Archives de catégorie : Identité numérique

BYOD, Cloud, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Leak, Mise à jour, Particuliers, Patch, Piratage, Social engineering, Vie privée

Piratage dans le petit monde de la TV connectée

Le service PLEX, spécialisé dans la diffusion de films dans les télévisions connectées, piraté. Les clients sont invités à changer leur mot de passe.

Des pirates informatiques ont réussi à prendre la main sur le forum et le blog du serveur de l’entreprise Plex. La société, dont le logiciel éponyme permet de diffuser des films, photos et vidéo sur sa télévision connectée, vient d’avertir ses clients et propose de changer le mot de passe utilisé pour accéder à ses services. Le pirate aurait eu accès aux adresses IP, messages privés, courriels et aux mots de passe (chiffrés MD5, NDR) du forum.

Dans un message, la société a attribué le problème à une vulnérabilité PHP/IPB qui a permis au pirate de mettre la main sur les données. DataSecurityBreach.fr peut confirmer qu’un pirate, du nom de Savaka, a réclamé 1500 £ pour ne pas diffuser les informations volées. Il a prouvé son passage en modifiant la page index de l’administration du site.

Dear Plex User,

Sadly, we became aware this afternoon that the server which hosts our forums and blog was compromised. We are still investigating, but as far as we know, the attacker only gained access to these parts of our systems. Rest assured that credit card and other payment data are not stored on our servers at all.

If you are receiving this email, you have a forum account which is linked to a plex.tv account. The attacker was able to gain access to IP addresses, private messages, email addresses and encrypted forum passwords (in technical terms, they are hashed and salted). Despite the password encryption measures, we take your privacy and security very seriously, so as a precaution, we’re requiring that you change your password.

Be sure to choose a strong password, never share it, and never re-use passwords for different accounts! Even better, use a password manager (1Password, for example) to manage a unique password for you. Access to your Plex account will be blocked until you do so.

Please follow this link to choose a new password.
We’re sorry for the inconvenience, but both your privacy and security are very important to us and we’d rather be safe than sorry!
We will post more detailed information on our blog shortly. Thanks for using Plex!

The Plex Team

Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, Mise à jour, Particuliers, Patch, RFID, Vie privée

Maison connectée : le défi de la protection de l’identité

Fin mai se tenait à Paris la Connected Conference, un rendez-vous devenu incontournable pour tous les acteurs du Monde Connecté où de grands acteurs de l’industrie ont été invités à s’exprimer (Nest, Alcatel-Lucent, Lego). C’est en se rendant à l’intérieur de leur «Maison Connectée» créée pour l’événement que l’on pouvait prendre la mesure du phénomène: de l’ampoule, aux serrures en passant par les thermostats, tout sera connecté.

Il est nécessaire que les industriels développent des appareils se focalisant sur l’identité de l’utilisateur et créent un protocole de sécurité simple et uniforme, à travers les appareils, les applications, et les réseaux. Cependant, comment être sûrs que ces appareils soient assez sécurisés au vue de leur nombre et diversité et de la croissance exponentielle des applications multi-plateformes ?

Des défis à ne pas négliger
Les technologies biométriques s’installent peu à peu dans notre quotidien, mais ce n’est que tout récemment qu’elles ont fait leur entrée dans nos maisons. Au-delà des nombreux avantages que peut offrir la maison connectée pour nous faciliter la vie (praticité, automatisation des processus, optimisation des coûts…), elle soulève de nombreuses questions, notamment en matière de confidentialité et de sécurité des données. « Avec de nouveaux points d’entrées dans nos foyers, les pirates peuvent facilement s’immiscer dans notre quotidien, connaitre nos habitudes et pirater nos données »

Les appareils connectés d’ores et déjà disponibles à la vente offrent des services au top de la technologie, mais dont la sécurité est souvent sacrifiée à la fonctionnalité : la plupart d’entre eux ne disposent pas, par exemple, de mécanismes de réponse en cas de piratage de leurs équipements. Avec ces nouveaux points d’entrées dans nos foyers, les hackers peuvent facilement s’immiscer dans notre quotidien, connaitre nos habitudes et pirater nos données. Nous entendons trop souvent parler de cyber attaques, de vols de données confidentielles pour ne pas s’interroger, à juste titre, sur les menaces pesant sur les appareils enregistrant notre quotidien, nos habitudes, nos préférences, notre intimité.

Il est ainsi nécessaire que les industriels développent des appareils se focalisant sur l’identité de l’utilisateur et créent un protocole de sécurité simple et uniforme, à travers les appareils, les applications, et les réseaux. Ainsi, le thermostat intelligent devra être en mesure d’ordonner à votre lave-linge quand commencer un programme d’une autre marque, via un réseau Wi-Fi dont on connaît que trop bien la vulnérabilité. Certes ces appareils ne représentent pas des données confidentielles mais les caméras de surveillance la porte du garage, les baby-phones,… nombreux sont les objets sensés nous rassurer et que des hackers pourraient utiliser contre nous.

