Archives de catégorie : Securite informatique

backdoor, Bitcoin, Cybersécurité, Securite informatique

Cybersécurité : Malwarebytes dévoile les grandes tendances 2018

Prévisions en matière de cybersécurité pour 2018. MB prédit une augmentation des menaces reposant sur le cryptojacking via les navigateurs Web, des attaques basées sur PowerShell ainsi qu’une accélération de l’utilisation par les pirates de logiciels de sécurité comme porte dérobée. Ces agissements seront portées par la tendance croissante au « tout connecté » dans l’ensemble des secteurs. Par ailleurs, les domaines de l’éducation et de la santé devraient être de plus en plus touchés par les cyberattaques.

Prévisions – L’année 2017 a été le théâtre d’attaques d’ampleur mondiale reposant sur des ransomwares tels que Wannacry et NotPetya, des violations de données sans précédent comme le piratage massif dont a été victime Equifax ou encore la perte de 198 millions de dossiers électoraux. Dans ce contexte, les experts en cybersécurité de Malwarebytes Labs dressent une liste de tendances susceptibles d’affecter les entreprises et les particuliers en 2018. « Les résultats de nos laboratoires de R&D ne montrent aucun signe de ralentissement pour 2018. Les outils et les techniques de piratage sont de plus en plus sophistiqués et accessibles. Nous assistons à l’apparition d’une nouvelle vague de cybercriminalité, portée par la multiplications des logiciels malveillants peu coûteux et par la promesse de profit facile. Les attaques à venir nécessiteront davantage de formation en matière de cybersécurité, une meilleure sensibilisation et une approche à plusieurs niveaux de la sécurité des entreprises et des personnes. » confie Marcin Kleczynski, CEO de Malwarebytes.

Prévisions – « La ruée vers le Bitcoin » : le cryptojacking sera la priorité absolue des cybercriminels

L’activité de cryptojacking a explosé en fin d’année 2017 et nous prévoyons une intensification de cette pratique en 2018, à mesure que la valeur des crypto-monnaies augmentera. En une seule journée de 2017, Malwarebytes a bloqué 11 millions de connexions à des sites permettant le cryptojacking. Ce qui rend cette activité intéressante est le flou qui subsite entre l’internaute lambda et le cybercriminel. En effet, dans la mesure ou elle est réalisée de manière transparente et clairement identifiée, on peut tout a fait imaginer qu’elle vienne remplacer la publicité online traditionnelle et permette aux éditeurs de sites Web de créer une nouvelle source de revenus. Néanmoins, le cryptojacking reste encore majoritairement produit à partir de sites Web légitimes compromis par des cybercriminels. Quoi qu’il en soit, ce sera l’une des activités à surveiller en 2018 !

Prévisions – Les attaques basées sur PowerShell seront amenées à augmenter

Il y a quelque mois, des membres du gouvernement saoudien ont été attaquées via une macro du logiciel Word qui a infecté les ordinateurs avec des chevaux de Troie voleurs d’informations. Plutôt que de récupérer une charge utile binaire, l’attaque s’est appuyée sur des scripts malveillants pour communiquer avec des sites Web compromis. Ces attaques basées sur des scripts, et en particulier celles basées sur PowerShell, sont extrêmement difficiles à identifier et peuvent facilement échapper aux antivirus. Elles sont donc particulièrement attrayantes pour les cybercriminels et ous prévoyons de nombreuses autres attaques PowerShell dans l’année à venir.

Les établissements d’enseignement deviendront une cible de choix

Malgré une sophistication croissante, les cybercriminels vont continuer à cibler les points d’accès les plus faciles à pénétrer. Les établissements d’enseignement sont souvent un patchwork de systèmes sous-protégés et qui manquent de ressources pour se défendre. Par ailleurs, il y existe un nombre important de terminaux potentiellement attaquables et contenant une quantité massive de données exclusives sur les étudiants, les enseignants ou même les parents… et les vols concernent en général les données les plus enrichies ! Le domaine de l’éducation, qui combine à la fois des faiblesses en matière de cybersécurité et des données extrêments riches, se veut alors la cible la plus probable de cyberattaques.

La cybercriminalité clandestine continuera d’évoluer et de se développer

Bien que nous ayons l’impression d’être débordés par le nombre de cyberattaques, il ne faut pas s’attendre à un ralentissement en 2018. En effet, le nombre d’outils à la disposition des cybercriminels augmente tandis que le seuil de connaissance nécessaire pour mener une attaque diminue. Le contexte est donc propice à la multiplication du nombre de pirates ! Cette croissance est également portée par les médias qui ont fortement relayé le succès et la rentabilité de la cybercriminalité. Les ransomwares par exemple, représentent à eux seuls un milliard de dollars de profit sur l’année 2017. Devenir cybercriminel n’est par ailleurs plus un tabou car la stigmatisation de ces activités diminue dans certaines parties du monde. Pour certains, il s’agit d’une activité comme une autre. Dans le même temps, ceux qui sont déjà établis comme des « acteurs de premier plan » de la cybercriminalité vont devenir agressifs dans la défense de leurs territoires, de leurs zones d’opérations et de leurs sources de revenus. Nous pourrions commencer à observer des stratégies de fusion et d’acquisiton de la part des « multinationales de la cybercriminalité », voir à un recours à la violence dans le monde réel pour sécuriser et accroître leurs sources de revenus.

