Android, BYOD, Chiffrement, Cybersécurité, Fuite de données, ios, Sauvegarde, Sécurité, Téléphonie

Configurer efficacement la double identification Google

8 commentaires

 « L’attaque est le secret de la défense, la défense permet de planifier une attaque. », voilà un adage qui plait à l’oreille de l’équipe de DataSecurityBreach.fr. Il colle parfaitement à l’ambiance numérique. Comme celle concernant la sécurité de son compte Google. Dire que la double identification pour un compte webmail, Twitter, Facebook ou tout autres services web devient indispensable est un doux euphémisme. Et ce n’est pas ce pauvre banquier de Dubaï qui dira le contraire. Un pirate informatique a réussi à se faire transférer 15.000 $ sur un compte bancaire basé en Nouvelle-Zélande en communiquant avec le banquier via un compte gMail piraté. Bref, n’attendez pas le passage d’un pirate. Mettez en action la double identification Google, qui, en regardant de plus prêt est en faite une quadruple identification.

Configurer les numéros de téléphones de secours

DataSecurityBreach.fr vous conseille un numéro portable et un numéro fixe. Dans le premier cas, pour recevoir par SMS le code de secours. Dans le second cas, recevoir le précieux secours via un téléphone fixe et une voix humaine.

Codes de secours à imprimer

Il vous permet de disposer de 10 codes si vos téléphones ne sont pas disponibles. 10 séries de 8 chiffres qui vous permettront de vous connecter à votre compte. Mots de passe spécifiques aux applications.

Google Authentificator

Avec les téléphones portables, data security breach vous en parle souvent, les accès malveillants se multiplient. Google propose « Google Autentificator« . Une application pour iOS, Android, … qui donne accès à un code d’identification unique. Code valide durant 1 minutes à rentrer, en plus de votre mot de passe habituel. Bref, voilà une sécurité digne de ce nom qui prend quelques minutes à configurer mais permet de ne pas passer des heures, quand ce ne sont pas des jours à sauver les meubles après le passage d’un pirate informatique.

Cyber-attaque, Cybersécurité, Fuite de données, Patch

Piratage de l’Internet des objets, mais pour la bonne cause !

2 commentaires

Lookout – leader des solutions de protection des particuliers et des professionnels utilisant des appareils mobiles – a dévoilé à Data Security Breach une faille de sécurité dans les lunettes Google Glass, transmise à Google et corrigée depuis par l’éditeur. Les nouvelles technologies nous facilitent la vie à un point inimaginable il y encore quelques années, qu’il s’agisse de véhicules électriques à commande vocale ou de thermostats sans fil. Notre soif de nouveautés entraîne le regain de l’informatique embarquée et elle est à l’origine d’une révolution dans le domaine des réseaux.

Les objets du quotidien se voient équipés de capteurs qui leur permettent d’interagir avec l’environnement extérieur, de processeurs pour y réfléchir et d’interfaces réseau pour pouvoir en parler. En se connectant les uns avec les autres et en partageant ce qu’ils voient, entendent et enregistrent, ces nouveaux appareils intelligents inaugurent le Nouvel Age de l’Internet. L’Internet des objets prend désormais le pas sur l’Internet des ordinateurs. Au 30 juin 2010, il y avait environ 1,9 milliard d’ordinateurs connectés au Net. A titre de comparaison, on comptait en 2012 environ 10 milliards d’objets connectés.

