[vendredi 19 janv. 18] Cybercriminalité, tous concernés ?

Salle des Archives
1

Conférence-débat
L’association « La liberté de l’esprit » qui depuis plus de 25 ans s’est donné comme objectif de contribuer au débat citoyen sur des questions de société à Quimper et plus largement en Cornouaille, invite :
Hélène Le Bouder, docteure en sécurité informatique, maître de conférence et chercheuse à l’IMT Atlantique de Rennes, spécialisée en cryptologie et en sécurité informatique (matérielle et logicielle), pour une conférence-débat dont le thème est :

[b]Cybercriminalité, tous concernés ?[/b] Comprendre la cybercriminalité pour mieux s’en préserver

Cette conférence-débat aura lieu le vendredi 19 janvier 2018 - 19h00 dans l’amphithéâtre de l’hôtel Mercure, avenue de la gare à Quimper

La Banque de France (2008), l’industrie nucléaire en Iran (2010), Yahoo (2014), Orange (2014), des centrales électriques en Ukraine (2015), une élection aux USA (2016), Uber (2016), etc… tous ont déjà été piratés ! Partout, la cybercriminalité est entrée dans nos vies. Pourtant, nous ne connaissons pas vraiment ceux qui organisent ces actions. La prise de conscience est lente. Rares sont ceux qui pensent que leurs données pourraient être piratées ou leur identité usurpée.

Pour mieux comprendre les enjeux économiques, sociétaux et militaires, Hélène Le Bouder nous expliquera ce qu’est la cybercriminalité : des objets connectés attaqués à distance par des pirates aux logiciels malveillants bloquant l’accès à nos données sur notre ordinateur (avec paiement d’une rançon). Les pièges comme les risques financiers et stratégiques sont multiples et les solutions difficiles à mettre en place. Ses champs de recherche couvrent la sécurité informatique, comme la vulnérabilité des cartes de paiement (code PIN), et l’étude des mesures pour contrer les logiciels malveillants.
La Bretagne figure parmi les régions les plus dynamiques en matière de recherche en cybercriminalité.

Ensemble, nous essaierons de comprendre et répondre à ces questions :

  • Les objets connectés devraient fortement se développer : Quels sont les objets à risque (ex : paiement sans contact, système bluetooth, wifi…) ? Comment limiter les risques ? Les usurpations d’identité se développent elles ?
  • 85 % des entreprises (TPE et PME) estiment ne pas être vraiment concernées par la cybercriminalité. Y a-t-il un niveau à risque ou tout le monde peut-il être touché ?
  • Qui sont les responsables de cette cybercriminalité ? Comment lutter ? Quelle coordination entre Etats, tout en préservant la défense nationale ?
  • Comment concilier lutte contre la cybercriminalité et protection des libertés individuelles ?

Entrée: 8 € - 6€ adhérents - 3 € étudiants et chômeurs

La liberté de l'esprit

2

[b]WannaCry : les États-Unis accusent la Corée du Nord et appellent au rassemblement

[/b] Next Inpact / Par Vincent Hermann / le mardi 19 décembre 2017

Pour les États-Unis, il ne fait désormais plus aucun doute : la Corée du Nord est officiellement accusée d’être responsable de l’attaque WannaCry(pt). Le gouvernement lance un appel à la communauté internationale pour réduire le potentiel de nuisance du régime totalitaire. WannaCry restera dans les annales comme l’une des plus fortes attaques informatiques de tous les temps. Ce malware, déguisé sous les traits d’un ransomware, a contaminé des centaines de milliers de machines, tout en provoquant des pannes dans des secteurs aussi sensibles que la santé. Parmi ses mécanismes d’action, WannaCry pouvait notamment exploiter l’une des failles révélées par les Shadow Brokers après son vol de données sur un serveur de la NSA (qui contenaient également le code d’exploitation). Il y a quelques mois déjà, la NSA (National Security Agency) avait conclu que l’attaque avait de fortes chances de provenir de la Corée du Nord. On se souvient d’ailleurs que dans un communiqué commun avec le FBI et le département de la Sécurité intérieure, l’agence mettait en garde en particulier contre un groupe de pirates nord-coréens nommé Hidden Cobra. Mais comme l’a indiqué au Wall Street Journal Thomas Brossert, conseiller de Donald Trump à la sécurité intérieure, il n’y a désormais plus de doute : la Corée du Nord est bien le pays qui a lâché WannaCry sur le monde.

