Chiffrement, cryptage, Cybersécurité, Identité numérique, Vie privée

Protection des données des consommateurs sur Internet

3 commentaires

Dashlane, éditeur d’outils de gestion de mots de passe et des portefeuilles numériques, a dévoilé à DataSecurityBreach.fr les résultats de la seconde édition de son baromètre sur la protection des données des consommateurs sur Internet.

Cette seconde édition a passé au crible plus de 130 des sites américains, anglais et français (44) les plus populaires du web à la suite de la faille Heartbleed. Ce baromètre met en évidence que 86% des sites français analysés utilisent des politiques de sécurité de mots de passe en dessous de la moyenne acceptable. Beaucoup n’ont pas mis en œuvre ne serait-ce que les règles de base, laissant les données personnelles des consommateurs sur Internet dangereusement vulnérables.

Cette analyse se fonde sur 22 critères identifiés comme critiques pour la sécurité des mots de passe sur Internet. Chaque critère permet d’attribuer un nombre de points positif ou négatif, ce qui donne un score final possible en -100 et +100 pour chaque site web étudié. Un score de +50 points correspond à la mise en œuvre minimale des bonnes pratiques vis-à-vis des mots de passe suggérées par Dashlane. Cette étude fait suite au premier baromètre publié par Dashlane sur le même sujet au premier trimestre 2014.

Apple, le seul site à voir la note maximum
Le site d’Apple avait obtenu la meilleure note dans le premier baromètre, et il est de nouveau le seul site web à se voir décerner la note maximale, à savoir +100. Live.com (Microsoft) termine second, tandis que UPS, Yahoo et Paypal occupent respectivement les troisième, quatrième et cinquième positions. Les autres sites réussissant ce test sont par exemple La Poste, leboncoin.fr, eBay et Skype. Gmail et la Fnac sont ex aequo à la dixième place.

Les mauvais élèves
Dans les sites français, ce sont Showroomprivé, Meetic Affinity et Spartoo qui reçoivent les plus mauvais scores. En remontant dans le classement des mauvais élèves, on trouve les 3 Suisses, Alloresto, Viadeo, easyJet.com, Cdiscount et Amazon. Dashlane a examiné six catégories de sites web : sites de rencontre, e-commerce, sécurité, productivité, outils sociaux et voyages. Le baromètre montre que ce sont les sites de rencontre qui obtiennent la plus mauvaise moyenne avec -45. Suivent les sites de sécurité (-23 de moyenne), de e-commerce (-21) et de voyages (-16).

Toujours des pratiques dangereuses malgré Heartbleed
Même si la plupart des sites ont demandé à leurs utilisateurs de changer leur mot de passe suite à la découverte de la faille Heartbleed, ils n’ont pas corrigé leurs faiblesses dans leur politique de sécurité. Dashlane a comparé les scores de sécurité obtenus dans le baromètre avec la robustesse réelle des mots de passe utilisés sur ces sites.

Un résultat net se dessine, montrant la corrélation entre la complexité des mots de passe utilisés et la note de sécurité obtenue. En d’autres termes, plus le site impose un mot de passe complexe, meilleure est la sécurité réelle des mots de passe des utilisateurs. Il va sans dire que plus le mot de passe est simple, plus les données personnelles et bancaires des consommateurs sont exposées. Les mots de passe représentent la première ligne de défense des données personnelles des consommateurs sur Internet. Le fait que certains sites ne demandent pas de mots de passe sécurisés veut donc dire qu’ils sont conscients d’exposer leurs utilisateurs aux attaques et aux logiciels malveillants.

Autre enseignement de ce baromètre que DataSecurityBreach.fr a pu lire, 51% (55% pour les sites français) des sites les plus importants ne verrouillent pas les comptes des utilisateurs après 10 tentatives de connexion incorrectes. L’une des méthodes favorites des pirates est d’essayer au hasard les mots de passe les plus répandus. Le pirate a seulement besoin d’une liste d’adresse emails et de mots de passe populaires (les deux sont faciles à trouver sur Internet). Ils n’ont plus qu’à utiliser un programme pour tenter de se connecter à un site en essayant des millions de combinaisons associant une adresse email à un mot de passe. C’est ce que l’on appelle une attaque « par force brute ».

