Archives de catégorie : Patch

Chiffrement, cryptage, Cybersécurité, Mise à jour, Patch

Faille critique corrigée pour OpenSSH

Un commentaire

L’excellent outil OpenSSH permet de chiffrer les communications sur Internet. Une faille critique vient d’être corrigée. Sortez la rustine, la colle et votre plus beau sourire. OpenSSH, un outil qui offre la possibilité de chiffrer vos communications sur Internet, via le protocole SSH, vient de corriger une vulnérabilité considérée comme critique. « Une corruption de mémoire existe dans le processus de sshd post-authentification lors d’un chiffrement AES-GCM (AES128-GCM @ openssh.com ou aes256-gcm@openssh.com) » indique OpenSSH.

Si elle est exploitée, cette vulnérabilité pourrait permettre l’exécution de code avec les privilèges de l’utilisateur authentifié. La vulnérabilité a été identifiée par un développeur d’OpenSSH, Mark Friedl, le 7 Novembre.

Le correctif a immédiatement été mis en ligne. L’erreur est fixé dans OpenSSH version 6.4. Pour ceux qui veulent rester sous OpenSSH 6.2 et 6.3, des rustines sont disponibles.

Cybersécurité, Mise à jour, Patch

WordPress 3.7 se met à jour… seul

2 commentaires

Voilà une idée qu’un grand nombre d’utilisateurs de WordPress attendait le pied ferme. Dorénavant, vous n’aurez plus à lever le petit doigt pour appliquer une mise à jour de maintenance ou de sécurité de votre WordPress. La plupart des sites sont maintenant capables d’appliquer ces mises à jour automatiquement, sans que vous n’ayez à cliquer sur le moindre bouton. Vous noterez cependant que certaines configurations ne permettent pas cette automatisation, mais elles sont rares. Si c’est votre cas, pas de panique, la mise à jour pourra toujours se faire d’un simple clic de souris.

Le processus de mise à jour a été rendu encore plus sûr et sécurisé, avec des douzaines de nouvelles vérifications et de mesures de sauvegarde. Il vous faudra toujours cliquer sur le bouton « Mettre à jour maintenant » une fois que WordPress 3.8 sera sorti, mais l’idée va permettre de protéger un maximum les sites et les administrateurs un peu trop laxiste.

A noter qu’un outil permettant de tester votre mot de passe est aussi proposé, histoire de vous assurer que votre précieux ne finira pas cracké en quelques secondes.

Logiciels, Mise à jour, Patch

Pensez à vos mises à jour

Mardi 17 septembre, une nouvelle vulnérabilité zero-day affectant toutes les versions d’Internet Explorer a été annoncée par Microsoft. Cette vulnérabilité peut corrompre la mémoire de manière à permettre aux attaquants d’exécuter des codes arbitraires. L’attaque fonctionne en attirant des utilisateurs vers des sites conçus pour l’occasion et qui abrite cette vulnérabilité dirigée contre Internet Explorer. Jusqu’à présent, cette vulnérabilité a été utilisée dans un nombre limité d’attaques ciblées. Microsoft a pris connaissance de cette vulnérabilité et a posté une alerte sur le sujet. L’éditeur n’a pas encore distribué de patch, mais a fourni une solution  temporaire – cf. “Fix It” – qui devrait servir jusqu’à ce qu’une mise à jour en matière de sécurité soit disponible. (Symantec)

Cybersécurité, Patch

Patch party pour Microsoft

Le Patch Tuesday publié en ce mois de septembre septembre est chargé. Nous recevrons donc 14 nouveaux bulletins, ce qui porte à 80 le nombre de bulletins qui auront déjà été publiés jusqu’à septembre de cette année. Nous allons donc certainement dépasser les 100 bulletins publiés pour 2013 année contre 83 en 2012 et exactement 100 en 2011. Ceci reflète bien l’effervescence du marché de la sécurité informatique.

Parmi les 14 bulletins, les 8 premiers sont intitulés « Exécution de code à distance », le type de faille prisé par les pirates pour pénétrer votre réseau. Les bulletins #1 à #4 sont quant à eux intitulés « critiques » par Microsoft, ce qui signifie que les failles concernées peuvent uniquement être exploitées avec la participation de l’utilisateur. Le bulletin #1 est consacré à Sharepoint Server et devrait être la priorité absolue des administrateurs de serveurs, lesquels se seront auparavant empressés de tester et vérifier que le patch n’aura aucun impact sur une quelconque fonctionnalité critique pour l’activité de votre entreprise. Le bulletin #2 devrait être une priorité de l’équipe chargée de la sécurité du parc informatique. En effet, il concerne une faille dans Microsoft Office qui peut être déclenchée par la simple prévisualisation d’un email dans Outlook, c’est-à-dire sans même ouvrir le courrier électronique. Outlook pour Office 2007 et 2010 est concerné par cette faille.

