Archives de catégorie : Identité numérique

BYOD, Chiffrement, cryptage, Cybersécurité, Entreprise, ID, Identité numérique, IOT, Particuliers, Vie privée

Internet des objets : les risques de la maison connectée

En examinant un échantillon aléatoire des plus récents produits issus de l’Internet des objets (IoT), les chercheurs de Kaspersky Lab ont découvert de sérieuses menaces pour la maison connectée. En effet, de nombreux objets connectés présentent des vulnérabilités importantes, à l’instar de cafetières divulguant les mots de passe Wi-Fi de leurs propriétaires (comme nous vous le révélions il y a 3 semaines, NDR), de baby phones facilement piratables ou encore de systèmes de sécurité domestique commandé par smartphone et pouvant être leurrés au moyen d’aimants.

En 2014, lorsque David Jacoby, expert en sécurité chez Kaspersky Lab, avait décidé de tester le niveau de vulnérabilité des équipements connectés de sa maison en cas de cyberattaque, il avait alors découvert que la quasi-totalité d’entre eux étaient vulnérables. A la suite de ce constat, en 2015, une équipe d’experts antimalware a réitéré l’expérience, à une légère différence près : alors que Jacoby avait concentré ses recherches principalement sur les serveurs, routeurs et téléviseurs connectés au réseau, cette nouvelle étude s’est intéressée aux divers équipements connectés disponibles sur le marché de la domotique.

Domotique : quels dangers les objets connectés représentent-ils ?
Pour mener l’expérience, l’équipe a testé une clé USB de streaming vidéo, une caméra IP, une cafetière et un système de sécurité domestique, les trois derniers étant commandés par smartphone. Des expériences réalisées dans plusieurs salons et hackfests que l’éditeur d’antivirus a repris à son compte pour cette étude.

Grâce à une connexion au réseau du propriétaire, le piratage de la caméra du baby phone a permis de se connecter à l’appareil, d’en visionner les images et d’activer le circuit audio. Notons également que d’autres caméras du même fabricant ont également servi à pirater les mots de passe du propriétaire. L’expérience a également démontré qu’il était également possible pour un pirate se trouvant sur le même réseau de récupérer le mot de passe maître de la caméra et de modifier son firmware à des fins malveillantes.

En ce qui concerne les cafetières pilotées par une application mobile, il n’est même pas nécessaire que le pirate se trouve sur le même réseau que sa victime. La cafetière examinée au cours de l’expérience a envoyé des informations suffisamment peu cryptées pour qu’un pirate découvre le mot de passe donnant accès à l’ensemble du réseau Wi-Fi de son propriétaire.

Enfin, lorsque les chercheurs de Kaspersky Lab ont étudié le système de sécurité domestique commandé par smartphone, ils ont pu constater que son logiciel ne présentait que quelques problèmes mineurs et était assez sécurisé pour résister à une cyberattaque.

Une vulnérabilité a cependant été découverte dans l’un des capteurs utilisé par le système : le fonctionnement du capteur de contact, destiné à déclencher l’alarme en cas de l’ouverture d’une porte ou d’une fenêtre, repose sur la détection d’un champ magnétique créé par un aimant monté sur le châssis. Concrètement, l’ouverture fait disparaître le champ magnétique, amenant le capteur à envoyer des messages d’alarme au système. Toutefois, si le champ magnétique est maintenu, l’alarme ne se déclenche pas.

Pendant l’expérience menée sur le système de sécurité domestique, les experts de Kaspersky Lab sont parvenus, au moyen d’un simple aimant, à remplacer le champ magnétique de l’aimant fixé sur la fenêtre, ce qui leur a permis d’ouvrir et de refermer celle-ci sans déclencher l’alarme. Le problème dans cette vulnérabilité est qu’elle est impossible à corriger par une mise à jour logicielle : elle tient à la conception même du système. Mais le plus préoccupant réside dans le fait que ces équipements sont couramment employés par de nombreux systèmes de sécurité sur le marché.