Les bienfaits que ces appareils intelligents nous apportent au quotidien sont incommensurables. Reste qu’en les dotant d’une telle intelligence et perception, nous modifions leur nature. Des objets ordinaires d’apparence familière, sans particularités sur le plan de la sécurité, se muent soudain en gardiens de données sensibles, qu’elles soient à caractère financier ou concernent des facettes de notre vie privée. Ainsi, si un thermostat autonome traditionnel fixé au mur d’une maison n’intéressera jamais des pirates, la donne sera toute autre pour son équivalent connecté. Ce dernier peut en effet renseigner sur le nombre de personnes habitant dans la maison et sur les technologies connectées au réseau. En cas d’absence des occupants, l’habitation deviendra alors une proie de choix. Un nouveau type de thermostat connecté qui serait contraint à collaborer avec un million d’autres de ses pairs pourrait poser un grave problème de sécurité pour le réseau électrique national, faisant de lui un objet de convoitises pour des terroristes. En modifiant la nature des objets, il devient crucial de pouvoir repérer les vulnérabilités et de réagir rapidement avec des mises à jour. Les objets connectés doivent ainsi être traités comme des logiciels. Lookout a étudié deux cas qui présentent deux méthodes de gestion des vulnérabilités — une bonne et une mauvaise.

Cas n°1 – Les Google Glass
Google a sélectionné ce qui fait de mieux sur le plan technologique dans le domaine des smartphones, pour concevoir un ordinateur qui se porte sous forme de lunettes. Imaginez un appareil capable de traduire dans votre langue, en un clin d’œil, des menus écrits dans une autre langue étrangère ! Imaginez un guide personnel qui identifie le bâtiment que vous êtes en train d’admirer, en vous relatant son histoire. Avec le système Glass, la technologie de reconnaissance optique des caractères qui permet à un ordinateur de lire des textes imprimés, fait figure d’antiquité. Chaque fois que vous prenez une photo, Glass recherche des données reconnaissables, les plus évidentes étant les QR codes, un type de code-barres contenant par exemple des instructions d’envoi de SMS ou d’accès à un site web hébergeant des éléments capables de modifier les paramètres de l’appareil. Google a tiré parti de ces possibilités pour permettre aux utilisateurs de configurer facilement leurs lunettes Google Glass sans l’aide d’un clavier.

C’est à ce niveau que nous avons identifié un problème de sécurité de taille. S’il est pratique de pouvoir configurer un QR code pour le système Glass et de se connecter facilement à des réseaux sans fil, il en va tout autrement si d’autres personnes peuvent se servir des mêmes QR codes pour commander aux Google Glass de se connecter au réseau Wi-Fi ou à des appareils Bluetooth de leur choix. Mais c’est malheureusement possible. Nous avons réussi à concevoir des QR codes basés sur les instructions de configuration, obtenant ainsi nos propres QR codes malveillants. Une fois photographié par un porteur de lunettes Google Glass, ce code a ordonné au système Glass de se connecter furtivement à un point d’accès Wi-Fi piégé géré par nos soins. Ce point d’accès nous a ainsi permis d’épier les connexions des Google Glass, qu’il s’agisse de requêtes en ligne ou d’images téléchargées sur le Cloud. Nous avons également été en mesure de diriger le système Glass vers une page contenant une vulnérabilité connue d’Android (version 4.0.4), nous permettant de le pirater pendant qu’il parcourait ladite page.  Les Google Glass ont été piratées par l’image d’un QR code malveillant. Cette vulnérabilité et la façon de procéder sont exclusives à Glass ; elles sont la conséquence de son appartenance à la catégorie des objets connectés.

Cas n°2 – Les pompes à insuline Medtronic
En 2011, Jérôme Radcliffe a mis au jour les vulnérabilités d’au moins quatre modèles de pompes à insuline du fabricant Medtronic, qui les exposaient à du piratage à distance. Une pompe à insuline est un appareil médical intelligent connecté, qui se substitue à la traditionnelle seringue. Le patient porte sa pompe à insuline toute la journée, à la manière d’un pager. Elle surveille en permanence l’état de la personne et diffuse régulièrement des petites doses d’insuline pour éviter les variations de glycémie. La pompe à insuline fonctionne souvent de pair avec un système de mesure du glucose en continu (CGM) doté de capteurs, qui transmet à distance les données à la pompe afin qu’elle calcule la dose d’insuline à délivrer. C’est là tout l’intérêt de la connexion sans fil. En permettant à la pompe à insuline et au CGM de communiquer ainsi, le porteur n’a pas à s’encombrer de câbles. Il peut de plus utiliser d’autres appareils pour surveiller son état.

