvelle solution de protection contre les attaques ciblées sur l’ensemble des points de contrôle
En intégrant le tout, Symantec commercialisera d’ici un an une nouvelle solution de protection contre les menaces ciblées, dont le beta testing débutera sous six mois. Cette solution innovante et complète proposera une protection avancée intégrée couvrant le poste de travail, l’email et la passerelle, et offrira aux entreprises les capacités de détection et de réponse critiques sur chaque point de contrôle respectif.

Deux nouvelles technologies innovantes et développées en interne renforceront également les capacités de détection et de réponses des solutions :
·         Le service d’analyse dynamique des malwares de Symantec est une sandbox cloud où l’analyse comportementale des contenus actives peut être utilisée pour maximiser rapidement  l’identification ;
·         Synapse™, qui permet une communication fluide entre le poste de travail, l’email et la passerelle, et par conséquent une réponse améliorée.

Le portefeuille de solutions de protection contre les menaces persistantes complexes s’appuie sur le Symantec Global Intelligence Network (GIN) et une équipe de plus de 550 chercheurs à travers le monde. Le GIN de Symantec collecte des éléments de télémétrie fournis en permanence et de façon anonyme par des centaines de millions de clients et de capteurs. Symantec utilise ces données, plus de 3,7 milliards de lignes de télémétrie, volume en constante augmentation, pour découvrir de façon automatique de nouvelles attaques, surveiller les réseaux des attaquants et développer des technologies prédictives et proactives qui offre une protection inégalée contre les menaces avancées pour les clients de l’entreprises.

Chiffrement, cryptage, Fuite de données, Logiciels

Cloud privés pour appareils mobiles via des VPN SSL de Barracuda

Grâce à la nouvelle version des VPN SSL, les tablettes et téléphones mobiles accèdent plus facilement aux fichiers et applications web internes. Barracuda Networks,  fournisseur de solutions de stockage et de sécurité Cloud, a annoncé la sortie de ses VPN SSL version 2.5. Ces solutions permettent aux employés d’avoir un meilleur accès à distance aux fichiers et applications web internes à partir de n’importe quel environnement virtuel, y compris via iPad, iPhone, Windows Phone et appareils Android, sans avoir besoin de déployer ou d’être compatible avec les clients VPN.

Selon Stephen Pao, directeur général du département sécurité chez Barracuda, « Avec l’utilisation de différentes plateformes telles qu’iOS, Android ou Windows au sein des environnements BYOD habituels, trouver une solution VPN SSL et un accès à distance compatibles peut devenir problématique. La toute dernière version des VPN SSL de Barracuda a été conçue de sorte à offrir une expérience utilisateur nomade optimale puisqu’elle permet aux administrateurs informatiques de fournir aux utilisateurs un accès à distance sécurisé et moderne, de type Cloud, aux applications web et aux fichiers internes tout en évitant les frais des plateformes de téléchargement d’applications ou de gestion d’appareils mobiles pour entreprise. »

Les caractéristiques principales des nouvelles solutions VPN SSL 2.5 de Barracuda incluent :
– Un accès omniprésent : le tout nouveau portail mobile permet aux employés d’accéder, à distance et à partir de n’importe quel appareil mobile, aux applications internes d’entreprise telles que Sharepoint, Internal Order Systems ainsi qu’aux Intranets et à bien d’autres applications.

– Un contrôle d’accès sécurisé : les administrateurs contrôlent l’accès de tous les utilisateurs grâce à une option permettant de sécuriser les ressources avec des mots de passe uniques sur les téléphones mobiles, des questions de sécurité, ou une intégration à des systèmes avancés d’authentification tels que des jetons d’authentification, des protocoles RADIUS, et autres fonctions de sécurité.

– Une tarification simple : l’accès à distance pour les appareils mobiles a été conçu de sorte à être facile, économique et sans frais d’utilisateur.

– Une configuration facile : une configuration simple des appareils Windows et iOS (iPhone, iPad et Mac) pour les protocoles Exchange, LDAP, IPsec, PPTP, Webclips et Certificats Clients.

La version 2.5 des VPN SSL Barracuda offre également aux entreprises un plan de continuité grâce à un accès à distance aux ressources de l’entreprise pendant les catastrophes naturelles ou autres situations critiques. Comme en témoigne Chris Robinson, directeur informatique de la Queensland Art Gallery, « pendant les inondations, nous avons pu déployer les solutions VPN SSL de Barracuda et cela a permis à notre équipe de continuer à travailler à distance. »

Prix et disponibilité
Les solutions VPN SSL version 2.5 de Barracuda sont dès à présent disponibles, dans le monde entier, gratuitement pour les utilisateurs de la plateforme matérielle actuelle ayant un abonnement Energize Updates actif. Elles sont également disponibles sous plusieurs formes d’appareils virtuels, permettant ainsi un déploiement local ou sur le Cloud selon les besoins des entreprises. Les solutions VPN SSL de Barracuda sont disponibles à partir de 749€ pour l’appareil et à partir de 249 € pour l’abonnement Energize Updates. Un service optionnel de remplacement immédiat avec remplacement prioritaire du matériel en panne et mise à disposition gratuite d’un matériel de moins de 4 ans est disponible à partir de €149 par an. Les prix internationaux varient en fonction des régions du monde. Pour plus d’informations, veuillez contacter France@barracuda.com

Ressources
Page internet du VPN SSL Barracuda – http://cuda.co/ssl25
Page internet du VPN SSL Vx Barracuda – http://cuda.co/ssl25vx

Chiffrement, cryptage, Cybersécurité, Fuite de données, Identité numérique, Social engineering, Vie privée

Une nouvelle faille vise le web

2 commentaires

Après OpenSSL, voici une nouvelle vulnérabilité mondiale qui vient toucher la sécurité informatique. Après Heartbleed, qui touchait les serveurs ayant implémenté le protocole TLS (OpenSSL), voici venir les modules de connexion basés sur les protocoles OAuth et OpenID. C’est un chercheur de Singapour qui a mis à jour la chose. Wang Jing, un étudiant local, a découvert que ces « outils » utilisés par Facebook, Google, Yahoo, Spotify, LinkedIn, Microsoft, PayPal, GitHub, QQ, Taobao, Weibo, VK, Mail.Ru, Sina, Sohu… pouvaient être malmenés.

A la base, OAuth et OpenID permettent à des sites Internet de partager nos informations (avec notre accord, ndr). Jing a découvert qu’en créant un site frauduleux, mais qui affiche une pop-up contenant l’accès légitime au site visé, un pirate pourrait intercepter le certificat de sécurité renvoyé par le site légitime. Google et Facebook indique être au courant et préparent un correctif qui ne sera pas lancé rapidement. Il faut tout réécrire !

Il n’est plus suffisant de protéger son propre site sans prêter attention à celui de ses voisins

« Comme l’Internet devient de plus en plus connecté, il n’est plus suffisant de protéger son propre site sans prêter attention à celui de ses voisins » explique Jing. « Le patch de cette vulnérabilité est plus facile à dire qu’à faire. Si toutes les applications tierces respectaient strictement les régles, alors il n’y aurait pas de place pour les attaques. Cependant, dans le monde réel, un grand nombre d’applications tierces ne le font pas pour diverses raisons. Cela rend les systèmes basés sur OAuth 2.0 ou OpenID très vulnérables. » Bref, nous ne cessons pas de le dire, lier des sites entre-eux, pour un « confort » dans l’authentification de votre compte est dangereux. En voici une nouvelle preuve criante !

Chiffrement, cryptage, Cybersécurité, Identité numérique, Justice

DGSI, les oreilles du coq Gaulois

Depuis vendredi 2 mai, l’Etat Français dispose d’une nouvelle arme de dissuation électronique baptisée DGSI. Le journal officiel présente la Direction Générale de la Sécurité Intérieure (DGSI) comme ayant pour mission « la surveillance des communications électroniques et radioélectriques« . Une nouvelle direction qui avait été annoncée par le Ministre de l’Intérieur Emmanuel Valls, en juin 2013.

« Les menaces auxquelles est exposé le pays nécessitent une action déterminée de l’Etat qui doit se doter de moyens performants de prévention et de répression de toute forme d’ingérence étrangère, d’actes de terrorisme, d’atteintes à la sûreté de l’Etat, à l’intégrité du territoire, à la permanence des institutions de la République et aux intérêts fondamentaux de la France. » explique le site Gouvernement.fr. C’est dans cette perspective qu’est créée la direction générale de la sécurité intérieure.