« Heureusement notre expérience montre que les fabricants prennent en compte la cyber sécurité lors du développement de leurs équipements pour l’Internet des objets. Néanmoins, tout objet connecté commandé par une application mobile est quasi certain de présenter au moins un problème de sécurité. Des criminels peuvent ainsi exploiter plusieurs de ces problèmes simultanément, raison pour laquelle il est essentiel pour les fabricants de les résoudre tous, y compris ceux qui ne paraissent pas critiques. Ces vulnérabilités doivent être corrigées avant même la commercialisation du produit car il est parfois bien plus difficile d’y remédier une fois que des milliers d’utilisateurs en ont fait l’acquisition », souligne à DataSecurityBreach.fr Victor Alyushin, chercheur en sécurité chez Kaspersky Lab.

Afin d’aider les utilisateurs à protéger leur cadre de vie et leurs proches contre les risques liés aux vulnérabilités des équipements IoT au sein de la maison connectée, voici quelques conseils élémentaires :

1. Avant d’acheter un équipement IoT quel qu’il soit, recherchez sur Internet s’il présente des vulnérabilités connues. L’Internet des objets est un sujet brûlant et de nombreux chercheurs se spécialisent dans la recherche de problèmes de sécurité de tous types de produits, qu’il s’agisse de baby phone ou d’armes à feu connectées. Il y a de fortes chances que l’objet que vous vous apprêtez à acheter ait déjà été examiné par des experts en sécurité et il est possible de savoir si les problèmes éventuellement détectés ont été corrigés.

2. Il n’est pas toujours judicieux d’acheter les produits le plus récents qui sont disponibles sur le marché. Outre les défauts habituels des nouveaux produits, ils risquent de receler des failles de sécurité qui n’ont pas encore été découvertes par les chercheurs. Le mieux est donc de privilégier des produits qui ont déjà eu plusieurs mises à jour de leur logiciel.

3. Si votre domicile renferme de nombreux objets de valeur, il est sans doute préférable d’opter pour un système d’alarme professionnel, en remplacement ou en complément de votre système existant commandé par smartphone, ou bien de configurer ce dernier afin d’éviter que toute vulnérabilité potentielle n’ait une incidence sur son fonctionnement. S’il s’agit d’un appareil appelé à collecter des informations sur votre vie personnelle et celle de vos proches, à l’instar d’un baby phone, mieux vaut peut-être vous tourner vers le modèle radio le plus simple du marché, uniquement capable de transmettre un signal audio, sans connexion Internet. Si cela n’est pas possible, alors reportez-vous à notre conseil n°1.

Argent, Arnaque, Cybersécurité, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering

Un malware prend la place de Chrome pour surveiller les machines piégées

Des chercheurs ont découvert un malware qui prend le relais du navigateur Chrome. Similaire au navigateur de Google, des bonus malveillants en plus.

Décidément, les malwares pour Android, iOS et autres ordinateurs sont légions. Gdata a annoncé, le 20 octobre 2015, pas moins de 3 millions de nouveaux codes malveillants découverts lors des 6 premiers mois de l’année 2015 ; Apple vient d’effacer 256 applications de l’App Store. Des applications qui volaient des données personnelles aux utilisateurs.

Dans cette panoplie malveillante, un petit nouveau qui est basé sur le code de Chromium, un outil open-source qui permet de garder la même interface que Chrome dans les outils créés. Le malware fonctionne ainsi : d’abord il fait de manière à devenir le navigateur par défaut. Il prend en charge un certain nombre de fichiers tels que HTML, JPG, PDF et GIF.

Malwarebytes explique que le malware détourne aussi les associations d’URL : HTTP, HTTPS et MAILTO et la quasi-totalité des authentifications du PC avec l’Internet. Le navigateur affiche ensuite des tonnes de publicités vers des sites pirates proposant faux antivirus et autres promotions commerciales douteuses. Le navigateur est diffusé par la société Clara Labs, une « entreprise » basée à San Francisco, du moins sa boite aux lettres.

Argent, Base de données, Chiffrement, Contrefaçon, cryptage, Cybersécurité, Entreprise, ID, Identité numérique, Particuliers, Social engineering

Le réveil de la force : des données appartenant à des joueurs d’Electronic Arts dans la nature

Piratage ? Fuite de données ? Phishing ? Plusieurs centaines de données appartenant à des joueurs de produits édités par Electronic Arts diffusés sur la toile.