Malheureusement, c’est à ce niveau-là qu’a été décelée la faille de sécurité. Lorsque le fabricant a permis à ces appareils de communiquer, il n’a opté que pour un seul point de sécurité : un numéro de série valable requis pour autoriser les échanges. De fait, un attaquant qui utilise un équipement radio pour surveiller le trafic de données entre le CGM et la pompe à insuline du patient peut « réécouter » ces échanges, désactiver la pompe ou, pire encore, l’induire en erreur pour la pousser à diffuser des doses inappropriées d’insuline.

Mise au jour et traitement des vulnérabilités
Ce sont deux exemples d’objets ayant des failles de sécurité du fait qu’ils sont connectés. L’étude des différences entre ces appareils connectés et leurs prédécesseurs non connectés, à partir du moment où ils sont connectés et où leur « raison d’être » évolue et permet de mettre en évidence de nouvelles zones de faiblesse. Cela donne aussi une chance de voir les détournements possibles – et imprévus – de l’appareil. La mise au jour des vulnérabilités n’est pas le seul défi que pose l’Internet des objets. Pour assurer la protection des utilisateurs, mais aussi la stabilité et l’expansion de l’écosystème, ces vulnérabilités doivent être prises en charge. L’application de correctifs, méthode traditionnellement utilisée, est encore assez peu courante dans l’univers des appareils embarqués. Historiquement, les logiciels à bord sont des microprogrammes (ou firmware) installés en usine ; ils ne sont que très rarement mis à jour. La tâche s’annonce difficile si l’on envisage de définir un processus de traitement des vulnérabilités décelées dans des milliards d’objets connectés. Fort heureusement, les longues années d’application de correctifs, dans le domaine de l’informatique, ont permis de tirer de nombreuses leçons. Le processus d’installation de correctifs a mis des années à s’affiner, émaillé de nombreux incidents de parcours. Il faut veiller à ne pas répéter les mêmes erreurs avec l’Internet des objets. L’une des principales leçons étant que les problèmes de sécurité décelés sur des appareils doivent être traités comme étant au niveau du logiciel et non du produit ou du matériel. C’est le seul moyen, pour les fabricants, de s’emparer efficacement du problème étant donné son ampleur. Les entreprises qui développent des logiciels système comprendront cet impératif, mais pas les autres, qui auront du mal à faire face à ces problèmes inhabituels pour elles et à la complexité induite par la gestion des millions d’objets. Si l’on regarde les fabricants responsables des objets en question, le scénario sera celui-là.

Google Glass
Nous avons informé Google de nos découvertes le 16 mai dernier. Google a pris acte et ouvert un ticket (pour bug) auprès de l’équipe de développement du système Glass. L’entreprise a fait preuve d’une très grande réactivité pour corriger le problème : la faille a été comblée avec la version XE6, publiée le 4 juin. Lookout a recommandé à Google d’enclencher l’exécution des QR codes sur demande de l’utilisateur ; cette préconisation a été acceptée. La réactivité de Google témoigne de l’importance que l’entreprise accorde au respect de la vie privée et à la sécurité de son appareil, et donne le ton en matière de sécurité des appareils connectés.

Pompes à insuline Medtronic
Jérôme Radcliffe a fait part de sa découverte à Medtronic, qui après avoir montré de l’intérêt pour les vulnérabilités décrites, a finalement rejeté leur caractère sérieux. L’entreprise a avancé que ces failles n’avaient pas été exploitées et qu’il serait d’ailleurs très difficile techniquement parlant de lancer une attaque. Résultat, deux ans après, les modèles Medtronic Paradigm 512, 522, 712 et 722 de pompes à insuline peuvent toujours être la cible d’attaques à distance.