La biométrie, une option gagnante
La biométrie, c’est l’identification d’une personne par une partie de son corps (main, œil, doigt, visage) pour accéder à un service ; en d’autres termes, c’est un excellent moyen pour s’authentifier ou se connecter à tous types d’appareils. « Il devient urgent que les industriels s’attachent à travailler conjointement avec des professionnels de la sécurité des identités numériques »

Dans la maison intelligente du futur, la biométrie et par extension toutes les technologies nécessitant l’identité de l’utilisateur pour commander un service seront utilisées. Le téléphone portable sera l’objet central de la maison connectée. Depuis ce dernier, les utilisateurs pourront contrôler tous les aspects de leur maison et de leurs appareils ménagers grâce à l’authentification biométrique. Le management de l’identification et de l’authentification sera la clef pour les contrôler. Il est ainsi maintenant possible de mettre en route certains objets à distance : faire chauffer de l’eau, contrôler la température d’un four depuis notre voiture, tout est possible ! De plus en plus diversifié, le marché de l’IoT doit veiller à uniformiser ses offres s’il ne veut pas basculer dans la complexité. L’industrie a besoin de créer un accès simplifié et sécurisé pour permettre aux différents objets connectés de marques concurrentes de communiquer entre eux.

Nous pouvons facilement imaginer qu’à l’avenir, tout ce qui requiert une connexion par identification ou authentification pourrait être contrôlé par la biométrie : thermostats, compteurs intelligents, interrupteurs… Dans le futur, nous pourrons rendre nos foyers aussi connectés que nous le souhaitons !

L’internet des Objets offre de nombreux avantages mais soulève à la fois de nombreuses inquiétudes en terme de connexion et d’accès. Il devient urgent que les industriels s’attachent à travailler conjointement avec des professionnels de la sécurité des identités numériques pour garantir un accès sécurisé afin de protéger de manière optimale des données hautement confidentielles.

Android, Cybersécurité, Identité numérique, ios, Particuliers, Sécurité, Smartphone, Social engineering, Vie privée, Windows phone

Amnésie numérique : comment les smartphones nous font perdre la mémoire

L’« effet Google », ou l’impact sur notre mémoire de toujours trouver les informations sur Internet[i], s’étend aujourd’hui à nos informations personnelles essentielles conservées sur les mobiles, selon une nouvelle étude de Kaspersky Lab.

Cette étude révèle en effet que la majorité des consommateurs européens connectés, du moins ceux interrogés par l’éditeur de solution de sécurité informatique, ne connaissent pas par cœur des numéros de téléphone de première importance, tels que :

– ceux de leurs enfants 57 % (58 % pour la France) :
– de leur école, 90 % (même chiffre pour la France) ;
– de leur propre lieu de travail à 51 % (51,5% pour les Français).

« Près de la moitié (43 %) des 16-24 ans répondent en outre que leur smartphone contient à peu près tout ce qu’ils doivent savoir ou se rappeler »

Environ un tiers d’entre eux (français comme européens) ne se souviennent pas du numéro de la personne qui partage leur vie, alors même que seuls 4 sur 10 ont oublié celui de l’endroit où ils vivaient durant leur adolescence. 6 000 consommateurs âgés de 16 ans ou plus, dans six pays européens ont été interrogés. Les résultats de cette enquête révèlent notre incapacité à retenir des informations importantes compte tenu du fait que nous les enregistrons souvent sur nos smartphones. Près de la moitié (43 %) des 16-24 ans répondent en outre que leur smartphone contient à peu près tout ce qu’ils doivent savoir ou se rappeler. Les français sont 32 % à déclarer cela, toutes tranches d’âges confondues. Un phénomène qualifié d’amnésie numérique, c’est-à-dire le fait d’oublier les informations que nous conservons dans un appareil numérique.

L’étude fait apparaître l’existence de cette amnésie numérique parmi toutes les tranches d’âge et sa répartition est uniforme entre les deux sexes. Ainsi, 42 % des Français seraient vraiment dévastés de perdre les données de leurs appareils mobiles car ils ne pourraient plus avoir accès à tous leurs souvenirs stockés dessus – 17,6 % seraient complètement paniqués par une telle éventualité. En outre, 71,9 % des Français déclarent utiliser Internet comme une extension de leur cerveau, ce chiffre atteignant même 83 % chez les jeunes européens âgés de 16 à 24 ans. Pour Laurence Allard, Maître de conférences et Sociologue des usages innovant à l’Université Lille 3/IRCAV-Paris 3 : « le smartphone est également le support d’usages mémoriels et fait pour certains office de « prothèse cérébrale ». Selon la sociologue, cette tendance devient presque paradoxale puisqu’elle « suppose d’user de fonctionnalités ou de services numériques pour actionner une mémorisation par la technologie »