En bloquant un compte utilisateur après un certain nombre de tentatives de connexion erronées, les sites web peuvent simplement bloquer ce type d’attaque et de ce fait mieux protéger les données personnelles des consommateurs. Les sites suivants ne sont que quelques-uns des sites les plus connus qui ne bloquent pas les comptes utilisateurs après 10 tentatives d’accès infructueuses : Amazon, Gmail, Evernote, eBay et Nike.

Des solutions simples
Les sites web devraient adopter au minimum les mesures suivantes en matière d’exigence sur les mots de passe :
Mot de passe de 8 caractères minimum
Mot de passe comprenant des chiffres et des lettres, avec des minuscules et des majuscules
Email de confirmation pour tout changement de mot de passe
Ne pas accepter les 10 mots de passe les plus vulnérables
Bloquer le compte utilisateur après 10 tentatives incorrectes de connexion

Emmanuel Schalit, CEO de Dashlane, commente ces pratiques : « Les entreprises et les sites web n’ont aucune excuse pour leur faible politique en matière de mot de passe. La mise en œuvre de politiques de sécurité pour les mots de passe ne coûte pas cher et est facilement réalisable grâce aux technologies open source existantes. Notre étude montre une nette corrélation entre les exigences des sites en matière de mots de passe et le niveau de sécurité des mots de passe des utilisateurs. Les sites qui exigent des mots de passe complexes ont des utilisateurs qui ont des mots de passe mieux sécurisés. Les mots de passe sont la première ligne de défense pour les données personnelles et confidentielles des consommateurs sur Internet, et des exigences faibles en matière de mots de passe les exposent encore plus. »

Adobe, Cybersécurité, Logiciels, Microsoft, Mise à jour, Oracle, Patch

Grosses mises à jour Microsoft et Adobe

Microsoft a publié ce 8 juillet six bulletins pour des vulnérabilités qui affectent toutes les versions d’Internet Explorer, de Windows ainsi que des composants pour serveur. Deux vulnérabilités sont considérées comme « critiques » car elles autorisent l’exécution de codes à distance (RCE), tandis que trois sont signalées comme « importantes » dans la mesure où elles autorisent une élévation de privilèges internes sur Windows.

Le patch le plus critique est le bulletin 1. Il concerne toutes les versions d’Internet Explorer (IE) depuis la version 6 du navigateur, désormais uniquement prise en charge sur Windows Server 2003 depuis l’arrêt du support de XP, jusqu’à la toute dernière version IE 11 sur Windows 8.1 et R. Ce patch doit être une priorité pour vous car la plupart des attaques s’appuient d’une manière ou d’une autre sur votre navigateur Web. Les derniers chiffres publiés dans le rapport Microsoft SIR v16 démontrent clairement que les attaques Web, notamment via Java et Adobe Flash, sont les plus courantes.

Le bulletin 2 est une mise à jour critique pour Windows. Toutes les versions de Vista, Windows 7, 8 et RT pour poste de travail sont concernées. Concernant l’aspect serveur, toutes les versions sauf la plus ancienne, Windows Server 2003, sont affectées. La mise à jour imposera de réinitialiser le système, un paramètre à inclure dans votre planning, plus particulièrement côté serveur.

Les bulletins 3, 4 et 5 traitent de vulnérabilités liées à des élévations de privilèges dans Windows. Toutes les versions de Windows sont concernées. Il s’agit de vulnérabilités locales qui ne permettent pas d’exécuter du code à distance via le réseau, mais qui imposent à l’attaquant d’être déjà présent sur la machine ciblée en tant qu’utilisateur normal ou standard. Les exploits pour ces types de vulnérabilités font partie de la boîte à outils de tout pirate qui a obtenu un compte sur la machine ciblée, après avoir subtilisé des certificats. Dans tous les cas de figure, l’attaquant souhaitera pouvoir contrôler la machine en permanence et, pour ce faire, il devra devenir administrateur de cette dernière afin d’y installer son code de contrôle malveillant. C’est à ce moment que ces vulnérabilités entrent en jeu. Nous estimons donc que résoudre ces dernières est une priorité absolue pour contrarier ou ralentir les attaquants installés sur la machine ciblée.