Google, pour sa part, a montré qu’il dispose d’une infrastructure efficace de traitement des vulnérabilités qui lui permet d’identifier les failles, de les corriger et de mettre à jour rapidement ses appareils en toute discrétion. Google est l’une des entreprises qui se targue de pratiques en matière d’application de correctifs parmi les meilleures de l’industrie du logiciel. De fait, les entreprises qui embarquent des capteurs dans leurs appareils ne peuvent se permettre de mal gérer les failles de sécurité dans un monde où l’informatique ambitionne de quasiment fusionner avec l’utilisateur. Si Google avait manqué de réactivité, un pirate aurait pu profiter de l’aubaine pour s’en prendre aux porteurs de ses lunettes, décrédibilisant du même coup un nouveau « gadget » prometteur.

Les développeurs et concepteurs d’appareils embarqués doivent prendre exemple sur Google, tant du point de vue de la prise en charge des failles que de l’importance accordée aux objets connectés portables équipés d’un capteur. Il est par ailleurs essentiel de penser à la sécurité des appareils et à leur mise à jour automatique dès la phase de conception.

L’Internet des objets inaugure une nouvelle ère technologique : un futur où tout sera connecté et pourra interagir avec les informations plus étroitement que jamais. Si nous nous appliquons, un large champ de possibilités s’ouvrira à nous. Dans le cas contraire, nous en tuerons tout le potentiel sans jamais en tirer les bénéfices. (LockOut)

Android, ios, Sécurité, Smartphone

Blocage de smartphone contre les fuites de données

2 commentaires

Le ministère de la Défense de la Corée du Sud vient d’annoncer qu’il avait neutralisé les smartphones de ses fonctionnaires afin d’empêcher toutes fuites de données, volontaires ou non. Le blocage s’effectue en installant une application, baptisée « Mobile Management Device« , qui empêcherait les fuites d’informations sensibles ainsi que le piratage des téléphones. L’application empêche de surfer et de prendre des photos. Si les propriétaire de Samsung (Android) peuvent téléphoner et recevoir des appels. Les propriétaire d’iPhone ne peuvent recevoir que des appels.

Avant d’intégrer le bureau, obligation de l’installation de l’application. Selon l’agence de presse Coréenne Yonhap, des employés ont refusé d’installer le « cerbère » indiquant craindre pour la protection de leurs données privées. Il faut dire aussi que si l’application protége le Ministère, qui protège l’application ?

L’histoire ne dit pas si, une fois hors du travail, les appareils reprennent vie. Heureusement pour les 007 en herbe, il reste encore la fonction « enregistrement » sonore !

Entreprise, Justice, loi

Un fichier non déclaré à la Cnil est illicite

Un commentaire

Dans un arrêt très court du 25 juin 2013, la Cour de cassation affirme sans ambiguïté qu’un fichier d’adresses qui n’a pas été déclaré à la Commission nationale de l’informatique et libertés a un objet illicite. C’est le site Legalis.net qui revient sur cette affaire jugée par la Cour de Cassation, fin juin. La cour suprême se fonde sur l’article 1128 du code civil qui prévoit qu’« il n’y a que les choses qui sont dans le commerce qui puissent être l’objet des conventions ». Selon l’article 22 de la loi Informatique et libertés prévoit, tous traitements automatisés de données personnelles doit faire l’objet d’une déclaration, à l’exception de cas définis. Mais la loi n’avait pas prévu explicitement que l’absence de formalité était sanctionnée par la nullité. D’où l’importance de cet arrêt qui conduit à considérer qu’un fichier non déclaré est sans valeur.

Entreprise, Paiement en ligne

La fraude en ligne baisse… mais qu’en est-il de l’impact sur les ventes de l’e-commerçant ?

L’Observatoire de la Sécurité des Cartes de Paiement a rendu public il y a quelques jours son rapport annuel 2012. On y apprend que le taux de fraude sur les paiements en ligne est en baisse pour la première fois depuis 2008 en France, atteignant ainsi 0,29% en 2012, contre 0,34% en 2011.