Dans son decret n° 2014-445 (du 30 avril 2014) on apprend que la DGSI est rattachée au Ministére de l’Intérieur. La DGSI remplace la DCRI, fusion de la DST et des RG. Dorénavant, la Dame est chargée « sur l’ensemble du territoire de la République, de rechercher, de centraliser et d’exploiter le renseignement intéressant la sécurité nationale ou les intérêts fondamentaux de la Nation« . Bref, nos services de renseignements intérieurs passent en mode 2.0 pour la sécurité des Français et des entreprises hexagonales. La DGSI va pouvoir, officiellement, mettre sur écoute téléphone, Internet, et les réseaux qui devront être surveillés. Bien entendu, la justice donnera son feu vert (ou non). La DGSI devra faire ses demandes auprès de la Commission nationale de contrôle des interceptions de sécurité (CNCIS).

Dans son article 2, le décret explique qu' »Au titre de ses missions, la direction générale de la sécurité intérieure pour assurer la prévention et concourt à la répression de toute forme d’ingérence étrangère ;

Concourir à la prévention et à la répression des actes de terrorisme ou portant atteinte à la sûreté de l’Etat, à l’intégrité du territoire ou à la permanence des institutions de la République ;

Participer à la surveillance des individus et groupes d’inspiration radicale susceptibles de recourir à la violence et de porter atteinte à la sécurité nationale ;

Concourir à la prévention et à la répression des actes portant atteinte au secret de la défense nationale ou à ceux portant atteinte au potentiel économique, industriel ou scientifique du pays ;

Concourir à la prévention et à la répression des activités liées à l’acquisition ou à la fabrication d’armes de destruction massive ;

Concourir à la surveillance des activités menées par des organisations criminelles internationales et susceptibles d’affecter la sécurité nationale ;

Concourir à la prévention et à la répression de la criminalité liée aux technologies de l’information et de la communication ».

432 agents devraient constituer, d’ici 2018, cette nouvelle Direction. A ce rythme là, la DGSI et la DGSE devrait fusionner d’ici quelques mois, histoire de partager les coûts, les moyens et les techniciens.

Chiffrement, cryptage, Espionnae, ios, Sauvegarde, Smartphone, Vie privée

Les pièces jointes envoyées d’un iPhone ne sont pas sécurisées

Le chercheur en sécurité Andreas Kurtz vient de lâcher un grain de sable dans la communication d’Apple. La grosse pomme affirmait que les documents communiquées par courriel d’un iPhone ou d’un Ipad étaient sécurisés quand elles étaient sauvegardés dans ces « précieux ». Les pièces jointes ne pouvaient être lues, car chiffrées « à partir des capacités de chiffrement matériel de l’iPhone et de l’iPad, la sécurité des e-mails et pièces jointes stockés sur l’appareil peut être renforcée par l’utilisation des fonctionnalités de protection des données intégrées à iOS« . Bref, un charabia qui indique que l’on peut dormir tranquille, c’est « secure ».

Sauf que Kurtz vient de démontrer le contraire. Via son iPhone 4, sous iOS 7, et une fois l’option de protection des données activée, le chercheur s’est rendu compte que ses courriels étaient bien inaccessibles. Les pièces jointes, elles, étaient lisibles et non sécurisées. Inquiétant, Apple semble au courant de la faille et ne l’a toujours pas corrigé. La nouvelle version d’iOS (V. 7.1.1) n’a pas pris en compte cette potentialité malveillante, et ne la corrige pas. C’est étonnant, car Andreas Kurtz a prouvé qu’il était possible à un malveillant de mettre la main sur les données envoyées d’un appareil Apple.

 

Biométrie, Chiffrement, cryptage, Fuite de données, Identité numérique, Logiciels, Vie privée

Le vote électronique : le bide français

Un commentaire

Fin avril les Sénateurs Alain Anziani et Antoine Lefèvre sont revenus sur le vote électronique en France. Une innovation qui n’a pas prospéré. DataSecurityBreach.fr a reçu le rapport des deux sénateurs. Découverte ! Le vote par machine figure dans notre droit électoral depuis 45 ans comme une alternative au bulletin papier (vote à l’urne). Leur utilisation relève du libre choix des communes. Les nombreuses critiques qu’elles ont suscitées à l’occasion de l’élection présidentielle de 2007, « bien qu’aucun fait majeur n’ait perturbé la régularité des scrutins organisés dans les bureaux dotés de machines à voter », indique les sénateurs Alain Anziani et Antoine Lefèvre ont conduit le Gouvernement à geler, en 2008, le périmètre des communes utilisatrices. Cette décision est toujours en vigueur.

Plus de six ans après, Alain Anziani et Antoine Lefèvre ont proposé que ce dossier soit réouvert en tenant compte des données récentes. Critiqué dès sa création, ce dispositif n’est jamais parvenu à écarter toutes les craintes résultant de ce bouleversement de notre rituel républicain. Son implantation reste modeste. Quant au débat sur sa conformité aux exigences entourant l’exercice du droit de vote, il n’est pas clos, malgré l’évolution des technologies.

Lutter contre la fraude électorale
Inspiré des États-Unis, le recours à des machines comme mode alternatif du vote à l’urne pour les élections politiques a été prévu par la loi n° 69-419 du 10 mai 1969 modifiant certaines dispositions du code électoral. Ce texte avait pour objectif de lutter contre la fraude constatée dans plusieurs circonscriptions. Il prévoyait d’introduire des machines à voter dans les communes de plus de 30 000 habitants. Pour le secrétaire d’État à l’intérieur, André Bord, « l’utilisation de ces machines est de nature à éliminer les fraudes qui peuvent être commises pendant le déroulement des opérations de vote et pendant le dépouillement du scrutin ». Le Gouvernement soulignait aussi que cette technique moderniserait les opérations de vote « en évitant l’emploi de scrutateurs et en supprimant tout risque d’erreur, dans les circonscriptions qui comptent un nombre élevé d’électeurs ».

Machine de la ville d’Annoeullin (59).

La première expérience intervint lors des élections législatives des 4 et 11 mars 1973. Elle donna lieu à de nombreux incidents : « un des modèles agréés ne présentait pas de garanties suffisantes de fiabilité ». Après son retrait, les deux autres modèles furent à nouveau utilisés pour les scrutins suivants (élections cantonales de 1973 et 1976, municipales de 1977, législatives de 1978 et diverses élections partielles) sans que leur mise en service soit très concluante : « les défaillances, les pannes subies par ces matériels de même que le coût très élevé de leur maintenance, ont conduit à les retirer peu à peu du service ».

420 machines étaient en service en 1977. Elles furent supprimées dans la région parisienne à compter de 1984 après les conclusions d’un nouveau bilan. En 1988, elles ne subsistaient que dans les communes de Bastia et d’Ajaccio. Lors de l’élection présidentielle de 2007, quatre-vingt-trois communes étaient autorisées à utiliser des machines à voter. Elles comptaient 1,5 million d’électeurs, soit 3 % du corps électoral. Plusieurs difficultés survenues au cours du premier tour ont à nouveau conduit à de nombreuses critiques répertoriées par le groupe de travail mis en place par le ministre de l’intérieur en septembre 2007.

114 critères techniques
Sur la base des 114 critères techniques fixés par le règlement technique, trois types de machines à voter sont aujourd’hui agréés : les machines ESF1 fabriquées par la société néerlandaise NEDAP et commercialisées par France Élections. Leur agrément a été délivré par un arrêté du 12 avril 2007 ; les machines iVotronic de la société américaine Election Systems & Software (ES&S), distribuées par Berger Levrault et agréées par un arrêté du 15 février 2008 ; les machines Point & Vote plus de la société espagnole Indra Sistemas SA. Le maintien de l’agrément est soumis à un contrôle de la machine tous les deux ans. Le ministère de l’intérieur a indiqué aux sénateurs Alain Anziani et Antoine Lefèvre que le bureau Veritas a inspecté les machines ESF1 et iVotronic en 2012. En revanche, il ne détient aujourd’hui aucune information sur le matériel Point & Vote plus. Il est précisé, à cet égard, que les constructeurs et organismes certificateurs ne sont pas soumis à une obligation de transmission au ministère des rapports de contrôle.  France élections estime entre 5 000 et 6 000 euros hors taxe (HT) le coût moyen d’équipement d’un bureau de vote. Les frais de maintenance et prestations annexes s’élèvent de 65 à 150 euros HT par bureau –donc par machine- et par élection. Pour Berger Levrault, le coût estimatif de la location d’une machine est de 2 300 euros HT pour une élection à deux tours et de 1 400 euros HT pour une élection à un tour lorsque celle-ci est postérieure à l’élection à deux tours. Ces montants incluent les matériels associés (BIP, Flash card, scellés, pack de communication) et l’ensemble des prestations induites (programmation, paramétrage, formation des présidents de bureau de vote, mise sous scellés, mise en place d’un serveur de centralisation le cas échéant, mise à disposition de techniciens le jour du scrutin, gestion de projet). Le prix de vente de la machine Point & Vote plus d’Indra est estimé
à 3 800 euros environ.