Autre résultat guère surprenant, l’étude révèle que la perte ou le piratage de données stockées sur les appareils numériques, en particulier les smartphones, aurait des conséquences dévastatrices pour de nombreux utilisateurs :

– 17 % des français avouent ainsi que leur terminal mobile est le seul endroit où ils mémorisent leurs photos et leur carnet d’adresses et qu’ils seraient catastrophés s’ils perdaient définitivement leurs souvenirs enregistrés sur leur appareil. Ce chiffre atteint 40 % chez les 16-24 ans interrogés.
Il est donc préoccupant qu’en dépit de la confiance croissante que les utilisateurs ont dans leurs appareils numériques, ils ne protègent pas suffisamment leurs équipements à l’aide de solutions de sécurité. C’est notamment le cas des smartphones et des tablettes :

– à peine 1 smartphone sur 3 (34 %) et un quart des tablettes (24 %) en sont équipés,
– tandis qu’1/5e (21 %) de ces appareils n’est pas du tout protégé.

« Les appareils connectés nous apporte beaucoup au quotidien mais ils engendrent aussi une amnésie numérique. Nous devons en saisir les conséquences à long terme sur la façon dont nous conservons et protégeons nos mémoires. Les numéros de téléphone de nos proches étant désormais accessibles d’un simple clic, nous ne nous donnons plus la peine de les mémoriser. En outre, une majorité écrasante (86 %) des personnes interrogées estime que, dans un monde de plus en plus hyper-connecté, nous avons bien trop de numéros, d’adresses, de codes, etc. à connaître que notre mémoire ne peut en retenir. Nous avons découvert que la perte ou le piratage de ces précieuses informations ne serait pas seulement une gêne, mais une source de profonde détresse pour bon nombre d’entre nous. Kaspersky Lab s’engage à aider les utilisateurs à comprendre les risques auxquels leurs données pourraient être exposées, et à leur fournir les moyens de maîtriser ces risques, en installant par exemple des logiciels de sécurité afin de protéger leurs équipements et leurs contenus », commente à datasecuritybreach.fr David Emm, chercheur principal en sécurité chez Kaspersky Lab.

« Le fait d’oublier n’est pas en soi une mauvaise chose. Nous disposons d’une formidable faculté d’adaptation et nous ne nous souvenons pas de tout car ce n’est pas dans notre intérêt. L’oubli devient cependant un handicap lorsqu’il porte sur des informations qu’il nous faut impérativement retenir », souligne le Dr Kathryn Mills de l’UCL Institute of Cognitive Neuroscience de Londres. « L’une des raisons pour lesquelles les consommateurs se soucient moins de retenir les informations s’explique par le fait qu’ils les confient trop souvent à des appareils connectés. En effet, dans de nombreuses sociétés, l’accès à Internet paraît aussi stable que celui au réseau d’électricité ou d’eau. »

Espionnae, ID, Identité numérique, Particuliers

La CNIL met Google en demeure d’élargir son Droit à l’oubli

Il y a un an, la Cour de Justice de l’Union européenne (CJUE) demandait aux moteurs de recherche de donner la possibilité à tout internaute de demander la désindexation d’informations le concernant, dans le cas où celles-ci seraient « inadéquates, pas ou plus pertinentes ou excessives ». Une procédure de droit à l’oubli jugée insuffisante par la CNIL.

La procédure de déréférencement a bien été lancée par Google, cependant les informations sont aujourd’hui désindexées uniquement sur les versions européennes du moteur de recherche. Elles restent donc accessibles à partir des autres versions de Google. La Commission nationale de l’informatique et des libertés (CNIL), considère que la mise en place du droit à l’oubli est donc aujourd’hui insuffisante. Elle a donc décidé de mettre en demeure Google afin qu’il procède à des déréférencements sur toutes les versions de son moteur.

Google dispose de quinze jours pour appliquer cette mise en demeure. Sans cela, la CNIL pourra amorcer une procédure de sanction, qui obligerait le moteur de recherche à payer une amende. Cette dernière ne pourra pas dépasser les 150 000 euros, soit 0.0000096% de son chiffre d’affaire publicitaire au premier trimestre 2015 (15,5 milliards de dollars). Autant dire que Google claque des dents !