Pour le moment, impossible de savoir d’ou proviennent les données diffusés sur Pastebin. Dans les fichiers mis en ligne, des informations appartenant à des joueurs de produits vidéo ludique proposé par l’éditeur Electronic Arts. Tout est possible : piratage d’ordinateurs de joueurs ; phishing ; Fuite de données internes. Avec le « buzz » autour du jeu star Wars Battlefront, les pirates ont les dents acérées et les griffes sorties. EA est une cible, comme les autres éditeurs de jeux vidéo. D’abord par une population de pirates, professionnels de la contrefaçon, visant les serveurs et espérant ainsi mettre la main sur des nouveautés, avant leur sortie (le cas le plus parlant fût celui de Sony Picture et des films stockés sur un serveur, 6 mois avant leur sortie en salle, NDR). Le vol de comptes de joueurs et autres données, pouvant être bancaires, attirent la force obscure de certains internautes. EA a Confirmé un problème interne et a proposé aux « clients » impactés de modifier leur mot de passe. Avoir accès à un compte permet aussi de jouer au jeu téléchargé, voir de revendre le compte,  afin d’en tirer des euros sonnants et trébuchants.

Base de données, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, Sauvegarde

Police : gestion de la base de données des plaques d’immatriculation

Pendant des années, la police américaine a utilisé des scanners de plaques d’immatriculation installées dans les voitures de patrouille. Elle achète aussi, aujourd’hui, des BDD à des entreprises privées.

Aux USA, mais aussi en Europe, comme en France d’ailleurs avec les contrôle automatisé de données signalétiques des véhicules (radars automatiques), ou encore avec LAPI (lecture automatisée de plaques d’immatriculation), les plaques d’immatriculations des automobiles sont stockées. Chez l’Oncle Sam, la lecture automatisée, via des caméras embarquées sur les véhicules, permet de télécharger les images dans les bases de données qui sont utilisées pour identifier les suspects de crimes et délits.

Il s’avère que la base de données policière n’est pas suffisante. Bilan, des bases de données de plaques sont acquises dans le secteur privé, chez les dépanneurs automobiles par exemple qui photographient les plaques, et les documents des automobilistes.

Les associations en charge des libertés civiles, et certains législateurs, s’inquiètent de ces partenariats, estimant que des protections devaient être mises en place contre les abus. Autres problèmes, l’obsolescence des bases de données acquises et la durée de conservation des données. Certains voix réclament que la police devrait obtenir un mandat d’un juge pour accéder aux bases de données en question. (WTOP)

Argent, Biométrie, Chiffrement, cryptage, Cybersécurité, Entreprise, ID, Identité numérique, Particuliers

Un objet connecté biométrique qui supprime définitivement les mots de passe

La start-up Trust Designer (EuraTechnologies – Lille), concepteur de produits high-tech, s’est appuyée sur le standard d’authentification forte Natural Security pour développer « SesameTouch », un objet connecté biométrique qui permet de s’authentifier et de payer, et ce sans devoir saisir de code confidentiel.

Un premier cas concret d’utilisation a été présenté en avant-première lors de la dernière édition du salon Paris Retail Week. Trust Designer a intégré son objet connecté « SesameTouch » au porte-monnaie électronique « My E-money Purse » développé par la société TSI (Ticket Surf International), 1ère entreprise française à avoir obtenu la licence d’Emetteur de Monnaie Electronique délivrée par l’APCR (Banque de France). Ainsi, le premier porte-monnaie électronique avec objet connecté biométrique a été présenté lors de ce salon.

Ce produit innovant permet de commander des produits sur le web, de payer et de s’identifier de façon simple (plus besoin de mémoriser un code confidentiel), rapide (la saisie d’un code confidentiel disparaît) et sécurisée (la biométrie permet de s’assurer que le porteur est bien là au moment de la transaction) au moment du retrait en magasin. Pour finaliser l’industrialisation de son produit, Trust Designer a lancé ce jeudi 1er octobre 2015 une campagne de financement participatif, via la plateforme Kickstarter. Nous avions demandé à tester la chose, histoire de parler d’une entreprise que nous voyons de notre fenêtre Lilloise, mais nous n’avons pas eu la chance d’avoir une réponse de la part de Trust Designer.

Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers

Les espions britanniques… espionnent des ressortissants américains

Le site Cryptome annonce que les espions britanniques du GCHQ ont surveillé les américains qui venaient consulter l’ancêtre de wikileaks.

Pour faire simple, Cryptome est le papa de wikileaks. Depuis plus de 15 ans, Cryptome diffuse des informations qui lui sont transmissent et qui relatent des documents du FBI, CIA, Services secrets de la planéte et autres documentations liées aux droits de l’homme. Cryptome vient s’expliquer, dans un article baptisé « GCHQ Illegal Spying in US » que les grandes oreilles britanniques ont espionné les internautes américains venus se renseigner sur l’espionnage dans le monde, et plus précisément celui mis en place par l’Oncle Sam. Une attaque MITM, Man-In-The-Middle, qui semble avoir permis au GCHQ de tracer les internautes venus se renseigner.

Cette opération de surveillance de masse –  baptisée Karma Police – a été lancée par des espions britanniques il y a environ sept ans. Un espionnage sans aucun débat public, ni examen politique. Un espionnage de l’Internet mondial mis en place  par l’agence des écoutes électroniques du Royaume-Uni, le Government Communications Headquarters (GCHQ). De nouveaux documents tirés des fichiers volés par Edward Snowden, ancien analyste de la NSA, ont été diffusés par The Intercept.

Chiffrement, cryptage, Cybersécurité, Espionnae, ID, Identité numérique, Logiciels, Particuliers, Tor

Own-Mailbox, un projet de mail sécurisé

Un commentaire

Own-Mailbox promet la première boite à mails 100% sécurisé et confidentielle. Pour réussir ce tour de force, les créateurs lancent une souscription qui se termine dans une semaine.

Own-Mailbox, une idée qui s’annonce particulièrement plaisante pour les personnes souhaitant sécuriser leurs correspondances. La mission de Own-Mailbox, vous permettre d’héberger votre propre boîte électronique. Visuellement, il s’agit d’une petite boite, elle ressemble d’ailleurs un peu à la Anonabox présentée, la saison dernière, dans ZATAZ Web TV.

Derrière Own-Mailbox, la société Revolutek. 824 contributeurs, dont votre serviteur, ont mis la main à la poche. 58.000 euros ont été récoltés pour le moment. Le projet en réclame 95.000. La version bêta sera livrée en décembre 2015. La version définitive en juin 2016.

Les auteurs indiquent qu’elle sera aussi facile à installer que gMail. La « box » chiffrera automatiquement vos mails à partir de Gnu Privacy Guard (GPG). Vos correspondants n’ont pas besoin de chiffrer leur message, ou d’avoir votre clé. Un lien HTTPS filtré et temporaire est communiqué à vos contacts. Ce lien pointe vers votre message privé hébergé sur votre propre Mailbox. A suivre sur KickStarter.

Kerv, la bague qui va vous permettre d’allumer votre PC ou payer vos achats
C’est sur KickStarter qu’est apparu le projet Kerv. L’idée de son instigateur, Philipp Campbell, permettre d’allumer votre PC ou payer vos achats avec une bague dédiée. Pour le moment, plus de 13.000 livres sterling ont été collectés, sur les 77.000 que réclame son projet. Payer avec un seul geste – partout dans le monde – du moins dans les boutiques qui accepte les paiements sans contact. Si l’idée semble intéressante, savoir que notre porte monnaie est au bout d’un doigt et que le paiement par NFC peut se manipuler malheureusement assez facilement laisse quelques questions en suspend. A voir pour d’autres utilisations comme diffuser sa carte de visite numérique de manière originale ou permettre de clôturer et/ou ouvrir son ordinateur.

Apple, Cybersécurité, Espionnae, ID, Identité numérique, ios, Logiciels, Mise à jour, OS X, Particuliers, Patch, Smartphone

Contourner iOS 9 LockScreen en 30 secondes

Utiliser SIRI pour contourner l’écran de verrouillage des nouveaux appareils d’Apple fonctionnant sous iOS9.