La Corée du Nord, que personne ne prenait au sérieux

Pour les États-Unis, la Corée du Nord avait un objectif affiché de créer autant de pagaille que possible, jusqu’à nier le potentiel néfaste sur la vie humaine, puisque le malware pouvait aussi bien toucher les OIV que les structures plus classiques, comme dans le cas des hôpitaux anglais.
Thomas Bossert, note ainsi que le « le monde est de plus en plus interconnecté avec de nouvelles technologies, appareils, réseaux et systèmes ». Dans le même temps malheureusement, les opportunités pour les acteurs malveillants augmentent, portées par un « espoir d’anonymat ».
Dans ce contexte, la Corée du Nord s’est montrée « particulièrement nuisible » selon Bossert. Il note que le pays est resté sous les radars depuis plus d’une décennie, alors que « son activité malveillante devenait toujours plus flagrante ». WannaCry n’était-il pas d’ailleurs « d’une dangereuse imprudence » ?
Un cas qui en rappelle un autre : début 2015, le FBI affichait sa certitude que le petit pays asiatique était responsable de l’attaque contre Sony Pictures. Il en avait résultat une importante fuite de données.

Les États-Unis appellent à un effort collectif

Bossert évoque également les conséquences, puisque la Maison Blanche est décidée à embrayer sur une modernisation des administrations, particulièrement centrales, afin d’en augmenter la sécurité. Cela étant, ladite Maison Blanche ne fait que réagir à un constat fait depuis déjà un moment sur l’état délabré de bon nombre des infrastructures du pays, notamment celles utilisant des systèmes SCADA chez les OIV américains.
Le gouvernement américain appelle dans tous les cas à un rapprochement entre les acteurs privés et publics, ainsi qu’entre les pays. Car sans donner vraiment plus de détails, l’avis des États-Unis sur la Corée du Nord recouperait celui de nombreux alliés, qui seraient arrivés à la même conclusion sur WannaCry.
On rappellera tout de même que l’intéressé avait démenti formellement être à l’origine de l’attaque en mai dernier. Le gouvernement nord-coréen déclamait alors : « Chaque fois que quelque chose d’étrange se produit, de manière stéréotypée, les États-Unis et les forces hostiles lancent une campagne bruyante contre la Corée du Nord en faisant le lien ».

Une prise de conscience salvatrice

On peut voir toutefois dans l’impact global du malware une occasion pour beaucoup de se réveiller sur la sécurité de leurs infrastructures. Une opportunité de faire un bilan strict des défenses réellement en place et d’implémenter les règles de sécurité les plus élémentaires, comme la maintenance à jour d’un parc informatique, où les correctifs sont installés en temps et heure.
Mais en dépit d’une prise de conscience que d’aucuns jugeront salvatrice, d’autres pointent la prise de décision éminemment politique de Donald Trump sur la Corée du Nord. Comme le signale le Washington Post notamment, des députés démocrates posent la question de la différence de traitement entre la dictature asiatique et la Russie, accusée d’ingérence dans les dernières élections américaines. Elijah E. Cummings, par exemple, ne comprend pas la négation actuelle par le président des sources de renseignement pointant toutes en direction du Kremlin.
On regrettera, comme trop souvent, que des évènements sécuritaires majeurs soient nécessaires pour que les bonnes questions soient enfin posées. La situation est à ce titre compatible au phénomène Mirai qui, après avoir fait des ravages, a braqué une lumière crue sur les trous béants dans la sécurité d’un grand nombre d’objets connectés.

3

Numerama / Julien Lausson / 20dec. 2017

CTB-Locker : arrestation de cinq personnes suspectées d’être liées au ransomware

La police a procédé à l’arrestation de cinq soupçonnées d’avoir infecté des systèmes informatiques en propageant le logiciel malveillant CTB-Locker, un rançongiciel qui bloque des fichiers informatiques et réclame une rançon pour les libérer.

4

La France et la cybersécurité
Sommaire

[ul][li]Un dispositif national robuste, qui continue à monter en puissance[/li]
[li]Garantir l’autonomie stratégique numérique de l’Union européenne[/li]
[li]Assurer la stabilité stratégique et la sécurité internationale dans le cyberespace[/li]
[li]Le Mois européen de la cybersécurité (octobre 2017)[/li][/ul]

[b]La France et les questions de cybersécurité[/b] [b]De nouvelles pratiques destructrices se développent dans le cyberespace[/b] : utilisations criminelles d’internet (cybercriminalité), y compris à des fins terroristes, propagation de fausses informations à grande échelle, espionnage à visée politique ou économique, attaques contre les infrastructures critiques (transport, énergie, communication…) à des fins de sabotage, etc. [b]Emanant de groupes étatiques ou non-étatiques,[/b] les cyberattaques :
  • se jouent des frontières et des distances ;
  • sont difficilement attribuables : il est très difficile d’identifier formellement le véritable attaquant, qui agit souvent sous couvert de relais involontaires (botnets) ou d’intermédiaires (proxies) ;
  • peuvent être réalisées relativement facilement, à bas coût et à très faible risque pour l’attaquant. Elles visent à mettre en péril le bon fonctionnement des systèmes d’information et de communication (SIC) utilisés par les citoyens, les entreprises et les administrations, voire l’intégrité physique d’infrastructures essentielles à la sécurité nationale.