Le bulletin #3 est une mise à jour critique pour Internet Explorer (IE) et concerne toutes les versions de IE6 à IE10, y compris sous Windows 8 et Windows RT. Le bulletin #4, qui est le dernier bulletin critique, est consacré à une faille sous Windows, mais qui ne concerne que les systèmes d’exploitation appartenant presque au passé, à savoir Windows XP et Windows Server 2003. Par conséquent, vous devriez dès à présent supprimer progressivement ces systèmes d’exploitation qui ne bénéficieront plus du support des patchs de sécurité à compter d’avril 2014, tout comme Office 2003 qui sera aussi privé de ce support dès avril prochain. Ces systèmes d’exploitation ainsi que la suite Office commenceront alors à cumuler les vulnérabilités non résolues et attireront donc des pirates qui pourront disposer d’outils faciles à utiliser et infaillibles pour exploiter des configurations sous XP/2003 ou exécutant Office 2003.

Parmi les bulletins restants, les #6, #7 et #8 sont des priorités car ils traitent de failles Office (Word, Excel et Access) qui peuvent être exploitées pour prendre le contrôle d’une machine ciblée. Toutes les versions Office 2003, 2007, 2010 et 2013 sont concernées et le bulletin #7 s’applique également à Excel sous Mac OS X Office 2011. En résumé, il s’agit donc d’un Patch Tuesday important, surtout pour les vulnérabilités bureautiques, au moins si vous n’exécutez pas Sharepoint Server.

Apache, Cyber-attaque, Cybersécurité, Patch

Outil pirate pour compromettre le Framework Web Apache Struts

3 commentaires

Un outil pirate Chinois, datasecuritybreach.fr a appris qu’il était vendu dans le black market, permet d’automatiser une attaque à l’encontre du Framework Web Apache Struts. Les chercheurs de l’éditeur de solutions de sécurité informatique Trend Micro confirme que cet outil était capable de compromettre le Framework Web Apache Struts en exploitant une faille qui vient d’être bouchée par l’Apache Software Foundation. L’outil pirate contient un  Web Shell, un outil qui permet au pirate de se promener dans la machine piégée via cette porte cachée. Une sorte de Shell99 bien connu chez les pirates. Une version java de la bestiole (JspWebShell) permet d’utiliser les technologies JavaServer Pages (JSP) pour les faciliter les actions du pirate.

Un « couteau Suisse » gênant. Même si un rustine existe, peu de mises à jour semblent avoir été effectuées par les utilisateurs de l’outil de développement d’applications web Java. Il faut dire aussi qu’en pleine périodes de vacances, ça n’aide pas. Comme le précise Trend Micro, l’outil pirate exploite les récentes failles CVE-2013-2251 et CVE-2013-1966, ainsi que de vieilles dames, toujours actives, datant de 2010 et 2011 : CVE-2011-3923, et CVE-2010-1870.

Bref, la mise à jour vers la version 2.3.15.1 d’Apache Struts est plus que conseillée : http://struts.apache.org/download.cgi#struts23151. DataSecurityBreach.fr a pu constater sur le blog du groupe de hackers chinois que les premières infos sur la faille ont commencé à pointer le bout de leurs bits en mai 2013. Le 19 Juillet sortait l’exploit. Le 20 juillet, l’outil K-eight, signé par B.L.Brother, était diffusé. Soit trois jours après la diffusion du patch de sécurité d’Apache.

Cybersécurité, Patch

Faille pour le site du Ministère de la Défense du Koweït

Un commentaire

Le chercheur en sécurité informatique Ben Khlifa Fahmi a alerté la rédaction de Data Security Breach après la découverte d’une faille, de type XSS (Cross Site Scripting, ndlr datasecuritybreach.fr) visant le site Internet du Ministère de la Défense du Koweït. Ce type de faille, classé troisième par l’Owasp, permet d’intercepter les cookies générés par le site (gestion de l’accès à l’administration par exemple, ndlr datasecuritybreach.fr), afficher un faux espace d’accès (Phishing) ou diffuser un code malveillant dans la machine d’un visiteur. Le pirate doit générer un url particulier, à partir de l’adresse officielle du  Kuwait Ministry of Defense et l’envoyer à sa cible. Ben a alerté l’administrateur du site pour permettre sa correction.