Trois types d’incidents
M. François Pellegrini a recensé trois types d’incidents susceptibles d’altérer la sincérité des résultats du scrutin : un dysfonctionnement de la machine comme celui de Schaerbeek, des rayonnements cosmiques, la malveillance. Celle-ci peut s’exercer par l’introduction d’un logiciel de détournement du vote qui, ensuite, s’autodétruit ou la modification du code du logiciel pour falsifier les résultats. Ces fragilités techniques justifient la procédure rigoureuse et sécurisée de stockage des machines destinée à préserver l’intégrité des équipements. Ce défaut de fiabilité du vote électronique a conduit l’Irlande, en 2009, à renoncer à l’utilisation des machines à voter. Même l’Estonie, à la pointe des nouvelles technologies, préfère le papier au numérique. Ces exigences ont conduit, en 2006, les Pays-Bas à interdire un modèle de machines à voter à la suite d’un grave incident. Leur ambassade indiquait alors à Alain Anziani et Antoine Lefèvre qu’« un certain type d’irradiation des écrans, due à la présence de caractères accentués dans le texte, s’est avérée non sécurisée et pourrait être lue à distance ». Dans le même temps, des chercheurs prouvaient la simplicité à modifier les équipements. Dès lors que la confiance dans le vote était rompue, les machines ont été supprimées. Une étude du Chaos computer club a prouvé que « les appareils utilisés étaient facilement manipulables, sans que lesdites manipulations puissent être perçues par le votant ou par le président de la commission électorale ». Et ce en dépit du fait que les appareils utilisés avaient été agréés par le ministère fédéral de l’intérieur, comme l’exigeait la procédure, après la délivrance d’un avis favorable de l’office fédéral de physique et de technique. Le groupe de travail du ministère de l’intérieur Français (2007) a, notamment, déploré qu’il « se révèle largement insuffisant sur certains points en ce qui concerne la sécurité informatique des machines, ce qui explique également que les trois modèles agréés présentent des niveaux de sécurité relativement différents ».

Exemples de faille
En 2011, une faille découverte dans l´un de ces isoloirs hitech. Une vulnérabilité informatique découverte dans le système de vote électronique Diebold AccuVote. La faille pouvait être utilisée pour altérer les résultats du vote. Bien évidement, ce « bug » ne laisse aucune trace d’effraction. Un dispositif peu couteux, aucune reprogrammation et encore moins devenir dans les jours qui viennent un génie de l’informatique. La vidéo ci-dessous montre comment il était simple de prendre le contrôle quasi complet sur ?la machine. Le plus délirant est que cela pourra se faire, à distance.

Démonter un bureau de vote en 59 secondes… pour le piéger

C’est pourquoi, au terme de leur réflexion, Alain Anziani et Antoine Lefèvre n’étaient pas, en l’état, favorables à la levée du moratoire décidé en 2007. « En définitive, le seul avantage décelé réside dans le gain de temps permis par le dépouillement électronique, indiquent les Sénateurs. Mérite-t-il de prendre, en contrepartie, tous les risques attachés à l’utilisation de l’électronique ? » Alain Anziani et Antoine Lefèvre ne le pensent pas.

Argent, Arnaque, Banque, Cybersécurité, escroquerie, Paiement en ligne, Phishing, Scam

Hausse de la fraude bancaire en France

La dernière étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) annonce plus de 700.000 piratages bancaires en France, par an. Voilà qui devient intéressant. Les chiffres de la dernière étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) montre qu’il y aurait eu une hausse de 43% des piratages de données bancaires, en France, entre 2010 et 2013. Plus de 700.000 victimes se sont déclarées.

Le rythme des arnaques à la carte bancaire en France ne cesserait d’augmenter indique le Figaro à la suite de cette étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) relative aux « débits frauduleux sur les comptes bancaires ». Des faits déclarés par des victimes lors d’une enquête « cadre de vie et sécurité » lancée par l’Insee. 14.500 ménages ont été interrogés pour cette enquête.

En 2010, 500.000 cas de fraudes bancaires avaient été annoncés. Trois ans plus tard, 200.000 nouveaux se sont invités dans ce compteur qui ne cesse d’augmenter. A noter que le rapport officiel de l’Observatoire de la Sécurité des Cartes de Paiement (OSCP) sur ce sujet doit être publié en juillet prochain. En 2012 (le site n’affiche aucun rapport pour 2013, ndr) l’OSCP annonçait un taux de fraude pour l’année 2011 à 0,077 % « en légère augmentation pour la quatrième année consécutive« . Cela correspondait à un montant total de fraude de 413,2 millions d’euros (contre 0,074 % et 368,9 millions d’euros en 2010).

Banque, Cyber-attaque, Fuite de données, Justice, Leak

La justice belge s’attaque à des pirates russes

La justice Belge souhaite poursuivre des pirates russes qui auraient profité de la crise bancaire de 2008 pour s’attaquer à Dexia. En 2008, Russes et Ukrainiens s’aimaient. En 2008, les pirates de ces deux pays jouaient ensemble. En 2008, plusieurs d’entre eux se sont attaqués aux serveurs de la banque Dexia pour voler des données sensibles et privées. A l’époque, Dexia était dans la tourmente de la crise bancaire mondiale. Des pirates russes avaient volé des données bancaires qu’ils avaient revendu à des cybers escrocs Ukrainiens qui avaient blanchi l’argent, entre autres, via une banque Lettone. Bref, une mondialisation du crime qui avait coûté des millions d’euros à Dexia. L’agence Belga vient d’indiquer que le parquet fédéral souhaite poursuivre plusieurs de ces russes et ukrainiens. Le parquet envisage également de poursuivre une banque de Riga (Lettonie). L’enquête serait terminée, il ne reste plus qu’au juge à réclamer la tête des fautifs.

Chiffrement, cryptage, Cybersécurité, Téléphonie, Vie privée, VPN

AirChat : Anonymous joue avec la FM

3 commentaires

Un collectif Anonymous, via une filiale baptisée Lulz Lab, vient d’annoncer sur GitHub la création du projet AirChat. Dans une vidéo mise en ligne sur Vimeo, Lulz Lab explique que « nous croyons fermement que les communications devraient être libres. Libre autant que l’air lui-même. » AirChat a pour mission d’aider ceux qui n’ont pas les moyens de communiquer. Pauvres, dissidents, ONG, … « Maintenant le feu de notre liberté se consume. Nos voix sont soumises à des contrôles innombrables : financier, brevets, droits, règlements, censure…« 

L’outil se compose d’une radio, d’un ordinateur, de quelques outils faits maison. AirChat permet de communiquer gratuitement, sans passer par Internet, ni d’un réseau de téléphonie cellulaire. C’est du moins ce que propose, sur le papier, AirChat. Il s’appuie sur une liaison radio disponible « ou tout autre appareil capable de transmettre de l’audio » souligne Lulz Lab.

Pour le moment, le projet n’est qu’en mode « papier », même si les inventeurs annoncent des essais sur plusieurs centaines de kilomètres de distance. « Ce projet a été conçu de nos leçons apprises lors d »es révolutions égyptienne, libyenne et syrienne« . Des appareils radios bon marché, des minis ordinateurs de poche « Fabriqués en Chine ». Voilà un projet qui pourraient être utilisés par un grand nombre de personnes dont les libertés sont baffouées. On ne peut qu’applaudir des deux mains.

Jusqu’à présent, Lulz Lab a pu jouer à des jeux interactifs d’échecs avec des personnes situées à plus de 200 kilomètres de distance. « Nous avons partagé des photos et établies des chats chiffrés. Nous avons pu aussi lancer une impression 3D sur des distances de 80 miles (128km) et transmis des dossiers médicaux à des distances de plus de 100 miles (160km). »

Chiffrement, cryptage, Sauvegarde

Prosodie-Capgemini agréé hébergeur de données de santé à caractère personnel par le Ministère de la Santé

Prosodie-Capgemini, spécialiste des applications « Front Office », annonce aujourd’hui son agrément en tant qu’hébergeur de données de santé à caractère personnel. Prosodie-Capgemini a obtenu cet agrément grâce au caractère hautement sécurisé de son activité d’hébergement, sa solidité financière et une pratique éthique de ses affaires commerciales. La dématérialisation croissante des données médicales, l’évolution des systèmes d’information centralisés vers des systèmes collaboratifs, ou encore la multiplication des parties prenantes intervenant sur les actes de santé (usagers, patients, médecins, entreprises…) sont autant de facteurs qui poussent les professionnels de la santé qui souhaitent externaliser l’hébergement de leurs données à caractère personnel, à se tourner vers des partenaires technologiques disposant de systèmes d’hébergement sécurisés.

