Archives de catégorie : Patch

Android, Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, ios, Logiciels, Mise à jour, Particuliers, Patch, Sécurité, Smartphone, Windows phone, Wordpress, Wordpress

Double authentification pour votre site web

Un commentaire

Vous avez un site web ? En plus de votre mot de passe d’accès à votre espace d’administration utilisez la double authentification.

Après les modes d’emplois pour mettre en place la double authentification pour Youtube, gMail, Amazon, DropBox, Facebook, DataSecurityBreach.fr vous propose la même sécurité dédiée à votre site Internet. Ce mode d’emploi est à destination des utilisateurs de WordPress.

La validation en deux étapes contribue à protéger le compte d’un utilisateur contre les accès non autorisés au cas où un tiers parviendrait à obtenir son mot de passe. Même si une personne malveillante parvient à décrypter, deviner ou dérober un mot de passe, elle ne peut se connecter si elle ne dispose pas des informations de validation supplémentaires de l’utilisateur. Ces dernières se présentent sous la forme de codes que seul l’utilisateur peut obtenir via son mobile ou via une signature chiffrée contenue dans une clé de sécurité.

Mode d’emploi double authentification WordPress

Commençons par la base, télécharger l’application qu’il faudra installer dans votre smartphone. Plusieurs choix possibles : Google Authenticator ; Authy ; encore FreeOTP ou encore Duo Mobile Authentication. Ensuite, installer sur votre site Internet l’application dédiée. Une fois c’est deux actions réalisées, direction l’espace « utilisateurs » de votre espace web. Sélectionnez votre identité. Dans cette partie, apparait un espace baptisé « Code secret ».

Cliquez, soit sur « créer nouveau code secret » ou « Montrer le QR Code« . Il vous suffit de lancer l’application mobile. Ensuite, sélectionner le menu, en haut à droite du logiciel. De choisir « configurer un compte« . Plusieurs choix : de viser le QR Code avec votre ordiphone (le plus simple). Rentrer le code secret, la clé fournie, généré par l’application dans votre site web. Dorénavant, une seconde entrée de mot de passe apparaît dans votre ouverture d’administration. Il suffira d’y insérer le code fourni par votre téléphone portable.

Des hébergeur tels que OVH propose aussi la double authentification.
Chiffrement, cryptage, Cybersécurité, Facebook, ID, Identité numérique, Logiciels, Mise à jour, Particuliers, Patch, Phishing, Wordpress, Wordpress

Double authentification pour Facebook

Le site communautaire Facebook propose la double authentification. A utiliser sans modération !

Après les modes d’emplois pour mettre en place la double authentification pour Youtube, Google, Amazon, DropBox, voici venir la sécurité dédiée pour Facebook. La double authentification permet de créé un second mot de passe via votre téléphone portable, valable quelques secondes, en plus de votre identifiant de connexion de base. Bilan, si votre mot de passe est subtilisé, le pirate ne pourra pas l’utiliser. Il faut les deux identifiants pour accéder à votre compte.

Mode d’emploi double authentification Facebook

D’abord, connectez-vous à votre compte Facebook. Dans la partie « Paramètres« , option cachée dans le petit menu, en haut à droite, sur la droite du petit cadenas, cliquez sur « Générateur de code« . Votre téléphone vous fournira, via l’application Facebook, un second code à rentrer, en plus de votre mot de passe, lors de toutes connexions via un ordinateur ou appareil non connu. Par exemple, pour les joueurs et utilisateurs de PS4, Xbox One… Facebook vous communiquera un code, par SMS.

Il est possible d’utiliser l’application Authenticator de Google pour générer le précieux second mot de passe. Un code qui change toutes les 30 secondes. A noter que des sociétés Françaises telles que Gandi ou encore OVH utilisent aussi la double authentification pour protéger leurs clients.

Chiffrement, cryptage, Cybersécurité, Logiciels, Mise à jour, Patch, Wordpress, Wordpress

Double authentification pour Amazon

2 commentaires

Le site de vente en ligne Amazon propose une nouvelle sécurité, la double authentification. Explication !

Comme DataSecurityBreach.fr a déjà pu vous le proposer pour DropBox, gMail, Facebook, Youtube… la sécurité par double authentification est devenue une obligation aujourd’hui. « L’attaque est le secret de la défense, la défense permet de planifier une attaque. » comme le dit l’adage. La double authentification permet de créé un second mot de passe via votre téléphone portable, valable quelques secondes, en plus de votre identifiant de connexion de base. Bilan, si votre mot de passe est subtilisé, le pirate ne pourra pas l’utiliser. Il faut les deux identifiants pour accéder à votre compte. Amazon vient de rentrer dans cette grande famille. DataSecurityBreach.fr vous conseille fortement de l’utiliser.

Mode d’emploi double authentification Amazon

D’abord, connectez-vous à votre compte Amazon. Ensuite, dans « Your Account« , dirigez-vous vers les options de modification de votre compte « Change Account Settings« . Choisissez ensuite « Advanced Security Settings« . C’est dans cette option qu’il va vous être possible de créer la double authentification Amazon. Intéressant, Amazon propose deux sécurités. D’abord par le logiciel Authenticator, et par SMS. Bilan, dès que vous souhaitez vous connecter, Amazon vous contactera par l’un de ces deux moyens.

A noter qu’il est possible d’utiliser cette double authentification pour votre blog, site Internet, Steam, Cloudflare, Gandi ou encore OVH.