Cyber-attaque, Cybersécurité, Fuite de données, Patch

Piratage de l’Internet des objets, mais pour la bonne cause !

2 commentaires

Lookout – leader des solutions de protection des particuliers et des professionnels utilisant des appareils mobiles – a dévoilé à Data Security Breach une faille de sécurité dans les lunettes Google Glass, transmise à Google et corrigée depuis par l’éditeur. Les nouvelles technologies nous facilitent la vie à un point inimaginable il y encore quelques années, qu’il s’agisse de véhicules électriques à commande vocale ou de thermostats sans fil. Notre soif de nouveautés entraîne le regain de l’informatique embarquée et elle est à l’origine d’une révolution dans le domaine des réseaux.

Les objets du quotidien se voient équipés de capteurs qui leur permettent d’interagir avec l’environnement extérieur, de processeurs pour y réfléchir et d’interfaces réseau pour pouvoir en parler. En se connectant les uns avec les autres et en partageant ce qu’ils voient, entendent et enregistrent, ces nouveaux appareils intelligents inaugurent le Nouvel Age de l’Internet. L’Internet des objets prend désormais le pas sur l’Internet des ordinateurs. Au 30 juin 2010, il y avait environ 1,9 milliard d’ordinateurs connectés au Net. A titre de comparaison, on comptait en 2012 environ 10 milliards d’objets connectés.

Les bienfaits que ces appareils intelligents nous apportent au quotidien sont incommensurables. Reste qu’en les dotant d’une telle intelligence et perception, nous modifions leur nature. Des objets ordinaires d’apparence familière, sans particularités sur le plan de la sécurité, se muent soudain en gardiens de données sensibles, qu’elles soient à caractère financier ou concernent des facettes de notre vie privée. Ainsi, si un thermostat autonome traditionnel fixé au mur d’une maison n’intéressera jamais des pirates, la donne sera toute autre pour son équivalent connecté. Ce dernier peut en effet renseigner sur le nombre de personnes habitant dans la maison et sur les technologies connectées au réseau. En cas d’absence des occupants, l’habitation deviendra alors une proie de choix. Un nouveau type de thermostat connecté qui serait contraint à collaborer avec un million d’autres de ses pairs pourrait poser un grave problème de sécurité pour le réseau électrique national, faisant de lui un objet de convoitises pour des terroristes. En modifiant la nature des objets, il devient crucial de pouvoir repérer les vulnérabilités et de réagir rapidement avec des mises à jour. Les objets connectés doivent ainsi être traités comme des logiciels. Lookout a étudié deux cas qui présentent deux méthodes de gestion des vulnérabilités — une bonne et une mauvaise.

Cas n°1 – Les Google Glass
Google a sélectionné ce qui fait de mieux sur le plan technologique dans le domaine des smartphones, pour concevoir un ordinateur qui se porte sous forme de lunettes. Imaginez un appareil capable de traduire dans votre langue, en un clin d’œil, des menus écrits dans une autre langue étrangère ! Imaginez un guide personnel qui identifie le bâtiment que vous êtes en train d’admirer, en vous relatant son histoire. Avec le système Glass, la technologie de reconnaissance optique des caractères qui permet à un ordinateur de lire des textes imprimés, fait figure d’antiquité. Chaque fois que vous prenez une photo, Glass recherche des données reconnaissables, les plus évidentes étant les QR codes, un type de code-barres contenant par exemple des instructions d’envoi de SMS ou d’accès à un site web hébergeant des éléments capables de modifier les paramètres de l’appareil. Google a tiré parti de ces possibilités pour permettre aux utilisateurs de configurer facilement leurs lunettes Google Glass sans l’aide d’un clavier.