Enfin, le bulletin 6 traite une vulnérabilité par déni de service (DoS) dans le Service Bus de Windows. Le Service Bus est un tout nouveau composant de Windows utilisé dans l’environnement Windows Azure pour développer des applications hétérogènes. Selon nos estimations, rares sont les entreprises qui ont installé ce composant. Sur Azure, Microsoft se charge de déployer le correctif à votre place.

Courant juillet, Oracle publiera sa mise à jour des patchs critiques (CPU). Elle devrait être diffusée le 15 juillet et fournir des correctifs pour des centaines de vulnérabilités. La pertinence de ces patchs pour votre entreprise dépend de votre inventaire logiciel, mais, dans tous les cas, la mise à jour de Java sera incontournable pour la plupart des entreprises.

Même chose pour ADOBE. Il est d’ailleurs conseillé de se rendre sur le site afin de mettre à jour rapidement l’outil Flash Player. Une mise à jour d’Adobe Flash indispensable. Passez rapidement vers la version 14.0.0.145 qui tourne sur les systèmes Windows, Mac et Linux. Voyez le site ADOBE pour connaitre votre version de flash installée. (avec Wolfgang Kandek, CTO Qualys)

Android, Chiffrement, cryptage, Cybersécurité, Fuite de données, ios, Logiciels, Mise à jour, Patch, Sécurité, Téléphonie

Google ne protège toujours pas Gmail pour iOS

2 commentaires

Vous avez un iPhone, un iPad ? Vous utilisez le service webmail de Google gMail ? Vous allez être heureux d’apprendre que le géant américain n’a toujours pas corrigé la faille qui permet d’intercepter les données qui transitent entre votre précieux et gMail.

L’alerte avait été lancée en février dernier par la société Lacoon Mobile Security. A l’époque, l’entreprise expliquait déjà que Google n’avait pas sécurisé les transmissions entre l’internaute et gMail. Bilan, il était possible de lire et modifier les communications normalement chiffrées. Etonnament, la faille a été corrigée sur Android, mais l’américain a « oublié » de faire de même pour les produits d’Apple. Bref, un pirate se mettant entre vous et la connexion, via une connexion wifi « gratuite » par exemple, n’aura aucun mal à intercepter et utiliser votre compte gMail. En attendant un correction, il est fortement déconseillé d’utiliser les applications gMail via une machine commercialisée par la grosse pomme.

Cyber-attaque, Cybersécurité, Justice, Leak

Le Ninja Chinois vivait au Canada

2 commentaires

La police canadienne vient de mettre la main sur un présumé piraté informatique Chinois. Ce dernier est accusé par les services secrets américains d’avoir visité, sans autorisation, les systèmes informatiques de Boeing.

Ce pirate informatique aurait réussi à mettre la main et la souris sur des dossiers traitant du Boeing C-17 et des Lockheed Martin F-22 et F-35. Bref, si cela est vrai, nous pouvons constater cinq choses. Les « IP made in China » que l’on nous affiche dans les logs sont en grande partie des leurres; que les pirates Chinois sont plus efficace hors de chez eux; que les géants de l’industrie ont des trous partout;  qu’ils n’ont pas l’air d’être choqué quand, toujours dans les logs, des centaines de gigas octets de dossiers s’envolent dans la nature; que le chiffrement n’a pas l’air d’être important.

