Archives par mot-clé : sécurité

Cybersécurité, Mise à jour, Patch

Microsoft et navigateurs : 79 vulnérabilités corrigées

Ce mois-ci, le Patch Tuesday de septembre 2019 traite de 79 vulnérabilités dont 17 classées critiques. Parmi ces dernières, 8 affectent les moteurs de scripts et les navigateurs, 4 la connexion Bureau à distance et 3 SharePoint. En outre, Microsoft a publié un nouveau patch pour une vulnérabilité critique au sein des fichiers LNK et pour une vulnérabilité dans Azure DevOps/TFS. Adobe a également publié des correctifs pour Flash et Application Manager.

 

Le déploiement de patches pour les moteurs de script, les navigateurs et les fichiers LNK est une priorité pour les équipements de type poste de travail, c’est-à-dire tout système permettant d’accéder à la messagerie ou à Internet depuis un navigateur. Concernés les serveurs multi-utilisateurs faisant office de postes de travail distants.

Connexion Bureau à distance et navigateurs

Microsoft a corrigé quatre vulnérabilités par exécution de code à distance au sein de la fonctionnalité Connexion Bureau à distance : CVE-2019-0787, CVE-2019-0788, CVE-2019-1290 et CVE-2019-1291. Pour exploiter ces vulnérabilités, un attaquant aura besoin qu’un utilisateur se connecte à un serveur RDP malveillant ou compromis. Les vulnérabilités découvertes par Microsoft suite à un test interne sur la fonction Connexion Bureau à distance. Des patchs prioritaires sur tous les systèmes qui utilisent la fonction de connexion Bureau à distance.

SharePoint

En outre, Microsoft a publié des correctifs pour résoudre trois vulnérabilités RCE dans SharePoint : CVE-2019-1257, CVE-2019-1295 et CVE-2019-1296. L’une d’entre elles implique de télécharger une application malveillante tandis que les deux autres sont des vulnérabilités au niveau de la désérialisation dans l’API SharePoint.

Des correctifs à déployer en priorité pour tous les serveurs SharePoint.

Azure DevOps Server (anciennement Team Foundation Server)

Azure DevOps Server et Team Foundations Server (TFS) sont affectés par une vulnérabilité par exécution de code à distance (CVE-2019-1306) qui est exploitée via des téléchargements de fichiers malveillants. En effet, quiconque télécharge un fichier vers un serveur peut exécuter du code via un compte Azure DevOps/TFS. Aussi concernés les utilisateurs anonymes via des serveurs configurés pour les valider.

Un correctif prioritaire pour toutes les installations Azure DevOps ou TFS.

Attaques actives sur des vulnérabilités facilitant une élévation de privilèges

Microsoft corrige deux vulnérabilités facilitant une élévation des privilèges exploitées en aveugle.

CVE-2019-1214 est une faille dans le pilote Common Log File System (CLFS), tandis que CVE-2019-1215 concerne le pilote Winsock.

Ces deux problèmes impactent toutes les versions Windows. Corrections prioritaires. Les vulnérabilités facilitant une élévation des privilèges sont généralement utilisées avec une exécution de code à distance où cette dernière n’accorde pas de droits administratifs

Adobe

Ce mois-ci, peu de publications d’Adobe. L’éditeur a publié des correctifs pour deux vulnérabilités critiques dans le Flash Player, correctifs qui doivent être déployés de manière prioritaire sur tous les systèmes de type poste de travail Adobe a également corrigé une vulnérabilité classée comme importante concernant le chargement de DLL non sécurisé dans Application Manager.

Banque, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, Paiement en ligne, Securite informatique

Etat de la sécurité des applications des plus grandes banques du monde

Des chercheurs ont mené une enquêtes sur l’état de la sécurité des applications des plus grandes banques du monde. Un des outils posséde une faille connue depuis 2011.

Les nouvelles recherches de la société ImmuniWeb va faire grincer des dents dans le petit monde bancaire. Ils ont étudié la sécurité, la confidentialité et la conformité des applications des plus grandes institutions financières mondiales figurant dans la liste S&P Global 2019. Le résultat a de quoi étonner. En ce qui concerne la conformité, 85 applications Web de banque en ligne ont échoué au test de conformité GDPR ; 49 banque en ligne ont échoué au test de conformité PCI DSS ; 25 app ne sont pas protégées par un WAF.

Vulnérabilités de sécurité

Dans cette étude, on découvre que sept applications Web de banque en ligne contiennent des vulnérabilités connues et exploitables.

La plus ancienne vulnérabilité est connue depuis 2011. 92% des applications bancaires mobiles contiennent au moins une vulnérabilité à risque moyen.

100% des banques ont des problèmes de sécurité ou des problèmes liés aux sous-domaines oubliés.

Pour finir, concernant la sécurité du site web, seuls 3 portails sur 100 affichaient la note la plus élevée «A+» pour le « chiffrement SSL et la sécurité des sites Web ». Dans ce top 3, on trouve un Suisse (credit-suisse.com), un Danois (danskebank.com) et un Suédois (handelsbanken.se).

Pendant ce temps, dans le commerce 2.0

De son côté, le laboratoire Pradeo a étudié 38 applications mobiles d’e-commerce les plus téléchargées au monde. Le rapport montre qu’elles envoient les données personnelles des utilisateurs via de nombreuses connexions non sécurisées (pourcentages précis dans l’article) et présentent en moyenne 13 vulnérabilités de code, dont certaines ayant un haut niveau de sévérité.