Au-delà des tendances révélées par ce rapport, les e-commerçants doivent se poser la question de l’impact de leur politique de gestion du risque sur leur taux de conversion. En effet, la baisse constatée du nombre de fraudes sur Internet est sans nul doute liée au recours de plus en plus fréquent à des outils de sécurisation basés sur l’authentification forte : 3D Secure. Mais ce n’est pas sans conséquences : l’érosion des ventes induite par 3D Secure n’est plus un secret pour les professionnels du commerce en ligne. Et même si l’on entend de plus en plus parler de 3D Secure « débrayable » ou « à la demande », est-ce une réelle solution pour les e-commerçants qui doivent arbitrer entre vendre davantage et éviter les fraudes ?

Les paiements frauduleux peuvent avoir des conséquences lourdes sur l’e-commerçant. Outre l’évident impact financier, il y a des conséquences collatérales : charge administrative lourde, e-réputation du marchand mise à mal et impact sur la qualité de ses relations avec ses partenaires bancaires. D’autant plus que les e-commerçants sont inégaux face à la fraude, qu’il s’agisse du type de bien vendu (bien numérique, bien physique avec bon de livraison, valeur vénale du bien vendu), des territoires couverts (national ou international), des marges générées sur chaque vente (plus la marge est faible, plus les efforts nécessaires à la compensation d’une fraude sont importants) voire des ressources humaines et des outils à la disposition de chacun.

On comprend donc assez vite que la lutte contre la fraude doit s’inscrire dans une démarche globale de génération de marge. En bref, comment puis-je m’assurer d’une augmentation des ventes « fiables » sur mon site e-commerce tout en luttant efficacement contre les actes frauduleux? En période de crise, comment ne pas gâcher les opportunités fournies par l’un des seuls secteurs encore porteurs ?

Nombreuses sont les sociétés se vantant de fournir des outils de lutte contre la fraude couvrant jusqu’à plusieurs dizaines de milliers de critères de risque à chaque commande traitée. Mais une telle exhaustivité n’est pas gage d’efficacité, car au-delà de l’outil c’est l’analyse statistique de l’activité du marchand qui lui permettra de prendre les bonnes décisions. Chaque e-commerçant doit être en mesure de déterminer un profil d’acheteur normal. Tout comportement sortant de ce profil doit susciter le déclenchement de règles spécifiques avec des actions ciblées en fonction de l’écart entre le comportement analysé et le comportement « normal ». Un travail d’analyse qui doit s’effectuer en amont de la mise en place de toute stratégie de lutte contre la fraude et qui doit être remis en cause régulièrement en fonction des nouveaux comportements détectés. Il faut aussi prendre conscience que la détection a priori de la fraude n’est qu’une facette d’une stratégie efficace. Le partenaire de gestion du risque doit pouvoir fournir des outils d’aide à la décision pertinents et ergonomiques capables d’indiquer au marchand de façon claire quelles alertes ou règles ont été levées par telle ou telle transaction.

Il devient clair que le « mix » d’une stratégie efficace de gestion de risque repose sur l’expertise business du marchand, l’expertise métier de son partenaire et la pertinence des outils mis à disposition. (Par Nabil Naimy, Head of e-payment solutions chez HiPay pour DataSecurityBreach.fr)

Cybersécurité, Téléphonie

Le piratage des réseaux téléphoniques : un réel danger pour les entreprises françaises

Les malversations téléphoniques représentent un phénomène récurrent. Le montant estimé des pertes, en 2011, liées à des piratages de PBX a été chiffré par Orange. Montant : 4,96 milliards de dollars. Les fraudes à la messagerie vocale sont lancées à partir de Cuba, Somalie, Sierra Leone, Zimbabwe, Lituanie ou encore l’Autriche.