C’est à ce niveau que nous avons identifié un problème de sécurité de taille. S’il est pratique de pouvoir configurer un QR code pour le système Glass et de se connecter facilement à des réseaux sans fil, il en va tout autrement si d’autres personnes peuvent se servir des mêmes QR codes pour commander aux Google Glass de se connecter au réseau Wi-Fi ou à des appareils Bluetooth de leur choix. Mais c’est malheureusement possible. Nous avons réussi à concevoir des QR codes basés sur les instructions de configuration, obtenant ainsi nos propres QR codes malveillants. Une fois photographié par un porteur de lunettes Google Glass, ce code a ordonné au système Glass de se connecter furtivement à un point d’accès Wi-Fi piégé géré par nos soins. Ce point d’accès nous a ainsi permis d’épier les connexions des Google Glass, qu’il s’agisse de requêtes en ligne ou d’images téléchargées sur le Cloud. Nous avons également été en mesure de diriger le système Glass vers une page contenant une vulnérabilité connue d’Android (version 4.0.4), nous permettant de le pirater pendant qu’il parcourait ladite page.  Les Google Glass ont été piratées par l’image d’un QR code malveillant. Cette vulnérabilité et la façon de procéder sont exclusives à Glass ; elles sont la conséquence de son appartenance à la catégorie des objets connectés.

Cas n°2 – Les pompes à insuline Medtronic
En 2011, Jérôme Radcliffe a mis au jour les vulnérabilités d’au moins quatre modèles de pompes à insuline du fabricant Medtronic, qui les exposaient à du piratage à distance. Une pompe à insuline est un appareil médical intelligent connecté, qui se substitue à la traditionnelle seringue. Le patient porte sa pompe à insuline toute la journée, à la manière d’un pager. Elle surveille en permanence l’état de la personne et diffuse régulièrement des petites doses d’insuline pour éviter les variations de glycémie. La pompe à insuline fonctionne souvent de pair avec un système de mesure du glucose en continu (CGM) doté de capteurs, qui transmet à distance les données à la pompe afin qu’elle calcule la dose d’insuline à délivrer. C’est là tout l’intérêt de la connexion sans fil. En permettant à la pompe à insuline et au CGM de communiquer ainsi, le porteur n’a pas à s’encombrer de câbles. Il peut de plus utiliser d’autres appareils pour surveiller son état.

Malheureusement, c’est à ce niveau-là qu’a été décelée la faille de sécurité. Lorsque le fabricant a permis à ces appareils de communiquer, il n’a opté que pour un seul point de sécurité : un numéro de série valable requis pour autoriser les échanges. De fait, un attaquant qui utilise un équipement radio pour surveiller le trafic de données entre le CGM et la pompe à insuline du patient peut « réécouter » ces échanges, désactiver la pompe ou, pire encore, l’induire en erreur pour la pousser à diffuser des doses inappropriées d’insuline.

Mise au jour et traitement des vulnérabilités
Ce sont deux exemples d’objets ayant des failles de sécurité du fait qu’ils sont connectés. L’étude des différences entre ces appareils connectés et leurs prédécesseurs non connectés, à partir du moment où ils sont connectés et où leur « raison d’être » évolue et permet de mettre en évidence de nouvelles zones de faiblesse. Cela donne aussi une chance de voir les détournements possibles – et imprévus – de l’appareil. La mise au jour des vulnérabilités n’est pas le seul défi que pose l’Internet des objets. Pour assurer la protection des utilisateurs, mais aussi la stabilité et l’expansion de l’écosystème, ces vulnérabilités doivent être prises en charge. L’application de correctifs, méthode traditionnellement utilisée, est encore assez peu courante dans l’univers des appareils embarqués. Historiquement, les logiciels à bord sont des microprogrammes (ou firmware) installés en usine ; ils ne sont que très rarement mis à jour. La tâche s’annonce difficile si l’on envisage de définir un processus de traitement des vulnérabilités décelées dans des milliards d’objets connectés. Fort heureusement, les longues années d’application de correctifs, dans le domaine de l’informatique, ont permis de tirer de nombreuses leçons. Le processus d’installation de correctifs a mis des années à s’affiner, émaillé de nombreux incidents de parcours. Il faut veiller à ne pas répéter les mêmes erreurs avec l’Internet des objets. L’une des principales leçons étant que les problèmes de sécurité décelés sur des appareils doivent être traités comme étant au niveau du logiciel et non du produit ou du matériel. C’est le seul moyen, pour les fabricants, de s’emparer efficacement du problème étant donné son ampleur. Les entreprises qui développent des logiciels système comprendront cet impératif, mais pas les autres, qui auront du mal à faire face à ces problèmes inhabituels pour elles et à la complexité induite par la gestion des millions d’objets. Si l’on regarde les fabricants responsables des objets en question, le scénario sera celui-là.