La cybersécurité recouvre l’ensemble des mesures de sécurité susceptibles d’être prises pour se défendre contre ces attaques. L’augmentation spectaculaire du niveau de sophistication et d’intensité des cyberattaques a conduit ces dernières années la plupart des pays développés à renforcer leur résilience et à adopter des stratégies nationales de cybersécurité.
Un dispositif national robuste, qui continue à monter en puissance Le dispositif national de la France en matière de cybersécurité est fondé sur deux textes essentiels : le Livre blanc sur la sécurité et la défense nationale de 2013 d’une part, et la Stratégie nationale pour la sécurité du numérique de 2015 d’autre part.
Cette Stratégie, destinée à accompagner la transition numérique de la société française, répond aux nouveaux enjeux nés des évolutions des usages numériques et des menaces qui y sont liées avec cinq objectifs :

  • Garantir la souveraineté nationale ;
  • Apporter une réponse forte contre les actes de cybermalveillance ;
  • Informer le grand public ;
  • Faire de la sécurité numérique un avantage concurrentiel pour les entreprises françaises ;
  • Renforcer la voix de la France à l’international.

Avec la Stratégie nationale pour la sécurité du numérique, l’Etat s’engage au bénéfice de la sécurité des systèmes d’information pour aller, par une réponse collective, vers la confiance numérique propice à la stabilité de l’État, au développement économique et à la protection des citoyens.
Aux niveaux techniques et opérationnels, divers acteurs contribuent à l’efficacité de ce dispositif :

  • Créée en 2009, l’Agence nationale de sécurité des systèmes d’information (ANSSI) est l’autorité nationale en matière de cybersécurité. Véritable « pompier » du cyberespace français, elle est chargée de la prévention (y compris en matière normative) et de la réaction aux incidents informatiques visant les institutions sensibles. Elle organise par ailleurs des exercices de gestion de crises au niveau national. L’ANSSI embauche aujourd’hui plus de 500 personnes et continue de croître.
  • Le ministère de la Défense a la double mission d’assurer la protection des réseaux qui sous-tendent son action et d’intégrer le combat numérique au cœur des opérations militaires. Afin de consolider l’action du ministère dans ce domaine, un commandement de cyberdéfense (COMCYBER), placé sous les ordres du Chef d’Etat-Major des Armées, a été créé début 2017.
  • Le ministère de l’Intérieur a pour mission de lutter contre toutes les formes de cybercriminalité, visant les institutions et les intérêts nationaux, les acteurs économiques et les collectivités publiques, et les particuliers. Il mobilise à cette fin les services centraux spécialisés et les réseaux territoriaux des directions générales de la police nationale, de la gendarmerie nationale et de la sécurité intérieure. Ceux-ci sont chargés des enquêtes visant à identifier les auteurs d’actes de cybermalveillance et à les déférer à la justice. Ces services contribuent en outre à la prévention et à la sensibilisation des publics concernés.

Garantir l’autonomie stratégique numérique de l’Union européenne Au sein de l’Union européenne (UE), la France défend une vision ambitieuse et le concept « d’autonomie stratégique numérique de l’UE ». Cette vision s’appuie sur trois piliers :

  • Un pilier opérationnel et capacitaire : la directive NIS (Network and Information Security) de juillet 2016 est une avancée importante pour le renforcement de la cybersécurité de chaque Etat membre. La France soutient également la proposition de la Commission de renforcer l’ENISA, destinée à devenir une véritable Agence européenne pour la cybersécurité et renforcer la coopération opérationnelle entre les Etats membres.
  • Un pilier industriel : L’ambitieux partenariat public-privé contractuel sur la cybersécurité lancé par la Commission en juillet 2016 devra permettre de favoriser la R&D en matière de cybersécurité à l’échelle européenne. Au-delà, l’autonomie stratégique de l’UE passera aussi par sa capacité à se placer en pointe des prochaines révolutions technologiques dans le domaine du numérique : c’est le sens de l’appel du Président de la République à la création d’un « DARPA » à l’européenne, c’est-à-dire une agence de financement de l’innovation de rupture.
  • Un pilier normatif : au plan politique comme au plan technique, la France doit veiller à ce que l’UE se dote de normes en matière cyber qui soient compatibles avec un haut niveau d’exigence et de sécurité. C’est notamment le cas en matière de certification des produits de sécurité informatiques ou de localisation des données sensibles.