Cybersécurité, Emploi, Entreprise, Mise à jour, Patch, Propriété Industrielle, Social engineering

Des principes militaires ancestraux pour lutter contre la cybercriminalité moderne

L’origine des guerres se confond avec celle de l’humanité. De leur côté, les attaques informatiques ont vu le jour avec l’Internet. Malheureusement, aucun de ces deux phénomènes n’est près de disparaître. En effet, leurs motivations sont étroitement liées à cette soif de domination, de gloire et de richesse qui constitue le pedigree de l’humanité.

Les points communs entre la guerre et la cybercriminalité sont légions. Il est sans doute bon de s’inspirer d’un des grands classiques de la littérature militaire pour mieux lutter contre les cybercriminels : l’art de la guerre.

Écrit par Sun Tzu, célèbre général, stratège et philosophe chinois, il y a 2 500 ans, cette œuvre est souvent citée aujourd’hui par les chefs d’entreprise et autres leaders. Ce vade-mecum livre quantité de conseils aux entreprises qui cherchent à se démarquer de leurs concurrents, et aux individus qui tentent de se défaire de leurs rivaux. On y puise également des sujets de réflexion pour les entreprises qui souhaitent venir à bout de la cybercriminalité.

Voici trois enseignements de Sun Tzu que chaque DSI est invité à garder à l’esprit :

1. Qui connaît l’autre et se connaît lui-même, peut livrer cent batailles sans jamais être en péril.

Si vous ignorez quelles sont vos propres défenses contre les cybercriminels, il est grand temps d’identifier cet arsenal. Cette initiative est essentielle mais elle ne suffit pas. Vous devez aussi obtenir au plus vite des informations précises sur les cybercriminels qui vous ont pris pour cible. En d’autres termes, une veille sur les menaces est une priorité.

Lors du sommet sur la cybersécurité qui s’est tenu à la Maison-Blanche en février dernier, le président des États-Unis, Barack Obama, a appelé de ses vœux un meilleur échange d’informations sur les menaces entre le secteur privé et le secteur public, ainsi qu’une meilleure coordination entre les différents intervenants dans la lutte contre la cybercriminalité.

Tous les pays du monde devraient suivre ce conseil. À elle seule, une entreprise n’a que rarement une vue d’ensemble sur les cyberattaques. Elle a trop à faire pour contrer une attaque, restaurer ses opérations et ses services informatiques et limiter les délais d’indisponibilité. Elle ne met les informations liées aux attaques à disposition de ses homologues, donnant ainsi la possibilité à chaque assaillant de tirer des enseignements de ses attaques. Ces derniers peuvent ainsi parfaire leurs tactiques et adopter de nouvelles techniques pour s’en prendre à de nouvelles cibles.

Le partage des informations liées aux menaces consiste à échanger des éléments contextuels sur les attaques. Je trouve ce point essentiel puisqu’il invite les entreprises à appréhender trois éléments : les techniques utilisées par les hackers, les caractéristiques des entreprises qui ont été ciblées, et le comportement des hackers après avoir compromis les défenses d’une entreprise. Ces trois informations aident les équipes informatiques à tirer les conclusions qui s’imposent, à neutraliser plus efficacement toute nouvelle attaque et, au final, à renforcer la sécurité des entreprises et du grand public en général.

C’est la raison pour laquelle Fortinet a fondé la Cyber Threat Alliance. Ce programme mondial vise à partager les données sur les menaces informatiques avec d’autres fournisseurs de technologies de sécurité informatique afin d’agir en conséquence.

2. Dans l’ancien temps, ce qu’on appelait l’intelligence du combat n’était pas seulement de gagner mais de le faire avec facilité. 

L’essence de chaque entreprise est d’être rentable. Une attaque réussie porte atteinte à vos finances et à votre réputation et engendre des dépenses. Pour limiter l’impact, les entreprises doivent juguler les attaques le plus efficacement possible. Lors du sommet précité, Barack Obama a incité aux entreprises à mieux exploiter les technologies modernes. Je vous encourage à faire de même.

L’informatique a beaucoup évolué au cours des dernières décennies. Les réseaux sont devenus incroyablement complexes, alors que l’émergence du cloud, du mobile et des infrastructures agiles ont rendu la sécurité bien plus difficile à gérer. Les technologies en matière de sécurité utilisées il y a plusieurs années rencontrent des freins et doivent être remplacées.

La technologie doit évoluer afin de pouvoir tenir tête aux hackers. Nous sommes déjà capables de gérer intelligemment plusieurs facettes de la sécurité informatique. Mais ce qui nous attend est encore plus prometteur. Dans les années à venir, l’analyse comportementale deviendra la norme pour la sécurité des appareils. Les innovations en matière de science des données permettront aux équipes informatiques d’analyser les données du big data afin d’identifier les tendances en matière de sécurité. Les entreprises pourront ainsi prévoir les attaques, avant qu’elles ne soient enclenchées.

3. Si l’ennemi renforce son front, il affaiblira ses arrières, s’il renfloue ses arrières, il affaiblira son front.

S’il renforce son flanc gauche, il affaiblira son flanc droit et vice-versa. Et s’il se prépare en tous lieux, il sera partout en défaut. Il ne s’agit là que d’une piqûre de rappel pour chaque DSI. Protéger l’entreprise est une tâche difficile, car les hackers savent s’immiscer par les moindres brèches.

La faible visibilité sur les applications, les utilisateurs et les services réseau existants est une lacune majeure des entreprises de nos jours. D’autant que la situation s’aggrave. En premier lieu, compte tenu des applications qui prolifèrent au sein des environnements virtualisés. Mais aussi à cause d’un trafic qui évolue : autrefois cantonné au sein du centre de données, ce trafic s’affranchit aujourd’hui du périmètre de ce dernier et transite via ce centre de données.