Une mesure positive qui risque de ne pas aboutir selon Réputation VIP

Bertrand Girin, président de Réputation VIP, est tout à fait d’accord avec la CNIL : « Nous soutenons la CNIL dans sa démarche, en effet depuis nos débuts nous avions soulevé l’incohérence de la gestion de cette mesure par Google. Aujourd’hui, il suffit d’utiliser une version non européenne du moteur pour trouver les informations désindexées, la protection des internautes n’est donc absolument pas assurée comme le souhaitait le CJUE lorsqu’elle a pris sa décision. »

Cependant, on peut se demander quelle sera la réaction de Google face à cette mesure, selon Bertrand Girin « il faut s’inquiéter de la réaction de Google face à cette mise en demeure. Il n’est pas dans l’intérêt du moteur de se plier à la volonté de la CNIL« . Accepter le déréférencement sur les versions internationales du moteur pourrait conduire à de nombreuses questions d’autres pays. Si Google commence à désindexer des éléments sur la version américaine de son moteur, les résidents de ce pays seraient en droit de se demander pourquoi la mesure ne leur est pas applicable.

De plus, il faudrait que Google modifie son processus de réception des demandes, certaines personnes pourraient tenter de passer par le droit européen pour voir supprimer des informations dans leur pays de résidence, or Google ne demande aujourd’hui pas de justificatif de domicile mais seulement une pièce d’identité. Autant d’éléments qui pousseront Google, selon Bertrand Girin, à « se battre afin de préserver ses moteurs internationaux du droit à l’oubli européen ».

Android, backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers, Patch, Sécurité, Smartphone, Téléphonie, Vie privée, VPN

600 millions d’utilisateurs d’un téléphone Samsung en danger ?

Un commentaire

Plus de 600 millions d’utilisateurs de téléphones portables Samsung ont été touchés par un risque de sécurité important. Samsung S3, S4, S5 et S6 touchés par une vulnérabilité dans un clavier pré-installé qui permet à un pirate d’exécuter du code à distance.

Intéressant ! Après la diffusion de faille et bug visant le téléphone portable d’Apple, l’iPhone, voici venir la faille pour le concurrent direct de la grosse pomme, la famille des Samsung S. Cette faille a été découverte par le chercheur Ryan Welton de la société américaine de NowSecure. Samsung a été alerté en décembre 2014.

Compte tenu de l’ampleur du problème, NowSecure a aussi notifié le CERT américain afin de faire corriger le problème rapidement (CVE-2015-2865). L’équipe de sécurité de Google Android a elle aussi été mise dans la boucle. L’attaque permet de récupérer la connexion GPS, brancher caméra et micro, installer en cachette des applications malveillantes, lire les messages (SMS, MMS, Mails, …). Bref, une petite cochonnerie.

Samsung n’a rien dit, mais propose depuis début de 2015 un correctif. Impossible de savoir si les opérateurs ont suivi la même mouvance sécuritaire… mais particulièrement pratique pour espionner une cible précise. A la lecture de la liste ci-dessous, qui ne concerne que des opérateurs américains, il y a de forte chance que votre téléphone soit toujours un espion en puissance dans votre poche.

Malheureusement, l’application du clavier défectueux ne peut pas être désinstallé. Côté solution : ne pas utiliser de wifi non sécurisé (utilisez un VPN, INDISPENSABLE NDLR)… ou changez de téléphone.

Galaxy S6      Verizon  Non corrigée
Galaxy S6       AT & T   Inconnu
Galaxy S6       Sprint   Non corrigée
Galaxy S6       T Mobile Inconnu
Galaxy S5       Verizon  Inc9nnu
Galaxy S5       AT & T   Inconnu
Galaxy S5       Sprint   Inconnu
Galaxy S5       T Mobile N8n c2rrigée
Galaxie S4       Verizon  Inconnu
Galaxie S4       AT & T   Inconnu
Galaxie S4       Sprint   Inconnu
Galaxie S4       T Mobile Inc8nnu
Galaxy S4 Mini  Verizon  Inconnu
Galaxy S4 Mini  AT & T   Non corrigée
Galaxy S4 Mini  Sprint   Inconnu
Galaxy S4 Mini  T Mobile Inc9nnu

Merci à @dodutils pour l’alerte.

Argent, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Espionnae, Facebook, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Vie privée

Piratage confirmé pour LastPass

2 commentaires

Le système de mot de passe LastPass piraté. L’éditeur confirme le passage malveillant de visiteurs qui ont mis la main sur les données des clients de l’entreprise.

LastPass est un coffre fort de mot de passe. Au lieu de retenir des dizaines de précieux sésames, l’excellent LastPass propose de les sauvegarder dans son service et de ne retenir que le password proposé par le service, le mot de passe principal, dit maître. Sauf que si un pirate met la main sur cet unique clé généraliste, le danger est réel. Autant dire que le malveillant n’a plus qu’à se servir. C’est ce qui semble se passer pour LastPass.