Prosodie-Capgemini travaille depuis quinze ans sur les processus de gestion de la sécurité, et adresse très sérieusement les questions de disponibilité, intégrité, confidentialité et traçabilité des données de santé tout au long de leur cycle de vie. Cette démarche implique une adhésion humaine forte, engageant la responsabilité des intervenants de Prosodie-Capgemini sur le respect des obligations relatives à la protection des données de santé à caractère personnel. Elle se traduit par une politique de sécurité des données de santé, par une organisation interne spécifique sur le plan des ressources humaines (personnel accrédité) de la communication (campagnes régulières de sensibilisation) et du contrôle (audits internes réguliers), et par la mise en place de mesures de sécurité physiques et logiques avancées. La biométrie, par exemple, fait partie des mesures de sécurité logique mises en place pour renforcer la fiabilité des données et des applications.

« Grâce à notre grande maîtrise des processus de sécurité, nous avons obtenu cet agrément en moins de sept mois de procédure. Prosodie-Capgemini, porteur de cet agrément pour le Groupe, poursuit son investissement sur des solutions à forte valeur ajoutée qui répondent aux attentes des professionnels de la santé ou d’autres secteurs, tant sur le plan de l’innovation que celui de l’accélération de mise sur le marché de nouvelles offres de service » déclare Nicolas Aidoud, CEO de Prosodie-Capgemini.

Donnée de santé à caractère personnel : information relative à la santé d’une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres.

Le décret n°2006-6 du 4 janvier 2006 définit les conditions d’agrément des hébergeurs de données de santé à caractère personnel sur support informatique. Cet agrément est délivré après une évaluation des capacités des candidats portant sur des aspects financiers, d’éthiques et de sécurité de leur activité d’hébergement.

 

Logiciels, Mise à jour, Oracle, Patch

104 vulnérabilités corrigées pour Oracle

Le géant américain de la base de données, Oracle, vient de corriger 104 vulnérabilités dans ses logiciels. La dernière mise à jour de sécurité visant les produits Oracle n’aura pas fait dans la demi-mesure. Pas moins de 104 failles, dont certaines critiques, ont été colmatées pour Java SE, Virtual Box, Oracle Fusion, Oracle iLearning, Oracle Siebel CRM, MySQL… 37 patchs, dont 4 critiques, s’attaquent à des problèmes dans Java SE. MySQL se voit gratifié de la correction de deux vulnérabilités critiques. La version Windows permet à un pirate de compromettre l’ensemble du système attaqué. Il faut cependant que le malveillant soit authentifié. Autant dire que les mises à jour sont obligatoires. Il est bon de rappeler l’article 34 de la loi Informatique et Libertés qui impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille est découverte. « Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement. » indique la CNIL.

Chiffrement, cryptage, Cybersécurité

Heartbleed : Risques et recommandations face à une potentielle exploitation

Une semaine après la révélation du bug Heartbleed, de nombreux rapports ont fait part de l’exploitation de la faille de sécurité et de cyber-attaques ciblant cette vulnérabilité. Bien que les fabricants de serveurs soient en train de fournir des correctifs à appliquer en urgence sur les équipements pour protéger les utilisateurs, les attaques commencent à se multiplier.

Au Canada, le site du fisc qui avait été fermé par mesure de précaution le 8 avril avant de le rouvrir 13 avril, vient d’annoncer avoir été victime du vol de 900 numéros d’assurance sociale. A noter que le pirate présumé, un internaute de 19 ans, a été arrêté. Au Royaume-Uni, la faille a été utilisée sur le site dédié aux parents Mumset pour accéder aux données de plus de 1,5 millions d’usagers du forum. Pour rappel, il était indiqué, au lancement des alertes, que le piratage ne pouvait se détecter.

Si en France aucune attaque n’a encore été relevée, le Centre gouvernemental de veille, d’alerte et de réponses aux attaques informatiques (CERT-FR) a remis à jour hier le bulletin d’alerte émis le mardi 8 avril, pour prévenir des risques liés à Heartbleed et indiquer les mesures à prendre pour se protéger. Jean-Pierre Carlin, Directeur Europe du Sud chez LogRhythm, indique que « Nous étions probablement nombreux à prédire qu’il finirait par y avoir une faille comme celle-ci, et si Heartbleed semble être exploité aux Etats-Unis et au Canada, nous ne tarderons peut-être pas à assister à la publication de rapports similaires en France. » A noter que la CNIL a diffusé d’une page dédiée à cette faille et aux règles à tenir par les administrateurs.

La situation est clairement préoccupante dans la mesure où les données sensibles sur la mémoire d’un serveur cloud peuvent comprendre de nombreuses informations comme des noms d’utilisateurs, des mots de passe ou encore des numéros de comptes et des clés privées. Et comme si cela ne suffisait pas, l’exploitation de cette faille est extrêmement facile et il n’y a pas besoin d’être un hacker professionnel pour y parvenir, même les non-expérimentés seront susceptibles d’y arriver.

Changement de mot de passe
Nous sommes dans une situation où réagir de manière hâtive et radicale pourrait bien être le contraire de ce qu’il faut faire. Si votre fournisseur est toujours vulnérable, c’est-à-dire que le problème n’a pas été corrigé et qu’il n’y a pas eu de patch installé, et que vous changez vos mots de passe comme certains vous recommandent de le faire, vous allez rendre le nouveau mot de passe vulnérable. La situation est telle qu’il vaut mieux prendre le temps de la réflexion et porter une attention particulière aux informations communiquées par les entreprises qui détiennent vos données et agir en conséquence.

Confiance dans les sites sécurisés
Cette situation illustre parfaitement le niveau de confiance qui peut être accordé à la sécurité des technologies telles que les protocoles SSL. Les utilisateurs partent du principe que s’il y a un cadenas visible sur le site, leurs données sont protégées et transmises de façon sécurisée. Cela est vrai dans la plupart des cas mais le risque zéro n’existe pas. Nous encourageons les internautes à être plus méfiant en sécurité en général et d’agir comme s’il y avait toujours la possibilité d’être la cible d’un hacker.

Impératif de surveillance en continue et temps réel
Alors que nous entrons dans la phase d’exploitation potentielle de la faille, chaque entreprise doit surveiller de manière continue et en temps réel la moindre activité sur ses réseaux. Si des clés secrètes sont volées, la personne à l’origine de l’attaque pourra prendre le contrôle du trafic destiné aux applications et accéder à des échanges des données privées et sensibles  – comme lors de  transactions financières. La seule manière d’y remédier est d’être capable de surveiller méticuleusement le réseau et d’identifier les comportements anormaux. Nous pourrions bien être témoins d’attaque à grande échelle et les organisations doivent être vigilantes à la fois pour se protéger et protéger leurs clients. »

Google montre les dents
Google serait sur le point d’intégrer le chiffrement à sa liste de critères de référencement, favorisant ainsi le développement massif des sites chiffrés. Cette méthode basée sur le cryptage et censée renforcer la protection des sites et des navigateurs est en pleine explosion. Elle pourrait pourtant remettre en question les stratégies de sécurité des entreprises ; en effet, les employés seront de plus en plus amenés à naviguer sur sites chiffrés (et donc opaques), leur entreprise ayant peu de moyens d’évaluer leur niveau de malveillance. Si aujourd’hui la volumétrie moyenne de flux chiffrés est souvent comprise entre 20 et 40% de la totalité trafic de surf, il est fort à parier qu’une telle initiative fera rapidement croître ce pourcentage de manière significatif.

Plus le surf chiffré est important, moins les solutions mises en place dans les entreprises contre les menaces provenant du web seront efficaces ? Les solutions de sécurité  et les investissements liés seront de moins en moins pertinents. C’est d’autant plus vrai que selon le dernier rapport du NSS Lab, déchiffrer les flux fait chuter les performances des équipements de sécurité  de près de 74%. Les entreprises doivent-elles se préparer à être aveugle sur plus de la moitié des trafics de surf de leurs collaborateurs ?

Des solutions existent et permettent aux entreprises de bénéficier de technologies dédiées au déchiffrement et de gérer la volumétrie croissante et les besoins en termes de bande passante. Préserver la performance sans générer de latence. D’alimenter plusieurs solutions de sécurité en simultanée (Un déchiffrement unique pour plusieurs technologies). De mettre en place une politique de déchiffrement adaptée aux réglementations locales. C’est donc un enjeu crucial auquel sont confrontées les entreprises et qui doit désormais être pris en considération afin de garantir un niveau élevé de protection contre les menaces tout en respectant les obligations de traçabilité imposées par les différentes réglementations.