Assurer la stabilité stratégique et la sécurité internationale dans le cyberespace Le renforcement de la stabilité stratégique et de la sécurité internationale dans le cyberespace est l’un des objectifs prioritaires de la France. Elle joue ainsi un rôle actif dans la promotion d’un cyberespace sûr, stable et ouvert. Le Ministère de l’Europe et des Affaires étrangères coordonne les travaux de la France en matière de « cyberdiplomatie ».
La France est particulièrement active au sein de l’ONU, où sont discutées des règles de comportement responsable dans le cyberespace. Elle a notamment participé aux cinq derniers groupes d’experts gouvernementaux (GGE) de l’ONU sur la cybersécurité dont les travaux ont permis d’ancrer le cyberespace dans le système international issu de la Charte des Nations Unies et d’orienter les Etats dans une dynamique de prévention, de coopération et de non-prolifération dans le cyberespace (reconnaissance, en 2013, de l’applicabilité du droit international, et notamment de la Charte des Nations Unies, au cyberespace, consolidation, en 2015, d’un socle d’engagements volontaires de bonne conduite (« normes de comportement ») pour les Etats dans le cyberespace.
La France est également engagée dans d’autres enceintes internationales où sont abordées les questions de cybersécurité, notamment :

  • Au sein de l’Alliance Atlantique, la France a été à l’initiative dans l’adoption par les 28 Nations d’un Engagement pour la cyberdéfense (« Cyberdefence Pledge ») lors du Sommet de Varsovie en juin 2016. La reconnaissance, lors de ce sommet, du cyberespace comme un domaine d’opérations, engage désormais l’OTAN à s’y défendre comme elle le fait dans les domaines terrestre, aérien et maritime.
  • Au G7, où le groupe Ise-Shima créé en 2016 et dédié aux questions cyber a permis d’aboutir, au printemps 2017, à l’adoption par les Ministres des affaires étrangères du G7 d’une déclaration ambitieuse concernant les normes de comportement responsable des Etats dans le cyberespace ;
  • A l’OSCE, qui s’est imposée comme une enceinte régionale de référence pour la définition et la mise en œuvre des mesures de confiance appliquées au cyberespace avec l’adoption de deux trains de mesures de confiance en 2013 et 2016.

Enfin, la France entend aujourd’hui mener une réflexion, avec ses partenaires étatiques mais aussi du secteur privé et de la société civile, sur le rôle et les responsabilités spécifique des acteurs privés dans le renforcement de la stabilité et de la sécurité internationale du cyberespace. Le Ministre de l’Europe et des Affaires étrangères a ainsi présidé un évènement consacré à ce sujet le 18 septembre dernier, en marge de la 72ème session de l’AGNU.
Le Mois européen de la cybersécurité (octobre 2017) C’est dans le cadre du Mois européen de la cybersécurité que David Martinon, ambassadeur pour la cyberdiplomatie et l’économie numérique, nous a accordé cet entretien au cours duquel il évoque pour nous le caractère global de ce nouveau type de conflits, le niveau de préparation de la France dans le domaine ainsi que l’état de la stratégie européenne ou de la coopération mondiale dans la prise en compte de ces menaces.

5

34C3 à Leipzig - J1/4
Conférences sur la sécurité informatique, le hardware et making, l’éthique, la politique, l’art et la culture, les sciences et la résilience
27.12.2017 - par Valérie Dagrain CC-BY-SA 4.0

6

https://www.ssi.gouv.fr/administration/guide/recommandations-de-securite-relatives-a-un-systeme-gnulinux/

Recommandations de sécurité relatives à un système GNU/Linux

Les systèmes GNU/Linux offrent un grand nombre de combinaisons possibles. Des règles de configuration incontournables, recommandées par l’ANSSI, permettent d’obtenir un système raisonnablement sûr, tout en conservant les fonctionnalités requises, par le respect et l’application de certains principes fondamentaux. [font=caslonreg]

Aujourd’hui les systèmes d’exploitation Unix et dérivés, et notamment GNU/Linux, jouent un rôle important dans l’écosystème des équipements, systèmes, réseaux et télécommunications.[/font]
Ces 2 documents ont pour objet d’énoncer les principaux axes de durcissement (ou processus destinés à sécuriser un système) à explorer au sein d’un système GNU/Linux. Ils s’appliquent en complément de principes de base applicables à tout système d’exploitation, comme par exemple l’application régulière des correctifs.
> Recommandations de sécurité relatives à un système GNU/Linux est un document synthétique qui décrit les 5 recommandations minimales à respecter pour la sécurisation d’un système :