Le présumé pirate, Su Bin, vit au Canada. Il était le patron d’une société spécialisée dans l’aéronautique. Avec deux complices, basés en Chine, ils auraient collecté des informations sur les nouveautés de Boeig (C17, F22 et F35). L’Oncle Sam affirme que les informations ont été transmises au gouvernement Chinois et que le Y20, clone du C17, serait la résultance de ce piratage… durait depuis 2009. Bref, « Y-a-t-il un pilote dans l’avion ?« . Une seconde annonce de piratage chinois au moment ou le secrétaire d’Etat américain John Kerry et le secrétaire au Trésor Jacob Lew visent le gouvernement Chinois pour parler business.

Pendant ce temps…

Qendrim Dobruna, un Albanais de 27 ans qui évoluait sur la toile sous les pseudonymes de « cl0sEd » et « cL0z », arrêté en Allemagne en 2012 et extradé aux USA vient de plaider coupable de fraude bancaire. C’est devant le tribunal de New York, vendredi, que l’homme a affiché son envie de ne pas finir en prison durant les 100 prochaines années. Il est accusé d’avoir participé au vol de 14 millions de dollars, en 2011, via des centaines de distributeurs de billets basés dans 18 pays et quelques 15.000 retraits frauduleux. En février 2011, ce brave garçon avait eu le courage d’attaquer le système de paiement en ligne mis en place pour la Croix rouge américaine. Il connaitra son sort le 24 octobre prochain. Il risque 1 million de dollars, la confiscation de ses biens. Il découvrira aussi si les 30 prochaines années il les passera dans une prison fédérale. Le Secret Service américain a travaillé en étroite collaboration avec le ministère de la Justice et INTERPOL pour mettre la main sur le pirate et ses amis.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données, Identité numérique, Linux

En vacances, protégez votre vie 2.0

4 commentaires

Que vous soyez une personne importante ou non, aux yeux d’un pirate informatique vous n’êtes rien d’autre qu’un cloud vivant dans lequel il pourra en soutirer argents et données sensibles.

La rédaction de Data Security Breach vous propose quelques trucs et astuces à utiliser lors de vos déplacements afin de sécuriser votre informatique, votre smartphone, bref, votre vie 2.0. Attention, nos conseils ne vous sécurisons pas à 100%, la sécurité totale n’existe pas. Par contre, nos conseils freineront un maximum le pirate, le curieux, bref ce malveillant. Pas de paranoïa, juste de la prudence et une hygiène numérique à respecter. Nous avons rencontré, lors de nos voyages, de vrais professionnels de la recherche d’information via des cibles touristiques ou en « séminaires ». N’oubliez jamais que le « curieux » doit être rapide pour agir. Plus il passera du temps sur sa cible, plus il sera fragilisé dans son action, visible, donc détectable.

Dans votre hôtel/camping/…
– Ranger votre machine dans le coffre de votre chambre (si coffre il y a).

– Retirer la batterie. Ranger la prise électrique ailleurs, dans la chambre. Dans votre valise, fermée à clé par exemple. Comme nous vous le montrons, il existe des prises qui permettent d’être scindée en trois parties. De quoi retarder le pirate. Il ne pourra pas alimenter l’ordinateur.

– Changer le mot de passe de portable et mettez un mot de passe au bios de votre machine. Le mot de passe bios vous évitera la modification de lancement de votre ordinateur, via une clé USB ou un CD boot casseur de mot de passe. [Voir comment Zatazweb.tv a cracké le mot de passe de n’importe quel Windows en 30 secondes].


– Chiffrer les informations sensibles ou le disque dur de votre ordinateur. Qu’on le veuille ou non, BitLocker sur Windows 8 pro est efficace. N’hésitez pas à rajouter une seconde, voire une troisième couche avec Zed! ou TrueCrypt. Zed! a reçu la qualification ANSSI niveau standard (08/2010) et Certification Critères Communs EAL3+ (07/2010). Pour TrueCrypt : qualification niveau élémentaire (08/2009) et Certification CSPN (12/2008).

– Utiliser un câble antivol.