Bitcoin, Chiffrement, cryptage, Cybersécurité, Fuite de données, Paiement en ligne

Le Bitcoin : populaire mais risqué

Selon l’étude « Financial Cyber Threats in 2013 » réalisée par Kaspersky Lab, les malwares ciblant le Bitcoin sont devenus « monnaie courante » en 2013. Le nombre d’attaques contre cette crypto-monnaie a ainsi été multiplié par plus de 2,5 pour atteindre un nombre de 8,3 millions incidents recensés. Créé notamment pour permettre des paiements anonymes sur Internet, le bitcoin rencontre un immense succès depuis quelques années. Début 2013, il s’échangeait au cours de 13.6$ et en décembre dernier, il culminait au taux record de 1200$. Au fil de l’année, le cours de la monnaie virtuelle a connu des hauts et des bas mais, depuis avril 2013, il n’est jamais descendu à moins de 80$. Ce phénomène a inévitablement attiré l’attention des escrocs. Pour compliquer le problème, les bitcoins sont souvent une proie facile pour les cybercriminels : si les utilisateurs les stockent sur leurs ordinateurs sous une forme non cryptée, il suffit aux pirates de s’approprier le fichier du « portefeuille » pour obtenir les informations relatives à son contenu et accéder au compte de leur victime.

Sur la trentaine d’échantillons de malware financiers, étudiés dans le cadre de l’étude de Kaspersky Lab, neuf concernaient un programme conçu pour voler des bitcoins. Ceux-ci représentaient au total 29 % des cyberattaques financières s’appuyant sur des applications malveillantes. Les outils employés par les cybercriminels pour dérober des bitcoins peuvent être classés en deux catégories. La première se compose de programmes destinés au vol des fichiers de portefeuille. Les applications de la seconde catégorie installent un logiciel qui génère des bitcoins (opération dite de « mining ») sur un ordinateur infecté. Dans l’absolu, les voleurs de portefeuille de bitcoins ont perpétré deux fois plus d’attaques en 2013. Cependant, les outils de « mining » se sont développés plus rapidement.

« En 2013, la valeur du bitcoin a été multipliée par plus de 85, ce qui a bien entendu attiré l’attention des cybercriminels. Vers la fin de l’année, le nombre d’utilisateurs attaqués par des malwares ciblant les bitcoins a commencé à se rapprocher de celui des victimes de cybermenaces bancaires plus classiques. Les détenteurs de bitcoins doivent donc être particulièrement prudents car il est quasiment impossible de récupérer l’argent virtuel volé. C’est le risque inhérent à l’utilisation d’une crypto-monnaie qui circule sans aucun contrôle des pouvoirs publics », commente Sergey Lozhkin, chercheur senior en sécurité pour Kaspersky Lab.

Pourcentage d’utilisateurs attaqués par différents types de malware chaque mois

Plus d’utilisateurs donc plus de risques, comment lutter ?
Pour une utilisation sécurisée des crypto-monnaies, les experts de Kaspersky Lab conseillent de conserver les fichiers de portefeuille sur des supports cryptés. Pour un stockage à long terme, l’utilisateur pourra transférer la somme virtuelle dans un portefeuille dédié et en noter les détails sur le papier. Il importe également d’installer sur l’ordinateur une protection fiable contre les logiciels malveillants, via une solution éprouvée de sécurité Internet. L’étude « Financial Cyber Threats in 2013 » s’appuie sur des données fournies bénévolement par les participants du réseau Kaspersky Security Network. KSN est une infrastructure mondiale distribuée dans le cloud et conçue pour traiter rapidement des données anonymisées relatives aux menaces rencontrées par les utilisateurs des produits Kaspersky Lab.

 

Adobe, Android, Logiciels, Mise à jour, Sécurité, Smartphone

Faille pour le lecteur Adobe PDF dédié à Android

Un commentaire

Les smartphones et tablettes deviennent de véritables nids à problémes. Après les fuites de données via les applications malveillantes, des systèmes de sécurité bancals, voici venir une faille dans un outil que nous aurions pu penser « propre ». Il a été découvert que l’application, pour Android, du logiciel Adobe Reader PDF était faillible à une vulnérabilité qui permet à un pirate de compromettre les documents stockés dans l’appareil et les fichiers stockés sur la carte SD du matos. Le lecteur Adobe exploite du javascript mal sécurisé (pleonasme ? ndr). Le chercheur néerlandais en sécurité Yorick Koster a vérifié avec succès l’existence de la vulnérabilité dans la version 11.1.3 du lecteur Adobe pour Android. Le bug a été corrigé dans la dernière version 11.2.0. Il est donc fortement conseillé de mettre à jour l’outil. Un code de démonstration « poc » est proposé. Il va créer un fichier .txt lorsqu’un utilisateur ouvre un fichier pdf spécialement conçu pour utiliser la version vulnérable d’Adobe Reader.

 

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Fuite de données, Leak, Vie privée

Que dit l’histoire de Heartbleed à tous les utilisateurs d’Internet ?

Un commentaire

La vulnérabilité Heartbleed est l’une des plus importantes failles découverte sur Internet depuis 10 ans. Depuis mars 2012, une part considérable des serveurs sur Internet a été vulnérable à des attaques qui ne laissent pas de traces, et peuvent accéder à des informations essentielles (identifiant, mot de passe, informations personnelles, numéro de carte de crédit, clé de cryptage). Cette vulnérabilité a été révélée publiquement le 7 avril, mais il est impossible de connaître l’étendue des dommages qui ont eu lieu avant le 7 avril ou même depuis.

La vulnérabilité Heartbleed arrive comme une piqure de rappel de deux faits importants lié à la sécurité personnelle sur Internet, à l’heure où tant de nos informations personnelles sont désormais sur Internet : Il est vital d’utiliser un mot de passe diffèrent sur chaque site web. Cela limite les risques, même en cas d’une faille  – les dommages ne pourront s’étendre. Si vous réutilisez le même mot de passe sur plusieurs sites web, vous êtes clairement exposé et vous devriez modifier cela au plus vite.

« Vous devriez changer tous vos mots de passe le plus rapidement possible, confirme Emmanuel Schalit, CEO de Dashlane, car chacun d’entre eux a pu être dérobé, et vous assurez que vous utilisez un mot de passe différent pour chaque site web« . De plus, pour les sites web les plus importants (voir ci-dessous, NDR DataSecurityBreach.fr), vous devriez probablement changer vos mots de passe dans les 10 jours, au cas où les sites en questions n’auraient pas encore appliqué les correctifs nécessaires depuis le 7 avril.

Heartbleed prouve que dans le monde numérique d’aujourd’hui, il est devenu impossible d’être en sécurité si vous n’utilisez pas un gestionnaire de mots de passe comme Dashlane. Premièrement car c’est la seule façon d’avoir des mots de passe forts et uniques sur chaque site web et d’être capable de les changer rapidement et sans effort. Deuxièmement parce que les gestionnaires de mots de passe sont conçus de telle manière que les données de leur utilisateurs ne peuvent pas être compromises par ce type de vulnérabilité, car les gestionnaires de mots de passe de qualité comme Dashlane n’ont pas accès aux clés de chiffrement de leurs utilisateurs.

Les sites les plus utilisés
Facebook annoncé avoir ajouté des protections supplémentaires avec OpenSSL. Des sécurités avant l’annonce de la faille de sécurité. Facebook a tout de même conseillé de changer les mots de passe. Même proposition pour Tumblr. Twitter n’a rien dit… pour le moment. Google a confirmé des problèmes avec OpenSSL. Google Chrome et Google OS ne sont pas concernés. Google, lui aussi, que nous changions nos mots de passe. Yahoo Mail, Yahoo Finance, Yahoo Sports, Flickr ont été sécurisés. Changement de mot de passe conseillé, comme pour DropBox. Hotmail n’utilise pas  OpenSSL. Même confiance chez eBay et Paypal.

Chiffrement, cryptage, Entreprise, Fuite de données, Vie privée

Un risque croissant de vol de données en raison de ‘menaces internes’

Le cabinet Ovum vient de publier un rapport qui devrait faire tendre l’oreille. Cette étude commanditée par Vormetric met en évidence le faible contrôle des utilisateurs privilégiés au sein des entreprises françaises et la reconnaissance du chiffrement comme la technologie la plus efficace pour prévenir le risque des menaces intérieures. En outre, 53% des entreprises européennes trouvent ces menaces plus difficiles à détecter qu’auparavant.

Cette enquête, réalisée auprès de plus de 500 décideurs dans le domaine des hautes technologies de moyennes et grandes entreprises au Royaume-Uni, en France, en Allemagne, conclut que seuls 9% des entreprises se sentent à l’abri des menaces provenant de l’intérieur, avec presque la moitié des sondés en France (42%) reconnaissant que ce sont les « utilisateurs privilégiés » (administrateurs systèmes, de bases de données, réseaux, etc.) qui représentent le plus grand risque pour leur entreprise.