De nouvelles technologies émergent pour renforcer la visibilité sur les applications au sein des environnements virtualisés. Tandis que ces technologies font leurs premiers pas sur le marché, chaque DSI doit comprendre la finalité de chacune de ces technologies et apprendre à gérer efficacement les données. Faute de quoi, les informations réellement pertinentes se retrouveraient noyées dans un océan de fausses alertes.

Les entreprises sont, bien sûr, également invitées à former leurs utilisateurs.

L’ignorance est un fléau en matière de sécurité informatique. Les individus ont souvent été le maillon faible de la sécurité des entreprises, ce qui explique leur statut de cible privilégiée par les cybercriminels. Les systèmes de sécurité les plus sophistiqués ne parviennent généralement pas à éviter les attaques utilisant des techniques d’ingénierie sociale. Dans le monde, les entreprises qui forment leurs utilisateurs via des programmes de sensibilisation constatent un fléchissement des attaques d’ingénierie sociale de type spear phishing. La formation et la sensibilisation des utilisateurs représentent des armes particulièrement efficaces pour les entreprises souhaitant maîtriser les risques de sécurité informatique. (Par Michael Xie – Fondateur, Président et Chief Technology Officer de Fortinet)

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

L’impact des clés et certificats non protégés

Un nouveau rapport de Ponemon pointe la perte de clientèle que subissent les entreprises françaises pour cause de clés et certificats non protégés.

Ponemon Institute et Venafi, éditeur de premier plan spécialisé dans la protection de nouvelle génération des infrastructures de confiance dont le slogan « The Immune System for the Internet™ » est à l’origine du concept de système immunitaire pour Internet, publient ce jour de nouvelles données sur l’incidence économique directe, pour les entreprises françaises, de la non-sécurisation des clés cryptographiques et certificats numériques dans l’étude 2015 Cost of Failed Trust Report: When Trust Online Breaks, Businesses Lose Customers.

Ces nouvelles données, tirées d’une étude menée auprès de 339 professionnels de la sécurité informatique en France, indiquent à quel point des clés et certificats non protégés et mal gérés peuvent entraîner une perte de clientèle, d’onéreuses interruptions d’activité, des défaillances d’audit et des failles de sécurité.

En début d’année, Ponemon Institute et Venafi ont publié le résultat des travaux de recherche menés sur les risques encourus par les entreprises mondiales face à des attaques basées sur des clés et certificats dans l’étude 2015 Cost of Failed Trust Report: Trust Online is at the Breaking Point. Les participants à cette enquête en France -mais aussi en Australie en Allemagne, au Royaume-Uni et aux Etats-Unis- ont unanimement admis que le système de confiance sur Internet a atteint son point de rupture. Des données inédites extraites de cette enquête sont à présent disponibles dans ce nouveau rapport qui montre à quel point les entreprises en France, et partout dans le monde, pâtissent des effets fâcheux de la non-sécurisation des clés et certificats.

En regardant les statistiques françaises

À partir du moment où la confiance en ligne est rompue, les entreprises perdent des clients – Près des deux tiers des sondés en France admettent avoir perdu des clients faute d’être parvenus à garantir la confiance en ligne instaurée par des clés et certificats, ce qui représente un coût moyen de 11 millions d’euros par interruption.

Les systèmes métiers stratégiques subissent des défaillances – En moyenne, chaque entreprise française a subi, depuis deux ans, trois arrêts intempestifs liés à des certificats. Ce nombre est nettement plus élevé que la moyenne mondiale qui est de deux arrêts intempestifs.

Les entreprises échouent aux audits – En moyenne, les entreprises françaises ont échoué à au moins deux audit SSL/TLS et à au moins deux audit SSH au cours des deux dernières années. Là encore, ce nombre est bien plus élevé que la moyenne mondiale qui elle est de un audit dans les deux cas.

« À partir du moment où les entreprises ne sécurisent ni ne gèrent correctement leurs clés et certificats, l’impact financier direct se traduit par une perte de clientèle et un manque à gagner », précise à DataSecurityBreach.fr Kevin Bocek, Vice President of Security Strategy and Threat Intelligence chez Venafi. « Dans leur activité, les entreprises sont toutes tributaires de la confiance instaurée par les clés et certificats, même si elles n’en sont pas conscientes. C’est pourquoi il est impératif que les équipes dédiées à la sécurité informatique et celles dédiées à l’opérationnel réalisent périodiquement des audits pour localiser la totalité des certificats et clés utilisés, établir les dates d’expiration, puis mettre en place des règles appropriées pour éviter le piratage de données, les arrêts intempestifs et les défaillances d’audits. ».

Depuis la banque en ligne et les applications mobiles jusqu’à l’Internet des objets, tout ce qui est basé sur IP fait appel à une clé et à un certificat pour établir une connexion digne de confiance, et cette dépendance vis-à-vis des clés et certificats ne fait que s’accentuer du fait du recours croissant au protocole SSL/TLS et des accès mobiles, WiFi et VPN. Elle accroît considérablement les risques en termes de disponibilité, de conformité et de sécurité, sachant que, dans ces domaines, l’importance des risques encourus n’est pas la même. Les risques liés à la sécurité sont presque huit fois plus importants que ceux liés à la disponibilité et à la conformité : ainsi, dans les deux ans à venir, le seul risque lié à la sécurité devrait peser 41 millions d’euros, contre 5 millions d’euros pour les risques conjugués de conformité et de disponibilité.