Les logiciels de sécurité auront une cible attachée dans le dos

En 2018, les cybercriminels cibleront et exploiteront davantage les logiciels de sécurité. En ciblant ces programmes de confiance et la chaîne d’approvisionnement logicielle et matérielle, les attaquants peuvent contrôler les dispositifs et manipuler sans réserve les utilisateurs. Les pirates informatiques tireront parti des produits de sécurité et les exploiteront, soit par une corruption directe de l’agent installé sur le poste de travail, soit en interceptant et en redirigeant le trafic du cloud pour atteindre leurs objectifs. Au fur et à mesure que ces pratiques seront plus connues du public, la perception des logiciels de sécurité, en particulier celle des antivirus traditionnels se détériorera encore davantage.

Les vers deviendront les vecteurs de lancement de malwares

En 2017, Wannacry et Trickbot ont utilisé les fonctionnalités de vers pour propager les logiciels malveillants. En 2018, nous devrions voir un plus grand nombre de familles de malwares utiliser cette technique, car les compromis réseau dus aux vers se propagent plus rapidement que la plupart des autres méthodes. Si les pirates informatiques peuvent comprendre comment utiliser les vers sans être trop bruyants, cette tactique peut faire un grand nombre de victimes en très peu de temps.

L’IoT va créer de nouveaux défis dans le domaine de la santé

La possibilité pour les dispositifs médicaux de se connecter au Web, rendue possible par l’Internet des objets (IoT) offre de nombreux avantages. Une plus grande connectivité signifie de meilleures données, une meilleure analyse et de meilleurs soins offerts aux patients. Mais elle ouvre aussi la porte à de nouvelles menaces comme la perte de données particulièrmeent sensibles puisqu’elles concernent la santé et à l’accès non autorisé aux appareils. Pour assurer la sécurité des patients, la vigilence sera donc primordiale ! Comme dans le cadre dela conversion des dossiers de santé électroniques (DSE), les protocoles de sécurité devront changer et évoluer pour faire face à l’évolution et à la croissance des menaces. Les appareils devront être équipés de méthodes d’authentification stricte, faire l’objet d’un accès limité, et bénéficier d’une surveillance accrue de leurs communications. Le cryptage sera par conséquent un élément crucial dans la sécurisation de ces dispositifs et une responsabilité qui, si elle n’est pas adoptée par les fournisseurs et les fabricants de dispositifs, sera vraisemblablement assumée par des tiers fournisseurs de services de sécurité.

Bitcoin, BYOD, Chiffrement, Cybersécurité, Entreprise, IOT, Mise à jour, Patch, Securite informatique

Quand votre entreprise mine de la crypto-monnaie… pour les pirates

Votre ordinateur consomment-ils de l’énergie pour vos uniques intérêts ? L’extraction de cryptomonnaie présente une nouvelle menace pour les entreprises. Le tout dernier Threat Index de Check Point révèle une augmentation des extractions de cryptomonnaie en octobre, avec CoinHive en sixième place des logiciels les plus utilisés au monde.

Non, CoinHive ou les crypto-monnaies (cryptomonnaie) ne sont pas malveillantes. Leurs utilisations inapropriées par des malveillants transforment ces beaux projets en merdier sans nom. C’est un peu comme dire que la voiture est illégale car des chauffards roulent à 230kms heures et tuent des gens. Que des braqueurs se servent d’une automobile pour attaquer une banque. Toujours est-il que l’ambiance autour des monnaies démateriealisées ne va pas s’arranger dans les semaines à venir.

Suite à la récente étude de Check Point démontrant que les extracteurs de cryptomonnaie peuvent frauduleusement utiliser jusqu’à 65 % des ressources totales en CPU d’un utilisateur final, sans son approbation, la variante CoinHive a fait son apparition dans le Threat Index d’octobre en 6e position. Ce logiciel malveillant est conçu pour extraire la cryptomonnaie Monero lorsqu’un utilisateur consulte une page web, sans l’approbation de l’utilisateur. CoinHive implante du code JavaScript, qui utilise ensuite le CPU de l’utilisateur final, impactant gravement les performances de sa machine.