[ul][li] Réduire la surface d’attaque[/li]
[li] Appliquer un principe de défense en profondeur[/li]
[li] Mettre en place des mesures de cloisonnement applicatif[/li]
[li] Rédiger et appliquer les procédures d’administration sécurisées[/li]
[li] Définir et mettre en place une politique de journalisation d’événements cohérente[/li][/ul]
> Recommandations de configuration d’un système GNU/Linux détaille pour sa part une démarche de durcissement adaptée et plus précise au travers de recommandations classées selon 4 niveaux de sécurité (recommandations de niveau minimal, intermédiaire, renforcé et élevé).
Les principes et préconisations présentés par ces 2 documents pratiques sont indispensables à la sécurisation raisonnée d’un système GNU/Linux.

Recommandations de configuration d’un système GNU/Linux

Recommandations de sécurité relatives à un système GNU/Linux

7

Intéressant que ces notes techniques soient rendues publiques. Merci pour ces docs dont je ne connaissais pas l’existence :slight_smile:

8

Oui ! Intéressant… Après la lecture de quelques pages, je conclus que l’administration d’un serveur GNU/Linux ou autres est un métier à laisser aux professionnels de la profession et que l’autohébergement est une bien mauvaise idée pour le commun des internautes comme moi :slight_smile:

9

Tu suggères un complot ?

10
Il est recommandé d’utiliser un noyau durci avec le patch grsecurity quand la distribution GNU/Linux le permet.
J'ai terminé le premier document. C'est pas un complot, c'est un exploit mais je suis toujours dans le même état de désarroi, je ne connais rien à GNU/Linux :(
11
Après la lecture de quelques pages, je conclus que l’administration d'un serveur GNU/Linux ou autres est un métier à laisser aux professionnels de la profession
Faut dire qu'ils mettent pas beaucoup de smileys dans le document.

…Mais suis pas d’accord avec toi, on peut complètement administrer un serveur GNU/Linux en dilettante, faut juste pas y mettre de chose trop sensible…

Au fond, si tu es peu connu, les « attaques personnalisées » sont improbables ; et normalement si tu t’es pas chié sur la configuration et que tu fais t’es mises à jour, tu devrais résister aux attaques automatiques. L’un dans l’autre, ça devrait marcher 99% du temps, c’est ce que j’appelle « une sécurité suffisante » : c’est pas cher à compromettre si on embauche un expert, mais ça tient quand même en pratique.

En fait beaucoup plus que sécuriser son installation, parvenir à détecter quand son système a été compromis est vachement plus intéressant, je pense.

12

J’en ai fait l’expérience

et quelques temps plus tard j’ai préféré passer chez un hébergeur professionnel que de devenir un zombie moi aussi :slight_smile:

13

Même les processeurs ont des failles… A qui accorder sa confiance ?

Google détaille trois failles, qui ont leur site dédié : après Intel, ARM confirme être touché
Par David Legrand le jeudi 04 janvier 2018 à 01:10
https://www.nextinpact.com/news/105903-kpti-correctifs-pourraient-impacter-lourdement-performances-processeurs-intel.htm

Mise à jour : Le projet Zero de Google a détaillé les trois variantes de la faille qui a mené à la mise en place de KPTI et confirme certaines de nos informations, sans attendre la levée de l'embargo du 9 janvier. Elles sont désormais connues sous le nom de Meltdown et Spectre. Cette dernière semble spécialement problématique car exploitable via du JavaScript. AMD, ARM et Intel ont été prévenus dès le 1er juin. ARM a listé ses architectures concernées et publié un document technique détaillé. Un site et une vidéo ont été mis en ligne. Red Hat prévient de son côté que même des puces IBM sont concernées.

Une série de correctifs améliore la séparation entre les espaces mémoire du noyau Linux et de l’utilisateur. Elle semble surtout concerner les processeurs Intel et pourrait avoir un impact fort sur les performances. Les autres systèmes seraient également touchés.

Le monde de la sécurité s’interroge depuis quelques jours sur une série de patchs du noyau Linux prévus pour la version 4.15. Une série connue au départ sous le nom de KAISER, mais depuis renommée plus précisément Kernel page-table isolation (KPTI).
Du changement dans vos noyaux en raison d’une faille hardware

KPTI isole complètement l’espace mémoire du noyau de celui de l’utilisateur, plutôt que d’opter pour des adresses aléatoires (KASLR). Le tout est expliqué par LWN (voir ici ou là), la documentation officielle de la fonctionnalité (active par défaut mais optionnelle) étant accessible par là.