Le montant d’un piratage télécom d’une entreprise en France peut s’élever jusqu’à 600.000 euros, et ce phénomène grandit au fil des années. Concrètement, Il s’agit pour le pirate de prendre le contrôle du serveur de téléphonie (l’autocommutateur ou PABX) de l’entreprise cible. Cette prise de contrôle à distance permettra de générer des appels vers des numéros surtaxés. Chaque appel généré par le pirate sur ses numéros surtaxés lui permettra de percevoir une rémunération. Avec Internet et les nouvelles technologies de l’information et communication, pirater est devenu beaucoup plus facile : un ordinateur simple et quelques tutos en ligne suffisent. Il existe des solutions pour se sécuriser, dont des Firewalls voix pour lignes téléphoniques et VoIP. Ils permettent la détection en temps réel des attaques relevant de la fraude téléphonique, des utilisations abusives des numéros surtaxés et payants, ainsi que les dénis de services téléphoniques.

Des attaques DDoS contre les lignes empêchant l’émission et la réception d’appels. « Toutes les semaines, nous recevons des appels d’entreprises victimes de piratage, dont les pertes atteignent plusieurs dizaines de milliers d’euros en moyenne… », déclare à Data Security Breach Stéphane Choquet, Directeur Général de Checkphone.

*Chiffres : Source Orange Business Services (http://oran.ge/14IczSy)

Cyber-attaque, Facebook, Fuite de données, Hacking, Leak, Sauvegarde, Twitter

L’armée électronique Syrienne pirate True Caller

La Syrian Electronic Army, qui a fait pas mal parler d’elle en piratant d’importants comptes Twitter, vient de ressortir de son trou numérique pour annoncer le piratage de l’annuaire collaboratif TrueCaller. Truecaller est un annuaire collaboratif mondial qui tient dans votre poche et vous permet de contacter facilement des personnes à travers toute la planète. Bref, une mine d’or pour malveillants.

La SEA a annoncé sur son Twitter qu’il avait mis la main sur les données du site. Sept bases de données auraient été volées. La principale BDD pèserait 450GB. La BDD, baptisée Profiles, tiendrait dans 4Go. Le base de données contiendrait, selon les hacktivistes, les codes d’accès de plusieurs millions de Facebook, Twitter, Linkedin, de comptes Gmail.

True Caller explique sur son blog ne pas stocker « les mots de passe, informations de carte de crédit, ou toute autre information sensible sur nos utilisateurs. a pu lire datasecuritybreach.fr, Il est faux que les attaquants ont pu accéder à Facebook de nos utilisateurs, Twitter, ou autres mots de passe de médias sociaux.« 

L’entreprise américaine explique enquêter sur l’étendue de l’accès non autorisé dans ses bases de données. « Nous pensons qu’il est essentiel de faire connaître l’attaque, car il est important que nous gardions fidèle notre honnêteté et notre intégrité« .

Biométrie, Chiffrement, cryptage, Cybersécurité, Justice

Près de neuf français sur dix plébisciteraient la biométrie comme moyen de lutte contre la criminalité

Une étude de Steria, que datasecuritybreach.fr a pu consulter, menée auprès de 1 000 français (sur un total de 3 650 personnes interrogées en Europe), révèle que près de 9 français sur 10 (89 %) se disent favorables à l’utilisation de la biométrie pour identifier les criminels. La majorité est pour l’utilisation de la biométrie dans les cartes d’identité et les passeports (81 %), de même que pour contrôler les accès aux zones réglementées (77 %). En revanche, seuls 52 % acceptent que des solutions biométriques viennent remplacer les numéros PIN des cartes bancaires.

La plupart des français (89 %) se disent favorables à l’utilisation des technologies biométriques pour l’identification des criminels. Pourtant seuls 52 % accepteraient de voir la biométrie entrer dans leur vie quotidienne et remplacer les codes PIN des cartes bancaires par exemple. Une majorité de français (70 %) estime en effet que l’usage de la biométrie se limite à la protection contre l’usurpation d’identité, alors que de nombreux domaines de développement sont aujourd’hui envisagés : contrôles automatiques, simplification des procédures administratives, traçabilité des données, lutte contre la fraude ou encore réduction du crime.