Chiffrement, cryptage, Cybersécurité, IOT, Mise à jour, Patch, Securite informatique

La sécurité de l’IoT souffre encore de failles majeures

2 commentaires

Si personne ne remet en cause l’intérêt et la rapidité des progrès de l’Internet des Objets (IoT), la sécurité des objets connectés, elle, continue d’inquiéter. Il est en effet relativement simple de les pirater et les nombreuses cyberattaques récentes ont montré les dangers d’un réseau globalisé.

La transformation numérique du monde progresse, avec dans son sillage, de plus en plus d’appareils intelligents qui communiquent entre eux (y compris dans des secteurs sensibles) afin de nous faciliter la vie. Mais l’IoT a aussi des faiblesses évidentes de sécurité.

Quand des cybercriminels détectent des équipements IoT vulnérables, il leur suffit souvent d’actions basiques pour les pirater. Les moyens les plus simples demeurent l’attaque par force brute pour trouver un mot de passe ou encore l’utilisation des identifiants de connexion par défaut, configurés en mode usine. Car il est malheureusement clair que, pour des raisons de coût, de nombreux fabricants utilisent les mêmes données de connexion standards pour tous leurs appareils, au lieu de définir un mot de passe distinct pour chacun. En utilisant des Botnets récupérés sur le Darknet, il devient ainsi possible d’infecter des milliers d’équipements d’un seul coup.

Un état des lieux alarmant

La vérité, c’est que les objets connectés n’ont jamais vraiment été sûrs, et il est évident que certains risques vont s’intensifier. L’une des plus graves menaces de ces dernières années a été le Botnet Mirai, qui a provoqué des attaques DDoS massives à l’aide d’identifiants de connexion standards. Il a permis de mettre en évidence que des produits chinois bon marché, tels que des webcams, figurent parmi les équipements IoT les plus vulnérables, qui ne devraient être utilisés que dans des environnements isolés.

Depuis que le code source de Mirai a été publié, pratiquement tout le monde peut faire fonctionner son propre Botnet IoT ou réécrire le code de programmation à sa façon, ce qui a permis à de nombreuses mutations de Mirai de voir le jour.

Les autres moyens d’infecter un objet connecté étant plus sophistiqués et onéreux, ils sont moins répandus. C’est le cas par exemple de l’ingénierie inverse des firmwares ou des systèmes d’exploitation, qui requiert des connaissances techniques pointues et beaucoup de temps. Des stratégies de sécurité peuvent néanmoins s’appliquer dans ce domaine.

En finir avec les mots de passe standards

Une solution possible et efficace pour améliorer la sécurité dans l’IoT, permettre aux utilisateurs de modifier facilement leurs identifiants de connexion. Certes, cette stratégie n’aurait d’efficacité que sur les méthodes d’infiltration les plus élémentaires, mais le jeu en vaut la chandelle puisque ce sont les plus répandues.

Les fabricants pourraient ainsi « forcer » leurs clients à modifier leurs identifiants de connexion en rendant obligatoire la saisie d’un mot de passe unique et fort lors du démarrage initial de l’appareil. Les fabricants pourraient également attribuer un mot de passe unique généré aléatoirement à chaque périphérique et l’envoyer au client avec l’objet connecté.

En pratique, le changement d’identifiants de connexion limiterait nettement le nombre d’appareils vulnérables et compliquerait la tâche des hackers et bots qui essaient d’en prendre le contrôle.

Le problème des clés de chiffrement

Les fabricants peinent à concevoir des objets qui intègrent d’office des mécanismes de sécurité. Ces équipements destinés aux particuliers ou aux entreprises. C’est notamment le cas pour le chiffrement.

Dans les faits, rien n’empêche de chiffrer les données qu’un objet connecté recueille et transmet à un autre périphérique ou vers le cloud pour analyse. Il est ainsi possible de trouver de très bons conseils à propos des algorithmes. Il existe plusieurs solutions de chiffrement Open Source.

Mais c’est au niveau de la protection et de la gestion des clés de chiffrement que le bât blesse. Or, ces carences retirent toute efficacité au processus de chiffrement. Une clé mal gérée peut rendre le chiffrement inutilisable, si par exemple elle n’est pas rendue disponible dans un processus d’authentification. Le nombre de périphériques dans l’IoT exacerbe ainsi de manière exponentielle les défis du chiffrement et de la gestion des clés.

S’ajoute à cela le fait que beaucoup d’objets connectés n’ont pas les capacités techniques requises pour chiffrer les données efficacement. Dotés d’un espace de stockage limité, ils ne peuvent généralement pas intégrer une connexion SSL digne de ce nom. Les fabricants d’objets connectés, en particulier ceux destinés au grand public, continuent ainsi de commercialiser des appareils dont la sécurité est légère, sinon inexistante. Et nous ne pouvons pas y faire grand-chose.

La cybersécurité est l’affaire de tous

Si le public est de plus en plus sensible aux failles des objets IoT, cette prise de conscience est pour l’heure insuffisante. Pas d’impact sur les décisions d’achat. Les facteurs déterminants restent les fonctionnalités et le prix. Pour preuve, le succès actuel des Amazon Echo et Google Home auprès des consommateurs.

