Archives de Catégorie: Securite

Tim Berners-Lee propose un « contrat » pour sauver le Web…

Tim BLLes plus jeunes d’entre-vous ne connaissent peut-être pas Tim Berners-Lee ? C’est juste l’inventeur du Web ou plutôt du  » World Wide Web » les fameux « www » qui précédent les adresses des sites.

Le journal anglais « The Guadian » rapporte que Time Berners-Lee a officiellement lancé un « Contrat pour le Web« , qui est en réalité un ensemble de principes conçus pour « fixer » l’Internet et nous empêcher de glisser selon lui dans une sorte de  « dystopie numérique » (la technologie pour le pire !). Le contrat énumère neuf principes fondamentaux auxquels les gouvernements, les entreprises et les particuliers doivent adhérer, comme par exemple la responsabilité de fournir un accès Internet abordable et fiable et de respecter la dignité humaine.

L’initiative a reçu l’appui de plus de 150 organisations, dont des entreprises de technologie comme Microsoft, Google, DuckDuckGo et Facebook, et des groupes sans but lucratif comme l’Electronic Frontier Foundation. Le Guardian a d’abord rapporté qu’Amazon et Twitter étaient absents de la liste des bailleurs de fonds, mais depuis le 25 novembre, le logo de Twitter figure sur la page d’accueil du contrat.

Le lancement du contrat intervient au moment où des entreprises comme Facebook et Google subissent des pressions croissantes quant à la quantité de données d’utilisateurs qu’elles recueillent et sur la façon dont elles les recueillent. Le Contrat pour le Web comprend des principes visant à empêcher cela, notamment l’obligation pour les entreprises de respecter la vie privée et les données personnelles des personnes.

Alors grand principe où réalité demain ? l’avenir nous le dira…

Le cofondateur de WhatsApp milite toujours pour supprimer Facebook…

Brian ActonBrian Acton, le cofondateur de WhatsApp (racheté par Facebook), milite toujours pour supprimer Facebook, c’est ce qu’il a dit lors de son intervention au sommet du 25e anniversaire du magazine Wired. Le tweet original de Brian Acton était apparu au plus fort du scandale de Cambridge Analytica, lorsque le mouvement #DeleteFacebook a balayé le pays, sans beaucoup d’effet en réalité

À l’époque, Brian Acton avait quitté Facebook depuis plus d’un an, se retirant en 2017 pour un conflit avec Mark Zuckerberg concernant la monétisation de WhatsApp, pourtant logique pour rentabiliser l’acquisition… Pour rappel WhatsApp avait été acquis par Facebook pour un montant d’environ 19 milliards de dollars dont 15 milliards en actions Facebook soit environ 350 millions de dollars par employé ! Autant dire que Mr Acton n’a sans doute pas de problèmes financiers.  En tout cas moins que lorsque son entreprise lui appartenait où il réalisait plus de 200 millions de $ de pertes par an. Comment ne pas imaginer que Facebook veuille rentabiliser son acquisition et changer le business model de l’entreprise Whatsapp qui visiblement n’était pas le bon ?

Mr Acton n’est pas le premier dirigeant de Facebook à se prononcer contre l’entreprise après son départ. En 2017, l’ancien responsable de la croissance Chamath Palihapitiya a fait des vagues avec la déclaration : « nous avons créé des outils qui déchirent le tissu social de la société.« . Après avoir quitté le réseau social, Mr Acton a cofondé la Signal Foundation, l’organisme à but non lucratif à l’origine de l’application de messagerie cryptée utilisée par les journalistes et les défenseurs des droits humains dans le monde entier.

 

Les accès via Google ID sont maintenant possible avec Azure Active Directory

Capture d’écran 2019-11-26 à 13.57.05Microsoft a annoncé la semaine dernière que les utilisateurs du service d’identité de Google peuvent utiliser leurs identifiants de connexion personnels avec le service Azure Active Directory B2B (Business to Business) pour accéder aux ressources « invités ».

Cette capacité est disponible pour les organisations utilisant le service Azure AD B2B. Depuis plus d’un an (août 2018), la possibilité d’utiliser Google IDs était offerte en béta. L’idée derrière cette  fédération Google ID est de rentre possible l’accés aux ressources organisationnelles en utilisant des identifiants Google existants et sans qu’aucune identité Azure AD ne soit créée au préalable. Au passage, Microsoft Teams autorise déjà les connexions Google ID pour les collaborations qui fonctionnent avec les clients Teams « desktop, web , iOS et Android ».