Au niveau européen, les français sont plus favorables à l’adoption des technologies biométriques pour l’identification des criminels, que les britanniques (80 %), et les allemands (77 %). Près des trois-quarts (69 %) des sondés en Europe sont pour l’utilisation de la biométrie dans les cartes d’identité et les passeports, ainsi que pour contrôler l’accès aux zones réglementées.

Un marché à fort potentiel Selon de récentes estimations, le marché mondial de la biométrie représentera 8,5 milliards d’euros d’ici 2015. Cela traduit une formidable évolution des usages de la biométrie. Pour Florent Skrabacz, responsable des activités de Sécurité de Steria « les nouvelles applications de la biométrie, notamment pour la mobilité et les applications en ligne, sont une arme indispensable pour lutter contre les nouvelles fraudes à l’identité numérique ».

Ces propos sont renforcés par Ole Marius Steinkjer, expert des technologies biométriques chez Steria qui explique à DataSecurityBreach.fr : « Les applications de la technologie biométrique ne cessent de se diversifier : demandes d’asile, fluidité du trafic transfrontalier, authentification des criminels, contrôle d’accès aux sites militaires, aux dossiers médias, aux comptes bancaires, etc. Pourtant, en raison de préoccupations vis-à-vis de la protection de la vie privée, les citoyens hésitent toujours à adopter cette technologie au quotidien ».

Pour avoir déployé des solutions biométriques lors de projets dans 27 pays, notamment au Royaume-Uni, en Suisse, en France, en Allemagne, en Belgique et en Norvège, Steria jouit d’une grande expérience de la question. Cette année, Steria a notamment été sélectionné par la Police danoise pour un programme biométrique d’identification d’empreintes digitales et a annoncé, aux côtés de la Commission européenne, le déploiement de la seconde génération du système d’information Schengen (SIS II), qui prévoit de rationaliser les procédures de contrôle aux frontières de toute la zone et de faciliter la communication entre les Etats membres grâce aux données biométriques.

Android, Biométrie, BYOD, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Fuite de données, ios, Leak, Sécurité

Connection VPN, entre 2 clés USB, en 60 secondes

Dans la nouvelle émission de ZATAZWeb.tv, numéro estival, il est proposé plusieurs sujets qui devraient vous intéresser. En plus de découvrir un jouet chinois qui permet de hacker certaines cartes RFID, l’émission ZATAZ Web TV revient aussi sur les livres à emmener avec soit à la plage, dont le dernier du moment des Editions ENI, Malware.

Particulièrement intéressant, les clés USB iTwin. L’émission a testé la version professionnelle de ces clés USB qui permettent de créer un accès VPN, entre deux portables.  iTwin est composé de deux parties. La première clé est insérée dans l’ordinateur de bureau, et le second – à la maison, par exemple. La connexion, en quelques secondes, est automatiquement établie sous la forme d’une connexion VPN sécurisée entre les deux machines.

A noter que l’émission profite des beaux jours pour lancer le grand jeu de l’été. A gagner : deux Playstation 4 de Sony ; des tee-shirts Nuit du hack et ZATAZ.COM et des livres. Lancement de notre grand jeu de l’été, lundi 22 juillet. Les premiers indices se trouvent déjà dans l’émission.

Hacking

Qui espionne le plus : iOS ou Android ?

4 commentaires

Data Security Breach vient de finir de lire les résultats d’une analyse menée par BitDefender sur les comportements les plus intrusifs des applications Android et iOS. Après avoir analysé plusieurs centaines de milliers d’applications, l’étude révèle qu’elles sont tout aussi intrusives et indiscrètes sous iOS que sous Android. Alors que l’on pourrait penser l’un des deux systèmes d’exploitation plus intrusif que l’autre, il résulte que les données personnelles des utilisateurs d’appareils mobiles (contacts, adresses e-mail, localisation, etc.) sont aussi bien en danger sous Android que sous iOS. Le nombre d’applications analysées s’élève à 314 474 applications pour Android et 207 843 pour iOS.