Comme en septembre, RoughTed et Locky sont les deux menaces les plus répandues. Cependant, le logiciel malveillant Seamless, un redirecteur transparent de trafic, a fait son entrée parmi les trois premiers. Ce logiciel malveillant redirige silencieusement ses victimes vers une page web pirate. Elle infecte à l’aide d’un kit d’exploitation de vulnérabilités. L’infection réussie permet au pirate de télécharger d’autres logiciels malveillants.

Maya Horowitz, Threat Intelligence Group Manager chez Check Point, précise : « L’émergence de Seamless et de CoinHive souligne une fois de plus le besoin en technologies avancées de prévention des menaces pour sécuriser les réseaux contre les cybercriminels. L’extraction de cryptomonnaie est un nouvel acteur silencieux et pourtant significatif dans le paysage des menaces. Elle permet à des pirates de générer d’importants revenus tandis que les postes et les réseaux des victimes souffrent de latence et d’une baisse de performance. »

Top 3 des logiciels malveillants en octobre 2017

RoughTed est un logiciel de publicité malveillante. Contournement les bloqueurs de publicités. RT déclenche une série d’escroqueries, d’exploitations de vulnérabilités et de logiciels malveillants. Il est en mesure d’attaquer n’importe quel type de plate-forme et de système d’exploitation. Il utilise des techniques de prise d’empreintes pour délivrer l’attaque la plus pertinente.

Locky est connu. Un ransomware diffusé en février 2016. Il se propage principalement via des mails et des pièces jointes au format Word ou Zip. Il télécharge et installe un logiciel qui chiffre les fichiers des utilisateurs.

Seamless est un système de répartition de trafic. Il redirige silencieusement ses victimes vers une page web malveillante. Elle infecte les machines à l’aide d’un kit d’exploitation de vulnérabilités. L’infection permet au pirate de télécharger d’autres logiciels malveillants.

La liste des logiciels malveillants les plus couramment utilisés pour attaquer les actifs mobiles des entreprises a connu un changement par rapport à septembre, avec le logiciel rançonneur LeakerLocker pour Android apparaissant en seconde position.

Top 3 des logiciels malveillants mobiles

Triada – Une porte dérobée modulaire pour Android accordant des privilèges super-utilisateur aux logiciels malveillants téléchargés pour mieux les intégrer dans les processus système. Triada charge également de fausses URL dans le navigateur. LeakerLocker – Un logiciel rançonneur sur Android accédant aux données personnelles de l’utilisateur, puis les lui présentant en le menaçant de les divulguer en ligne en cas de non-paiement d’une rançon. Lootor – Outil de piratage ciblant des vulnérabilités du système d’exploitation Android afin d’obtenir des privilèges root sur les appareils mobiles compromis.

L’indice Check Point des menaces et la carte ThreatCloud sont alimentés par des renseignements issus de Check Point ThreatCloud, le plus grand réseau collaboratif de lutte contre la cybercriminalité, qui fournit des données et des tendances sur les menaces et les attaques grâce à un réseau mondial de capteurs. La base de données ThreatCloud comprend plus de 250 millions d’adresses analysées pour découvrir des bots, plus de 11 millions de signatures de logiciels malveillants et plus de 5,5 millions de sites web infectés. Elle identifie des millions de types de logiciels malveillants quotidiennement. La liste complète des 10 principales familles de logiciels malveillants en octobre est disponible sur le Blog Check Point.

Pour la France, le top 5 comprend : Roughted, Locky, Pushdo, Seamless ou encore Conficker. CoinHive s’affiche à la 6ème position.

Chiffrement, Communiqué de presse, cryptage, Cybersécurité, ID, Identité numérique, Particuliers, Securite informatique

Blockchain de la preuve, Ledgerofproof

La preuve irréfutable et gratuite que vos documents vous appartiennent !

Accessible gratuitement, la blockchain Ledgerofproof permet de créer une empreinte datée de tous vos documents. En cas de plagiat, vous disposez alors d’une preuve incontestable de leur antériorité. Articles, enquêtes, ouvrages, dessins, images, photos, contrats… Protéger ses documents n’est pas simple. Avec Ledgerofproof, la blockchain de la gestion des preuves, constituer la preuve de la propriété de ses documents se fait en 3 clics. Unique au monde, cette blockchain permet en effet de prouver très simplement l’existence d’un document à un instant « t ».

Ledgerofproof : comment la preuve devient-elle infalsifiable ?
Lorsque quelqu’un enregistre un document, seule son « empreinte » est conservée. En clair cela signifie que le texte est « haché » grâce à un algorythme et qu’il devient impossible d’en modifier la moindre virgule. En même temps, l’empreinte sauvegardée est horodatée, rendant par la même la date de création pérenne. Son contenu, n’est pas conservé par un seul serveur, mais par des milliers de participants au réseau, qui seront tous avertis en cas de modification. Cette approche permet donc de sécuriser l’empreinte à 100 % et donc de prouver, le cas échéant, qu’un document était en l’état à une date et une heure précise.