Afin de permettre l’accès des invités à la fédération Google ID, les organisations utilisant le service Azure AD B2B doivent effectuer certaines étapes de configuration, comme décrit dans ce document Microsoft. Les politiques d’accès conditionnel d’une organisation s’appliqueront aux invités, donc si l’authentification multifactorielle (AMF) est utilisée par une organisation pour ses employés, elle s’appliquera également aux invités. Attention néanmoins, les organisations doivent disposer des licences nécessaires pour couvrir les invités au-delà d’un certain nombre, comme expliqué dans cet autre document :

Avec la collaboration B2B (B2B) d’Azure Active Directory (Azure AD), vous pouvez inviter des utilisateurs externes (ou  » utilisateurs invités « ) à utiliser vos services Azure AD payants. Certaines fonctionnalités sont gratuites, mais pour toutes les fonctionnalités payantes d’Azure AD, vous pouvez inviter jusqu’à cinq utilisateurs invités pour chaque licence d’édition Azure AD que vous possédez pour un employé ou un utilisateur non invité.

Dans le scénario Azure AD B2B guest, l’octroi de l’accès aux ressources partagées s’effectue par le biais d’un processus sur invitation uniquement. Les utilisateurs potentiels reçoivent une invitation par e-mail avec un code PIN, qui est utilisé pour accéder au réseau. En revanche, les clients n’ont pas tous les privilèges d’accès des employés. Par exemple, ils ne disposent pas de leur propre boîte de stockage OneDrive ni de leur propre boîte aux lettres Exchange, et ils n’ont bien sûr, pas les droits de licence pour utiliser les applications client Office.

 

Microsoft introduit une protection supplémentaire contre les attaques de firmware

Microsoft a annoncé avec un certain nombre de partenaires constructeurs une gamme de PC plus sécurisé dite « Secured-core« , l’objectif est la mise en oeuvre d’un certain nombre de technologies de sécurité pour prévenir les attaques au niveau du firmware, plutôt que des approches logicielles. Comme la protection logicielle a été intégrée dans les systèmes d’exploitation et les services, les vulnérabilités qui ciblent le microcode ont largement augmenté ces dernières années – passant de 6 seulement en 2016 à plus de 400 en 2017…

PC Secured-CoreCette initiative regroupe à la fois des fabricants de PC et de composants, ils s’adressent aux organisations qui traitent des renseignements de nature très délicate, comme celles qui offrent des services financiers, les institutions gouvernementales, etc.

Secure Core Mode

Ces fonctions de protection sont activées par une nouvelle fonction appelée DRTM (Dynamic Root of Trust for Measurement), présente dans les matériels récents d’Intel, d’AMD et de Qualcomm. Il est donc possible de  bénéficier de cette couche de protection supplémentaire quel que soit le choix de processeur (du moment qu’il soit assez récent). Grâce à cette technologie, les PC utilisent la fonction dite System Guard Secure Launch dont la description avait été initiée avec Windows 10, comme fonction de base pour prévenir les attaques de firmware pendant le processus de démarrage. D’autres technologies, telles que la Virtualization-based Security (VBS), Hypervisor-protected Code Integrity (HVCI) et comme toujours la puce Trusted Platform Module (TPM) 2.0, permettent une protection supplémentaire sur l’ensemble du système d’exploitation.

Ces PC Secured-core sont maintenant disponibles auprès des fabricants de matériel. Une liste est disponible ici. On retrouve également la nouvelle Surface Pro X, qui est le seul périphérique basé sur Qualcomm à figurer sur la liste pour le moment.

Nous reviendrons sur ces périphériques et plus généralement sur le choix de poste de travail en entreprise, lors du prochain Briefing Calipia. Les inscriptions et l’agenda sont disponible.

OneDrive Personal Vault est maintenant disponible

onedriveMicrosoft avait annoncé cet été l’arrivée prochaine de « OneDrive Personal Vault« , une fonctionnalité destinée aux fichiers sensibles. Aujourd’hui, l’éditeur annonce la fin de déploiement de cette dernière, au nouveau mondial.

Qu’est-ce que OneDrive Personal Vault ?

C’est en fait une sorte de coffre-fort au sein même de OneDrive. Vous ne pouvez y accéder qu’avec une méthode d’authentification forte ou une authentification à deux facteurs. Cela pourrait être un classique code SMS, ou biométrique, tel que par exemple ce que Microsoft propose avec Windows Hello.