Les menaces intérieures ne proviennent plus seulement des utilisateurs habituels ayant des droits d’accès légitimes et qui en abuseraient pour voler des données et d’en retirer un gain personnel. Les utilisateurs privilégiés qui administrent les systèmes et les réseaux représentent désormais une inquiétude supplémentaire puisque leurs métiers requièrent évidemment un accès à toutes les données accessibles sur les systèmes pour effectuer leur travail. Une troisième menace intérieure identifiée comme étant particulièrement préoccupante concerne les infiltrations par des cybercriminels cherchant activement le moyen de compromettre des comptes d’utilisateurs internes (en visant principalement les comptes avec les privilèges les plus avancés) afin de s’infiltrer dans les systèmes et d’y voler des données en utilisant les identifiants usurpés.

« Environ la moitié des organisations estiment que ces menaces internes sont de plus en plus difficiles à détecter, et les responsables informatiques sont extrêmement inquiets de ce que leurs utilisateurs peuvent faire avec les données de leur entreprise, déclare Andrew Kellet, analyste principal chez Ovum, le cabinet d’analystes en charge de l’enquête. Ce risque se combine avec la menace posée par les cyberattaques qui visent les comptes utilisateurs – ce qui n’est pas complètement ignoré puisque 30 % des organisations citent les Menaces Persistantes Avancées comme motivation principale pour l’amélioration des défenses contre le vol de données. »

Selon l’étude menée, Seulement 9 % des organisations européennes interrogées se sentent à l’abri des menaces internes contre 11% des entreprises françaises ; 47 % des organisations estiment actuellement qu’il est plus difficile de détecter des incidents provenant des menaces internes qu’en 2012 ; Le contrôle d’accès aux données est identifié comme la plus grande menace pour les organisations. Pour certaines, les employés non-techniciens avec un accès autorisé aux données sensibles et aux ressources IT représentent le risque le plus important (49 %), tandis que pour d’autres, ce sont les postes de haut niveau tels que les Directeurs Administratifs et Financiers ou les PDG qui sont le principal risque (29 %) ; Le passage au cloud augmente les risques de sécurité, en raison d’une perte de visibilité sur les mesures de sécurité autour des données stockées dans le cloud, représentant une inquiétude pour 62 % des personnes interrogées ; Le Big Data peut également poser problème, avec plus de la moitié des entreprises concernées par la sécurité du Big Data (53 %) indiquant que des données sensibles peuvent y être contenues ; Il y a de bonnes nouvelles : les organisations prennent des mesures pour lutter contre les menaces intérieures avec 66 % d’entre elles qui envisagent d’augmenter leurs budgets de sécurité en réponse directe à ce risque. « Les entreprises accentuent leur utilisation du cloud computing afin de profiter de la flexibilité et des avantages financiers qu’il apporte, indique Danièle Catteddu, Responsable EMEA pour la Cloud Security Alliance. L’étude démontre qu’elles sont conscientes des nouveaux risques lié à cet usage accru, et détaille la façon dont les fournisseurs peuvent améliorer leurs offres afin de mieux satisfaire les besoins des entreprises en matière de sécurité pour contrebalancer les menaces intérieures »

« Clairement, les exigences liées à la conformité légale, les contraintes concernant la vie privée et les vols de données incessants ont un effet marqué sur les entreprises, déclare Stewart Room, partenaire du Field Fisher Waterhouse’s Technology and Outsourcing Group. Avec 66% d’entre elles qui envisagent d’augmenter leurs dépenses en sécurité pour bloquer les menaces intérieures, et en fonction du défi que la protection des données dans le cloud, les environnements mobiles et Big Data représente, les entreprises comprennent que leur niveau de sécurité doit être mis à jour et font ce qu’il faut pour. »

De plus, les entreprises reconnaissent que le chiffrement est la technologie la plus efficace pour bloquer les menaces internes, avec la plus grande proportion des organisations (38 %) la citant comme la mesure de sécurité la plus importante. (étude)

Chiffrement, cryptage, Logiciels

Projet Mylar : sécuriser les données d’un site web

Des chercheurs de la prestigieuse université du MIT présentent Mylar, un système de chiffrement entre votre navigateur et un site web. Raluca Popa est un chercheur au sein du MIT, le mythique Massachusetts Institute of Technology. Ce dernier vient de lancer le projet MYLAR, un système de sécurité qui doit permettre de protéger les informations entre votre ordinateur et un serveur web.

Le système chiffre les informations via le navigateur de l’utilisateur. Les données communiquées sur la toile ne sont lues que par le serveur autorisé. Une sécurité qui doit permettre de contrer les vols et détournements d’informations. « si un gouvernement demande des données à un fournisseur de service ou un hébergeur, le serveur ne pourra pas fournir des informations non chiffrées » rapporte Popa surfant sur l’actualité de cyber surveillance de masse mise en place par la NSA.

Raluca Ada Popa, Emily Stark, Jonas Helfer, Steven Valdez, Nickolai Zeldovich, M. Frans Kaashoek, et Hari Balakrishnan ont diffusé 16 pages (PDF) d’un rapport lié à leur projet qui devrait voir le jour, d’ici quelques semaines, sous forme d’un agenda et d’un chat sécurisés.

Cyber-attaque, Cybersécurité

Et si le Boeing 777 avait été piraté

Le Canada se penche sur les possibilités de pirater un avion de ligne. Avec la disparition du Boeing 777, le 8 mars dernier, plusieurs services secrets se sont penchés sur les possibilités liées à ce genre de « phénomène ». Il faut dire aussi que le vol de Malaysia Airlines n’est pas un cas unique. En mai 2003, un autre Boeing (727) disparaissait des radars au départ de Luanda (Angola). L’avion ne sera jamais retrouvé.

Du côté des cousins du grand nord, les enquêtes se penchent sur les possibilités de piratage informatique d’un avion. Transports Canada s’intéresse aux travaux d’un hacker qui annonçait, il y a quelques semaines, avoir trouvé le moyen de pirater l’ordinateur de bord d’un avion commercial.

La Direction de l’évaluation du renseignement de sûreté de Transports Canada s’est penché sur cette recherche, nous étions alors 10 mois avant la disparition du MH370. « La présentation, en avril 2013, d’un projet appelé Le hacking d’un avion: séries aériennes pratiques par le consultant en sécurité et pilote commercial Allemand Hugo Teso, au congrès de pirates informatiques Hack In The Box, à Amsterdam, a pris plusieurs organisations de sécurité des transports par surprise », souligne le document récupéré par La Presse Canada. Il avait expliqué avoir pris le contrôle d’un ordinateur de bord d’avion (via un simulateur) en utilisant une application pour téléphone Android et un petit transmetteur acheté sur eBay.

Pirate et crash d’avion : retour d’une chimère
Aussi étonnant que cela puisse paraitre, le spectre du pirate informatique aux commandes d’un avion n’est pas une nouveauté. Au mois d’août 2008, un rapport diffusé par la justice Espagnole indiquait que le vol JK 5022 (qui s’était abimé deux ans plus tôt) se serait écrasé en raison de la présence d´un cheval de Troie dans l´ordinateur central de la compagnie aérienne Spanair. Un cheval de Troie a perturbé ce qui devait permettre l’enregistrement des informations techniques du vol JK 5022. L’ordinateur, situé au siège de la compagnie aérienne à Palma de Mallorca, aurait du émettre un signal d’alarme sur ses moniteurs lorsque trois problèmes techniques similaires ont été détectés par les sondes de l’appareil. L’avion avait accumulé trois incidents qui n’ont pas été enregistrés par l’ordinateur de Spanair. (source: zataz.com)

En 2004, zataz.com vous révélait comment des « idiots » avaient tenté de faire crasher des avions de la patrouille de France. En juin 2003, la grande dame fêtait ses 50 ans. Pour son anniversaire, la Patrouille de France devait survoler le Puy-du-Fou. La représentation des Alpha-jets va être interrompue en raison d’un problème de sécurité. Des pirates s’étaient amusés à envoyer de fausses instructions de vols, qui à 850 kilomètres heures, auraient pu être catastrophique pour les pilotes.

En octobre 2008, des chercheurs des Universités de Cornell et de Virginia Tech indiquaient que des pirates pourraient faire s’écraser un avion en manipulant le GPS (Global Positioning System) des appareils. Pour réussi l’attaque, un pirate doit s’interposer entre le GPS de l’appareil et l’un des 30 satellites en orbite qui permettent de trianguler les informations de localisations. Il suffirait juste de 10 microsecondes pour perturber le moindre vol.  L’un des chercheurs avait présenté un petit boitier qui se branchait sur une simple prise électrique.

