Archives de catégorie : Identité numérique

Interdit d’interdire ! La Chine bloque de nombreuses applications iPhone

Le Ministère de la Santé Chinoise fait interdire de nombreuses applications après la modification de la législation locale. Skype résiste, mais pour combien de temps ?

La Chine fait interdire la VoIP ! Les utilisateurs Chinois d’iPhone sont de moins en moins à la fête après la modification de la loi Internet voté par le gouvernement. De nombreuses applications permettant de communiquer en mode VoIP ont été censurées. Le ministère de la santé publique a fait retirer plusieurs applications Voice-over-Internet-Protocol (VoIP). La loi ne les autorise plus sur le territoire Chinois.

Les boutiques d’Apple et Google souhaitant continuer à faire du business en Chine, les deux géants américains se plient donc à la censure Chinoise.

Skype fonctionne encore pour le moment, mais il n’est plus possible depuis fin octobre de payer les services Skype via Apple.

Skype est l’un des derniers outils non-chinois à fonctionner. Il y a six mois, Gmail, Twitter, Telegram ou encore Snapchat avaient été interdits. En septembre 2017, WhatsApp a été bloqué.

Des outils qui peuvent revenir batifoler avec le cyberespionnage Chinois à la condition ou le chiffrement des applications soit retiré. La Chine a aussi interdit l’utilisation des VPN. Amende et prison pour ceux qui tenteraient de jouer avec le yaomo, le diable.

Votre smartphone vous suit à la trace ?

Même fermé, sans puce, les smartphones sont-ils capables de vous suivre à la trace ?

Trace or not trace ! Il ne se passe pas une journée ou je ne reçois par un courriel me demandant qu’elles sont les informations que collectent les téléphones portables. S’il fallait décortiquer l’ensemble des cas, vous jetteriez votre smartphone à la poubelle. Il faut savoir que les constructeurs indiquent ce qu’ils font avec nos appareils. Je vais prendre l’exemple de Google et de son système Android. Un OS qui équipe plusieurs centaines de millions d’appareils dans le monde.

Dans son espace Privacy, le géant américain indique que lorsque vous utilisez des services Google, ils sont susceptibles de collecter et traiter des données relatives à votre position exacte. Ils utilisent différentes technologies pour vous localiser : IP, signaux GPS. D’autres capteurs permettent d’identifier les appareils, les points WiFi, les antennes-relais à proximité.

https://twitter.com/fs0c131y/status/932249064208551936

Ce détail est intéressant car, par exemple, vous pouvez activer les services de localisation de Google pour optimiser les applications géo-dépendantes sur votre appareil. Si vous faites appel à ces services, votre appareil communique des informations concernant les points d’accès WiFi (telles que l’adresse MAC et la force du signal) et les antennes-relais qui se trouvent à proximité pour leur permettre de déterminer votre position. Vous pouvez utiliser les paramètres de votre appareil pour activer les services de localisation de Google.

Il s’avère que d’autres « capteurs » permettent de vous tracer avec une précision chirurgicale. Pour preuve, cet « espionnage » que Google orchestre depuis plusieurs mois via son outil Firebase Cloud Messaging. Une collecte d’information pas vraiment explicite de la part de l’américain. Son logiciel, qui ne peut être bloqué, fait une localisation de l’appareil. Une « option » usine qui doit disparaitre dans quelques semaines indique le journal Quartz.

Pour les autres appareils, Apple, Wiko, rassurez-vous, ils collectent aussi vos données, pour, parait-il, votre bien. (QZ)

Blockchain de la preuve, Ledgerofproof

La preuve irréfutable et gratuite que vos documents vous appartiennent !

Accessible gratuitement, la blockchain Ledgerofproof permet de créer une empreinte datée de tous vos documents. En cas de plagiat, vous disposez alors d’une preuve incontestable de leur antériorité. Articles, enquêtes, ouvrages, dessins, images, photos, contrats… Protéger ses documents n’est pas simple. Avec Ledgerofproof, la blockchain de la gestion des preuves, constituer la preuve de la propriété de ses documents se fait en 3 clics. Unique au monde, cette blockchain permet en effet de prouver très simplement l’existence d’un document à un instant « t ».