Les fichiers de ce coffre-fort personnel sont chiffrés à l’aide de BitLocker et vous ne pourrez pas les partager. Si vous souhaitez le faire, vous devez les déplacer hors de Personal Vault. Vous pourrez cependant numériser des documents et prendre des photos directement dans Personal Vault.

Personal Vault est désormais disponible sur tous les comptes OneDrive Entreprise. Si vous disposez d’Office 365, Vous n’aurez pas de limitation de taille pour ce coffre fort en dehors bien sur de la limite du plan de stockage dans son ensemble. En revanche si vous utilisez des forfaits OneDrive gratuits ou limités à 100 Go, vous ne pouvez y stocker que trois fichiers.

Sécuriser les données dans le monde quantique : IBM y travaille

IBMAu rythme actuel des progrès de l’informatique quantique (même si les choses sont encore très loin d’être réellement fonctionnelles),les données protégées par les méthodes de cryptage asymétrique utilisées aujourd’hui risquent de ne plus être sécurisées d’ici 10 à 30 ans. Au cours des années à venir, les données stockées et sécurisés aujourd’hui, pourrait donc être déchiffrées à l’avenir avec un ordinateur quantique suffisamment puissant et mettre à mal les systèmes actuels…Alors que l’industrie est en train de finaliser les normes de cryptographie post-quantique, IBM proposera ses services de cryptographie sécurisée dans le Cloud IBM en 2020. La société a précisé que les améliorations apportées aux signatures numériques et aux implémentations TLS et SSL exploitant des algorithmes sécuritaires quantiques assureront la sécurité des données lors du transfert.

IBM Research a également présenté le premier disque dur au monde reposant sur l’informatique quantique, utilisant des algorithmes quantiques. Et chose amusante : ce nouveau périphérique est basé sur le lecteur de bande IBM TS1160 et utilise à la fois Kyber (un algorithme d’encapsulation de clé sécurisée) et Dilithium (un algorithme de signature numérique sécurisée) en combinaison avec le cryptage symétrique AES-256. Les algorithmes de sécurité quantique ont été implémentés dans le microprogramme du lecteur de bande. Enfin, la société a également fait don d’une multitude d’algorithmes de cryptographie quantiques à la communauté open source afin de contribuer au progrès et à la sécurité des données de demain.

Les investissements très importants d’IBM pour relever le défi de l’informatique quantique sont potentiellement une formidable opportunité pour retrouver sa grandeur d’antan !

Quand Google veut s’occuper de votre confidentialité…

googleGoogle cherche aujourd’hui à se repositionner comme le champion de la confidentialité des utilisateurs sur le Web. Alors oui, cela peut sans doute faire sourire (à juste titre), un peu comme si les géants de l’énergie voulaient nous aider à consommer moins 🙂

Dans un nouveau billet de blog, Justin Schuh, patron du navigateur Chrome, explique comment le géant de Mountain View « souhaite limiter l’accès des annonceurs à vos données » (notez la subtilité : les annonceurs, pas Google 🙂 ).

L’entreprise prévoit d’y parvenir en introduisant de nouvelles normes Web sur la manière dont les annonceurs utilisent et accèdent aux données des utilisateurs pour cibler leurs annonces avec ce que Google appelle la « Privacy Sandbox« . Les détails de son fonctionnement ne sont pas encore parfaitement définis, mais l’objectif de Google est « que les annonces restent pertinentes pour les utilisateurs, mais que les données des utilisateurs partagées soient réduites au minimum en agrégeant anonymement les informations  et en conservant beaucoup plus d’informations utilisateur uniquement en local ». Le « Comment » reste pour le moment assez flou.

Qu’est-ce qui motive Google ? Bien entendu la pression des utilisateurs et du marché en général pour plus de confidentialité. La pression possible des régulateurs américains qui demain, comme l’a fait l’Europe avec la GDPR pourrait imposer des lois contraignantes. Mais également lutter contre les bloqueurs de publicité qui limite le revenu du géant ! dont il ne se prive jamais de dénoncer les méfaits : ainsi régulièrement Google affirme que « cela réduit non seulement les revenus des éditeurs et limite leur capacité à offrir du contenu gratuit, mais peut surtout aggraver le problème de la confidentialité en ligne« … aussi pertinent qu’un tweet de Trump 🙂

« Entrées précédentes