Google Glass
Nous avons informé Google de nos découvertes le 16 mai dernier. Google a pris acte et ouvert un ticket (pour bug) auprès de l’équipe de développement du système Glass. L’entreprise a fait preuve d’une très grande réactivité pour corriger le problème : la faille a été comblée avec la version XE6, publiée le 4 juin. Lookout a recommandé à Google d’enclencher l’exécution des QR codes sur demande de l’utilisateur ; cette préconisation a été acceptée. La réactivité de Google témoigne de l’importance que l’entreprise accorde au respect de la vie privée et à la sécurité de son appareil, et donne le ton en matière de sécurité des appareils connectés.

Pompes à insuline Medtronic
Jérôme Radcliffe a fait part de sa découverte à Medtronic, qui après avoir montré de l’intérêt pour les vulnérabilités décrites, a finalement rejeté leur caractère sérieux. L’entreprise a avancé que ces failles n’avaient pas été exploitées et qu’il serait d’ailleurs très difficile techniquement parlant de lancer une attaque. Résultat, deux ans après, les modèles Medtronic Paradigm 512, 522, 712 et 722 de pompes à insuline peuvent toujours être la cible d’attaques à distance.

Google, pour sa part, a montré qu’il dispose d’une infrastructure efficace de traitement des vulnérabilités qui lui permet d’identifier les failles, de les corriger et de mettre à jour rapidement ses appareils en toute discrétion. Google est l’une des entreprises qui se targue de pratiques en matière d’application de correctifs parmi les meilleures de l’industrie du logiciel. De fait, les entreprises qui embarquent des capteurs dans leurs appareils ne peuvent se permettre de mal gérer les failles de sécurité dans un monde où l’informatique ambitionne de quasiment fusionner avec l’utilisateur. Si Google avait manqué de réactivité, un pirate aurait pu profiter de l’aubaine pour s’en prendre aux porteurs de ses lunettes, décrédibilisant du même coup un nouveau « gadget » prometteur.

Les développeurs et concepteurs d’appareils embarqués doivent prendre exemple sur Google, tant du point de vue de la prise en charge des failles que de l’importance accordée aux objets connectés portables équipés d’un capteur. Il est par ailleurs essentiel de penser à la sécurité des appareils et à leur mise à jour automatique dès la phase de conception.

L’Internet des objets inaugure une nouvelle ère technologique : un futur où tout sera connecté et pourra interagir avec les informations plus étroitement que jamais. Si nous nous appliquons, un large champ de possibilités s’ouvrira à nous. Dans le cas contraire, nous en tuerons tout le potentiel sans jamais en tirer les bénéfices. (LockOut)

Chiffrement, cryptage, Cyber-attaque, Entreprise, Fuite de données, Leak, Linkedin, Patch, Propriété Industrielle, Sauvegarde, Sécurité

Les responsables informatiques aveugles face aux failles de sécurité des réseaux d’entreprise ?

Dimension Data, le fournisseur mondial de services et de solutions informatiques, a déclaré à Data Security Breach que le nombre de périphériques vulnérables sur les réseaux informatiques d’entreprise a chuté entre 2011 et 2012, passant de 75 % à 67 %. Même s’il s’agit du chiffre le plus bas en deux ans, cette tendance met en évidence l’approche laxiste en matière de sécurité actuellement adoptée par les gestionnaires de réseau.

Telle est l’une des conclusions tirées dans le Baromètre des réseaux 2013 publié aujourd’hui par Dimension Data. Depuis son lancement en 2009, le Baromètre des réseaux informe de l’état des réseaux à l’échelle mondiale, en compilant des données en provenance des entreprises et les résultats des audits Technology Lifecycle Management (TLM) réalisés par Dimension Data dans le monde au cours de l’année écoulée. Ce rapport analyse la capacité opérationnelle des réseaux en évaluant la présence de failles de sécurité, le statut en fin de vie et le respect des bonnes pratiques de configuration des périphériques réseau. Aujourd’hui, Dimension Data affiche au compteur plus de 1 200 audits réalisés ces cinq dernières années, grâce à la solution Technology Lifecycle Management (TLM), auprès d’entreprises de toutes tailles et opérant dans tous les secteurs d’activités.