Ainsi, s’il est vrai que la première grande vague d’attaques, avec le Botnet Mirai en tête, n’a pas manqué d’attirer l’attention des spécialistes de la cybersécurité, le consommateur lambda, lui, n’a pas encore conscience de l’ampleur du problème.

Ceci étant, on assiste à l’émergence d’une petite, mais croissante, fraction de consommateurs qui s’inquiètent vraiment de la sécurité des objets connectés, en particulier celle des enceintes intelligentes capables d’écouter tout ce qui se dit à proximité d’elles. La pression sur les fabricants augmente donc et avec elle, la demande de meilleures mesures de sécurité et de protection des données. (Tribune de Christophe da Fonseca, Sales Development Manager France chez Paessler AG envoyée à toutes les rédactions web)

Chiffrement, Communiqué de presse, Cybersécurité, IOT, Securite informatique, VPN

Risques ! En vacances, hors de vos murs, le WIFI ne s’utilise pas sans VPN

3 commentaires

Une enquête menée par HideMyAss! révèle en effet que, si la grande majorité (80 %) des Français sont conscients des risques de sécurité en ligne, près d’un internaute sur cinq (17 %) se connecte toujours à des réseaux Wi-Fi gratuits dans des lieux publics.

Selon une étude récente, partir en vacances est un besoin vital pour 55 % des Français. Seulement, à l’approche des vacances de la Toussaint, le même dilemme se pose pour toutes les familles qui ont décidé d’en profiter pour voyager : comment occuper les enfants ? Sécurité des données ! Selon Harris Interactive, disposer d’un accès à Internet constitue un critère important pour 71 % des Français, pour choisir leur lieu de vacances. En effet, ils vont se connecter, entre autres, pour rester en contact avec des proches, planifier des loisirs ou encore surveiller leur compte bancaire.

Pour Brad Pool, Responsable chez HideMyAss!, bien que cela soit pratique, se connecter à n’importe quel endroit, à tout moment, comporte de nombreux risques, si on ne se montre pas vigilant : « Une enquête menée par HideMyAss! révèle en effet que, si la grande majorité (80 %) des Français sont conscients des risques de sécurité en ligne, près d’un internaute sur cinq (17 %) se connecte toujours à des réseaux Wi-Fi gratuits dans des lieux publics. Parmi ces derniers, près de la moitié des répondants (47 %) admet préférer se connecter aux réseaux Wi-Fi gratuits qui ne nécessitent ni inscription, ni mot de passe. Or, ces critères de connexion attestent en réalité de leur manque de sécurisation. ».

Risques réels

Les risques augmentent d’autant plus pour les personnes qui se connectent au Wi-Fi de leur hôtel. L’année dernière, des recherches ont ainsi montré que le groupe de hackers russes ‘Fancy Bear’ ciblait les réseaux Wi-Fi d’hôtels dans toute l’Europe, pour installer des logiciels malveillants sur les appareils des vacanciers. Pour s’immiscer dans les terminaux et récupérer des informations personnelles, les cybercriminels créent aussi de faux réseaux Wi-Fi, dotés d’un nom proche de celui de l’hôtel, pour inciter les voyageurs à s’y connecter.

Près de la moitié des utilisateurs français (47 %) se fient à un logiciel, ou une application, pour assurer leur sécurité en ligne, et 28 % affirment éviter de saisir des informations sensibles sur un réseau Wi-Fi public, telles que des identifiants de connexion ; mais de nombreuses personnes ne sont pas aussi prudentes. Presque un répondant sur dix pense que la sécurité du fournisseur réseau le protège, et seuls 12 % des français utilisent un proxy ou un réseau privé virtuel (VPN) pour sécuriser leur connexion.

Trois démarches clés peuvent aider les familles à protéger leurs données

  1. S’assurer que la connexion Wi-Fi est sécurisée. Les points d’accès Wi-Fi publics sont en effet des cibles de choix pour les pirates. S’ils se connectent au même réseau qu’un internaute, ils peuvent facilement voir les sites web visités, leur historique de navigation, ainsi que leurs mails et identifiants de connexion. Pour toute navigation hors du réseau domestique, il est donc fortement conseillé d’installer un VPN sur ses appareils pour sécuriser la connexion, et de minimiser les risques de compromission avec des extensions de navigateur telles que « HTTPS Everywhere ».
  1. Désactiver les services de géolocalisation et, si possible, l’extraction de métadonnées sur les appareils et navigateurs. Dans le cas contraire, le simple fait de partager une photo sur un réseau social permet de révéler sa position, ou celle d’un membre de sa famille.
  1. Installer un logiciel de sécurité de confiance sur les smartphones et les tablettes. De très bonnes versions gratuites sont disponibles, et réduisent tout risque de perte de données personnelles ou de vol d’identité.

Si, comme l’indique le rapport Harris Interactive, plus de 8 Français sur 10 utilisent Internet durant leurs congés pour rester en contact avec leurs proches, ou pour planifier et réserver des activités, les pirates informatiques sont eux aussi au rendez-vous et profitent de chaque vulnérabilité pour opérer. Partant du constat que les cyberattaques ont augmenté de 100 % ces deux dernières années, d’après un rapport publié par ThreatMetrix, il est urgent que les vacanciers connaissent et adoptent les bonnes pratiques en ligne pour y faire face et pour protéger leurs informations sensibles, non seulement en voyage, mais également le reste de l’année.