– N’hésitez pas à mettre un bout de scotch qui bloque les deux parties de votre portable. Si quelqu’un tente de l’ouvrir, vous le verrez. Un autocollant original et difficile à trouver dans le commerce fera parfaitement l’affaire.

– Chez DataSecurityBreach.fr, nous prenons en photo les vis des disques durs de nos portables. Si ces dernières ont bougés, ont été déplacées, vous pourrez vous en rendre compte.

– Une goute de cire, sur les vis est aussi très utile pour y appercevoir une potentielle manipulation. Il existe des cires de couleurs, évitez le rouge.

– Un antivirus mis à jour obligatoire.

– Utiliser un VPN pour vos connexions. VyprVPN est, à notre sens, très efficace tout comme VyPRVPN [Nous les utilisons, plus d’autres, NDR] Nous l’utilisons. Rapide, propose des centaines de connexions protégées dans le monde, avec un firewall NAT intégré loin d’être négligeable.


– Nous employons aussi une mini caméra de 5 cm qui s’enclenche dès lors qu’un mouvement dans la zone surveillée est détecté.

Autre point, sauvegardez vos documents administratifs sur un cloud sécurisé n’est pas négligeable en cas de perte de vos papiers, moyens de paiement. Sauvegardez y aussi les numéros de téléphones d’urgences (Ambassade, amis, familles, …). Bien évidement, chiffrez les données. Utilisez, par exemple, l’excellent Zed! Free par exemple. Une connexion à votre cloud sécuriser à n’utiliser qu’en cas d’urgence. N’allez pas me taper le mot de passe, sur un poste informatique « libre ». Pensez, si vous vous sentez capable de l’utiliser, emporter avec vous une cd/clé USB bootable avec un Linux intégré (Knoppix USB ou Tails par exemples).

Il en va de même pour votre téléphone portable. Ne le quittez jamais des yeux. L’installation d’un code malveillant étant devenu très simple. Pensez à employer un filtre évitant les regards « au dessus de l’épaule » ou sur les côtés. Des filtres qui permettent d’éviter les regards un peu trop curieux. Dernier détail en date, et de taille, pensez à charger vos appareils électroniques au maximum, surtout si vous partez sur le sol de l’Oncle Sam. Dorénavant, votre téléphone, votre ordniateur, votre tablette pourront être allumés devant un agent de sécurité, histoire de s’assurer que ce dernier ne cache pas une bombe. En cas de « non » allumage, le matos finira à la poubelle. Pensez à détruire les papiers que vous souhaiteriez jeter à la poubelle. Des petits bouts de papiers dans les toilettes sont plus efficace qu’une boulette dans la corbeille de votre chambre. Coupez le wifi et le Bluetooth. Ne sauvegardez/mémorisez aucun mot de passe dans votre appareil (il en va de même pour votre ordinateur et tablette).

Loin d’être négligeable, une pochette de sécurité, de type Stop RFID, permettant de sécuriser votre carte bancaire, passeport, … d’une tentative de connexion NFC non autorisée. Un bookmark de sites indispensables comme http://www.diplomatie.gouv.fr/fr/conseils-aux-voyageurs_909/ et Data Security Breach 😉 peut être envisagé.

L’utilisation des ordinateurs et des connexions proposés par les hôtels, campings, … sont à utiliser avec modération et intelligence. N’utilisez JAMAIS ces outils « libres » à des fins privées. JAMAIS vos mots de passe ; Accéder à vos courriels est fortement déconseillé sans passer par un système de VPN, INDISPENSABLE. Vous n’êtes cependant pas à l’abris d’un logiciel d’interception de vos frappes clavier (Keylogger). Pour finir, Comme nous le révélions dans notre article « Diner de cons dans les ordinateurs des Hôtels » nous croisons beaucoup trop de données qui n’ont rien à y faire ! Attention, dernier détail important, comme le rappel l’ANSSI, prenez connaissance de la législation locale. Des informations sur les contrôles aux frontières et sur l’importation ou l’utilisation de la cryptographie sont disponibles sur le site de l’Agence Nationale de la Sécurité des Systèmes d’Information.