Accessible sur la plate-forme Spuro, Ledgerofproof est utilisable gratuitement par tout un chacun. Seuls les Smartcontracts, des applications permettant une utilisation automatique de la blockchain sont commercialisées. Spuro, une plate-forme dédiée aux blockchains Ledgerofproof est l’une des quatre blockchains privées proposées par Spuro, la plateforme développée par Benjamin Faraggi, entrepreneur passionné par ce type de technologies. Spuro propose aujourd’hui 4 blockchains : Ledgerofproof, la 3ème blockchain la plus connue au monde après Bitcoin et Ethereum. Artledger, à destination des graphistes, dessinateurs, peintres, poètes, musiciens. Durasedlex pour les juristes, avocats, huissiers, etc. et Diurnarius pour les journalistes, chroniqueurs, photographes, etc.

Base de données, Cybersécurité, Entreprise, Fuite de données, Justice, loi, RGPD, Securite informatique

RGPD : un logiciel pour réaliser son analyse d’impact sur la protection des données (PIA)

Pour accompagner les professionnels dans leurs analyses d’impact sur la protection des données dans le cadre du réglement général sur la protection des données (RGPD), la CNIL met à disposition un logiciel PIA. Adopté en mai 2016, le RGPD entre en application le 25 mai 2018 dans tous les Etats membres de l’Union Européenne.

L’analyse d’impact sur la protection des données (Privacy Impact Assessment, PIA ou DPIA) est un outil important pour la responsabilisation des organismes. Cette bonne pratique fortement recommandée, et obligatoire dans certains cas. Construire des traitements de données respectueux de la vie privée. Démontrer leur conformité au règlement général sur la protection des données (RGPD).

Pour les accompagner dans cette démarche, la CNIL met à disposition un logiciel libre PIA. Cet outil ergonomique déroule l’intégralité de la méthode PIA développée par la CNIL dès 2015. L’application de cette méthode permet d’être conforme aux exigences définies dans les lignes directrices du G29. Le groupe des « CNIL européennes » les a adopté en octobre 2017. Des directions qui permettent aux professionnels de se familiariser à la méthode PIA. Bref, être prêt en mai 2018.

L’outil PIA offre plusieurs fonctionnalités pour mener à bien son PIA. Une base de connaissances contextuelle reposant sur le texte du RGDP. Des guides PIA. Un Guide sécurité publiés par la CNIL.

Lors de l’avancée de l’analyse, la base présente les contenus les plus pertinents ; des outils de visualisation permettant de comprendre en un coup d’œil l’état des risques du traitement étudié. Actuellement présenté dans sa « version beta », des améliorations et enrichissements pourront être apportés au logiciel en fonction des retours utilisateurs.

Publié sous licence libre, vous pouvez développer de nouvelles fonctionnalités répondant à vos besoins spécifiques et les partager par la suite avec la communauté. La CNIL proposera une version finalisée en 2018, avant l’entrée en application du règlement.

Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, IOT, Particuliers, Securite informatique, Vie privée

Les Français plébiscitent les objets connectés sans en mesurer les risques !

A l’occasion de Noël, les objets connectés semblent être le cadeau de cette fin d’année : tendance d’achat, appréhension de la sécurité, prise de mesure, etc. L’étude « Most Hackable Gifts » dévoile la liste des cadeaux de Noël les plus prisés à la fois par les consommateurs, mais aussi par les cybercriminels.

Objets connectés, Noël et les pirates. Ainsi, parmi les cadeaux les plus attendus au pied du sapin figurent les indétrônables tablettes et smartphones (60 %) et autres ordinateurs portables (30 %). Les accessoires domotique de l’habitat connecté (25%) sont également très populaires cette année, aux côtés des jouets connectés (22 %), des casques de réalité virtuelle (19 %) et des Smart TV (17 %).

Une méconnaissance des risques associés aux objets connectés

Une grande majorité de consommateurs Français reconnait la nécessité de sécuriser ordinateurs portables, tablettes et smartphones (64 %). Mais moins 1/3 estiment que les casques réalité virtuelle, les jouets et autres accessoires connectés doivent être sécurisés.

Il faut rappeler qu’ils gèrent également un certain volume d’informations personnelles. 15 % pensent même que les objets connectés n’ont pas besoin d’être sécurisés.

« A Noël, les objets connectés seront cette année encore à l’honneur. Or, on constate que les consommateurs ne mesurent pas tous l’importance de la protection de ces appareils et du risque auquel ils s’exposent lors d’une connexion avec un device non connecté« , précise Lam Son Nguyen expert en sécurité – McAfee.