Interrogés sur les difficultés posées par la protection et la gestion des clés et certificats, 63 % de professionnels français de sécurité informatique affirment ignorer le nombre de clés en leur possession, l’endroit où elles se trouvent ou encore la façon dont elles sont utilisées. Encore une fois, ce chiffre est plus élevé que la moyenne mondiale établie à 54%. De même, 59% déplorent l’absence de règles et de correctifs pour les clés et certificats. Les entreprises se doivent impérativement de remédier à ces problématiques qui sous-tendent les risques de sécurité, de disponibilité et de conformité provoqués par des clés et certificats non sécurisés.

« Nous espérons que ce rapport aidera les équipes dirigeantes et celles en charge de la sécurité informatique à mesurer l’importance du risque majeur posé par des clés cryptographiques et certificats numériques non protégés et mal gérés », conclut Larry Ponemon, Chairman and Founder of The Ponemon Institute. « Les clés et certificats, largement déployés, sont essentiels à l’établissement de connexions dignes de confiance et à la sécurisation des activités. À l’évidence, les données figurant dans ce rapport sont symptomatiques d’une problématique de sécurité plus large : si vous ignorez où se trouvent vos clés et certificats, vous ne pouvez assurer leur suivi et êtes incapable d’automatiser leur cycle de vie ; en d’autres termes, vous ne parvenez tout simplement pas à les protéger. Raison pour laquelle, tôt ou tard, la confiance sur Internet est rompue. ».

Pour consulter ce rapport dans son intégralité : Venafi.com/BrokenTrust

Base de données, BYOD, Cloud, Cybersécurité, Entreprise, Fraude au président, Mise à jour, Patch, Social engineering

Prévisions en matière de menaces informatiques à l’horizon 2020

Les prévisions d’Intel Security fournissent également des perspectives précieuses aux entreprises dans le cadre de la définition de leurs stratégies de sécurité informatique à court et à long terme.

Le nouveau rapport d’Intel Security intitulé ‘McAfee Labs Threat Predictions Report’ prédit les principales tendances à anticiper en 2016 en matière de menaces informatiques. Il fournit également un aperçu prédictif unique de ce paysage jusqu’à l’horizon 2020 et livre les potentielles réponses de l’industrie de la sécurité informatique face à l’évolution des cyber-menaces.

« A l’image des joueurs de foot qui savent saisir les opportunités et anticiper le jeu, il est important que les entreprises puissent garder une longueur d’avance sur les tendances business et technologiques mais également sur l’environnement des menaces informatiques. Le rôle de l’industrie informatique est de les accompagner dans cette bataille en mettant à leur disposition des technologies performantes pour les soutenir dans leurs activités et leur permettre de comprendre à quels types de menaces elles seront confrontées demain », commente Vincent Weafer, Vice-Président de McAfee Labs d’Intel Security.

Les menaces à venir en 2016

L’éventail des risques à anticiper en 2016 s’étend des probables attaques de ransomware, aux risques d’attaques contre les véhicules connectés, en passant par des attaques contre des infrastructures, ou encore la vente de données volées, etc. Différents types d’attaques en matière de menaces sont à prévoir :

Matérielle. Les attaques sur tous les types de matériel et de firmware vont encore continuer l’année prochaine et se traduire par le développement et la croissance du marché noir liés aux outils d’exécution de ce type d’attaque. Les machines virtuelles seront également ciblées avec des rootkits de firmware.

Ransomware. L’anonymisation des réseaux et des modalités de paiement continuera à alimenter le risque de ransomwares. En 2016, un plus grand nombre de cybercriminels novices devrait exploiter les offres de Ransomware-as-a-Service et accélérer ainsi la croissance de ce marché.

Ciblées sur les accessoires connectés. Bien que la plupart des accessoires connectés stocke une quantité relativement faible de renseignements personnels, les plates-formes sur lesquelles fonctionnent ces devices pourront s’avérer la cible des cybercriminels afin d’en compromettre les smartphones associés. L’industrie devra s’atteler à la protection des potentielles surfaces d’attaques tels que les noyaux des systèmes d’exploitation, les logiciels de gestion de réseau et de WiFi, les interfaces utilisateur, la mémoire, les fichiers locaux et les systèmes de stockage, les machines virtuelles, les applications Web, les logiciels de sécurité et de contrôle d’accès.

Par des OS des salariés. Les entreprises devront continuer à rester vigilantes et à renforcer leurs mesures de sécurité via notamment la mise en place des dernières technologies de sécurité disponibles, l’embauche de personnel expérimenté pour assurer la protection de son IT et de ses données, et la définition de politiques de sécurité efficaces. En revanche, les hackers essayeront de nouveau de détourner ces mécanismes de protection en passant par les systèmes d’exploitation des salariés et en tirant profit notamment de la faible protection des systèmes qu’ils utilisent chez eux pour accéder aux réseaux de leur entreprise.

Services Cloud. La protection des services Cloud est encore souvent négligée par les entreprises. Cela devrait pousser les cybercriminels à profiter de la faiblesse, voire de l’inexistence, de certaines politiques de sécurité d’entreprises. Le Cloud rassemble une quantité croissante d’informations confidentielles d’entreprises, le vol des données stockées par ces services pourrait compromettre toute la stratégie d’une entreprise, y compris le développement de son portefeuille de produits, ses futures innovations, ses services financiers, les données de ses employés, etc.