L’idée est de proposer une solution à différentes attaques sur l’approche KASLR, notamment celle publiée récemment par des chercheurs de l’université de Graz (Autriche), qui exploite des défaillances côté processeur. De quoi inciter les développeurs du noyau à déclarer tous les processeurs x86 « insecure » pour le moment, tout en laissant la porte ouverte à des exceptions le temps venu.

Outre Linux, des patchs doivent arriver pour les principaux systèmes d’exploitation, tels que Windows comme le rapporte le blog Python sweetness, l’un des premiers à couvrir l’affaire. Intel, qui a participé aux correctifs, semble directement concerné, AMD ayant de son côté indiqué ne pas être touché.

Plusieurs rumeurs entourent pour le moment ces mises à jour, certains évoquant un embargo en cours sur une faille d’importance (peut être chez Xen). D’autres ont constaté qu’Azure a annoncé une maintenance de ses services pour le 10 janvier, contre le 5 janvier chez AWS, les deux pointant une mise à jour de sécurité.

En fin de matinée, OVH annonçait à travers le compte Twitter de son PDG que le patch allait être déployé dans les heures à venir. Les clients de l’offre mutualisée ne devraient pas rencontrer d’interruption, ceux sur du Public Cloud VPS vont devoir faire avec. De nouvelles images leur seront également proposées.

CPU x86 Insecure
Un impact important côté performance

Tout se passerait donc pour le mieux si cela ne risquait pas d’impacter assez durement les processeurs d’Intel. En effet, selon les premiers relevés, les effets de ce patch pourraient être dramatiques pour les performances du fondeur.

Des pertes allant jusqu’à 35 % sont constatées par les premiers tests, qui semblent surtout concerner les usages de type serveur, des actions comme la compilation, etc. Selon Phoronix, les jeux ne seraient pas impactés.

On imagine néanmoins que des secteurs entiers risquent d’être touchés : sociétés de services en ligne, hébergeurs et autres fournisseurs de solution « Cloud ». On imagine d’ailleurs que des sociétés comme Shadow, qui reposent massivement sur de la virtualisation sous Linux de systèmes Windows, pourraient voir des effets assez importants dans certaines situations.
De nombreux points restent à éclaircir

Pour le moment, il est assez difficile de se faire une idée de l’impact réel, notamment du fait de l’absence de communication officielle, ce qui semble confirmer la théorie de l’embargo (mais nous sommes également le 3 janvier). Intel n’a ainsi pas encore réagi publiquement pour le moment. On ne sait donc pas si tous ses processeurs sont concernés ou non, et si les patchs en excluront certains, auront des impacts plus ou moins forts, etc.

En cas de confirmation, ce serait une mauvaise nouvelle de plus pour le constructeur qui a déjà fait face à de nombreuses failles dans son Management Engine ces derniers temps. Avec AMD préservé, c’est tout un écosystème qui pourrait être fortement bousculé. Ce, à quelques jours de l’ouverture du CES de Las Vegas…

On s’attend ainsi à ce qu’un vent de panique souffle sur le secteur, même en l’absence d’informations concrètes. De notre côté, nous avons bien entendu interrogé Intel et plusieurs de ses partenaires afin d’en savoir plus et de recueillir leur avis. Dès que nous aurons plus de détails à partager, nous reviendrons sur le sujet avec une analyse plus complète.

14

Quimper. Cybercriminalité, savoir pour mieux s’en préserver
Ouest-France le 12/01/2018 à 16:31

L’association La Liberté de l’esprit organise, vendredi 19 janvier, une conférence-débat autour de la cybercriminalité, une « menace qui nous concerne tous ». L’actualité ne pouvait pas mieux s’y prêter pour aborder le sujet. Quand le gouvernement s’en va-t-en guerre contre les [i]fake news[/i] et que des failles informatiques affolent le monde, l’association La Liberté de l’esprit organise, vendredi 19 janvier, une soirée-débat s’articulant autour de la cybercriminalité. Une [b]« nouvelle forme de criminalité qui nous concerne tous »[/b], affirme son président, Rémi Mer.

Un phénomène qui touche nos pratiques

Comment s’en préserver ? Hélène Le Bouder, docteure en sécurité informatique, maître de conférences et chercheuse à l’IMT Atlantique de Rennes, spécialisée en cryptologie et en sécurité informatique, viendra apporter ses éléments de réponse. L’occasion de mieux en saisir les contours et enjeux économiques, sociétaux et militaires.Comprendre pour mieux s’en préserver
La Banque de France, l’industrie nucléaire en Iran, Yahoo, des centrales électriques en Ukraine, une élection aux USA, Uber… Tous ont déjà été la cible de pirates informatiques. « Mais nous, citoyens, ne sommes pas à l’abri non plus ! explique René Bantegnie, chargé de communication de l’association. C’est à travers nos smartphones et même nos cartes sans contact. »
« Cette conférence a pour vocation d’informer et alerter les gens pour qu’ils fassent preuve de prudence », complète Rémi Mer. La première partie de soirée sera consacrée à l’intervention de l’invitée, un « éclairage sur le sujet ». Ce seront ensuite aux gens de prendre la parole et de poser leurs questions.