Base de données, Cybersécurité, Entreprise, ID, Identité numérique, loi, Mise à jour, Particuliers, RGPD, Securite informatique

HMA! renforce la vie privée des internautes et permet l’accès à du contenu restreint en ligne

Quand le RGPD restreint la liberté d’expression ! En mai dernier, le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur, offrant plus de transparence sur la collecte des données et des droits plus importants en termes de vie privée pour les Européens. Pourtant, comme le révélait alors une récente étude menée par HideMyAss!, près de la moitié des français (48 %) ne considèrent pas la vie privée comme un droit fondamental.

Le RGPD restreint la liberté d’expression ? Ils sont cependant 66 % à penser que le gouvernement, les fournisseurs d’accès à internet et les services de police peuvent accéder, à leur insu, à l’historique des sites qu’ils ont visité, et de leurs activités en ligne.

Pour répondre aux besoins des consommateurs soucieux du respect de leur vie privée, HMA! propose une couche d’anonymat supplémentaire lors de la navigation en ligne via son service gratuit Proxy Web. Cette fonctionnalité permet de masquer l’adresse IP d’un internaute et de lui en attribuer une nouvelle, afin d’acheminer le trafic web vers d’autres serveurs et adresses IP. Cela signifie que son adresse IP, qui représente également son identité en ligne, devient beaucoup plus difficile à repérer ou à suivre. En outre, la toute dernière version de HMA! est fournie via le protocole HTTPS, garantissant ainsi le cryptage des activités en ligne.

Elle permet également d’accéder à du contenu restreint. Un citoyen Européen pourra par exemple lire le Los Angeles Times, le New-York Daily News ou encore le Chicago Tribune, grâce à l’utilisation du Proxy Web. Impossible en effet de faire sans, car ces médias ont bloqué l’accès aux internautes basés en Europe, suite à l’entrée en vigueur du RGPD.

Un Proxy Web n’a cependant pas les mêmes fonctions qu’un réseau privé virtuel (VPN). Ce dernier devra en effet être envisagé par un internaute s’il recherche un anonymat en ligne avancé et une protection contre les regards indiscrets. En revanche, dans le cas où il veut se procurer un outil lui permettant de contourner la « censure locale » et de bénéficier d’un niveau convenable de confidentialité lors de sa navigation sur Internet, un Proxy Web constitue un bon point de départ.

Chiffrement, Cybersécurité, Mise à jour, santé, Securite informatique

Sécurité : Ça tousse du côté de la eSanté

eSanté : Les équipes de sécurité informatique doivent jouer un rôle primordial dans les hôpitaux.

eSanté – L’éditeur de solutions de sécurité informatique Trend Micro revient sur la problématique de la sécurité informatique dans le milieu de la santé. La dernière étude conjointe avec HITRUST, Securing Connected Hospitals, met en évidence deux aspects cruciaux de l’écosystème des soins de santé que les équipes informatiques doivent prendre en compte dans le cadre de leurs dispositifs de sécurité et de leurs partenaires tiers.

Nous pouvons penser que les hôpitaux seraient extrêmement sensibles à l’exposition des appareils sur Internet en raison des amendes imposées par la Loi sur la transférabilité et la responsabilité de l’assurance maladie (HIPAA) et des règlements similaires pour les violations de l’exposition aux données. Mais lorsque Trend Micro a cherché des points sensibles liés aux soins de santé à l’aide de l’outil Shodan, ils ont été surpris de trouver un grand nombre de systèmes hospitaliers exposés.

Il a été découvert des systèmes médicaux exposés – y compris ceux qui stockent des images médicales, des interfaces de logiciels de soins de santé et même des réseaux hospitaliers mal configurés – qui ne devraient pas être consultables publiquement. Bien qu’un dispositif ou un système exposé ne signifie pas nécessairement qu’il soit vulnérable, les dispositifs et systèmes exposés peuvent potentiellement être utilisés par des cybercriminels et d’autres acteurs pour pénétrer dans des organisations, voler des données, exécuter des botnets, installer des rançongiciels, etc.

En outre, il montre qu’une quantité massive d’informations sensibles est accessible au public alors qu’elles ne devraient pas l’être.

Communiqué de presse, Cybersécurité, IOT, Mise à jour, Patch, Securite informatique

Pas (encore) de normes de sécurité pour les objets connectés

De nombreux objets connectés iot pour la maison et le bureau ne sont tout simplement pas sécurisés. On ne compte plus les histoires sur les vulnérabilités des objets connectés – particulièrement ceux utilisés à domicile. Bien que certaines aient l’air « tirées par les cheveux » – comme celle de la caméra pour bébé piratée qui répondait à sa mère – d’autres, comme le botnet Mirai, montrent que les problèmes de sécurité liés aux petits objets peuvent rapidement prendre de l’ampleur. Bref, difficile d’oublier que nombre d’objets connectés ne sont pas très sécurisés.