Parmi ces comportements intrusifs et indiscrets, parfois intégrés par les développeurs d’applications eux-mêmes, DataSecurityBreach.fr a pu constater dans l’étude que 45,41 % des applications iOS intègrent des services de localisation contre 34,55 % sous Android. Avec une implantation et des formes d’utilisation similaires sur les deux plates-formes, ces ‘espions’ sont souvent demandés par les publicitaires et intégrés via des composants API (framework APIs) pour connaître les habitudes des utilisateurs. À ce stade de l’étude, seulement 7,69% des applications Android peuvent accéder à votre liste de contacts alors que les applications iOS se montrent davantage indiscrètes : 18,92 % sont techniquement capables de lire vos contacts. 14,58 % des applications Android peuvent divulguer l’identifiant de votre appareil et 5,73 % transmettre votre adresse e-mail. De nouveau, les applications iOS semblent recueillir plus de données personnelles que celles conçues pour Android.

Là aussi, ces informations sont très intéressantes pour les réseaux publicitaires et sont susceptibles d’être partagées ou revendues à des tiers pour, par exemple, l’envoi de publicités ciblées en fonction du comportement et du profil des utilisateurs. 8,82 % des applications Android analysées peuvent divulguer les numéros de téléphone d’un appareil à des publicitaires. Les applications intégrant Air Push et parfois LeaBolt permettent aux développeurs de recueillir, crypter et d’envoyer le numéro de téléphone à l’insu des utilisateurs.

Si la géolocalisation, l’accès aux contacts de l’appareil ou l’interaction avec les réseaux sociaux, peuvent être légitimes pour certaines fonctionnalités, ces comportements deviennent intrusifs lorsque les données personnelles de l’utilisateur ne sont pas indispensables au bon fonctionnement des applications mais collectées pour être monétisées par les développeurs. En d’autres termes, l’application ne devient gratuite qu’une fois ‘payée’ par l’utilisateur avec ses données personnelles. La situation est même pire, puisque payer l’application n’assure pas à l’utilisateur que ses données privées ne soient plus collectées ni même rendues à son propriétaire puisque déjà stockées dans des fichiers. De plus, la collecte de ces données est faite sans que l’utilisateur ait connaissance des autorisations accordées lors de l’installation de l’application. Que ce soit au moment de l’installation de l’application Android ou lors de son exécution pour une application iOS, l’utilisateur devrait lire attentivement les autorisations demandées.

Des applications qui peuvent aider à se sécuriser, Data Security Breach vous propose plusieurs solutions gratuites, pour Android et iOS, qui permettent d’être informés sur les risques d’atteinte à sa vie privée et ainsi se prémunir contre d’éventuels usages non désirés de ses informations personnelles. Des applications qui peuvent servir à protéger contre la collecte et l’utilisation de données personnelles par les autres application déjà présente sur le smartphone. D’abord, débutons par l’application de Bitdefender baptisée Clueful. Elle permet d’apprécier les données que pillent les applications. Possibilité d’effacer les plus dangereuses. Attention, Clueful collecte aussi des données personnelles, c’est du moins ce qu’indiquent les  conditions générales. Autre solution, celle proposée par AVG. Même principe, avec possibilité de détruire les applications malveillantes.

DataSecurityBreach.fr terminera avec Androick, un outil pour linux permettant d’aider les utilisateurs à analyser des applications Android. Il permet de récupérer le fichier apk, toutes les données (stockées sur le téléphone et carte SD), les bibliothèques et les bases de données (au format SQLite3 et CSV). C’est un projet récent, jeune et dynamique. L’auteur,  Florian Pradines, chercheur pour la société Phonesec,  a expliqué à Data Security Breach et zataz.com des ajouts de fonctionnalités d’ici un ou deux mois, notamment celle permettant de décompiler une application qui possède le flag « isEncrypted ».

Petites entreprises, grandes menaces : restez informés, restez protégés

Quitter la version mobile