Bref, contraignant, mais sécurisant. Si aucune de ces solutions proposées par Data Security Breach ne vous conviennent, posez-vous une dernière question : Avez-vous vraiment besoin d’un ordinateur pendant vos vacances ?

Android, ios, Sécurité, Smartphone

Fuite de données via des smartphones d’occasion

L’éditeur AVAST Software, l’éditeur de solutions de sécurité, a récupéré facilement des données personnelles sur des smartphones d’occasion achetés en ligne, malgré la suppression des données par les consommateurs.

Sur les appareils d’occasion, il a été possible de récupérer plus de 40 000 photos, e-mail et SMS personnels et, dans certains cas, l’identité des vendeurs. « La quantité de données personnelles que nous avons récupérée sur les téléphones était incroyable. Nous avons trouvé de tout, d’un formulaire de prêt rempli à plus de 250 selfies de ce qui semble être le corps masculin du propriétaire précédent, » a déclaré Jude McColgan. « Nous avons acheté divers appareils Android à des vendeurs dans l’ensemble des États-Unis, et nous avons utilisé des logiciels de récupération couramment disponibles pour exhumer des informations personnelles se trouvant auparavant sur les téléphones. La leçon à en tirer est que même les données supprimées sur votre téléphone d’occasion peuvent être récupérées, à moins de les écraser complètement. » 20 smartphones d’occasion ont été analysés dont les propriétaires précédents avaient effectué une réinitialisation d’usine ou une opération de « suppression complète » sur leurs appareils. Malgré ces efforts, Plus de 40 000 photos enregistrées, plus de 750 e-mails et SMS et autres informations ont pu être récupérées.

« Plus de 80 000 smartphones d’occasion sont en vente quotidiennement sur eBay aux États-Unis. En même temps que leurs téléphones, les consommateurs peuvent ne pas être conscient du fait qu’ils vendent leurs souvenirs et leur identité. Les images, les e-mails et d’autres documents supprimés des téléphones peuvent être exploités pour le vol d’identité, le chantage ou même à des fins de harcèlement. Revendre votre téléphone usagé est une bonne façon de gagner un peu d’argent, mais il s’agit potentiellement d’une mauvaise façon de préserver votre vie privée, » a ajouté Jude McColgan. Il est recommandé aux consommateurs intéressé par la vente de leur appareil Android d’installer une application qui écrase les informations avant de revendre leur téléphone.

Hacking, Rendez-Vous

Etape exceptionnelle à Québec pour le Hacknowledge-Contest Europa Africa 2014 – 2015

La compétition de hacking éthique à travers l’Europe et l’Afrique élargie son spectre avec un arrêt dans la Province canadienne le 22 août 2014.

L’association Française à but non lucratif ACISSI poursuit la sixième édition de son challenge et annonce une étape exceptionnelle avec un Hacknowledge Québec le 22 août, de 20h00 à 8h00 non-stop ! En partenariat avec le Hackfest Québec, qui réunit à lui seul plus de 600 participants, cette nouvelle étape arrive naturellement pour le Hacknowledge-Contest tant l’alliance entre les deux événements tombe sous le sens ! Autour de valeurs communes cette rencontre mettra les talents du hacking à l’épreuve. En marge un programme de conférences sera proposé au Cégep Sainte-Foy, à Québec.

L’objectif commun des deux associations est de valoriser les compétences dans le domaine du hacking éthique, tout en révélant de nouveaux talents dans le cadre d’une approche ludique et préventive de la sécurité informatique. Cette édition offrira la possibilité d’échanges fructueux entre spécialistes, voire comme à chaque édition des opportunités de recrutement pour les meilleurs d’entre eux.