Voitures. Les experts en sécurité continueront à étudier les potentielles menaces auxquelles sont exposés les systèmes d’exploitation des voitures connectées dépourvus des capacités de sécurité embarquée ou non conformes aux best practices des politiques de sécurité établies. Les fournisseurs de solutions de sécurité informatique et les constructeurs automobiles devront coopérer de manière proactive afin d’élaborer des directives, des normes et des solutions techniques pour protéger les surfaces d’attaques potentielles que représentent par exemple les unités de commande électronique (Engine Control Unit ou ECU) des systèmes d’accès du véhicule, les ECU relatifs au moteur et à la transmission, au système avancé d’assistance au conducteur, les systèmes de verrouillage du véhicule à distance, le télé-déverrouillage passif, le récepteur V2X, les clés USB, le diagnostic embarqué, les applications de type RemoteLink et l’accès smartphone.

Stockage de données volées. Les blocs d’informations personnelles qui permettent une identification sont aujourd’hui reliés entre eux dans de grandes bases de données, où l’ensemble des éléments volés font ainsi augmenter la valeur des dossiers compilés. L’année prochaine verra le développement d’un marché noir encore plus robuste qui offrira davantage d’informations personnelles (date d’anniversaire, adresse, etc.) associées à des identifiants en ligne et à des mots de passe.

Contre l’intégrité de système. Les attaques sélectives compromettant l’intégrité des systèmes et des données seront l’un des plus importants nouveaux vecteurs d’attaques. L’objectif de ces attaques consiste à saisir et à modifier des transactions ou des données en faveur des attaquants. Par exemple, un cybercriminel peut parvenir à modifier des paramètres de dépôt direct de versement de salaires pour verser l’argent sur son propre compte bancaire. En 2016, McAfee Labs prévoit une possible attaque contre l’intégrité de système dans le domaine financier, secteur dans lequel des millions de dollars pourraient être dérobés par des cybercriminels.

Partage de renseignements sur les menaces. Le partage de renseignements sur les menaces entre les entreprises et les fournisseurs de solutions de sécurité devrait croître rapidement. Des mesures législatives seront prises afin de faciliter les échanges d’informations entre les entreprises et les gouvernements. Le développement accéléré de best practices devrait favoriser l’identification de métriques permettant de mesurer l’amélioration des niveaux de protection.

Les prévisions à l’horizon 2020

La vision prédictive de McAfee Labs tend à identifier la manière dont les différents acteurs du cyber-crime vont évoluer, comment vont changer à la fois les comportements et les objectifs des attaquants, mais aussi de prédire la façon dont l’industrie répondra à ces défis au cours des 5 prochaines années.

Attaques sous l’OS. Alors que les applications et les systèmes d’exploitation seront de plus en plus protégés, les attaquants chercheront des faiblesses dans le firmware et le matériel informatique. Ce type d’attaque pourrait éventuellement offrir aux hackers le contrôle total des systèmes. En effet, ils seraient théoriquement en mesure d’accéder à un nombre illimité de ressources et de fonctionnalités de gestion et de contrôle au sein des systèmes.

Contournement de détection. Les assaillants chercheront à contourner les technologies de détection de cyber-menaces en ciblant de nouvelles surfaces d’attaques et en utilisant des méthodes d’attaques toujours plus sophistiquées. Cela signifie qu’il faudra dès lors anticiper des malwares sans fichier, des infiltrations cryptées, des malwares en mesure de contourner les sandbox, des exploits à distance des protocoles RSH et des protocoles de contrôle, ainsi que des attaques sous l’OS ciblant et exploitant les Master Boot Records (MBR), le BIOS et le firmware.

Appareils connectés : de nouvelles surfaces d’attaques. D’ici 2020, ces dispositifs devraient atteindre un niveau de pénétration du marché assez conséquent pour attirer les cybercriminels. Les fournisseurs de technologie et de solutions verticales seront amenés à collaborer afin de définir des conseils de sécurité pour les utilisateurs et des best practices pour l’industrie. De plus, les fabricants d’objets connectés chercheront, de plus en plus, à intégrer les mécanismes de contrôle de sécurité dès la phase de conception de leurs produits.

Pénétration du cyber-espionnage dans les entreprises. Jusqu’alors, les logiciels de cyber-espionnage ciblaient davantage le secteur public. McAfee Labs prévoit que, d’ici 2020, le marché noir des malwares et des services de piratage pourrait rendre possible leur utilisation pour exécuter des attaques contre les entreprises afin de collecter des renseignements financiers et de manipuler les marchés en faveur des attaquants.

Enjeux et opportunités de la confidentialité. Le volume et la valeur des données personnelles sur le Web vont continuer de croître. Pour répondre à la menace constante du vol de ces informations, de nouvelles réglementations sur la confidentialité vont être élaborées et mises en oeuvre à travers le monde. En parallèle, les utilisateurs devront commencer à exiger des compensations pour le partage de leurs données. Ce mouvement donnera probablement naissance à un nouveau marché d’« échange de valeur» qui pourrait profondément changer la façon dont les individus et les entreprises gèrent leurs vies privées numériques.

Réponse de l’industrie de la sécurité. Les industriels développeront des outils plus efficaces pour détecter et remédier aux attaques sophistiquées. Les nouvelles technologies devront s’appuyer sur une analyse de comportement prédictive pour repérer les activités irrégulières et détecter les comptes compromis. La protection des systèmes deviendra plus rapide et efficace grâce au partage des renseignements sur les menaces entre les parties prenantes. La sécurité intégrée avec le Cloud va améliorer la visibilité et le contrôle des systèmes et des données. Finalement, les technologies de détection et de correction automatiques assureront la protection des entreprises contre les attaques les plus courantes, en permettant aux responsables de sécurité informatique de se concentrer sur les incidents de sécurité plus critiques.