91 % estime qu’il est important/voir très important que leur identité en ligne et leurs appareils connectés soient sécurisés. La moitié des consommateurs prennent des mesures pour s’assurer que leur nouvel appareil connecté est protégé avant utilisation. 23% ne sont d’ailleurs pas sûrs de savoir prendre les mesures adaptées en matière de sécurité. Les consommateurs sont tout simplement mal informés sur les dangers et la manière dont il faut protéger ces appareils connectés.

Peu conscients des risques ils ne mettent pas en œuvre les mesures nécessaires pour se protéger ce que les cybercriminels pourraient exploiter pour le piratage de leurs objets et le vol de leurs données personnelles.

Ces informations révèlent l’importance pour les consommateurs d’être vigilants quant aux enjeux de sécurité inhérents aux objets connectés qu’ils déposeront au pied du sapin de Noël. Il est important que chacun mesure les risques liés à tout objet connecté et cesse de penser qu’il suffit simplement de s’en remettre aux mesures des fabricants pour éviter le vol de leurs données dans le temps. Il serait bon, aussi, que les fabricants fournissent des informations sur la sécurisation générale, ainsi que de leur produit. L’éducation devrait être imposée dans chaque notice, en plus des obligations légales copiées à longueur de page de certaines notices.

Quelques réflexes simples à adopter en matière de sécurité des objets connectés

D’abord, lisez la notice. Vous pourriez y trouver quelques réponses (mot de passe, …). Ensuite, protéger votre réseau domestique. Plus facile à dire, qu’à faire, mais loin d’être impossible si vous vous y penchez un peu. DataSecurityBreach vous propose par exemple de regarder du côté des adresses MAC de vos materiels et votre box, ou encore du côté de la double authentification. Mettre à jour les logiciels et applications des objets connectés. Voyez si elles peuvent être automatisées. Sécuriser votre appareil avec une solution dédiée : antivirus, firewall, … Privilégiez une connexion Wi-Fi sécurisée. Celle de la maison, mais avec un bonus qu’est le contrôle par l’adresse MAC. Protéger vos objets avec des mots de passe complexes. Même si cela n’est pas gage d’efficacité optimale, un mot de passe fort (lettres, majuscules, chiffres et signes de ponctuations) permet de retarder le malveillant qui ira voir ailleurs. Et au moindre doute, agissez !

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Securite informatique

Fuite de données pour l’enseigne de prêt-à-porter Forever 21

L’enseigne de prêt-à-porter Forever 21 annonce le piratage de plusieurs millions de données bancaires. Des Francophones parmi les victimes.

Un conseil, si vous êtes un client ou une cliente de l’enseigne de prêt-à-porter Forever 21, vérifiez votre compte bancaire et alertez votre conseiller financier. La société américaine vient d’annoncer dans un communiqué de presse avoir été la victime d’un piratage informatique. Elle ne s’en est jamais rendu compte. C’est une source anonyme qui lui a indiqué le piratage. Des pirates se servaient dans les données bancaires de ses clients, depuis plusieurs mois.

Une cyberattaque qui a été déclenchée en mars 2017. Elle a été stoppée en octobre 2017. Huit mois d’une ponction malveillante via des terminaux de paiement ! « Notre enquête se focalise sur des transactions effectuées par cartes bancaires dans des magasins Forever 21 entre mars 2017 et octobre 2017, explique le communiqué de presse, Il est trop tôt pour fournir davantage de détails sur l’enquête. Nous vous conseillons d’examiner de près leurs relevés de comptes bancaires ».

Une nouvelle fuite de données massive. Comme l’explique dans le ZATAZ Web Tv tourné à New York, les fuites sont de plus en plus importantes avec des incidences qui sont cachées aux victimes, comme ce fût le cas pour Yahoo!, Equifax, ….

Forever 21 indique que de nombreux clients ont été impactés. Des boutiques basées en Inde, Israël, Corée du sud, Canada, Australie, Philippines, Mexique, Hong Kong, Brésil, Argentine sont touchées.

Inquiétant ? F21 indique que l’attaque n’a touché que certaines boutiques : « En raison des solutions de chiffrement et de tokenisation implémentées par Forever 21 en 2015, il semble que seuls certains terminaux de vente dans certains magasins Forever 21 ont été affectés lorsque le chiffrement des appareils n’était pas opérationnel.« 

Argent, BYOD, Chiffrement, cryptage, Cybersécurité, Entreprise, Paiement en ligne, Particuliers, RFID, Securite informatique

Des gants, des autocollants et des Pin’s NFC pour les Jeux Olympiques d’hiver

La société Visa a créé des gants, des autocollants et des pin’s NFC sur le thème des Jeux Olympiques. L’idée, effectuer des paiements rapides sur n’importe quel terminal de paiement équipé en sans contact.