Camouflés derrière le plastique lustré de ces appareils connectés iot tout neufs pour la maison, de nombreux facteurs contribuent pourtant à créer cet environnement à risque. Voici les trois facteurs principaux, mais il en existe d’autres :
1.Les mots de passe codés en dur
2.Les mots de passe par défaut difficiles à changer
3.Les vulnérabilités non corrigées

La balle n’est PAS dans votre camp (mais vous êtes quand même coupable)
Avec un ordinateur à la maison, vous pouvez suivre de bonnes mesures de sécurité. Cela signifie entre autres, avoir installé un antivirus et faire en sorte que toutes vos applications et pilotes soient à jour (voire même utiliser un programme qui s’en charge tout seul). Et puis il y a cet élément important du piratage psychologique, vous en tant qu’utilisateur, ne cliquez pas sur des offres trop alléchantes sur Internet sans en être sûr.

Mais avec les objets connectés, impossible de suivre ce genre de précautions. Dans le meilleur des cas, vous pouvez modifier le mot de passe par défaut, mais ça s’arrête là. Le plus souvent, vous ne saurez même pas avec qui votre télé connectée communique et de quoi elle parle. Et ces appareils recueillent un tas de données potentiellement compromettantes sur vous et vos activités. En fait, même si votre caméra de surveillance faisait partie d’une armée internationale de botnets par DDoS, vous ne le sauriez pas.

SOS, mais qui pouvez-vous appeler ?
Les failles de sécurité de nombreux objets connectés ont lancé le débat sur les moyens des autorités ou des instances de réglementation pour remédier au problème. Aux États-Unis, une loi a été proposée qui obligerait les objets connectés achetés par le gouvernement fédéral à répondre à certaines normes. L’entrée en vigueur de cette loi aurait des répercussions sur la sécurité, car les fabricants devraient faire en sorte que leurs appareils soient plus sécurisés pour les clients du secteur public. Puis, cette certification pourrait également être utilisée pour d’autres types de clients.

Dans l’Union européenne, la Commission européenne dispose de l’AIOTI, l’Alliance for Internet of Things Innovation, un groupe de travail qui souhaiterait que les labels sur les produits – comme ceux utilisés pour présenter les données sur la consommation d’énergie – s’étendent aussi aux objets connectés.

Toutefois, cet autre concept d’auto réglementation ferait encore appel à des organismes de tests indépendants comme l’American Underwriters Laboratories, le German Stiftung Warentest ou l’AFNOR en France.

Il est temps de faire vos propres recherches sur la sécurité
Cependant, toutes ces options n’en sont encore qu’à leurs balbutiements et au moment d’acheter un objet connecté sécurisé, vous êtes encore livré à vous-même. La seule option pratique qui vous soit disponible pour le moment est de faire des recherches pour écarter toute marque ou modèle lié(e) à un problème de sécurité. Vous pouvez également jeter un œil à la liste de Krebsonsecurity des objets considérés comme problématiques. Cependant, cette approche en mode « système D » ne mettra pas au jour les composants génériques d’objets connectés, qui ont été intégrés à un système.

Il existe aussi des solutions qui peuvent vous aider à sécuriser vos connexions telle que Avira Home Guard. Il s’agit d’une application gratuite pour Windows qui scanne les objets intelligents connectés au réseau, identifie les vulnérabilités de sécurité, suggère des solutions et conserve un inventaire des appareils connectés. Cette solution vous donne une vue complète des appareils connectés à votre réseau et de leurs failles potentielles. Avira Home Guard est inclue dans le tableau de bord Avira pour Windows.

Android, Base de données, Chiffrement, Communiqué de presse, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, IOT, Particuliers, RGPD, santé, Sécurité, Securite informatique, Smartphone, Social engineering, Vie privée

Domotique : objets connectés sont-ils dangereux ? Test !

Les objets connectés et la domotique sont devenus omniprésents dans notre quotidien, au travail comme à la maison : téléphones, ampoules, enceintes, montres, caméras, voitures, etc. Pourtant, nous devrions nous préoccuper des informations que nous transmettons (mode de vie, habitudes, localisation, photos et vidéos, etc.) et les risques d’un tel partage. À cet effet, ESET reconstitue une maison connectée lors du Mobile World Congress, où différents appareils sont testés afin de mettre en évidence les vulnérabilités liées à ces objets qui nous entourent. Partage de données, virus, informations collectées… Que risque-t-on vraiment en partageant avec ces objets des informations nous concernant ? Nos experts ont testé 12 produits que nous retrouvons habituellement dans une maison connectée.

L’un de ces objets de domotique qui n’a pas été listé ici présentait de nombreuses vulnérabilités importantes. Nous avons averti le fabricant pour qu’il puisse y remédier. Cet appareil est une centrale de commande domotique qui peut gérer les détecteurs de mouvement, les commandes de chauffage, les moteurs de volets roulants, les capteurs d’environnements et les prises intelligentes.

Voici les principales vulnérabilités de cet appareil :

  • Le processus de connexion au réseau local n’est pas entièrement protégé par un système d’authentification. L’option par défaut autorise la connexion automatique, qui contourne le renseignement d’informations d’identification standard telles que l’identifiant et le mot de passe. Le fabricant mentionne ce problème dans une alerte de sécurité et recommande de désactiver cette option par défaut.
  • Comme avec presque tous les systèmes de maison connectée, un service Cloud permet de gérer les appareils connectés depuis un endroit X. Les communications vers le service cloud ne sont pas chiffrées.
  • Le service Cloud des fournisseurs a la possibilité d’établir une connexion VPN (Virtual Private Network – à distance) avec les périphériques distants. Une fois ce tunnel établi, il pourrait être possible de modifier la configuration du réseau distant. Cela pourrait entraîner l’accès au réseau local des utilisateurs sans leur consentement.
  • L’accès au service Cloud nécessite un enregistrement. Si les détails concernant l’utilisateur sont compromis, l’accès VPN au réseau distant peut présenter un risque considérable.