« Afin d’avoir une longueur d’avance sur des menaces en constante évolution et pourvoir devancer ses adversaires, l’industrie informatique a besoin de s’appuyer sur les mêmes ‘armes’ que les cybercriminels. Il lui faudra ainsi associer le partage des renseignements liés aux cyber-risques entre ses différents acteurs à la puissance technologique, dont le Cloud computing et l’agilité de plates-formes, mais aussi aux compétences humaines », conclut Vincent Weafer. « Ainsi, pour gagner des batailles contre les futures menaces, les entreprises doivent avoir une meilleure visibilité et une meilleure connaissance des risques potentiels. Elles doivent également être en mesure de détecter et de répondre plus rapidement et d’utiliser pleinement à la fois les ressources humaines et techniques à leur disposition. »

Android, Chiffrement, cryptage, Cybersécurité, Mise à jour, Patch, Smartphone, Téléphonie

Google renforce son action pour le chiffrement des courriels

Google a décidé de resserrer la sécurité de ses utilisateurs en avertissant de l’arrivée d’un courriel non chiffré… mais ne corrige pas un bug plutôt gênant.

Google a ajouté une nouvelle fonctionnalité à Gmail qui a pour mission d’informer les utilisateurs chaque fois qu’un courriel non chiffré atterrit dans votre boîte de réception. Cette nouvelle fonction est destinée à freiner les attaques en ligne qui peuvent viser des fournisseurs de messageries. Pour développer cette fonctionnalité, Google a signé un partenariat avec les Universités du Michigan et de l’Illinois. Une sécurité qui résulte d’une recherche sur l’évolution de la sécurité des courriers électroniques depuis 2013.

Pendant ce temps…
Depuis les paramètres de Gmail via un ordinateur, une chercheuse en informatique à trouvé le moyen de modifier le nom qui apparaîtra dans le courriel envoyé. Pour prouver sa découverte, Yan Zhu, la chercheuse, a modifié son nom d’affichage en yan «  »security@google.com ». Les guillemets supplémentaires dans son identité ont provoqué un bug de traitement de l’information. Un moyen qui pourrait piéger des internautes pensant recevoir un courriel de Google, par exemple.

Le bug ne vise que l’application Android. Yan Zhu a alerté l’équipe de sécurité Google. Cette dernière n’a pas estimé qu’il était important de corriger.

Cybersécurité, Logiciels, Microsoft, Mise à jour, OS X, Patch

Patch Tuesday – Novembre 2015

Retour à la normale pour le Patch Tuesday de Novembre 2015. Douze bulletins concernent un large éventail de produits, depuis Internet Explorer (MS15-112) jusqu’à Skype (MS15-123). Les six petits bulletins du mois dernier étaient une anomalie probablement due aux vacances d’été. La différence marquée entre les patches pour Internet Explorer et pour Edge, en revanche, n’est pas une anomalie mais le fruit d’une ingénierie sérieuse de la sécurité.

Manifestement plus sécurisé qu’Internet Explorer, Edge s’avère être un puissant choix de navigateur Internet si vos utilisateurs peuvent s’en servir pour exécuter toutes leurs applications métier.

Pour le classement des patchs, le cru de ce mois comprend un correctif pour une vulnérabilité connue fournie dans le bulletin critique MS15-115 qui résout sept vulnérabilités dans Windows. Deux des vulnérabilités se trouvent dans le sous-ensemble de polices, ce qui les rend exploitables à distance via la navigation Web et la messagerie. Elles affectent toutes les versions de Windows, y compris Windows 10 et RT. Ce mois-ci, le bulletin MS15-115 figure en haut de la liste.

Vient ensuite MS15-112 pour Internet Explorer, avec 25 correctifs dont 23 pour des vulnérabilités critiques à base d’exécution de code à distance (RCE). Le vecteur d’attaque est une page Web, très courante, malveillante. Les cybercriminels lancent les attaques en exploitant des vulnérabilités au sein de pages Web par ailleurs anodines et en prenant le contrôle du contenu des pages dans lesquelles ils insèrent des liens invisibles qui pointent vers leurs pages d’attaque basées sur des kits d’exploits commerciaux. Ces kits concernent essentiellement des vulnérabilités récentes au sein de navigateurs et de plug-ins (Flash étant choisi dans 80% des cas selon une récente enquête de Recorded Future) et s’enrichissent de nouveaux exploits quelques jours seulement après la publication d’une vulnérabilité.

Les attaques via les navigateurs et la messagerie sont si fréquentes que le Centre pour la sécurité Internet (CIS) a revu sa liste des 20 contrôles de sécurité critiques et ajouté un contrôle dédié aux navigateurs/à la messagerie ayant une priorité de niveau 7, ce qui le positionne devant les défenses classiques contre les codes malveillants concernées par le contrôle 8.

Quoi qu’il en soit, le MS15-112 doit être déployé le plus vite possible.

Le suivant sur la liste est le bulletin de sécurité MS15-116 qui résout sept failles sous Microsoft Office. Cinq de ces vulnérabilités peuvent être exploitées pour prendre le contrôle du compte de l’utilisateur qui ouvre le document malveillant et permettre ainsi une exploitation à distance. Cet accès permet de contrôler suffisamment la machine pour lancer un certain nombre d’attaques, notamment de type Ransomware. Cependant, l’attaquant peut l’associer à une vulnérabilité locale dans le noyau Windows pour compromettre totalement la machine et en prendre pleinement le contrôle afin d’y installer de nombreuses backdoors.

Les deux autres bulletins critiques concernent Edge Browser (MS15-113) et le Journal Windows (MS15-114). Ils doivent être appliqués le plus vite possible, ne serait-ce que pour votre machine bénéficie de la toute dernière mise à niveau.