L’entreprise vient de confirmer une intrusion dans son serveur. Sur son blog, l’éditeur explique qu’une enquête est en cours et qu’elle a pour le moment « démontré que les adresses mails des comptes LastPass, ainsi que des informations dédiées aux mots de passe (mais pas les mots de passe directement, NLDR), le salage et le hachage d’authentification ont été piratés« .

Bref, pas besoin de vous faire un dessin. Changez votre mot de passe LastPast, comme le propose les ingénieurs de Lastpast. Les utilisateurs touchés ont/vont reçu/recevoir un courriel. On peut aussi conseiller de modifier l’ensemble des mots de passe sauvegardés dans l’outil, sait-on jamais… ou prenez des vitamines pour sauvegarder vos précieux uniquement dans votre cerveau. Les utilisateurs qui passeraient par un nouveau matériel doivent, de nouveau, se valider par mail.

Banque, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers, Propriété Industrielle, Vie privée

HP facilite la sécurisation des impressions

HP a annoncé des solutions et des services, nouveaux et actualisés, qui permettent aux clients de mieux sécuriser leur environnement d’impression et de gagner en efficacité. Cette initiative s’inscrit dans le cadre de la stratégie HP visant à proposer des offres innovantes pour la sécurité des impressions et à les rendre accessibles au plus grand nombre.

« La sécurité et la protection des données d’entreprise sont des problématiques qui revêtent une importance croissante pour nos clients », souligne Edmund Wingate, vice-président Solutions LaserJet Enterprise chez HP. « HP continue à jouer un rôle moteur dans la sécurisation des imprimantes au travers d’offres qui renforcent la sécurité de nos modèles réseau et contribuent à protéger les données de notre clientèle. »

 Une sécurisation des impressions de pointe, plus accessible aux clients

Nouvelle fonctionnalité de HP Access Control, l’impression sécurisée, en mode «serverless», évite le recours à des serveurs dans de petits bureaux (agences par exemple). Ce mode d’impression sécurisée peut être déployé pour préserver la confidentialité des documents, se conformer à la politique d’impression de l’entreprise (par exemple, impression en noir et blanc et/ou recto-verso uniquement), mais aussi pour économiser des consommables (toner, papier) et de l’énergie. A présent exploitable sous forme de solution de mobilité managée, HP Access Control permet également d’envoyer, depuis un appareil mobile, des impressions par e-mail à une file d’attente sécurisée en mode « pull ». Ainsi, l’impression à partir d’un terminal mobile s’effectue aussi facilement que depuis un ordinateur de bureau ou portable connecté au réseau de l’entreprise, en bénéficiant d’un contrôle d’accès, d’un suivi et de mesures de sécurité identiques. Ces nouvelles capacités sont mises à la disposition de tous les clients équipés de HP Access Control.

De son côté, HP JetAdvantage Security Manager (ou HP Imaging and Printing Security Center) élargit son périmètre aux dernières imprimantes HP LaserJet Pro. Concrètement, les clients peuvent faire appel à cette solution HP d’administration et de contrôle automatisé de la sécurité de leur parc d’imprimantes HP pour sécuriser une plus large gamme de périphériques. L’offre HP Printing Security Advisory Services, quant à elle, étend sa couverture géographique, se dotant de nouveaux conseillers en sécurité en Europe et en Asie afin de rendre l’expertise HP en matière de sécurité d’impression accessible aux clients dans ces régions du monde.

Une sécurité renforcée par l’analyse et l’automatisation

HP assortit sa solution HP Capture & Route d’un nouveau module de reconnaissance automatique de document (RAD). Celui-ci permet d’accélérer et de faciliter la dématérialisation des documents papier et leur routage dans le workflow de l’entreprise (applications métier ou solution d’archivage par exemple). Il permet aussi de réduire les erreurs et d’améliorer la sécurité et la conformité des données. Destinée aux clients qui entendent accroître l’automatisation de leurs workflows et affiner leurs analyses, l’offre Managed Services, via son intégration avec HP Big Data, HP Teleform et HP Process Automation, contribue encore à améliorer la sécurité, la conformité et la gouvernance des informations dans divers secteurs d’activité (services juridiques, santé, services financiers, commerce, etc.).

Pour les clients désireux d’optimiser l’efficacité et la productivité de leur parc d’imprimantes, HP lance Proactive Print Advisor, un service qui leur propose des rapports, analyses et recommandations personnalisés en fonction de leur environnement d’impression. Accessible dans le monde entier, ce service allège la charge d’administration des structures informatiques, à grand renfort de recommandations sur l’optimisation de la rentabilité de leur parc et l’application de règles, ainsi que de conseils leur permettant de demeurer au fait des mises à jour.

Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Mise à jour, Particuliers, Patch, Piratage, Vie privée

Les Risques Cachés de l’Explosion du Trafic HTTPS

Si vous n’êtes pas préparé à une forte augmentation du trafic HTTPS, votre réseau est menacé !

Paradoxal, non ? HTTPS, après tout, est une bonne chose. Comme tout le monde le sait, HTTPS est la version sécurisée du Hypertext Transfer Protocol (HTTP), qui utilise le protocole SSL/TLS pour crypter et protéger le trafic web. Si vous souhaitez privatiser n’importe quelle action en ligne — qu’il s’agisse de l’achat de nouvelles chaussures ou du paiement d’une facture— HTTPS est ce qui protège vos communications des regards mal intentionnés.

Les professionnels de la sécurité ont toujours encouragé l’utilisation d’HTTPS par les applications web. Il semble que leurs vœux aient été exhaussés. Comme le confirme l’ouvrage The Cost of “S” in HTTPS, 50% des flux sur le web sont aujourd’hui sécurisés. En fait, beaucoup des plus grands sites web ont adopté HTTPS comme leur protocole par défaut, dont Google, Facebook et YouTube. Mieux encore, les fournisseurs de navigateurs tels que Google ont même commencé à considérer toutes les pages non HTTPS comme non sécurisées, un nouveau pas vers la standardisation par défaut d’HTTPS.

De nombreux facteurs contribuent à cette ruée vers HTTPS, dont le principal est probablement « l’effet Snowden. » Certes, les spécialistes ont toujours compris la facilité avec laquelle nos conversations sur Internet peuvent être interceptées, mais les documents secrets dévoilés par Edward Snowden n’ont pas seulement permis au grand public d’identifier le risque du ‘man-in-the-middle’ (MitM), mais ont prouvé que les gouvernements y ont participé activement depuis des années. Maintenant que nous savons que quelqu’un nous regarde, nous prenons la protection de nos conversations beaucoup plus sérieusement.

Au sens large, cet accroissement du trafic HTTPS est une bonne chose. Toutefois, sous la surface il dissimule deux écueils qui peuvent sérieusement affecter votre sécurité, si vous n’y êtes pas préparé. Spécifiquement,

1.      Les méchants utilisent aussi HTTPS,
2.      La sécurisation de ce trafic entraîne de nouvelles contraintes en matière de performances.

Les avantages que vous retirez d’HTTPS profitent également aux hackers. Les pirates veulent dissimuler leurs communications, qu’il s’agisse de leurs téléchargements de malware ou des canaux de commande et de contrôle (C&C) que leur malware utilise pour communiquer avec eux. HTTPS fournit un mécanisme très efficace pour faire précisément cela. Les méchants ont compris que HTTPS est typiquement un « trou noir » pour vos outils de sécurité réseau, et ont donc commencé à l’utiliser pour leurs activités malveillantes, afin de les masquer.

C’est la raison pour laquelle il est plus important que jamais de commencer à sécuriser HTTPS. Vous avez besoin de solutions de sécurité capables de “voir” à l’intérieur des communications HTTPS, et d’y appliquer les scans traditionnels de sécurité (IPS, antivirus, etc.).

Heureusement, il existe une solution à ce problème. De nombreuses solutions de sécurité réseau actuelles, telles que de nouvelles versions de boîtiers UTM, des firewalls de nouvelle génération (NGFW), et d’autres proxies de sécurité, disposent de passerelles sur la couche applicative ou de capacités d’inspection DPI pour HTTPS. En gros, ils effectuent une attaque MitM « amicale » sur HTTPS afin de le décrypter de façon temporaire et de mettre en œuvre les scans de sécurité. Le boîtier ré encrypte ensuite le trafic pour le délivrer au réseau. Ces outils nécessitent que vos clients acceptent un certificat numérique, afin de maintenir la confidentialité de la connexion HTTPS. En bref, ils vous permettent de potentiellement détecter des activités malicieuses dans un trafic normalement indéchiffrable, sans remettre en cause la vie privée de vos utilisateurs.

Toutefois, sécuriser le trafic HTTPS met en lumière et exacerbe le second problème – les contraintes d’HTTPS en matière de performances. En termes simples, encrypter quelque chose consomme des ressources de traitement et accroît le volume du trafic. Si vous désirez savoir dans quelle proportion, il vous suffit de consulter l’ouvrage que j’ai cité précédemment. En gros, les conséquences ne sont pas négligeables, mais nous disposons généralement des ressources processeur et réseau pour les gérer… Ceci, avant d’y ajouter les solutions de sécurité dont j’ai parlé plus haut.