Les autres appareils que nous avons testés et détaillés dans ce rapport permettent de mettre en évidence certaines vulnérabilités qui doivent être prises en compte au moment de l’achat de l’appareil. Par exemple, les caméras D-Link et la connexion TP-Link présentent des problèmes de sécurité. La principale préoccupation de ces caméras est l’absence de chiffrement du flux vidéo, accessible depuis un système d’authentification faible.

La confidentialité de la domotique, un sujet qui nous concerne tous

La radio Internet Soundmaster, qui ne dispose pas entre autres de politique de confidentialité, a alerté nos chercheurs. Les préoccupations les plus importantes concernent les assistants intelligents à commande vocale – en l’occurrence Alexa. Il s’agit d’un service qui sert de conduit à tous les autres appareils et qui stocke ensuite les interactions avec eux. Ni la réputation de l’appareil ni les services d’Amazon ne sont en cause, mais un pirate intelligent qui tente de recueillir des données personnelles pour le vol d’identité pourrait créer une attaque par spear-phishing pour accéder au compte Amazon des victimes.

AMAZON ECHO

Les interactions que vous aurez avec cet appareil permettront d’informer Amazon des produits que vous souhaitez acheter, de ce que vous écoutez, des autres produits connectés que vous avez et ainsi de suite. Cette collecte de données permet de créer un profil qui contient potentiellement des détails très précis sur votre style de vie – le rêve d’un marketeur, et aussi celui d’un cybercriminel. Avec les violations de données fréquentes, tout assistant numérique activé par la voix doit nous préoccuper. Si, par exemple, quelqu’un accède à votre identifiant et votre mot de passe Amazon, il a la possibilité d’écouter vos interactions avec Alexa. Le stockage d’informations stockées constitue un problème de confidentialité.

D-LINK

Les mises à jour de micrologiciels sont au format http et non https (le -s- indique que le protocole est sécurisé), ce qui signifie qu’un pirate pourrait injecter des virus lors d’une mise à jour, car le flux de données n’est pas chiffré. Les caméras incluses dans notre test de maison connectée présentent des faiblesses. La caméra est contrôlée depuis l’application mydlink, qui est chiffrée. Mais si le flux vidéo lui-même est mal protégé, les problèmes de sécurité et de confidentialité se concentrent autour du contenu « capturé ».

NETAMTO

Si vous décidez de partager les données de votre appareil, sachez que votre emplacement est identifié. Jetez un œil ici. Vous comprendrez comment, en sélectionnant l’un des appareils. L’adresse de rue d’un propriétaire de NetAMTO est indiquée.

NOKIA HEALTH

Nous avons tenté d’accéder aux données qui circulent entre l’application Health Mate et le service Cloud affilié. Il était possible de lancer une attaque de type « MitM » entre l’application Android et le Cloud. Ceci signifie que les communications sont interceptées sans que l’utilisateur soit au courant.

Ici, l’attaque à distance n’est pas possible. Cependant, en cas de compromission, les données transmises deviennent lisibles. Ceci dit, pour NOKIA HEALTH, il est peu probable de trouver un scénario où un pirate peut accéder au téléphone, rooter l’appareil, intercepter le téléchargement du firmware, le réécrire, puis appuyer sur un bouton de configuration magique sur les balances réelles et installer le nouveau firmware.

Cependant, lorsque vous associez Nokia Scales à Amazon Echo, vous pouvez poser des questions à Alexa sur les données stockées dans votre compte Health Mate. Sur la page Internet d’Amazon qui détaille l’habileté et l’offre des compétences Nokia, il y a la déclaration suivante : Alexa et Amazon, Inc. ne stockent ni ne conservent vos données Nokia Health, mais les interactions vocales associées à votre compte Amazon peuvent contenir vos données Nokia Health Mate.

Lorsque vous liez Alexa et accordez à Amazon la permission d’accéder à votre compte Nokia Health Mate, vous accordez en réalité à Amazon Alexa l’accès aux données personnelles, y compris le poids, la distance parcourue, le sommeil et les objectifs. Ces informations sont stockées sous forme d’interactions vocales associées à votre compte Amazon.

SONOS

Si, par exemple, vous avez des enceintes dans les chambres de vos enfants, nommer les enceintes en utilisant leurs noms réels peut, par inadvertance, mener à partager des données avec Sonos au sujet des personnes de votre famille.

WOERLEIN

En l’absence de politique de confidentialité, nous devons nous fier à notre enquête pour comprendre la communication entre l’appareil et Internet. Tout d’abord, lors de la configuration de l’appareil pour se connecter au réseau Wi-Fi, le mot de passe n’est pas masqué. Si l’appareil est accessible, par exemple dans un lieu public tel qu’un bureau ou un établissement de vente au détail, les informations d’identification Wi-Fi seront accessibles en cliquant sur les paramètres.