Tous classés comme importants, les autres bulletins doivent être déployés dans votre cycle de patch usuel:

  • MS15-118 concerne .NET et corrige trois vulnérabilités, dont une permettant d’exécuter du code pendant que l’utilisateur visite un site Web (Cross Site Scripting). Ces vulnérabilités sont souvent exploitées pour dérober les informations de la session de l’utilisateur et se substituer à ce dernier. Selon l’application concernée, les conséquences peuvent être lourdes. En effet, l’attaquant peut ainsi accéder à un compte de niveau Administrateur associé à votre application Web.

  • MS15-119 résout une vulnérabilité d’élévation de privilèges dans la bibliothèque de sockets Windows présente dans toutes les versions dont Windows 10.

  • Quant au bulletin MS15-117, il corrige une vulnérabilité au sein du composant réseau NDIS et qui affecte uniquement les systèmes plus anciens (Vista, Windows 7 et Server 2008).

  • MS15-120, MS15-121, MS15-122 et MS15-123 corrigent des failles uniques dans IPSEC, SChannel, Kerberos et Skype pouvant être exploitées par des dénis DoS, des attaques Man In The Middle ainsi que par des contournements de chiffrement.

Dernier point et non des moindres, Adobe a également publié une mise à jour pour Adobe Flash. APSB15-28 résout plusieurs vulnérabilités critiques permettant à un attaquant d’exécuter du code dans le contexte de l’utilisateur. Sachant que Flash est cette année une cible favorite des attaquants, n’oubliez pas de le mettre à jour sur vos machines clientes. (Analyse par Wolfgang Kandek, CTO , Qualys, Inc. (wkandek)

Cybersécurité, Firefox, Logiciels, Microsoft, Mise à jour, Patch

Firefox et la navigation privée encore plus avancée

Mozilla a dévoilé la protection contre le pistage au sein de la Navigation privée dans Firefox. Cette fonctionnalité a été développée afin d’offrir aux utilisateurs plus de choix et de contrôle sur leur expérience du Web.

Avec la protection contre le pistage au sein de la Navigation privée, Mozilla permet de garder le contrôle sur les données de navigation récoltées par les sites tiers. Aucun autre navigateur (Chrome, Safari, Microsoft Edge ou Internet Explorer) ne propose un mode de navigation privée permettant de limiter les données que les sites tiers récupèrent.

Navigation privée avec protection contre le pistage
Le mode de navigation privée a été ajouté au navigateur Firefox pour que les internautes gardent le contrôle sur leur confidentialité, en permettant de ne pas enregistrer de données de navigation à la fermeture. Cependant, lorsque vous naviguez en ligne, vous partagez souvent sans le savoir des informations vous concernant avec des sites tiers indépendants des sites que vous visitez, et ce même en utilisant la Navigation privée, quel que soit le navigateur utilisé. Jusqu’à aujourd’hui.

La navigation privée avec protection contre le pistage au sein de Firefox pour Windows, Mac, Android et Linux bloque les contenus tels que les publicités, les outils analytiques et autres boutons de partage sur les réseaux sociaux, pouvant enregistrer votre comportement en ligne à votre insu. Cette nouvelle version de Firefox inclut également un nouveau centre de contrôle rassemblant dans la barre d’adresse les paramètres de sécurité et de confidentialité. Étant donné que les pages web peuvent subir quelques dysfonctionnements lorsque vous bloquez des éléments de pistage, il est possible de désactiver facilement la protection contre le pistage dans la navigation privée pour un site particulier, en passant par le centre de contrôle.

Nouvelle version de Firefox Developer Edition
Mozilla a dévoilé également de nouvelles fonctionnalités au sein de Firefox Developer Edition, telles que des outils avancés pour l’édition d’animations. Mozilla présente DevTools Challengers, un tutoriel qui repose sur la pratique et qui aidera les designers à pleinement tirer parti de ces nouveaux outils d’édition. Grâce à ces outils, les développeurs auront moins l’impression d’écrire un script et plus de créer un film.

Mise à jour, Patch

Onapsis Research Labs diffuse 21 avis de sécurité pour les applications SAP HANA

Onapsis, spécialiste mondial de la sécurité des applications métiers et principal fournisseur de solutions de cybersécurité, vient de publier 21 nouveaux avis de sécurité détaillant un nombre sans précédent de failles affectant toutes les applications SAP HANA, dont les solutions SAP S/4HANA et SAP Cloud sous HANA.

Ces avis émis par le laboratoire de recherche Onapsis mettent l’accent sur huit failles critiques, dont six concernent la conception même de SAP HANA, impliquant pour les corriger de modifier la configuration du système. À défaut, des cybers attaquants non authentifiés, pourraient prendre entièrement le contrôle des applications SAP HANA vulnérables et ainsi voler, supprimer ou modifier des informations. Ils pourraient aussi déconnecter la plate-forme afin de perturber les processus clés de l’entreprise.

C’est la première fois que des avis d’un si haut niveau de criticité et portant sur un aussi grand nombre de failles sont émis pour SAP HANA.

Ces failles font courir un risque potentiel à plus de 10 000 clients SAP utilisant différentes versions de SAP HANA, parmi lesquels figurent bon nombre des 2000 plus grandes entreprises mondiales dans tous les secteurs d’activité (énergie, pharmacie, administration, etc.). Des experts estiment qu’une violation de sécurité entraînant l’arrêt d’une application SAP pourrait coûter jusqu’à 22 millions de dollars par minute à certaines entreprises, avec notamment la perturbation de la production et de la distribution de leurs produits de base ainsi que la perte de connexion Internet et de données. L’économie mondiale pourrait être considérablement affectée par l’exploitation des failles de SAP HANA, celles-ci laissant amplement le champ libre aux cyberattaques par des États-nations, à l’espionnage économique, à la fraude financière ou au sabotage des systèmes clés des entreprises.