Comme je l’ai mentionné précédemment, des solutions de sécurité peuvent maintenant décrypter le trafic HTTPS. Toutefois, ce décryptage double le temps de traitement d’HTTPS, le boîtier de sécurité devant décrypter puis ré encrypter avant de délivrer le trafic. De plus, dans l’environnement actuel riche de menaces, vous souhaiterez que plusieurs couches de sécurité (par exemple IPS, antivirus, détection C&C) contrôlent votre trafic HTTPS. Si vous avez mis en place un contrôle de sécurité séparé pour chaque couche, chacune d’entre elles nécessite un traitement, ce qui ralentit singulièrement le trafic. Si 50% du trafic Internet est en protocole HTTPS, cela représente un vrai goulet d’étranglement.

La solution ? Utiliser des contrôles de sécurité tout en un conçus pour traiter la charge HTTPS. Un des avantages des nouveaux boîtiers UTM et des firewalls de nouvelle génération est que leurs couches de sécurité sont toutes appliquées en un seul point. Ceci veut dire qu’ils n’ont à décrypter HTTPS qu’une seule fois. Cependant, si votre sécurité dépend à ce point d’un seul boîtier, mieux vaut être sûr qu’il sera capable de supporter la charge. Beaucoup de boîtiers UTM ou Next Generation Firewalls mettent en avant leurs performances firewall, qui ne tiennent pas compte des autres contrôles de sécurité et de l’inspection des paquets HTTPS. Il est donc très important d’examiner la performance du boîtier lorsque tous les contrôles de sécurité sont activés, et spécialement l’inspection des paquets HTTPS. Ce n’est qu’une fois cette vérification faite que vous saurez si votre boîtier sera capable ou non de traiter, et de sécuriser, l’explosion des flux HTTPS.

Pour résumer, l’usage accru du protocole HTTPS est une très bonne chose pour la sécurité du web. Toutefois, vous devez vous assurer que vos solutions de sécurité en place sont capables réellement d’identifier les menaces à l’intérieur d’HTTPS, et qu’elles peuvent supporter l’accroissement de la charge HTTPS induit par l’effet Snowden. (Par Pierre Poggy, Country Manager Watchguard France / TechDirt)

Argent, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Paiement en ligne, Particuliers, Propriété Industrielle, Vie privée

Sécurité en ligne, il faut s’inspirer de la prévention routière !

L’utilisation des mots de passe sur internet ressemble étrangement aux comportements des automobilistes dans les années soixante, heureusement depuis, ils se sont améliorés grâce aux campagnes de sensibilisation. Il serait temps que tous les acteurs qui gèrent les mots de passe prennent exemple sur la sécurité routière, y compris l’état.

Il y a vingt ans, nous n’utilisions pas Internet. Aujourd’hui, nous passons en moyenne quatre heures par jour à surfer sur le web (étude wearesocial). C’est un nouveau territoire que nous découvrons souvent avec enthousiasme car il nous permet de gagner en productivité, de rencontrer des gens, de voyager plus facilement…Mais il y a des risques associés à ces usages. Nous nous identifions et stockons des données sur des dizaines de sites souvent sans prendre de précautions particulières. Selon une étude Dashlane/IFOP, seuls 9% des français ont ainsi conscience de prendre des risques en utilisant le même mot de passe sur plusieurs sites ! Nous prêtons donc le flanc à l’industrie du piratage qui se développe aussi vite que les technologies de l’information. Une étude menée par un éditeur de logiciels antivirus a estimé que l’industrie de la cybercriminalité représentait 0.8% du PIB mondial, soit à peu près autant que le trafic de drogue. En France, le CREDOC avait estimé en 2009 que 210 000 personnes par an étaient victimes d’un vol d’identité, pour un coût total de 414M d’€.

Notre comportement sur le web est assez similaire à celui des automobilistes dans les années 60. A cette époque, une grande partie de la population découvrait la voiture, qui était alors d’abord perçue comme un instrument de liberté et d’évasion. Les risques n’étaient pas pris en compte à leur juste mesure. On roulait très vite, sans ceinture, dans des voitures peu sécurisées, avec des conséquences néfastes : en 1972, on comptait plus de 16 000 morts par an sur les routes en France.  Heureusement des progrès considérables ont été réalisés depuis. En 2014, il y a eu 3 103 morts sur les routes de France. L’État a joué son rôle en menant de nombreuses et coûteuses campagnes de sensibilisation pour le port de la ceinture et contre l’alcool au volant. Les industriels ont construit des voitures plus sûres. Et les particuliers ont pris conscience du danger et modifié leurs comportements.