Pour Martin Dubé, co-organisateur du Hackfest Québec : « Le Hackfest est un organisme à but non lucratif qui a pour objectif de promouvoir la sécurité informatique. Notre événement annuel a regroupé plus de 600 participants la dernière édition et nous désirons faire grandir la communauté de passionnés de sécurité informatique. Il nous fait plaisir d’encourager l’initiative du Hacknowledge qui a une mission similaire à la notre en leur offrant un pied à terre à Québec, notamment des locaux, du matériel informatique pour les challenges et biensûr la possibilité de récupérer un maximum de participants. Nous voyons cette édition comme une opportunité de nous faire connaître à l’extérieur du Québec et de travailler sur des projets avec des gens aussi passionnés que nous. »

De son côté Franck Ebel, co-organisateur du Hacknowledge-Contest Europe-Afrique, souligne « Cet échange outre-Atlantique nous permettra d’obtenir une autre vision du hacking que celui de l’Europe/Afrique et de faire rencontrer lors de la finale l’équipe québécoise sélectionnée avec celles du hacknowledge « traditionnel ». Le hacking n’a pas de frontière et cette étape sera une expérience enrichissante et un partage de connaissances unique. »

Les inscriptions sont gratuites et ouvertes à tous, via : http://www.hacknowledge-contest.org

Le menu proposera plus de soixante dix épreuves illustrées par des techniques multiples (forensic, hardware, réseau filaire, wifi, web, applicatif, systèmes industriels…). Chaque équipe qualifiée recevra une bourse pour représenter son pays lors de la compétition finale qui se déroulera en France. Le Hacknowledge-Contest 2014-2015 récompensera les lauréats d’un séjour à Las Vegas, où ils participeront à la mythique conférence DEF CON, qui rassemble chaque année l’élite du hacking planétaire.

A propos de l’association ACISSI
ACISSI (Audit, Conseil, Installation et Sécurisation des Systèmes Informatiques) est une association loi 1901. Ses fondateurs sont trois membres de l’Université de Valenciennes et du Hainaut Cambrésis, Franck Ebel, Responsable de la licence professionnelle Ethical Hacking « CDAISI », Jérôme Hennecart, Responsable de la formation continue en DUT Mesures Physiques, et Robert Crocfer, administrateur réseau et responsable administratif de l’antenne de Maubeuge. Les autres membres techniques de l’association sont des professionnels et experts en sécurité informatique reconnus. L’association a pour principal objectif de sensibiliser et former à la sécurité informatique l’ensemble des publics ayant un contact de près ou de loin avec les systèmes d’informations.

A propos du Hackfest
Le Hackfest est une communauté regroupant tant les experts que les passionnés de la sécurité informatique. L’événement annuel du même nom, réunit plus de 600 personne et est l’activité principale de l’organisation. Le Hackfest a un rayonnement provincial et dans l’est du Canada anglais qui fait que plus de la moitié des participants viennent de l’extérieur de la région de Québec. Le Hackfest regroupe d’autres activités, telles que le HackerSpace mensuel, le Podcast, le blogue, les projets et encore plus.

L’événement annuel c’est deux jours de conférences, où la première journée s’adresse à un public curieux de la sécurité et la deuxième à un publique qui s’intéresse aux détails techniques de la sécurité, aka “Hardcode”. Les soirées sont une rencontre privilégiée, où les participants peuvent mesurer leur habileté en sécurité lors de « Capture the Flag », « Red team & Blue team » unique en sont genre, du lockpicking et plus encore. Cela en fait le plus gros événement de sécurité au Québec et le plus gros rassemblement de hacking games du genre dans l’Est du Canada.

Cyber-attaque, DDoS, Leak, Piratage

Démocratie en Tunisie vue par des pirates

Le site oueb de l’Instance supérieure indépendante pour les élections (ISIE) en Tunisie, isie.tn, a été victime d’un piratage informatique qui a perturbé l’espace démocratique durant quelques heures.