« La nouvelle grande vague d’attaques vise les applications stratégiques sous SAP et Oracle car ce sont des cibles économiques de choix pour les cybercriminels », explique à DataSecurityBreach.fr Mariano Nunez, CEO d’Onapsis. Elles se situent aussi majoritairement dans un angle mort pour bon nombre de directeurs de la sécurité informatique. Les failles affectant les systèmes SAP font de plus en plus l’actualité à l’image de la première attaque largement relatée dont a été victime la société USIS, fournisseur de la direction des ressources humaines (OPM) du département américain de la sécurité intérieure (DHS). En tant que solide partenaire de SAP, Onapsis collabore étroitement avec cet éditeur et ses clients afin de les aider à protéger leurs actifs stratégiques et à réduire les risques pour leur entreprise. Grâce à notre recherche de pointe, SAP a publié des patchs et des directives de sécurité qui permettent aujourd’hui à ses clients de se protéger. Nous les aidons potentiellement à éviter toute violation de sécurité à grande échelle qui pourrait avoir des conséquences désastreuses et nous leur permettons ainsi de tirer pleinement parti de leur investissement dans SAP HANA.

Les nouveaux avis de sécurité pour SAP HANA émis par le laboratoire de recherche Onapsis portent notamment sur huit failles critiques, six failles à haut risque et sept failles de risque intermédiaire. Bon nombre des failles critiques concernent les interfaces TrexNet au cœur d’HANA qui orchestrent la communication entre les serveurs dans les configurations haute disponibilité des grandes entreprises. Mais comme HANA devient la technologie sous-jacente de toutes les applications SAP, y compris SAP S/4HANA et la plate-forme Cloud SAP HANA et prend en charge un vaste écosystème d’applications d’autres éditeurs, la surface d’attaque s’élargit de façon exponentielle avec des conséquences diverses d’un système à l’autre.

Les experts en sécurité du laboratoire de recherche Onapsis ont collaboré avec des centaines de grandes entreprises afin de quantifier l’impact de ces différentes failles dans le cadre d’un service intitulé Business Risk Illustration (BRI). Celui-ci analyse de manière efficace les menaces qui pèsent sur la disponibilité, l’intégrité et la confidentialité des données et processus SAP.

« Il faut impérativement que l’industrie informatique se penche sur la cybersécurité des systèmes SAP », déclare à Data Security Breach Juan Perez-Etchegoyen, directeur technique d’Onapsis. « Cet ensemble de failles critiques est un des plus sérieux que nous ayons identifiés jusqu’ici en termes de dommages qu’un attaquant non authentifié pourrait causer à une entreprise. En cas d’exploitation de ces failles, toute information stockée ou gérée par une application SAP-HANA pourrait être extraite, falsifiée et supprimée, notamment les données à propos des clients, des salariés, des fournisseurs et des prix mais aussi celles à caractère décisionnel ou celles concernant la propriété intellectuelle, les budgets, la planification et les prévisions. Pire, le système pourrait être totalement paralysé par l’attaquant. »

Principales recommandations pour les directeurs de la sécurité informatique
Certaines de ces failles ne peuvent être corrigées par l’application de patchs de sécurité et le service HANA TrexNet affecté ne peut être stoppé. La seule solution consiste à reconfigurer le système, opération qui doit être correctement effectuée. Outre la consultation des notes de sécurité SAP, le laboratoire de recherche Onapsis recommande aux clients SAP de procéder comme suit :

Étape 1. Configurer correctement les communications TrexNet. Si elles s’exécutent dans un environnement haute disponibilité, ces communications sont essentielles au fonctionnement de SAP HANA. Vérifiez que le réseau où elles s’effectuent est isolé de l’utilisateur final et n’est pas accessible via un autre réseau. Assurez-vous également qu’il y a bien cryptage et authentification au niveau de la couche transport. S’il n’y a qu’une seule instance de SAP HANA, vérifiez que toutes les interfaces TrexNet écoutent sur l’interface réseau localhost uniquement.

Étape 2. Surveiller l’activité des utilisateurs. Certaines failles critiques pourraient être exploitées par des utilisateurs légitimes et des attaquants tentant de se connecter aux composants vulnérables (SQL et HTTP). Surveillez par conséquent le trafic HTTP à la recherche de la moindre activité suspecte. Enfin, analysez les journaux HTTP et SQL afin d’y déceler des entrées douteuses.

Étape 3. Veiller à ce que les mesures de détection et de correction soient en place. Intégrez SAP à votre stratégie de sécurité de l’information afin d’assurer une surveillance en continu des systèmes SAP et SAP HANA et de délivrer en temps réel des informations de prévention, de détection et de correction aux outils existants de gestion des événements et des informations de sécurité (SIEM) et de gouvernance et de contrôle des risques (GRC)

Les autres failles critiques, non liées au protocole TrexNet, doivent être corrigées en suivant la procédure indiquée dans les notes de sécurité SAP. Plusieurs notes de sécurité ont été publiées par SAP à propos des failles décrites ici. Elles portent les numéros 2165583, 2148854, 2175928, 2197397 et 2197428. Onapsis encourage les clients SAP à en prendre connaissance et à les appliquer dès que possible.