Ledgerofproof : comment la preuve devient-elle infalsifiable ?
Lorsque quelqu’un enregistre un document, seule son « empreinte » est conservée. En clair cela signifie que le texte est « haché » grâce à un algorythme et qu’il devient impossible d’en modifier la moindre virgule. En même temps, l’empreinte sauvegardée est horodatée, rendant par la même la date de création pérenne. Son contenu, n’est pas conservé par un seul serveur, mais par des milliers de participants au réseau, qui seront tous avertis en cas de modification. Cette approche permet donc de sécuriser l’empreinte à 100 % et donc de prouver, le cas échéant, qu’un document était en l’état à une date et une heure précise.

Accessible sur la plate-forme Spuro, Ledgerofproof est utilisable gratuitement par tout un chacun. Seuls les Smartcontracts, des applications permettant une utilisation automatique de la blockchain sont commercialisées. Spuro, une plate-forme dédiée aux blockchains Ledgerofproof est l’une des quatre blockchains privées proposées par Spuro, la plateforme développée par Benjamin Faraggi, entrepreneur passionné par ce type de technologies. Spuro propose aujourd’hui 4 blockchains : Ledgerofproof, la 3ème blockchain la plus connue au monde après Bitcoin et Ethereum. Artledger, à destination des graphistes, dessinateurs, peintres, poètes, musiciens. Durasedlex pour les juristes, avocats, huissiers, etc. et Diurnarius pour les journalistes, chroniqueurs, photographes, etc.

Les Français plébiscitent les objets connectés sans en mesurer les risques !

A l’occasion de Noël, les objets connectés semblent être le cadeau de cette fin d’année : tendance d’achat, appréhension de la sécurité, prise de mesure, etc. L’étude « Most Hackable Gifts » dévoile la liste des cadeaux de Noël les plus prisés à la fois par les consommateurs, mais aussi par les cybercriminels.

Objets connectés, Noël et les pirates. Ainsi, parmi les cadeaux les plus attendus au pied du sapin figurent les indétrônables tablettes et smartphones (60 %) et autres ordinateurs portables (30 %). Les accessoires domotique de l’habitat connecté (25%) sont également très populaires cette année, aux côtés des jouets connectés (22 %), des casques de réalité virtuelle (19 %) et des Smart TV (17 %).

Une méconnaissance des risques associés aux objets connectés

Une grande majorité de consommateurs Français reconnait la nécessité de sécuriser ordinateurs portables, tablettes et smartphones (64 %). Mais moins 1/3 estiment que les casques réalité virtuelle, les jouets et autres accessoires connectés doivent être sécurisés.

Il faut rappeler qu’ils gèrent également un certain volume d’informations personnelles. 15 % pensent même que les objets connectés n’ont pas besoin d’être sécurisés.

« A Noël, les objets connectés seront cette année encore à l’honneur. Or, on constate que les consommateurs ne mesurent pas tous l’importance de la protection de ces appareils et du risque auquel ils s’exposent lors d’une connexion avec un device non connecté« , précise Lam Son Nguyen expert en sécurité – McAfee.

91 % estime qu’il est important/voir très important que leur identité en ligne et leurs appareils connectés soient sécurisés. La moitié des consommateurs prennent des mesures pour s’assurer que leur nouvel appareil connecté est protégé avant utilisation. 23% ne sont d’ailleurs pas sûrs de savoir prendre les mesures adaptées en matière de sécurité. Les consommateurs sont tout simplement mal informés sur les dangers et la manière dont il faut protéger ces appareils connectés.

Peu conscients des risques ils ne mettent pas en œuvre les mesures nécessaires pour se protéger ce que les cybercriminels pourraient exploiter pour le piratage de leurs objets et le vol de leurs données personnelles.

Ces informations révèlent l’importance pour les consommateurs d’être vigilants quant aux enjeux de sécurité inhérents aux objets connectés qu’ils déposeront au pied du sapin de Noël. Il est important que chacun mesure les risques liés à tout objet connecté et cesse de penser qu’il suffit simplement de s’en remettre aux mesures des fabricants pour éviter le vol de leurs données dans le temps. Il serait bon, aussi, que les fabricants fournissent des informations sur la sécurisation générale, ainsi que de leur produit. L’éducation devrait être imposée dans chaque notice, en plus des obligations légales copiées à longueur de page de certaines notices.