Comme l’explique à datasecuritybreach.fr Raoul Tecala, directeur du développement commercial de l’activité Intégration réseau chez Dimension Data : « Certaines failles de sécurité présentes depuis des années n’ont toujours pas été corrigées — et ce, malgré la proactivité dont font preuve certains fournisseurs comme Cisco Systems avec l’envoi d’alertes en cas de correctifs et les constantes mises à niveaux de leurs logiciels et systèmes. (…) « L’élimination de toutes les failles de sécurité peut constituer un défi de taille dans le cas d’environnements complexes d’envergure. Il convient toutefois de mettre en balance les perturbations subies et les efforts nécessaires, d’une part, avec les répercussions potentielles et les mesures qui s’avèrent indispensables. Bien que les réseaux semblent actuellement moins en proie aux failles de sécurité, la proportion importante de périphériques vulnérables se maintiendra jusqu’à l’application d’un correctif logiciel ou à la mise à niveau vers une nouvelle version plus sécurisée du code. »

Data security breach conseille aux entreprises de concentrer leurs efforts sur les failles de sécurité qui représentent le plus grand danger. « Plus le périphérique est proche d’Internet, plus le risque est important. Par conséquent, les entreprises doivent se montrer vigilantes et nous leur recommandons de mettre en place un système visant à évaluer, à hiérarchiser et à corriger en permanence les failles de sécurité des réseaux. termine Raoul Tecala, Même si les réseaux informatiques paraissent aujourd’hui moins vulnérables, bon nombre des failles de sécurité restantes sont difficiles à supprimer complètement et on en identifie de nouvelles chaque année. Il serait donc malvenu de se reposer sur ses lauriers ».

Cybersécurité, Patch, Sécurité

Oracle publie des correctifs pour 40 vulnérabilités dans Java SE

Le Critical Patch Update (CPU) publié par Oracle, fixe 40 nouveaux problèmes de sécurité dans Java SE. Datasecuritybreach.fr rappelle que toutes les vulnérabilités, exceptées trois, peuvent être exploitées à distance par un attaquant, et dans la plupart des cas, celui-ci peut prendre le contrôle intégral du système. Pour atteindre son objectif, l’attaquant utilise une variété de techniques « drive-by », laissant une applet Java exécuter un code arbitraire en contournant la sécurité du sandbox Java. Ce CPU affecte les versions 5, 6 et 7 de Java Development Kit (JDK) et Java Runtime Environement (JRE). Nous recommandons vivement l’application de ces correctifs dès que possible. DataSecurityBreach.fr a récemment constaté de nombreux problèmes de sécurité dans Java.

Cette année, nous recensons 137 vulnérabilités contre seulement 28 et 38 au cours de la même période pour les deux dernières années. En coopération avec Oracle, Apple a également publié une mise à jour de sécurité Apple-SA-2013-06-18-1 afin de protéger les utilisateurs de Mac OS X contre ces vulnérabilités Java. Nous encourageons vivement les utilisateurs à appliquer ces correctifs dès que possible. (Qualys)

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Fuite de données, Leak, Patch, Sauvegarde

Les gens prennent soin de protéger leurs données mais négligent certaines mesures élémentaires

Un commentaire

Une étude que datasecuritybreach.fr a pu consulter, réalisée par Varonis, leader des logiciels complets de gouvernance des données, indique que la grande majorité des gens comptent que les entreprises protègent leurs données, malgré le nombre élevé de brèches de sécurité signalées. L’étude montre que la plupart des personnes interrogées ont généralement de bonnes pratiques de sécurité, mais ont néanmoins des comportements à risque qui pourraient permettre à des pirates d’accéder à leurs données.

La recherche révèle qu’une majorité écrasante de 91 % des personnes interrogées supposent que les entreprises protègent leurs données personnelles et leurs identités en ligne, et cela en dépit du fait que 93 % des grandes entreprises et 87 % des petites entreprises ont connu en 2013 des failles de sécurité des données. D’une façon générale, l’étude montre que la sécurité des données a une grande valeur : 97 % des répondants préfèrent faire affaire avec une entreprise qui protège leurs données et 54 % se déclarent prêts à payer plus cher s’ils pensent qu’une entreprise protège efficacement leurs données.

Les participants à l’enquête ont fait état de plusieurs habitudes de sécurité en ligne qui seraient mises en évidence dans n’importe quel rapport de sécurité. L’étude a établi que 71 % regardent les dispositions en petits caractères des accords de licence d’utilisation et autres conditions générales.

La sécurité mobile est également prioritaire : plus des trois quarts (77 %) protègent leur téléphone par un mot de passe, et près de la moitié (47 %) utilisent une authentification à deux facteurs pour protéger leur email personnel et leurs services en ligne.