Une attaque informatique non revendiquée officiellement. Selon le président de l’ISIE, Chafik Sarsar, le pirate a pu atteindre, via une faille iSQL, mercredi 8 et jeudi 9 juin, la base de données du portail. Il semble, mais cela n’a pas été confirmé, qu’une attaque de type DDoS a été lancée à l’encontre de l’application USSD en charge des inscriptions. Une attaque qui fait suite au piratage du Facebook de l’ISIE, le 8 juillet, par un pirate du nom de Fellaga. Ce dernier a diffusé, dans l’espace communautaire de l’instance ce message « Un homme averti ne se fait pas piéger deux fois. A quoi servent les élections ? Inventons une solution alternative !« .

Argent, Banque, Justice, Paiement en ligne, Piratage

Un pirate informatique Moldave jugé en Suisse

Un pirate informatique Moldave, qui avait piraté une banque américaine de Floride, vient d’être condamné par la justice Suisse.

L’homme âgé de 38 ans vient d’écoper d’une amende de 1,5 millions de francs Suisses, de quelques mois de prison et se retrouve avec une expulsion vers les Etats-Unis qui risquent de lui coûter encore plus cher. A noter que la justice a pu saisir 12 millions de francs (plus de 9 ,8 millions d’euros) que le pirate possédait sur six comptes bancaires qu’il possédait.

Avec 6 passeports en poche, le voleur numérique aurait, via ses actes de piratages et ses complices, transféraient quelques 200 millions de francs Suisse (+164 millions €). Il avait réussi à pirater des comptes bancaires de la Warrington Bank en piégeant une caissière, via un mail malveillant. Il lui avait dérobé ses identifiants de connexion qui avaient permis par la suite à opérer des dizaines de paiements frauduleux. (Le Matin)

BYOD, Cloud, Entreprise, Fuite de données, Logiciels

Hub sécurisé de services cloud

Orange Business Services intègre Salesforce à Business VPN Galerie, son hub sécurisé de services cloud.

Les entreprises pourront accéder à l’ensemble des solutions cloud Salesforce à travers le réseau « cloud-ready » d’Orange Business Services A l’occasion de la tenue du Salesforce World Tour à Paris, Orange Business Services a annoncé l’arrivée de Salesforce au sein de son écosystème de services cloud disponibles sur Business VPN Galerie. Lancé en 2010, Business VPN Galerie est le premier hub mondial reliant les clients VPN d’Orange Business Services à des services cloud à travers des passerelles entièrement sécurisées.

Grâce à Business VPN Galerie, les entreprises accèdent aux infrastructures et aux applications cloud d’Orange et de ses partenaires en bénéficiant des avantages d’un réseau privé conçu pour les besoins du cloud, dit « cloud-ready ». Elles bénéficient ainsi de services de management et de support de bout en bout ou encore de garanties de fiabilité, de performance et de sécurité. Les clients peuvent par ailleurs conserver leurs moyens d’accès utilisateur existants, ainsi que les politiques relatives à la sécurité de leur entreprise. « Business VPN Galerie a été la première offre réseau « cloud-ready » du marché. En interconnectant Business VPN Galerie et Salesforce, nous enrichissons considérablement l’écosystème d’applications disponibles sur Business VPN Galerie », déclare Didier Duriez, Senior Vice President Global Solutions and Services chez Orange Business Services.

L’association des solutions Orange Business Services et Salesforce permet ainsi aux entreprises de bénéficier simultanément des avantages de leur réseau VPN et de la flexibilité de salesforce.com, pionnier du modèle cloud. « Les entreprises doivent renouveler leurs manières d’interagir avec leurs clients pour se développer dans le monde connecté qui est le nôtre aujourd’hui », indique Olivier Derrien, Vice Président de salesforce.com. « En intégrant Salesforce.com à Business VPN Galerie, Orange Business Services soutient les entreprises dans cette transformation majeure. » Actuellement, Business VPN Galerie fournit des services à plus de 700 entreprises multinationales sur plus de 15 000 sites.

Aujourd’hui, pas moins de 20 services cloud d’Orange Business Services et de ses partenaires sont disponibles à travers Galerie.

Petites entreprises, grandes menaces : restez informés, restez protégés

Quitter la version mobile