Quelques mois auparavant, nous étions alors en janvier 2008, un autre avion de la firme Boeing était montré du doigt : le Boeing 787. Une vulnérabilité de sécurité sérieuse découverte dans le réseau informatique embarqués L’instance gouvernementale en charge de l’aviation sur le territoire Américain (FAA) annonçait que les Boeing 787 étaient ouverts aux pirates informatiques. La faille permettait aux passagers d’accéder aux systèmes de contrôle de l’avion. Le réseau informatique dans le compartiment passager du « 787 Dreamliner« , conçu pour donner aux passagers un accès à Internet lors d’un vol est aussi raccordé… au contrôle de l’avion.

Nous finirons avec ce projet lancé en 2006 par une trentaine d’entreprises et universités (Airbus, Siemens, l’Université technique de Munich, …). L’idée était de travailler sur la mise en place d’un logiciel pas comme les autres. Une sorte de backdoor, une porte dérobée, qui doit équiper les avions. Mission de ce programme, permettre de piloter un avion, à distance, dans le cas où ce dernier a été pris en otage. L’hebdomadaire Der Spiegel expliquait à l’époque que ce programme devait permettre de piloter l’avion, du sol.

Cyber-attaque, Entreprise, Leak, Mise à jour, Patch

Windows XP sera-t-il la nouvelle aire de jeu des cybercriminels à compter du 8 avril 2014 ?

A partir de ce mardi 8 avril, Microsoft cessera le support de son système d’exploitation Windows XP alors que sa part de marché reste encore élevée (29.53% en février 2014 d’après Net Applications). Quel est l’impact sécuritaire de cette décision ? Concrètement, tous les ordinateurs qui fonctionneront encore sous Windows XP à compter de cette date ne bénéficieront plus des patchs créés contre les failles de sécurité de ce système d’exploitation. Que l’on soit un particulier ou une entreprise, deviendrons-nous la cible privilégiée des cybercriminels à compter du 8 avril 2014 ? Pas si sûr…

Qu’elles soient petites, moyennes ou grandes entreprises, issues du secteur bancaire, industriel ou tertiaire, le 8 avril 2014 préoccupe un certain nombre d’organisations car la fin du support de Windows XP n’est pas qu’une simple question de migration vers un nouveau système d’exploitation. D’autres contraintes comme le coût ou bien l’interruption de services liés à cette migration peuvent être des éléments critiques à prendre en compte pour certaines entreprises.

Prenons l’exemple du secteur bancaire. 95% des distributeurs automatiques de billets (DAB) dans le monde reposent actuellement sur des ordinateurs fonctionnant sous Windows XP. Outre la nécessité d’une interruption de services pour réaliser cette migration, ces ordinateurs ne tolèrent en général pas une version plus récente de Windows. Dans ce cas de figure, impossible de migrer sans changer l’ensemble du matériel informatique et engendrer un coût non négligeable pour les entreprises. Idem pour les environnements industriels dits SCADA comportant des applications métiers spécifiques créées depuis des dizaines d’années et difficiles à migrer.

Une des alternatives envisagées par ces entreprises est de ne rien faire. Seront-elles donc plus vulnérables ? N’en soyez pas si certain ! Il est fréquent qu’une organisation n’effectue pas les correctifs disponibles de l’OS pour éviter toute interruption de leurs services.  En effet, pour ces organisations, l’interruption de services n’est pas uniquement liée à la migration vers un nouvel OS mais est également nécessaire pour toute mise à jour de n’importe quel système d’exploitation. Ces entreprises seront donc autant vulnérables qu’aujourd’hui puisque sans ces correctifs, elles ne sont pas protégées des vulnérabilités actuelles. A l’inverse, d’autres entreprises ont l’habitude de mettre à jour automatiquement leur système d’exploitation, dans ce  cas, elles deviendront plus vulnérables qu’aujourd’hui puisqu’elles ne bénéficieront plus de protection actualisées.

Pour ce qui est des DAB, rassurez-vous, ces distributeurs ne sont pas directement connectés à Internet. Donc le seul moyen pour un cybercriminel de les cibler est d’intervenir sur la machine elle-même (comme par exemple : y introduire un cheval de Troie par le biais d’une clé USB qu’il connecterait au distributeur). Une opération très peu probable car risquée pour les cybercriminels.

Vous l’aurez donc compris la clé pour rester sous Windows XP est de ne pas être connecter à Internet. Sans quoi, il est recommandé de migrer vers un autre système d’exploitation car on peut s’attendre à une recrudescence d’attaques ciblant les prochaines vulnérabilités XP visant à extraire des informations sensibles (informations concurrentielles, numéros de cartes de crédit …). – Par Guillaume Lovet, expert en cybercriminalité au sein de l’équipe FortiGuard Labs de Fortinet.

Cybersécurité, escroquerie, Fuite de données, Social engineering, Téléphonie

Vishing : un coup de fil qui ne vous veut pas du bien

Un commentaire

Les escrocs s’attaquent à notre porte-monnaie via le téléphone. La gendarmerie nationale décide de lancer l’alerte auprès des Français, cibles potentielles de cette escroquerie qui gagne du terrain. Compte tenu de la méfiance des internautes face au phishing, les cybers fraudeurs s’attaquent maintenant à des victimes par l’entremise du vishing appelé aussi hameçonnage vocal. Le vishing est l’utilisation de la technologie VoIP (voix sur IP) dans le but de duper quelqu’un en lui faisant divulguer de l’information personnelle et/ou financière.

Les fraudeurs ont plusieurs méthodes d’attaques. « Un automate téléphonique est utilisé pour contacter les victimes potentielles en composant au hasard des numéros de téléphone fixe dans une région géographique déterminée » explique la Gendarmerie Nationale. Lorsque la victime potentielle décroche, un message préenregistré supposé provenir de sa banque la prévient que des opérations inhabituelles ont été récemment effectuées sur son compte bancaire. Elle est par la suite invitée à composer un numéro de téléphone généralement surtaxé pour vérifier la situation de ce dernier. Ce numéro correspond à une boîte vocale, un message demande alors à la victime de fournir ses identifiants bancaires (les 16 chiffres et la date de validité de sa carte bancaire). Ces informations pourront ensuite être utilisées pour effectuer des achats frauduleux sur Internet.

Une autre possibilité d’attaque par le biais d’un appel vers une victime potentielle. L’escroc se fait passer pour quelqu’un du département de sécurité Visa, Master Card ou simplement de son établissement bancaire. Elle lui signale que sa carte de crédit a été utilisée pour un achat plus que douteux et lui demande si elle est à l’origine de cette opération. « Sa réponse étant négative, elle lui attribue un numéro de contrat de fraude, donnant ainsi à l’appel un aspect réaliste, puis lui demande de communiquer les coordonnées de sa carte bancaire afin de vérifier qu’elle est toujours en sa possession. Une fois la conversation terminée, la personne ajoute n’hésitez pas à nous rappeler si vous avez d’autres questions et raccroche. » explique les militaires.

Pour se protéger, comme pour les cas de phishing web, il faut juste se dire que votre banque, votre FAI, les Impôts, la CAF… ne vous réclameront jamais vos informations bancaires par téléphone. Un commerçant « légitime » vous réclame vos données par téléphone, refusez. Dans tous les cas, votre signature (et un temps de réflexion dans le cas d’un achat, ndr) pour un achat est obligatoire. Les fraudeurs jouent sur une vulnérabilité psychologique du consommateur en créant en lui un stress et un faux sentiment d’urgence lié à la possibilité d’avoir été fraudé. « Si un message vous demande de rappeler tel numéro, ne le composez pas. Prenez le temps de retrouver le véritable numéro de téléphone qui vous a été donné par l’émetteur de votre carte de crédit et utilisez le » terminent les gendarmes. En cas de fraude, il ne vous reste plus qu’à alerte votre banque et déposer plainte dans les plus brefs délais, que ce soit auprès d’un NTECH (cyber gendarme) ou un OPJ dans un commissariat central habilité à prendre une plainte liée aux fraudes aux nouvelles technologies.

Attention à vos standards téléphoniques
Certains pirates informatiques spécialisés dans la téléphonie, baptisée les phreakers, s’intéressent aux standards téléphoniques et autres PABX. Un détail juridique devrait intéresser les administrateurs. Le site Legalis revient sur un arrêt du 25 mars 2014 de la cour d’appel de Versailles. Le tribunal a condamné une société de maintenance « pour avoir manqué à ses obligations contractuelles en ne donnant pas les moyens à son client d’éviter le piratage de communications téléphoniques dont il a été victime. Un nombre élevé d’appels injustifiés à destination du Timor oriental avait été constaté« . L’installation téléphonique avait été piratée grâce au mot de passe « usine » du système, soit les mythiques 0000.