Malheureusement, Varonis a aussi découvert quelques mauvaises habitudes troublantes. Si les participants protègent avec soin leur téléphone par un mot de passe, 61 % utilisent toujours ou fréquemment le même mot de passe sur des sites web ou des applications différents, mettant ainsi leurs informations personnelles en danger. Les deux tiers des participants (67 %) reconnaissent ou soupçonnent qu’ils ont envoyé par email des informations personnelles non cryptées à une entreprise.

« Il est encourageant de constater que les gens recherchent les entreprises qui parviennent mieux à sécuriser leurs données », explique David Gibson à Data Security Breach, vice-président de Varonis. « Cependant, le grand nombre de piratages qui se produisent presque tous les jours indique que les entreprises, comme les individus, ont encore du mal à mettre en oeuvre les bases nécessaires à la sécurisation de leurs données. »

Les personnes doivent se concentrer sur l’élimination de mauvaises habitudes numériques et prendre davantage le contrôle de leur sécurité. Les entreprises ont leur part à jouer pour s’assurer que les départements informatiques mettent en œuvre les bonnes pratiques élémentaires de sécurité.

Quelques recommandations de DataSecrityBreach.fr

.    Sachez où se trouvent vos informations, qui peut y accéder, et comprenez ce que les fournisseurs de service peuvent faire de vos données sans votre consentement explicite

.    N’envoyez jamais par email de données personnelles ou autres données sensibles non cryptées, spécialement les numéros de compte, de carte de crédit et de sécurité sociale, ainsi que les informations ayant trait à la santé 3.    Choisissez des mots de passe forts — mélangeant majuscules et minuscules, chiffres et symboles spéciaux — et utilisez un mot de passe unique pour chaque site. Les gestionnaires de mots de passe sont d’un grand secours dans ce but.

·      Authentification : vérifiez que toute personne accédant à un compte soit vraiment qui elle prétend être ; l’utilisation de plusieurs facteurs est préférable

·      Autorisation : assurez-vous que les employés ont exclusivement accès aux données dont ils ont besoin

·      Audit : surveillez tous les accès

·      Alerte : analysez l’activité à la recherche d’abus potentiels

.     Assurez-vous que les employés utilisent des plateformes sécurisées et autorisées

.     Concentrez-vous sur l’équilibre entre productivité et sécurité : les employés ont besoin d’une expérience de travail moderne qui ne fasse pas courir de risques aux données de l’entreprise.

L’occasion pour les particuliers de faire de même. Voici 6 conseils pratiques pour mettre en ordre son ordinateur et faire le grand ménage de printemps.

.            Sauvegarde des fichiers. Les utilisateurs ont tendance à conserver des fichiers importants et en grande quantité sur leur système sans jamais les stocker. Or, si le système « crash », toutes ces données seront perdues.  La solution la plus simple et efficace est alors de stocker les données les plus sensibles sur un disque dur externe.

.            Nettoyage du registre du système. Le système accumule de nombreux fichiers temporaires au cours de sa vie, surtout en surfant sur Internet.

Pour qu’il fonctionne plus rapidement, la suppression de ces fichiers est alors indispensable. Il existe plusieurs outils pour supprimer les anciennes entrées de registre (sur les PC) comme le fait de vider sa corbeille régulièrement, de supprimer les fichiers temporaires Internet et les cookies, ainsi que son historique de navigation. CCleaner est un outil connu gratuit qui peut effectuer ces tâches, néanmoins une plateforme de sécurité complète telle que Kaspersky PURE 3.0 contient des outils pour nettoyer son PC qui pourront réaliser la même opération tout en protégeant également le système.

.            Défragmentation du disque dur. Il s’agit d’une option sur les systèmes Windows qui augmente la vitesse et l’efficacité du système. Sur Windows 8, cette fonctionnalité se trouve dans « Fichiers » en cherchant « défragmenteur », sur une ancienne version de Windows dans « Programme », «Accessoires », et ensuite « Outils système ». L’utilisation du défragmenteur de disque prend un certain temps et oblige de laisser son PC « au repos ». Il est donc préférable de lancer la défragmentation quand l’utilisateur est absent de chez lui ou lorsque qu’il effectue d’autres activités.