Vulgariser la technicité des thématiques

Depuis plus de 25 ans, La Liberté de l’esprit s’évertue à contribuer au débat citoyen sur des questions de société à Quimper et au-delà. Fin de vie, uberisation, populisme… De la philosophie à la politique, les thèmes abordés sont larges.
Mais le président met un point d’honneur à éloigner tout aspect technocratique de cette initiative : « Le but, justement, est de vulgariser la technicité de certaines thématiques et les rendre abordables par tous ».

Vendredi 19 janvier, à 19 h, à l’amphithéâtre de l’hôtel Mercure, avenue de la Gare. Entrée : 8 €, 6 € pour les adhérents, 3 € pour les étudiants et chômeurs. Plus d’informations sur le site de l’association : lalibertedelesprit.org ou au 06 70 75 34 68.

15

Cybercriminalité. Hélène Le Bouder : « Il ne faut pas être paranoïaque »

Le Télégramme 15 janvier 2018 Propos recueillis par Gilles Carrière

Chercheuse en informatique, Hélène Le Bouder sera, vendredi, l’invitée de la Liberté de l’esprit, à l’hôtel Mercure. « Comment définir la sécurité informatique ? Que peut-on attaquer ? Comment peut-on se défendre ? »? Tels seront les thèmes abordés.
En France, une très grande majorité des TPE (très petites entreprises) et PME (petites et moyennes entreprises) estiment ne pas être concernées par la cybercriminalité. Sous-estiment-elles les menaces ? Les grands groupes ne sont pas les seuls qui peuvent être victimes de cyberattaques. À partir du moment où vous possédez un objet informatique, vous pouvez être une victime, surtout si vous ne prenez pas la sécurité informatique au sérieux. C’est comme la sécurité routière, elle concerne tous les usagers. Tout le monde doit respecter le Code de la route, pas seulement les conducteurs de bus, taxis ou camions.

Donnez-nous quelques exemples… 

  Une chaîne de production peut être paralysée par une attaque sur son réseau. Une carte de paiement peut être piratée. Un objet connecté peut être détourné de ses fonctions. Pour autant, il ne faut pas être paranoïaque. Il y a toujours des règles simples à respecter. Si vous pratiquez l'escalade, vous connaissez les techniques pour s'encorder, il ne vous viendrait pas à l'esprit de grimper sans corde... De même, si vous avez des données importantes, il faut les sauvegarder. Si elles sont confidentielles, il faut les chiffrer. De nombreuses attaques sont rendues possibles tout simplement parce qu'aucune politique de sécurité n'est mise en place.

Faut-il en déduire que la sécurité informatique doit être proportionnelle à ce que l’on protège ?

Tout à fait ! Si vous êtes une banque vous allez mettre une porte d’entrée « blindée », rien à voir avec celle d’une maison de particulier. Et pourtant il arrive aussi aux particuliers de se faire cambrioler. En informatique c’est pareil : on ne déploie pas les mêmes outils pour sécuriser le service informatique d’une multinationale que pour sécuriser l’ordinateur de la boulangerie de M. Raoul. En conclusion, tout le monde peut être victime et se doit de faire attention. Néanmoins, les grandes entreprises étant des cibles attractives, elles doivent être encore plus vigilantes !

Pratique
Conférence vendredi, à 19 h, à l’amphithéâtre de l’hôtel Mercure. Entrée : 8 € ; 6 €, adhérents ; 3 €, étudiants et chômeurs.

16

Vous avez raté la conférence de La liberté de l’esprit avec H.Le Bouder sur la Cybercriminalité et comme les clients de OnePlus vous allez continuer à faire vos achats en ligne avec votre carte bancaire alors qu’elle nous a conseillé de passer par…
La réponse à cette devinette dans l’article NextInpact ci-dessous

[b]OnePlus : des données bancaires dans la nature, 40 000 clients potentiellement touchés

[/b]Next Inpact Par Sébastien Gavois le vendredi 19 janvier 2018 à 17:20

OnePlus confirme avoir été victime d’un piratage sur son site. Un script malveillant a été installé afin de récupérer les données bancaires lorsqu’elles étaient saisies (et donc en clair). 40 000 clients sont potentiellement touchés.