Quelques réflexes simples à adopter en matière de sécurité des objets connectés

D’abord, lisez la notice. Vous pourriez y trouver quelques réponses (mot de passe, …). Ensuite, protéger votre réseau domestique. Plus facile à dire, qu’à faire, mais loin d’être impossible si vous vous y penchez un peu. DataSecurityBreach vous propose par exemple de regarder du côté des adresses MAC de vos materiels et votre box, ou encore du côté de la double authentification. Mettre à jour les logiciels et applications des objets connectés. Voyez si elles peuvent être automatisées. Sécuriser votre appareil avec une solution dédiée : antivirus, firewall, … Privilégiez une connexion Wi-Fi sécurisée. Celle de la maison, mais avec un bonus qu’est le contrôle par l’adresse MAC. Protéger vos objets avec des mots de passe complexes. Même si cela n’est pas gage d’efficacité optimale, un mot de passe fort (lettres, majuscules, chiffres et signes de ponctuations) permet de retarder le malveillant qui ira voir ailleurs. Et au moindre doute, agissez !

Smart city et données personnelles : quels enjeux de politiques publiques et de vie privée ?

Le LINC (Laboratoire d’innovation numérique de la CNIL) publie son 5ème cahier Innovation et prospective intitulé : « La plateforme d’une ville – Les données personnelles au cœur de la fabrique de la smart city ».

Ce cahier « Smart City » explore les enjeux politiques et sociaux qui émergent autour de la place croissante des données dans la ville, au-delà de la seule conformité à la loi Informatique et Libertés ou au Règlement Général sur la Protection des Données (RGPD). Ce cahier entend également contribuer aux débats et questionnements en cours sur la smart city, à travers un prisme de lecture et un éclairage propres à la CNIL : l’accompagnement de l’innovation couplé à la protection des données et des libertés individuelles en contexte urbain. Il s’adresse à tous les acteurs qui gravitent autour de ces questions, et notamment aux collectivités locales, qui font face à de nouvelles problématiques.

Il souligne les conséquences de la massification des données sur les politiques publiques urbaines et en particulier sur les équilibres dans les rapports public / privé. Il propose de remettre en perspective la ville au prisme de l’économie des plateformes, et des équilibres de force entre acteurs publics, acteurs privés et citoyens. Après une première partie décrivant les limites de l’expression « smart city », la mise en données de la ville numérique est abordée selon trois angles :

Quand les modèles économiques des plateformes transforment la ville : ou comment l’arrivée des grands acteurs du numérique dans les services urbains (Sidewalk CityLab, Waze Connected Citizen de Alphabet/Google, Uber ou Facebook) pose la question des contreparties réelles demandées aux individus et aux acteurs publics pour des services présentés comme gratuits.

La ville liquide : à qui profitent les flux ? : ou comment la promesse de la ville fluide pose la question de la liberté et des droits des individus qui parfois réduits à une somme d’éléments à optimiser et de problèmes à résoudre par la technologie.

Vers un mode « navigation privée » dans l’espace public ? : ou comment les impératifs de sécurité et la généralisation des dispositifs de captation mettent à mal l’anonymat, pourtant constitutif de la ville.

Dans une dernière partie, quatre scénarios prospectifs de régulation permettant d’engager un rééquilibrage privé/public par les données sont explorés. Ils sont mis en perspective pour répondre aux questions suivantes :

Comment organiser un retour vers l’acteur public de données produites par l’entremise des individus dans le cadre de services portés par des acteurs privés ?
Comment permettre à ces acteurs publics de réutiliser ces données à forte valeur ajoutée pour des finalités d’intérêt général, dans le respect des droits des entreprises en question, ainsi que des droits et libertés des personnes concernées ?

Ces quatre scénarios, présentés dans une matrice à quatre entrées comme autant de leviers actionnables, envisagent notamment des configurations privilégiant le recours à :

un « open data privé obligatoire » ;
des « données d’intérêt général augmentées » ;
des solutions de « plateformes d’accès aux données »,
la « portabilité citoyenne » ;

Sans privilégier l’un ou l’autre de ces scénarios, qui ne sont pas exclusifs, il s’agit de présenter l’économie générale de chacun, de souligner leurs potentialités et de mettre en lumière les enjeux qu’ils soulèvent pour la protection des données personnelles des citoyens.

Ce cahier IP est distribué avec son tiré à part, « Voyage au centre de la ville de demain », qui expose trois scénarios à horizon 2026 conçus dans le cadre d’ateliers de design fiction, organisés et animés par LINC en partenariat avec Five by Five (agence d’innovation) et Usbek & Rica (magazine d’exploration du futur).

BlueBorne, un malware susceptible d’affecter des milliards de dispositifs

Le malware BlueBorne devrait permettre, parfois en moins de dix secondes, de s’immiscer au sein d’équipements dotés de Bluetooth pour détourner des données.