Le sans contact dit NFC gagne du terrain. Visa, le fabriquant de cartes bancaires, vient de lancer trois produits NFC, paiement sans contact, pour les Jeux Olympiques d’Hiver. Des JO qui se dérouleront en Corée du Sud. L’entreprise s’est associée à Lotte Card, le pôle financier du géant de la grande distribution Lotte Department Store. Mission, créer de nouveaux accessoires de paiement. Ils sont disponibles depuis le 9 novembre partout en Corée. Parmi les produits, quatre pin’s au prix unitaire de 5 000 KRW (4€). Il faut ajouter un montant prépayé intégré d’une valeur de 30 000 (23€) ou 50 000 (38€) Won coréen (KRW).

Qui dit hiver, dit gant. Visa propose des gants… de paiement. Ils sont équipés d’une puce à double interface munie d’une antenne sans contact permettant d’effectuer des achats sur les sites officiels des Jeux Olympiques et sur les terminaux compatibles partout dans le monde. Les gants seront pré-chargés avec un montant prépayé d’une valeur de 30 000 ou 50 000 Won coréen (KRW).

Pour finir, des autocollants. Ici aussi, une puce et une antenne NFC à double interface. Ces micro-étiquettes peuvent être collées sur n’importe quel support, afin d’effectuer facilement et rapidement des paiements à tout moment. Les autocollants de paiement seront pré-chargés avec des montants prépayés s’élevant à 30 000, 50 000, 100 000 ou 200 000 Won coréen (KRW).

Pour rappel, la société LotteCard avait été victime d’un piratage massif de ses données en décembre 2013. Les données personnelles d’environ 20 millions de clients de Citi Bank Korea, Kookmin Bank, NongHyup Bank, KB Kookmin Card et Lotte Card avaient été touchées par cette fuite massive.

Protection des moyens de paiement sans contact

Pour la première fois, un moyen de protection active proposé sous forme de carte plastique empêche toute utilisation frauduleuse d’une carte de paiement sans contact ou d’un moyen de paiement utilisant le NFC sur un smartphone. C’est la promesse du laboratoire de design dirigé par Tomasz Pomorski, Omnichip et ISRA Cards, un fabricant français de cartes plastiques avec ou sans puce et avec ou sans contact. Les deux entreprises ont réfléchi à la création de cartes intégrant la technologie Active Blocker.

Alors que les systèmes de protection actuels se contentent de proposer un « bouclier » physique censé arrêter les ondes de façon aussi passive qu’imparfaite, Active Blocker va plus loin que la simple perturbation de la communication : il l’empêche en la brouillant. En effet, si un fraudeur tente de se connecter à une carte NFC via un lecteur pirate, ActiveBlocker empêchera toute communication en émettant des signaux qui « couvriront » ceux de la carte NFC. Le procédé de brouillage est vieux comme les ondes mais s’avère compliqué à mettre en œuvre dans une communication en champ proche car son effet perturbateur doit rester circonscrit à des distancent à la fois relativement courtes et suffisamment longues pour être parfaitement efficace.

C’est pourquoi ISRA a réfléchi à la création d’une carte dédiée à la protection des moyens de paiements, mais aussi des documents d’identités utilisant la technologie sans contact tels que les e-passeports. Cette carte se glisse simplement dans le portefeuille ou le porte-carte avec les cartes de paiement et agit immédiatement, sans batterie. Dès que l’utilisateur sort sa carte de sans contact pour effectuer un paiement chez un commerçant, elle quitte le champ d’action d’ActiveBlocker, son signal n’est donc plus brouillé et le paiement peut s’effectuer tout à fait normalement.

ISRA Cards et Omnichip proposeront leur produit commun à tous les acteurs susceptibles d’être confrontés à des problématiques de sécurité liés au NFC tels que banques, sociétés d’assurance ou d’assistance, distributeurs, fabricants ; dans des formes adaptées aux besoins des utilisateurs finaux : carte de protection, carte de fidélité, carte d’authentification, etc.

La rédaction a demandé une version pour test, nous n’avons pas encore reçu de réponse.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Securite informatique

Chiffrement : mais que se passe t-il chez nos voisins anglais ?

Suite aux récentes déclarations de madame Amber Rudd, ministre de l’Intérieur britannique, sur la question du chiffrement, Craig Stewart, VP EMEA chez Venafi, donne quelques enseignements de sécurité au gouvernement.

Le chiffrement est clairement à l’ordre du jour au Royaume Uni. Depuis quelques mois, le Ministre de l’Intérieur, Amber Rudd ne fait aucun secret sur ce qu’elle pense des entreprises technologiques comme WhatsApp, qui ne vont pas assez loin lorsqu’il s’agit d’arrêter des groupes extrémistes qui utilise la technologie à des fins néfastes. Lors d’un entretien assez controversé, Amber Rudd a prétendu qu’elle n’avait pas besoin de comprendre le chiffrement pour le combattre : une déclaration qui a choqué tous les acteurs de la sécurité.