Depuis plusieurs jours, des clients OnePlus affirment avoir été victimes de transactions frauduleuses sur la carte utilisée pour commander sur le site du fabricant. Ce dernier avait réagi officiellement : le paiement par carte bancaire a été désactivé et une enquête ouverte.

Les données bancaires récupérées directement lors de la saisie

Dans une mise à jour du billet de blog, il donne de plus amples informations… et elles ne sont pas bonnes : « Nous sommes profondément désolés d’annoncer que nous avons effectivement été attaqués, et que jusqu’à 40 000 utilisateurs pourraient être affectés par cet incident ».

OnePlus explique qu’un « script malveillant a été injecté dans le code de la page de paiement afin de récupérer les informations liées à la carte de crédit durant la saisie ». Il est question du numéro de carte bancaire, de la date d’expiration et du code de sécurité, bref de quoi passer des commandes sur d’autres sites.

Le script fonctionnait « par intermittence », envoyant aux pirates les données récoltées directement depuis le navigateur du client. Le script a bien évidemment été effacé et le serveur infecté mis en quarantaine affirme la société.

Un script en place pendant près de deux mois…

Les clients ayant saisi leurs informations bancaires entre mi-novembre et le 11 janvier sont potentiellement touchés (ils sont 40 000), et sont tous contactés par email. Par contre ceux ayant enregistré leur carte avant cette date ou ayant payé via PayPal ne sont pas concernés.

La société se confond en excuse, ajoutant qu’elle va renforcer sa sécurité. Elle ne communique pas pour le moment sur un éventuel dédommagement. Dans tous les cas, il est évidemment recommandé aux personnes concernées de vérifier attentivement leurs relevés de comptes afin de détecter rapidement d’éventuelles transactions frauduleuses et de contacter leur banque le cas échéant.

Petit bonus avec l'achat de mon #oneplus 5t (cc @nextinpact ) pic.twitter.com/MBnJIqQcwf
— Joël Chastagnier (@j_chas)19 janvier 2018
17

Le Télégramme 21 janvier 2018

Conférence de la Liberté de l’esprit. « Internet et ses menaces »

On a parfois tendance à l'ignorer : internet est un espace public. Bref, il n'est pas inutile de prendre des précautions sur le web. C'est du moins le discours qu'a tenu en substance, vendredi soir, dans le cadre de la Liberté de l'esprit Hélène Le Bouder, docteure en sécurité informatique à l'IMT Atlantique de Rennes. Pour la chercheuse, les menaces sur la toile sont multiples, mais proportionnelles aux enjeux. En d'autres termes, un utilisateur lambda du net est moins vulnérable qu'une (grande) entreprise soumise à un marché très concurrentiel. Contrairement à une idée répandue, le pirate de l'internet n'a pas uniquement le visage anonyme du hacker californien recroquevillé dans son garage. Les menaces d'ailleurs viennent surtout des mafias, des entreprises, des États ou tout simplement d'individus aux motivations diverses (goût pour la provocation, volonté de surmonter un défi). Sans basculer dans le discours paranoïaque, Hélène Le Bouder a rappelé qu'un internaute doit impérativement s'équiper d'un antivirus, « y compris sur Mac », précise-t-elle. « À mettre à jour régulièrement, sécuriser ses mots de passe. Il faut éviter les objets connectés », qu'elle assimile, avec une certaine bonhomie, à des « cochonneries connectées ». « Le reste, dit-elle, est question de bon sens. Et d'éducation. Les enfants de CM2 passent désormais un permis internet, c'est une bonne nouvelle ».

Gilles Carrière


18

Pas un mot sur les systèmes libres ? J’avais aussi entendu un expert de sécurité affirmer que s’épauler d’un antivirus pour assurer sa sécurité informatique, c’est comme donner des préservatifs à ses enfants à l’école : ça peut toujours servir mais en général si ça va jusque là, c’est que ça a déjà très très très mal tourné avant. Je trouvais l’image… Facile à retenir et assez juste.

J’écouterai un de balado que t’as linké, tu sembles être en pleine période “sécurité” didonc :stuck_out_tongue:

19

Je n’ai rien compris à l’histoire des préservatifs mais le compte-rendu du Télégramme est succinct. Je mettrai bientot en ligne l’enregistrement vidéo
Pas de période “sécurité” pour moi mais une conférence qui me fait réfléchir

Cette conférence qui était plus de la vulgarisation, me donne envie de poursuivre par une Cryptoparty
Nous pourrions inviter JJ.Urvoas qui est un utilisateur de Telegram… :wink:

20