La société Fortinet, créateur de solutions de cybersécurité, appelle à la vigilance vis-à-vis d’un nouvel exploit nommé BlueBorne, qui tire parti de certaines vulnérabilités Bluetooth, exposant ainsi potentiellement plusieurs milliards d’équipements à une attaque. À ce jour, il n’y a aucune preuve tangible qu’un tel vecteur d’attaque ait été utilisé. En revanche, il est fort possible que de tels exploits aient été évalués en environnement de tests, et qu’ils soient rapidement opérationnels et propagés en conditions réelles.

BlueBorne est un malware hybride (cheval de Troie – ver) qui se propage via Bluetooth. Compte tenu du comportement en tant que ver, tout système infecté est susceptible d’étendre l’infection en recherchant activement de nouveaux hôtes vulnérables. Tous les dispositifs avec une fonction Bluetooth, et notamment ceux sous iOS, Android, Mac OSX et Windows, sont autant d’hôtes potentiels.

Les dommages liés à ce malware sont potentiellement très importants, le Bluetooth étant l’un des protocoles de connectivité les plus répandus et utilisés dans le monde. Les équipements électroniques sont nombreux à l’avoir adopté, qu’il s’agisse de smartphones, d’objets connectés, de smart TV et même de systèmes de surveillance résidentiels.

« La lutte contre l’exploit BlueBorne s’annonce un vrai défi, puisque le protocole de communication Bluetooth n’est pas surveillé et inspecté par la plupart des outils de sécurité réseau. Ainsi, les fonctions traditionnelles de sécurité, comme la détection des intrusions, ne seront sans doute pas capables d’identifier les attaques BlueBorne, observe David Maciejak, Directeur des recherches sur la sécurité chez Fortinet. Cette technologie n’a pas vraiment été une priorité pour les chercheurs en sécurité et il est donc probable que nous assisterons à une recrudescence des attaques exécutées via Bluetooth dans un avenir proche. »

Voici trois recommandations pour vous protéger, ainsi que vos dispositifs Bluetooth :
• Désactivez le Bluetooth sur vos équipements lorsque cette fonction n’est pas utilisée. Si vous l’activez, assurez-vous de la désactiver après utilisation.
• Identifiez les dispositifs rattachés à votre réseau et consultez régulièrement les fabricants de ces équipements pour obtenir les mises à jour.
• Installez les patchs dès leur disponibilité. L’iOS d’Apple a ainsi été patché en 2016 avec la disponibilité d’iOS 10. Microsoft a fourni un patch pour Windows en juillet dernier. De son côté, Google devrait proposera un patch sous peu.

Le malware BlueBorne fonctionne en scannant les équipements équipés de Bluetooth, puis les teste afin d’identifier les vulnérabilités potentielles. Lorsqu’une cible est identifiée, l’intrusion peut s’effectuer en moins de dix secondes, d’autant que les dispositifs ciblés n’ont même pas à accepter une connexion entrante pour être piratés. Une fois l’intrusion effective, l’assaillant peut exécuter des commandes aléatoires sur le dispositif, voire accéder à des données pour les détourner. D’autre part, le processus d’attaque intègre la recherche d’autres cibles Bluetooth pour propager l’infection.

Une mise à jour plante des milliers de télévisions connectées Samsung

Des milliers de télévisions connectées de marque Samsung sont aux abonnés absents. Les propriétaires font les frais d’une mise à jour qui a tout planté.

Des milliers de propriétaires de télévisions connectées haut de gamme Samsung se sont plaints après une mise à jour logicielle qui a laissé leur écran sourd et muet. La raison, une mise à jour bancale. L’alerte a été lancée par le quotidien britannique « The Guardian« . La société coréenne a déclaré aux clients qu’elle travaillait pour résoudre le problème, mais que jusqu’à présent (soit plus d’une semaine, Ndr) rien n’est encore sorti pour corriger le « bug ». Le problème semble affecter les derniers modèles de la marque car les propriétaires d’anciens téléviseurs Samsung ne signalent aucun soucis. Une fois encore, le géant Samsung montre de léger dérapage dans sa structure. En 2016, l’entreprise proposait dans ses téléviseurs vendus au Royaume-Uni l’application BBC iPlayer. Sauf que l’entreprise avait omis d’en acquérir les droits. La diffusion des images étaient donc impossibles pour les acquéreurs des coûteux écrans. Un étonnant bug qui apparaît alors que Samsung a lancé, ce 23 août, son Samsung Note 8.