Cybersécurité, Emploi, Fuite de données, Mise à jour, Propriété Industrielle

Le piratage et la cybercriminalité coûteront 491 milliards de dollars en 2014

L’utilisation de logiciels piratés et les cyberattaques criminelles peuvent coûter cher ! D’après le livre blanc « The link between pirated software and cybersecurity breaches », publié pour Microsoft par le cabinet IDC et la National university of Singapore, en 2014 les sociétés dépenseront 491 milliards de dollars (356 milliards d’euros) à cause de programmes malveillants, d’attaques ou de pertes de données. Les entreprises consacreront 127 milliards de dollars à la sécurité et 364 milliards de dollars au traitement des failles de sécurité. A l’origine de près deux tiers de ces dépenses et de pertes, soit 315 milliards de dollars, on trouvera des organisations criminelles. L’Asie, qui compte le plus grand nombre de PC au monde, sera concernée par 40 % de ces dépenses.

Cyber-attaque, Cybersécurité, DDoS, Leak

La place de la France dans la cyberdéfense de l’Otan

François Loncle, député socialiste de l’Eure a interrogé le Ministre de la Défense (QSuestion 52074) sur la réflexion stratégique en matière de cyberdéfense. Après plusieurs années de coopération, la France a décidé à l’été 2013 d’adhérer officiellement au Centre d’excellence de cyberdéfense de l’OTAN (CCD-COE) basé à Tallinn (Estonie). Elle rejoint une institution créée en 2008, installée dans une ancienne caserne et regroupant onze autres pays, dont l’Allemagne, l’Italie, l’Espagne, la Pologne, les États-unis.

L’idée de ce centre avait été lancée par l’Estonie qui avait subi, en 2007, des attaques informatiques, ce qui avait mis en évidence la vulnérabilité potentielle des membres de l’Alliance atlantique à ce type de menace. Ce centre remplit plusieurs fonctions : il réfléchit à la codification juridique de la cyberdéfense ; il incorpore la dimension informatique dans la réflexion tactique et stratégique ; il envisage des contre-mesures à des agressions informatiques ; il forme des militaires à la gestion d’incidents, à l’infiltration, à la balistique digitale, à la surveillance et à la prévention, en particulier en organisant des simulations de cyberattaques. Il lui demande donc de lui fournir des précisions chiffrées sur le personnel militaire français en poste au CCD-COE, sur la participation financière française à ce centre, sur les activités concrètes de celui-ci.

Le député a demandé à connaître les résultats du dernier exercice CCD-OTAN de novembre 2013 et savoir comment s’est comporté notre réseau informatique national, en comparaison de celui de l’OTAN basé en Belgique. Nous attendons avec impatience le « secret défense » qui sera accolé à la potentielle réponse !

Justice

La victoire en faveur de la neutralité du net et la fin de roaming

Jeudi 3 avril, le Parlement européen a adopté à une large majorité le rapport Pilar Del Castillo (ES, PPE) relatif au marché unique européen des communications électroniques. Françoise Castex, qui avait contesté en janvier 2013 les propositions de Neelie Kroes[1], et mis en garde contre un vote négatif[2], salue la réécriture par le Parlement européen du texte initial de la Commission.

Le Groupe S&D se félicite de la fixation d’une date pour la fin de tous les coûts liés à l’itinérance (roaming) – Décembre 2015 -, un objectif pour lequel les députés S&D se battent depuis plusieurs années (1). Le troisième élément clé inclus dans la loi adoptée est la meilleure gestion des fréquences radioélectriques pour de nouvelles applications mobiles, visant à stimuler l’innovation.
L’eurodéputée Catherine Trautmann, responsable du dossier pour le Groupe S&D, a déclaré: « Nous sommes heureux que, finalement, les Libéraux aient changé d’avis et rejoint le groupe des progressistes dans la défense de la neutralité du net. Nous avons réussi à introduire une définition précise des «services spécialisés» afin qu’ils ne soient pas confondus avec les «services d’accès à Internet», et aussi une  référence obligatoire au principe de la neutralité du net (…) La protection de la neutralité du net nous a permis de soutenir le marché unique des télécommunications globales. Cette protection est essentielle à la fois pour les consommateurs et les entreprises, car elle apportera une assurance au secteur des télécoms et permettra des investissements, de la croissance et la création d’emplois (…) Bien que le règlement apporte des améliorations majeures en termes de coordination du spectre radioélectrique, d’utilisation innovante du haut débit sans fil, et de protection de la radiodiffusion, les socialistes et démocrates se battent tous les jours pour la protection de la vie privée sur Internet. Dès lors ils ne pouvaient  qu’être intransigeants vis à vis de la fin des frais de roaming (…) Nous considérons que l’Internet est un espace public où chacun peut accéder à un service ou une application de son choix, sans restriction ou limitation ».
L’eurodéputée Teresa Riera, porte-parole S&D pour l’industrie, a ajouté : « Cela a été une longue quête, mais nous avons finalement mis un terme aux frais de roaming. Élever des barrières artificielles en matière de télécommunications n’a aucun sens. Nous avons besoin de connecter l’Europe pour ouvrir la voie à l’innovation et la créativité (…) Il est tout aussi important de garantir un Internet ouvert à tous. Nous acceptons des services spécialisés – IPTV et la télémédecine en sont de bons exemples – mais ils ne devraient pas affecter la vitesse ou la qualité de l’accès du consommateur moyen ».

Paquet Télécom: « Internet n’est pas privatisable! »

De son côté, la Député Françoise Castex se félicite du vote du Parlement européen sur le volet « neutralité du net » du paquet télécom. « Dans sa proposition, ou plutôt « précipitation » initiale, la Commission européenne voulait encadrer le traitement préférentiel que les opérateurs peuvent proposer à certains services, tout en garantissant la qualité du service de base. C’était la porte ouverte à des offres différenciées d’accès à Internet, à un Internet bridé par des fournisseurs d’accès devenus eux-mêmes fournisseurs de contenus », souligne la Vice-Présidente de la Commission des Affaires juridiques.

« Avec ce texte, le principe de neutralité du Net devient explicite, général et de force exécutoire », se félicite l’eurodéputée Nouvelle Donne. « Ce texte garantit l’accès de tous à tous les points du réseau, sans discrimination liée au support, au contenu, à l’émetteur ou au destinataire de tout échange de données, » poursuit l’eurodéputée du Gers.

Pour Françoise Castex: « C’est un signal fort au Conseil Européen mais également à nos partenaires américains qui tardent à légiférer sur le sujet ». Mais l’eurodéputée n’est pas dupe: « Avec la pression des opérateurs historiques et des acteurs historiques du contenu, le risque que ce texte soit repoussé par les 28 est réel. »

« Gageons qu’ils prennent leurs responsabilités et apportent leur soutien à ce texte qui protège les droits fondamentaux de nos concitoyens et soutient nos PME innovantes contre les appétits gargantuesques des grandes multinationales américaines » conclut-elle.

 

Facebook, Fuite de données, ID, Identité numérique, Social engineering, Vie privée

Accès aux photos privées sur Facebook

8 commentaires

Il est possible (toujours au moment de la diffusion de cet article, ndr) d’accéder aux photographies privées via une petite manipulation dans les paramètres de Facebook. Pour accéder aux images privées des personnes qui ne sont pas vos ami(e)s, il suffit d’un seul petit clic de souris. Vous devez changer la langue utilisée dans votre compte en mettant « English US ». Option que vous trouverez dans « paramètres ». Il ne vous reste plus qu’à rentrer le nom de la personne que vous souhaitez « regarder » sans y avoir été invité. Pour éviter le regard des curieux, c’est aussi simple, ou presque. Il vous suffit de vous rendre dans le paramétrage de votre compte, et retirer TOUTES les identifications de vos photographies que vous ne souhaitez pas voir apparaitre. Les deux autres solutions :  maitriser ce que vous diffusez ou ne diffusez rien du tout !

Comment est-ce possible ? Tout simplement parce que la législation américaine n’est pas la même qu’en Europe. Bilan, changer de langue (sur Facebook, mais aussi sur consoles, smartphone, …) peut faire croire au système ainsi modifié que vous êtes installés dans le pays en question. Et la vie privée sur le sol américain n’a pas autant de « freins » qu’en Europe. Bilan, ce qui est « protégé » sur le vieux continent, l’est beaucoup moins sur les terres de l’Oncle Sam. Facebook veut aussi se positionner, de plus en plus, comme un moteur de recherche. Bilan, Graph Search et recherche globale rendent les informations, privées ou non, accessibles à qui sait les chercher, Facebook en tête. CQFD !