.            Suppression des programmes inconnus.  Il y a de grandes chances pour qu’au fil du temps, les programmes inutilisés s’accumulent sur le système. Mais ces programmes occupent de l’espace sur le disque et ralentissent tout le système. Sur Windows, l’opération à suivre est la suivante : cliquer dans le panneau de configuration, puis sélectionner « Ajouter/supprimer des programmes ». Examiner la liste – sélectionner les programmes inutilisés cette année pour les supprimer. Sur Mac, ouvrir le LaunchPad, et déplacer les icônes des applications inutilisées dans la corbeille.

.            Changement des  mots de passe. Il s’agit d’une étape importante à effectuer régulièrement qui peut-être couplée à la mise à jour du système. Le mot de passe idéal doit être long et compliqué : le mélange des lettres et symboles non-alphanumériques permet de complexifier les mots de passe. Le classique « 123456 » est à éviter ! L’accumulation de mots de passe différents et complexes rend difficile leur mémorisation, l’utilisation d’un gestionnaire de mots de passe facilite grandement cette tâche.

.            Installation des mises à jour des programmes. Il est nécessaire de réaliser régulièrement les mises à jour car celles-ci contiennent les derniers patchs de sécurité. Les versions plus anciennes ont plus de risque d’être exploitées par des pirates informatiques qui trouvent des faiblesses dans les programmes dépassés. Sur Windows, cliquer sur le bouton « démarrer » puis se rendre dans le panneau de configuration, cliquer sur « tous les programmes » et ensuite sur « Windows Update ». C’est ici que se trouvent l’ensemble des mises à jour pour l’ordinateur. La dernière étape est de cliquer sur « rechercher des mises à jour » afin de savoir si l’ordinateur est bien à jour.

Patch

Oracle Critical Patch Update – Avril 2013

Oracle a publié deux mises à jour de sécurité critiques. Tout d’abord, une nouvelle version de Java corrige 42 vulnérabilités, dont 19 ayant le score CVSS le plus élevé (10) qui permet à un attaquant de prendre le contrôle total de la machine. Cette mise à jour corrige également les vulnérabilités découvertes lors de la compétition PWN2OWN à CanSecWest, en mars, où Java a été exploité par trois chercheurs en sécurité différents. Oracle a également modifié les alertes qui surgissent lorsque l’on exécute une applet Java, en introduisant des états distincts donnant plus d’informations sur la nature de l’applet. Les nouvelles versions sont Java v7 update 21et Java v6 update 45.

Dans l’ensemble, le CPU d’avril 2013 corrige plus de 120 vulnérabilités dans 13 gammes de produits. Une cartographie précise des logiciels installés sera cruciale dans l’application de ces correctifs en raison du grand nombre de produits couverts. Nous recommandons de commencer par les services exposés sur Internet, puis de mettre à jour en priorité les produits contenant des vulnérabilités avec un score CVSS élevé.

Le SGBDR d’Oracle dispose de quatre mises à jour pour des vulnérabilités ayant un score CVSS de 10. Les organisations doivent s’assurer en priorité que leurs bases de données Oracle ne sont pas exposées et appliquer les correctifs en conséquence.

La base de données MySQL dispose de 25 vulnérabilités corrigées, avec un score CVSS maximum de 6.9. Un score de niveau moyen qui donnent plus de temps aux administrateurs informatiques pour réagir.

Les solutions Oracle Fusion ont 29 vulnérabilités corrigées, avec un score CVSS de 10. Nous recommandons d’appliquer les patchs aussi rapidement que possible. Une des vulnérabilités se trouve dans le produit Oracle Outside-In, qui est utilisé par Microsoft Exchange Server. Il est noté 6.8, ce qui signifie que nous aurons une mise à jour d’Exchange très bientôt.

Oracle Solaris est affecté par 16 failles avec un score de 6.4, dont deux vulnérabilités exploitables à distance. Les administrateurs informatiques doivent se concentrer dans un premier temps sur ces deux vulnérabilités.

Les autres produits mis à jour comprennent Peoplesoft, Supply-Chain, E-Business, CRM.

En complément des mises à jour d’Oracle, Apple a également publié deux mises à jour de sécurité. La première adresse Java 6 qui est maintenu par Apple sur Mac OS X. La seconde corrige une vulnérabilité dans Webkit, le moteur de rendu HTML de Safari. La vulnérabilité dans Webkit a également été découverte lors de la compétition PWN2OWN, mais en l’occurrence dans le navigateur Chrome de Google. Google a corrigé cette vulnérabilité le mois dernier. (Wolfgang Kandek, CTO de Qualys pour Datasecuritybreach.fr)