Joao : cyberattaque via un site dédié aux joueurs en ligne

Des chercheurs ont découvert un nouveau malware baptisé Joao, qui se répand par le biais de jeux informatiques diffusés sur des sites non officiels. Joao est un malware modulaire, capable de télécharger et d’exécuter d’autres codes malveillants.

Joao, le malware joueur ! Pour diffuser leur malware, les attaquants cachés derrière Joao ont abusé de jeux de rôle en ligne massivement multi-joueurs. « Ils ont modifié les jeux pour les rendre capables de télécharger du malware additionnel” explique Tomáš Gardon, analyste de malware chez ESET.

Les recherches ont démontré que les criminels derrière cette campagne ont abusé de plusieurs titres de jeux d’Aeria Games et installé leurs versions modifiées sur des sites non officiels. Les jeux auxquels Joao a été rajouté, étaient capables de recueillir des informations concernant l’ordinateur infecté et ensuite de télécharger des composants supplémentaires offerts par le serveur Command&Control des malveillants. Les composants de Joao découvert disposaient de capacités backdoor (porte cachée), d’espionnage et de DDoS (blocage de serveur, ordinateur, …) par la diffusion de connexions malveillantes ayant pour mission de saturer la cible du Déni Distribué de Service. « Le processus d’infection est bien caché aux yeux des victimes et ces jeux modifiés fonctionnent comme on s’y attend. Lorsque des utilisateurs passionnés de jeux se lance dans le téléchargement du jeux usurpateur, rien ne peut éveiller leurs soupçons. Ceux qui ne sont pas protégés par une solutions de sécurité fiable se retrouvent avec leur ordinateur infecté ».

Les experts en sécurité d’ESET conseillent de télécharger les jeux sur des sources officielles ; de faire les mises à jour proposées par les éditeurs ; utiliser une solution de sécurité fiable ; ne pas débrancher l’antivirus lors d’un jeu en ligne.

Fuite de données pour 52 loueurs de voitures néerlandais

Plus de 180 000 clients de loueurs de voitures des Pays-Bas accessibles sur Internet sans aucune sécurité, ni restriction.

La cybersécurité prend un coup dans l’aile pour des loueurs de voitures. Dans quelques 52 entreprises de location de véhicules opérant aux Pays-Bas, cette sécurité informatique était si mauvaise qu’il n’aura fallu que quelques clics de souris pour accéder à 180 000 dossiers de clients. La fuite a été découverte par la société ESET, société basée à Sliedrecht, qui recherchait un nouveau fournisseur d’automobiles d’entreprise pour son personnel. La fuite partait du logiciel professionnel LeaseWise. Via ce logiciel, les loueurs se partagent une base de données. Un partage non protégé des regards extérieurs ! Les données divulguées incluaient les adresses des clients, les contrats de location et le nombre total de kilomètres parcourus par voiture. (NLT)

Amazon retire de la vente des smartphones Chinois BLU

La boutique en ligne Amazon vient de retirer de la vente des smartphones Chinois de la marque BLU. Un logiciel espion y était caché à l’insu du constructeur !

Les téléphones portables BLU ont le blues ! Les smartphones sont des cibles privilégiées dès que cela concerne l’interception de données. Des sociétés se sont spécialisées dans ce genre d’agissement, comme l’entreprise Chinoise Adups. Cette entreprise avait diffusé, il y a quelques mois, un spyware via des smartphones sortis d’usine. L’éditeur de solutions de sécurité informatique Kryptowire avait découvert en octobre 2016 qu’ADUPS avait équipé des téléphones portables à petit prix de son spyware et récupérait de nombreuses données personnelles via les téléphones infiltrés dont les messages, et les appels.

Dix mois plus tard, l’espion d’ADUPS a été modifié et de nouveau caché dans des smartphone low-cost dont ceux de la société BLU. Un spyware caché dans la chaîne d’assemblage des appareils. Le problème pour Adups est qu’une fois encore, son petit manège a été détecté par Kryptowire qui a expliqué le fonctionnement de cet espionnage lors du Black Hat de Las Vegas, l’avant DEF CON. Seulement, cette fois, un dommage collatéral vient d’apparaître.

L’un des fabricants de téléphone, lui même piégé cette infiltration, vient de voir ses téléphones interdits à la vente sur Amazon. La cyber boutique américaine a retiré de son référencement l’intégralité des produits de BLU.