Une faille de sécurité a été découverte dans le nouvel OS d’Apple, iOS 9, sorti en septembre. Il permet d’exploiter Siri afin de contourner l’écran de verrouillage des téléphones et autres tablettes de la grosse pomme. Le « truc » permet d’accéder aux contacts et aux photos stockées dans l’appareil en 30 secondes. La faille n’est toujours pas corrigée dans la mise à jour 9.1.

La firme de Cupertino a annoncé que plus de 50% des appareils ont été mis à jour

La faille est d’une simplicité enfantine. Il est même étonnant qu’aucun test interne n’eut été réalisé face à ce genre de « bug ». Comment cela marche ? D’abord faire 4 erreurs lors de la demande de votre mot de passe. Attention, au bout de 5 tentatives, votre téléphone sera bloqué. Une protection classique. Dans cette 5ème tentative, tapez trois chiffres et laissez le dernier espace vide. Cliquez sur le bouton « Home » et fournissez un 4ème chiffre aléatoire. L’appareil sera bloqué, mais SIRI sera lancé. Demandez l’heure à Siri et cliquez sur l’îcone « Horloge ». Rajoutez une nouvelle horloge en cliquant sur +. Enregistrez cette horloge avec le nom de votre choix. Sélectionnez l’option « Partagez », ouvrez un nouveau message. Dans le champ « À », ouvrez la page info… et vous voilà avec un accès complet aux contacts et photos stockées dans le téléphone !

Pour éviter ce désagrément à la sauce « Big Brother », allez dans « paramètres », puis « code d’accès », sélectionnez l’option « Autoriser lors du verrouillage ». Bloquez l’accès à Siri quand l’accès à votre téléphone est bloqué par un mot de passe.

Apple, Chiffrement, cryptage, Cybersécurité, Espionnae, Fuite de données, ID, Identité numérique, Linux, Logiciels, Microsoft, Mise à jour, Particuliers, Vie privée, VPN

Firefox Beta : encore plus de sécurité

Protection contre le pistage au sein de la navigation privée. Firefox Beta est désormais disponible, avec de nouvelles fonctionnalités telles que la protection contre le pistage au sein de la navigation privée.

Cette nouvelle fonctionnalité bloque certains éléments tiers au sein des pages Web, utilisés notamment pour enregistrer l’activité de l’internaute et ainsi créer un profil de l’utilisateur en se basant sur sa navigation. La navigation privée au sein de Firefox permet de limiter l’accès aux données récoltées par les tiers. Firefox Beta propose également un nouveau centre de contrôle, incluant des paramètres de sécurité et de confidentialité regroupés en un seul endroit, et accessible via le bouclier dans la barre d’adresse. Firefox Beta tourne sur Windows, Mac et Linux.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering

600.000 fans des sœurs Kardashian piratables

Les starlettes américaines Kardashian ont lancé une série de nouveaux sites web et applications mobiles afin de suivre « leur vie ». Seulement, comme le botox, le site web s’est tendu et a laissé fuir 600.000 informations privées de fans.

Parallèlement au lancement des applications mobiles, des logiciels qui trônent dans les premières places de l’App Store (des centaines de milliers de téléchargements), les sœurs Kardashian, des « célébrités » de la TV réalité américaine, ont également mis en ligne de nouveaux sites Web conçus pour les aider à mieux communiquer avec leurs fans.

Seulement, les sites avaient des bugs. L’un d’eux permettait de mettre la main sur les noms, prénoms et adresses mails de plus de 600.000 utilisateurs. C’est un jeune internaute de 19 ans, Alaxic Smith, qui a découvert le problème de configuration qui visait l’ensemble des sites Internet des starlettes. Le problème était dans l’API qui communiquait avec les smartphones des « fans » et les sites web des Kardashian. Des informations qui transitaient en claires.

Le responsable « technique » de ce barnum informatique a confirmé la faille et la correction de cette dernière. « Nos journaux indiquent que personne d’autre a eu accès aux informations des utilisateurs, les mots de passe, et les données de paiement n’ont pas été impactés« .