Lors de la sélection d’une station de radio, une instruction est envoyée en clair à mediayou.net, qui semble être un portail d’accès au contenu radio en ligne. Mediayou connaîtra l’adresse IP de la radio qui s’y connecte, la station de radio demandée, ainsi que l’heure et la durée d’écoute.

Aucune politique de confidentialité n’est répertoriée sur le site Internet mediayou.net. Même lors de la création d’un compte sur le site, il n’y avait aucune offre de politique de confidentialité ou de conditions d’utilisation. Faire des recherches sur le domaine mediayou.net pour déterminer qui en est le propriétaire est futile, car les détails du domaine sont cachés derrière un bouclier de confidentialité, ce qui est ironique…

Si vous ne comprenez pas quelles données, le cas échéant, peuvent être collectées et conservées, vous devez envisager le pire : une entreprise pourrait collecter tout ce qu’elle peut et vendre ces données à qui elle veut et quel que soit son choix. À l’heure où les données personnelles ont une valeur et où le vol d’identité est un problème croissant, cette situation est inacceptable.

TP-LINK

Cet appareil présente des vulnérabilités qui incluent un chiffrement facilement réversible entre l’appareil et l’application TP-Link Kasa utilisée pour le contrôler, des problèmes de validation de certificat et des attaques potentielles de type man-in-the-middle.

CONCLUSION

Aucun appareil ou logiciel n’est garanti « totalement sécurisé » ou « sans vulnérabilités potentielles ». Chaque personne qui lit ce rapport aura une vision différente des informations personnelles qu’elle estime pouvoir partager avec une entreprise ou un fournisseur. Il est nécessaire de se renseigner sur le niveau de protection des appareils. Par exemple, est-ce que le fabricant envoie des notifications pour la mise à jour du firmware ? Les assistants personnels vocaux intelligents sont très pratiques. Ils sont également omniscients. Évaluez avec prudence les informations que vous souhaitez partager avec eux.

Les données collectées sur la maison, le style de vie, la santé et même les données de navigation Internet d’une personne ne devraient être autorisées qu’une fois les conséquences prises en compte. Alors que les entreprises découvrent de nouvelles façons de faire du profit avec les données collectées via les objets connectés, soit l’industrie doit s’autoréguler, soit les gouvernements devront renforcer la législation relative à la protection de la vie privée (de la même manière que l’UE a mis en place le RGPD).

Communiqué de presse, Cybersécurité, Securite informatique

Cybermenaces : AFNOR publie un guide utile pour comprendre, prévenir et traiter les attaques

Un commentaire

Toute organisation est aujourd’hui exposée aux risques de cyberattaques. Le guide AFNOR tout juste publié les aidera à s’y préparer, mais aussi à trouver des solutions opérationnelles en cas d’attaque effective. Un outil précieux face aux obligations fixées par le RGPD.

Sabotages, exfiltration de données, fraudes… Les malversations provenant d’une attaque informatique externe sont protéiformes. La Commission Européenne estime que huit entreprises européennes sur dix ont été touchées en 2016. Plus de 4000 attaques par « rançongiciel » ont lieu chaque jour en Europe (soit une hausse de 300% par rapport à 2015) et le développement exponentiel des objets connectés créé un terreau favorable à ces malversations.

Intégrer un réflexe de détection/réaction à l’égard des APT (Advanced Persistent Threats ou menaces persistantes avancées) est donc devenu vital pour les organisations. C’est d’autant plus vrai du fait de l’entrée en application du Règlement Général sur la Protection des Données (RGPD) annoncée le 25 mai 2018. Pour les dirigeants, les responsables de la gestion des risques et de la sécurité des systèmes d’informations, le nouveau guide publié par AFNOR tombe à point nommé. Il propose, en une quarantaine de pages, des bonnes pratiques pour identifier les risques, mieux se protéger, former le personnel, gérer la crise lorsqu’elle survient et disposer de réponses techniques.

Comprendre, éviter, détecter, contre-attaquer

Les organisations sans structures dédiées à la sécurité des systèmes d’informatique apprécieront particulièrement ce guide : il présente de manière pragmatique et didactique la conception et le déroulement d’une attaque. Il détaille aussi des exemples de mesures à prendre pour détecter et éviter les attaques puis, le cas échéant, les démarches à effectuer en cas de tentative d’intrusion réussie. Cette dernière partie, qui délivre un véritable plan de réponse adapté à ces nouvelles cyber-attaques, constitue une incontestable nouveauté et originalité dans le genre.

Le plan de réponse à une cyberattaque est effectivement bien détaillé. Il consiste à gérer l’incident de manière à en limiter les dommages, à conserver la confiance des parties prenantes internes et externes et à réduire le temps de reprise d’activité normale. Ce plan vise à regrouper les personnes pressenties (cellule de crise décisionnelle/ opérationnelle), connaître les caractéristiques de l’attaque, déterminer un calendrier des étapes à suivre et vérifier de la bonne réalisation de toutes les opérations prévues.

La publication du guide AC Z90-002 s’inscrit dans le prolongement des travaux du groupe de travail « Prévention de la fuite d’information ». Deux guides sont déjà parus : l’un sur les plans de continuité d’activité (BP Z74-700), l’autre sur la prévention et la gestion de la fuite d’informations (BP Z90-001).