Nous circulons aujourd’hui sur Internet sans ceinture de sécurité et cela nous met en danger. Il faut s’inspirer de la prévention routière. Quand de nouveaux risques émergent, il faut une action concertée de la part de l’État, des industriels et des particuliers. Si le budget de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) a été récemment augmenté, ses missions restent encore très focalisées sur la protection des administrations et des entreprises d’intérêt vital, les fameux OIV. On peut le regretter car certains de nos voisins ont une approche plus ambitieuse. Au Royaume-Uni, la sensibilisation des consommateurs est au cœur de la politique de cyber sécurité. Les programmes Get Safe Online et Cyber Street Wise, financés par le gouvernement britannique, mènent des campagnes de communication pour rappeler les règles de base de la sécurité en ligne, comme l’utilisation de mots de passe forts (composés d’au moins huit caractères alphanumériques) et différents pour chaque site. Les écoliers britanniques sont aussi sensibilisés à la sécurité en ligne grâce à des kits pédagogiques réalisés par le gouvernement. L’État doit financer des campagnes importantes de sensibilisation aux règles de base de la sécurité en ligne et être exemplaire sur l’ensemble des services publics en ligne. Aujourd’hui il n’est par exemple pas possible d’utiliser un mot de passe fort sur le site ameli.fr de la sécurité sociale…

Les sites qui vendent des biens ou services en ligne doivent également s’assurer que leurs clients se connectent de manière sécurisée et utilisent des mots de passe forts. L’étude menée par Dashlane en janvier 2014 avait montré que certains d’entre eux acceptent des mots de passe très peu sécurisés ou les envoient en clair par mail, ce qui est évidemment très dangereux. Enfin, les utilisateurs doivent également se prendre en main. Nous sommes nombreux à savoir que le seul moyen d’éviter à coup sûr les piratages est d’utiliser des mots de passe forts, différents pour chaque site, mais nous ne le faisons pas toujours car nous trouvons cela trop compliqué.

« Quand on peut prévenir c’est faiblesse d’attendre » disait Jean de Rotrou. Nos sociétés modernes ont montré qu’elles pouvaient être fortes faces à certains risques et œuvrer efficacement à les prévenir. Utilisons les mêmes méthodes et attaquons nous sérieusement au problème de la sécurité en ligne ! (Par Guillaume Desnoes, Responsable des marchés européens de Dashlane.)

Android, Argent, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, ios, Linux, Logiciels, Microsoft, OS X, Paiement en ligne, Particuliers, Sécurité, Smartphone, Téléphonie, Vie privée, VPN

Connexions wifi gratuites : Sécuriser vos surfs cet été avec un VPN

Vous allez partir en vacances, profiter de connexions wifi gratuites, ou proposées par un hôtel, un camping, un restaurant ? Pensez à vous équiper d’un VPN qui protégera vos connexions et mots de passe tout en préservant votre anonymat sur le serveur utilisé.

Connexions wifi gratuites ? Faut-il encore vous parler de protection de vos machines (tablettes, smartphones, ordinateurs) quand vous partez en vacances, à l’étranger ? Faut-il vous rappeler la dangerosité d’une connexion wifi libre, gratuite (ou non), publique ? Avec les congés qui s’approchent à grands pas, il est bon de penser à s’équiper d’un VPN. Ainsi, le réseau wifi que vous utiliserez n’aura pas la possibilité de lire (volontairement ou non, NDR) les mots de passe que vous venez de taper, les mots doux que vous venez de diffuser, les documents et sites Internet que vous consultez.

Plusieurs possibilités s’offrent à vous. D’abord avec les Français de chez No Limit VPN. Pratique et rapide, ils proposent une possibilité d’essayer gratuitement leur service, histoire de vous familiariser avec cette sécurité indispensable. Ils utilisent un chiffrement 128 bits et 256 bits qui rend votre trafic Internet impossible à lire pour un malveillant. Plusieurs protocoles sont disponibles (PPTP, L2TP et OpenVPN) afin de vous permettre de choisir votre niveau préféré de cryptage. Compter entre 2.49 et 3.99€ par mois (selon la durée, NDR).

Même type de service pour VyprVPN. Logiciels très simple d’utilisation, fonctionnant sous Mac OS X, Windows 7, 8, Vista, Linux, ou encore sur les smartphones iOS et Android. 52 serveurs dans le monde (de la Suisse à la Pologne, en passant par la Colombie, le Vietnam ou encore la Canada). Des tarifs allant de 5 à 10€ par mois selon les options, dont Chameleon qui permet de cacher votre utilisation d’un VPN. A noter une option totalement gratuite, une nouveauté chez VyprVPN.

Troisième possibilité, ma préférée, Hide My Ass ! Une société basée dans des îles ensoleillées. Leur proposition, contourner les restrictions en ligne pour accéder à du contenu uniquement disponible à l’étranger, Netflix and Co. Accédez aux sites Web de votre pays lorsque vous êtes à l’étranger, et contournez la censure du gouvernement ou au travail et accédez à des sites comme Facebook, Gmail et YouTube. Le plus économiquement intéressant avec son option annuelle (5€ par mois, NDR).

Bref, des outils indispensables.