Amber Rudd est sans aucun doute bien intentionnée. En tant que ministre de l’Intérieur, elle est responsable de la sécurité nationale et ce n’est donc pas étonnant, qu’elle agisse en pensant au devoir de préserver la sécurité publique. Cependant, ses récents propos indiquent un manque de compréhension des fondamentaux sur le chiffrement, même les plus élémentaires. Elle montre aussi un mépris inquiétant sur l’importance de la sécurité de notre économie numérique.

Obtenir des informations réalistes

Les citoyens devraient s’inquiéter par la vision d’Amber Rudd, qui semble voir le chiffrement comme une partie du problème, alors qu’il est en fait, l’un des moyens de défense incontournable dont nous disposons collectivement. Quand il est mis en place correctement, il préserve la sécurité de nos données, qu’il s’agisse de données sensibles sur « NHS Trust », où des informations sur l’enregistrement des votes (73% des sites de la police s’appuie là-dessus pour sécuriser les informations vulnérables) .

D’une façon plus générale, il est incontournable pour le succès de l’économie britannique dans le secteur bancaire, le commerce ou le e-commerce. Les logiciels de chiffrement, dans le viseur de Madame Rudd, ne sont que la partie visible de l’iceberg. Elle doit comprendre que le chiffrement ne peut pas s’appliquer ou se supprimer sur un simple coup de tête. Un chiffrement efficace exige que son infiltration soit impossible et que les portes dérobées de n’importe quel gouvernement ne puissent rendre les systèmes numériques accessibles ni aux cybercriminels ni aux gouvernements eux-mêmes. Amber Rudd a suggéré, à tort, qu’il s’agissait d’une théorie mais c’est un fait mathématique.

Etant donné le niveau de chiffrement, sur lequel le secteur public compte, pour préserver ses données publiques sensibles, il serait bon de conseiller à madame Rudd d’examiner de plus près, la fonction des entreprises technologiques, avant de tirer des conclusions trop rapides – particulièrement tant qu’il n’y a pas de preuve que l’affaiblissement du chiffrement par l’utilisation des « Backdoors » augmenterait notre sécurité.

Les citoyens face à l’accessibilité de leurs données personnelles

Dans le cadre d’un article pour The Telepgraph plus tôt dans l’année, Madame Rudd écrivait : « Qui utilise WhatsApp parce qu’il est crypté de bout en bout, plutôt que parce qu’il s’agit de la meilleure manière, la plus conviviale et bon marché, de rester en contact avec sa famille et ses amis ? », elle disait également : « Les entreprises font souvent des compromis entre sécurité et utilisation. C’est sur ce point, que nos experts croient pouvoir trouver des solutions. Les gens préfèrent souvent la facilité d’utilisation et une multitude de fonctions pour améliorer une sécurité inviolable ».

Pourtant, une étude récente la contredit. En se basant, sur les avis de plus de 1 000 citoyens britanniques, l’étude a examiné les initiatives qui accorderaient aux gouvernements plus d’accès aux données personnelles. Elle met en évidence, qu’une très large majorité d’entre eux, n’est pas d’accord sur l’utilisation de portes dérobées cryptées – avec une totale compréhension des menaces que ces portes dérobées présenteraient pour leur vie privée et leurs données personnelles-.

Dans cette étude, moins d’un quart (24%) des consommateurs britanniques croient en réalité que le gouvernement, devrait être capable d’obliger les citoyens, à communiquer leurs données personnelles. Par contre, à peine 1 sur 5 (19%), accepterait que le gouvernement puisse contraindre les entreprises technologiques à partager les données sans consentement préalable des consommateurs. La moitié des répondants, estime qu’elle serait plus en sécurité contre le terrorisme si le gouvernement avait accès aux données cryptées. Le manque total de soutien sur la position du gouvernement en matière de chiffrement, montre que le public estime clairement les avantages du cryptage, plus d’ailleurs que ne le font nos dirigeants.

Il est nécessaire d’avoir une vision globale

Malheureusement, le débat se poursuit. Madame Rudd ne sera pas la dernière à viser WhatsApp et d’autres sociétés technologiques, qui utilisent le chiffrement pour protéger la vie privée des consommateurs. Avec chaque attaque terroriste, la pression de ces sociétés va augmenter tant que nos dirigeants continueront à tirer des conclusions hâtives sans comprendre les faits.

Cela doit s’arrêter. Le chiffrement n’est pas un ennemi et le gouvernement devrait arrêter de l’encadrer comme si c’était le cas. Même si nous devions laisser de côté les priorités publiques sur cette question, la diminution du chiffrement nous rend plus vulnérables, et affaiblit notre économie, qui dépend d’une vaste gamme de transactions numériques sécurisées. Madame Rudd, de son côté, devrait bien apprendre les fondamentaux du chiffrement avant de commenter encore ce sujet.