Le guide AC Z90-002 « Bonnes pratiques pour la prévention, la détection et le traitement des nouvelles cyber-menaces » est disponible via la boutique de l’AFNOR.

backdoor, Cybersécurité, IOT, Securite informatique

IoT : quand les objets connectés deviennent des menaces de sécurité

Un commentaire

Les fêtes de Noël, et maintenant les soldes représentent la période propice pour l’achat d’appareils connectés iot. Maintenant, même les jouets pour les enfants sont des bijoux de technologie intelligents, télécommandés et équipés de caméras vidéo et même de haut-parleurs intégrés. Si ces jouets sont très populaires auprès des dernières générations de consommateurs, ils peuvent également s’avérer dangereux. En effet, certains objets connectés peuvent parfois échapper au contrôle de leurs propriétaires et devenir des portes faciles d’accès pour les intrus. Dans ces cas-là les options vidéos et haut-parleurs deviennent indésirables et nuisent à la sécurité des enfants.

Les objets intelligents connectés (IoT) sont aujourd’hui très attrayants et ont pour vocation de faciliter le quotidien. Mais dans quelle mesure leur utilisation est-elle sans danger du point de vue de la cybersécurité ? En 2015, les chercheurs de Kaspersky Lab ont décidé de se pencher sur le niveau de menace que présente l’Internet des objets (IoT). Les résultats étaient préoccupants, c’est pourquoi, 2 ans plus tard, ils ont approfondi leurs recherches dans ce domaine. Sur 8 objets IoT pris au hasard (allant d’un fer à repasser intelligent à un véhicule-espion miniature), la moitié d’entre eux étaient piratables en raison de la faiblesse de leur mot de passe. En outre, un seul des objets a répondu aux exigences des chercheurs en matière de sécurité.

Un vaste réseau d’objets connectés, attrayant pour les cybercriminels.

Les objets connectés orbitent en réseau et intègrent une technologie qui leur permet d’interagir les uns avec les autres ou avec leur environnement extérieur. Du fait du grand nombre et de la variété d’objets connectés disponibles, l’IoT est devenu une cible tentante pour les cybercriminels. C’est ce qui explique, entre autres, les attaques DDoS record lancées en 2016 avec l’aide de botnets massifs constitués de routeurs, de caméras IP, d’imprimantes et d’autres appareils transformés en « zombies ». En piratant ces objets IoT, des criminels peuvent exercer un chantage ou espionner les utilisateurs. D’autres vecteurs peuvent être encore plus dangereux. Par exemple, les équipements du réseau domestique pourraient servir à des activités illicites ou bien un cybercriminel ayant accès à un objet IoT pourrait faire chanter – et espionner – son propriétaire pour lui extorquer de l’argent. Moins grave, mais toujours ennuyeux, l’appareil infecté peut aussi être mis simplement hors service.

Un niveau de sécurité beaucoup trop faible, malgré les menaces omniprésentes.

Alors que de nombreuses études ont été réalisées à la suite des incidents déplorés ces dernières années, on pourrait s’attendre à un changement notoire en matière de sécurité des objets IoT. Pour autant, Kaspersky déplore encore un manque de sécurité inquiétant, notamment au niveau des mots de passe. Pour en arriver à ces conclusions, les chercheurs ont de nouveau analysé plusieurs objets intelligents choisis de manière aléatoire, en l’occurrence un chargeur, une voiture miniature commandée par une application, un tuner, une balance, un aspirateur, un fer à repasser, une caméra et une montre. Les résultats sont véritablement inquiétants : sur les 8 objets examinés, un seul était satisfaisant en termes de sécurité.

Qui plus est, la moitié des objets pourraient être piratés et leurs vulnérabilités exploitées à cause d’un défaut de vigilance du fabricant dans la définition des mots de passe. Il s’agit en particulier de l’impossibilité de modifier le mot de passe par défaut alors même que, dans certains cas, celui-ci est identique pour tous les produits d’une gamme.

Quelques conseils d’experts pour éviter les risques

DataSecurityBreach.fr vous conseille de prendre les précautions suivantes afin de se prémunir contre l’achat d’objets intelligents vulnérables :

  1. Avant d’acheter un objet IoT, recherchez sur Internet la mention d’éventuelles vulnérabilités. L’Internet des objets est aujourd’hui un sujet brûlant et de nombreux chercheurs font un excellent travail pour découvrir des failles de sécurité dans les produits de ce type, depuis les écoute-bébés jusqu’aux armes gérées par une application. Il est probable que l’objet de convoitise ait déjà été examiné par des chercheurs en sécurité et il est souvent possible de vérifier si les problèmes découverts ont été corrigés ou pas.
  2. Ce n’est pas toujours une bonne idée d’acheter les produits les plus récents dès leur lancement sur le marché. En dehors des bugs habituels affectant les nouveaux produits, ces derniers sont plus susceptibles de receler des failles de sécurité encore inconnues des chercheurs en sécurité. Il est donc préférable de choisir des produits ayant déjà connu plusieurs mises à jour de leur logiciel.
  3. Avant de décider de rendre un aspect de sa vie un peu plus intelligent, tenir compte des risques pour la sécurité. Si on conserve de nombreux objets de valeur à votre domicile, il est sans doute judicieux d’installer un système d’alarme professionnel en remplacement ou en complément de son modèle existant commandé par une application ou bien de configurer ce dernier de sorte qu’aucune vulnérabilité éventuelle n’affecte son fonctionnement.