Cybersécurité, Securite informatique

iTrust Community : Mettre en conformité avec le RGPD votre entreprise grâce à un SOC

Itrust organise un webinaire gratuit, le 28 novembre, dès 14 heures, pour parler Sécurité informatique avec la iTrust Community.

ITrust community vous invite à assister à son prochain webinaire : Un SOC pour vous protéger de Wannacry, Petya …, mardi 28 novembre à 14h. Celui-ci sera animé par votre serviteur et par ITrust, société d’expertise en cybersécurité française. Ces derniers mois, les notions d’Intelligence Artificielle et de Big Data sont devenues des notions phares. Elles ont fait une entrées fracassante dans le milieu industriel, la cybersécurité ne faisant pas exception.

Pour le secteur de la sécurité, le challenge est de trouver comment détecter et faire face aux attaques de demain. (Comment faire face à des menaces sophistiquées ? Comment pouvoir prédire la façon avec laquelle ces attaques, seront menées et sous quelles formes elles seront amenées ? Grâce à son aptitude a gérer de lourd volumes de données, les algorithmes de l’intelligence artificielle se sont avérés d’une grande efficacité dans la détection des menaces.

En première partie, Damien Bancal, journaliste spécialisé dans la sécurité informatique et la lutte contre le cybercrime (zataz.com) vous parlera des dernières cyber attaques. En seconde partie, ITrust vous présentera son SOC. Rendez-vous gratuit !

Communiqué de presse, Cybersécurité, Securite informatique

Directive sur le droit d’auteur : alerte pour les intermédiaires techniques

Les intermédiaires techniques s’inquiètent de la directive sur le droit d’auteur. La France pousse-t-elle pour l’interdiction des sites d’hébergement en Europe ?

Dès la présentation du projet de directive sur le droit d’auteur en septembre 2016, des organisations professionnelles du numérique avaient alerté sur le risque de brèche dans le statut d’hébergeur. Alors que les travaux avancent au niveau européen, l’Association des Services Internet Communautaires (ASIC), France Digitale, Syntec Numérique et TECH IN France souhaitent faire part de leur vive inquiétude compte tenu des discussions actuelles autour de l’article 13 de cette proposition de directive.

Le projet d’article 13 de la directive sur le droit d’auteur contraindrait les fournisseurs de services d’hébergement (qu’il s’agisse de prestataires de stockage, de sites marchands, de réseaux sociaux, ou encore de plateformes de partage de vidéos) sur Internet à surveiller et filtrer activement les contenus générés par leurs utilisateurs, avec des obligations fortes en termes de détection et de retrait des contenus couverts par le droit d’auteur.

De telles obligations porteraient ainsi atteinte au régime de responsabilité prévu pour les hébergeurs en Europe par la directive commerce électronique et en France par la loi pour la confiance dans l’économie numérique, régime qui s’est avéré fondamental pour le développement d’Internet en France et en Europe.

Par ailleurs, la Présidence estonienne de l’Union européenne a invité les Etats membres à considérer des mesures qui porteraient ouvertement atteinte au régime des hébergeurs*, et à se prononcer sur une extension du droit d’auteur de nature à rendre automatiquement responsable les intermédiaires de l’Internet, en contradiction avec le régime de responsabilité des intermédiaires de la directive commerce électronique**.

La mise en œuvre d’une telle obligation supposerait une pré-sélection systématique par les hébergeurs de chaque contenu envoyé par un internaute avant sa publication et menacerait donc non seulement le fonctionnement de ces services mais surtout l’accès de chacun aux moyens de libre expression et de libre création en ligne. Les hébergeurs deviendraient de facto seuls juges, ex ante, de ce qui doit ou non être accessible sur Internet.

Ainsi, au-delà de l’impact sur les intermédiaires, les mesures envisagées conduiraient nécessairement à une restriction des droits fondamentaux des citoyens européens sur Internet. Cette analyse est partagée par plus de cinquante universitaires européens*** et une lettre ouverte sur le sujet**** a été signée par près de 60 ONG réparties à travers l’Europe et défendant les libertés fondamentales.

Les organisations professionnelles signataires appellent donc la France à défendre le statut des fournisseurs d’hébergement, qui n’est pas contradictoire avec la mise en œuvre de moyens de protection du droit d’auteur, et demandent à ce qu’une réflexion associant les parties prenantes soit engagée au plus vite par le Gouvernement.

* Article 14 de la Directive sur le Commerce Électronique 2000/31
** Article 3(1) de la Directive 2001/29 sur le droit d’auteur dans la société de l’information
*** papers.ssrn.com/sol3/papers.cfm?abstract_id=3054967
**** liberties.eu/en/news/delete-article-thirteen-open-letter/13194