Archives des étiquettes : Securite

Le RGPD favorise-t-il les géants d’Internet sur le marché de la publicité ?

Publié le par Poster un commentaire

RGPDDepuis son entrée en vigueur le 25 mai 2018, le règlement général pour la protection des données (RGPD) instauré par l’Union Européenne, est censé donner quelques droits aux internautes européens quant à l’utilisation faite de leurs données par les opérateurs Internet ou plus globalement toute entreprise collectant des données personnelles, professionnelles ou critiques (médicales par exemple).

Mais ce RGPD a très tôt été critiqué pour son caractère assez vague concernant les obligations des entreprises (nous avons évoqué ce problème lors du Briefing Calipia de juin 2017), ce qui a rapidement aboutit à une certaine cacophonie quant aux mesures prises par les entreprises pour rester conformes à cette réglementation comme le décrivait en juin le site Digiday.

Si certaines entreprises pour limiter les risques ont suspendu temporairement leurs activités au sein de l’Union européenne ou ont simplement annoncé l’arrêt de leurs activités en ligne, les plus grosses ce son adaptée afin de juridiquement échapper à toute poursuite, comme Facebook qui a transféré la gestion de tous ses utilisateurs non européens ou américains (donc 1,5 milliards de personnes) de sa filiale Irlandaise à son siège en Californie.

De plus le flou concernant les mesures à prendre pour être en conformité à aboutit à différentes interprétations des acteurs du Net, qui utilisent des options d’adhésion (opt in) préalablement cochées, des options masquées que des consommateurs sont obligés de rechercher, des bannières de consentement dont les informations ne peuvent être atteintes qu’avec un clic supplémentaire et qui n’ont pas de bouton « Rejeter ». D’autres se servant du bouton dit « nuke button » qui permet à l’utilisateur de rejeter absolument tout sans même lui donner une idée de ce qu’il rejette ou accepte.

Donc le premier constat est que la mise en place de ce RGPD est assez loin d’être parfaite.

Mais il y a pire : une enquête de Reuters montre que les directives du règlement contribuent à renforcer la mainmise des géants tels que Google et Facebook sur le marché de la publicité au détriment de dizaines d’entreprises plus petites. En effet, Google, Facebook et d’autres grands du Web continuent à amasser et analyser des quantités colossales de données à travers des procédés « conformes au RGPD ». Lesquelles données pourront être exploitées par les annonceurs moyennant une forte rétribution du fait d’un manque de concurrence lié au fait que les sociétés plus petites, et elles sont nombreuses, n’ont pas à leur disposition les moyens de contourner la réglementation en vigueur.

Le RGPD, dont un des buts était de contraindre à une certaine éthique des acteurs comme Google et Facebook qui prospèrent sur la vente de nos données semble donc leur donner un avantage concurrentiel ! Personnellement j’hésite entre le rire et les larmes …

Le chiffrement de bout en bout pour Skype est disponible

Publié le par Poster un commentaire

CadenasAnnoncée en janvier pour les testeurs, la possibilité de chiffrer de bout en bout des conversations est maintenant disponible pour toutes les déclinaisons de Skype (Windows, MacOS, iOS, Android et Linux).

Durant une conversation privée les appels, messages, et transmissions audio / vidéo / images sont chiffrés en utilisant l’algorythme AES 256 bits. Mais la fonctionnalité va au-delà de la sécurisation du canal de communication, puisque par exemple les messages stockés sur les serveurs ne sont accessibles que par les participants.

Skype - chiffrement

L’option permettant le démarrage d’un échange chiffré de bout en bout est accessible dans le menu ou via le profil du destinataire qui se verra adresser un message lui indiquant que quelqu’un l’invite à rejoindre une conversation de ce type. En cas d’acceptation, une nouvelle fenêtre de conversation privée s’ouvrira alors.

Gartner : Les dépenses de sécurité vont dépasser 124 milliards de dollars en 2019

Publié le par Poster un commentaire

GartnerLe cabinet d’étude Gartner vient de publier un rapport indiquant que les dépenses en produits et services de sécurité vont dépasser les 114 milliards de dollars en 2018, soit une hausse de 12,4 % par rapport à 2017 et qu’en 2019 le marché devrait croître de 8,7 % pour atteindre 124 milliards de dollars.

En 2017, une étude de Gartner a révélé que les risques liés à la sécurité, les besoins des entreprises et les changements de l’industrie étaient les principaux facteurs des dépenses en sécurité. Les préoccupations en matière de confidentialité sont en train de devenir également un facteur majeur avec au moins 10 % de la demande de services de sécurité en 2019. Les récentes attaques informatiques qui ont causé des fuites massives de données font que les données et les systèmes IT sont de plus en plus considérés comme une infrastructure critique.

Gartner dépenses sécurité 2019.PNG

Gartner a identifié trois tendances clés qui vont affecter les dépenses en sécurité informatique au cours des années 2018-2019 :

  • Au moins 30 % des organisations vont allouer des budgets et dépenses pour faire des consultations et implémentations de services liés au RGPD en 2019.
  • Les préoccupations en matière de gestion de risque et de confidentialité vont attirer des dépenses additionnelles en services de sécurité tout au long de 2020 pour plus de 40 % des organisations.
  • Les services (abonnements et gérés) vont représenter au moins 50 % des livraisons de logiciels de sécurité avant 2020.

Comme Firefox et Chrome, Microsoft Edge se dote du support de WebAuthn

Publié le par Poster un commentaire

Logo sécuritéLors du Briefing Calipia de juin nous avions consacré une session aux mots de passes et aux problèmes qu’ils posent en termes de sécurité, en évoquant la volonté stratégique des principaux acteurs du numérique de s’en débarrasser à tout prix en généralisant l’usage de l’authentification basée sur des associations de clés privées / publiques, plutôt que sur les condensats cryptologiques facilement cassables et très sensibles aux techniques d’hameçonnage.

Après l’introduction de Hello for business, des comptes Microsoft, de Microsoft authenticator ou d’évolutions concernant Azure AD (avec dernièrement les annonces de Azure AD Password Protection et Smart Lockout), Microsoft a annoncé la prise en charge officielle de la spécification WebAuthn (ou Web Authentication) dans son navigateur Microsoft Edge, qui a été implémentée dans le dernier build de Windows 10 Redstone.

Pour rappel, WebAuthn est une norme de sécurité qui a été développée par le World Wide Web Consortium (W3C) et la FIDO (Fast IDentity Online) Alliance. Publiée fin mars en tant que recommandation W3C, WebAuthn permettra à tout site Web ou service en ligne d’utiliser des applications, des clés de sécurité ou des données biométriques comme méthode de connexion plutôt que les mots de passe, ou d’utiliser ces approches alternatives comme deuxième méthode de vérification. Cette norme vise donc à éliminer la nécessité de saisir des mots de passe, lorsque les utilisateurs se connectent à Internet, ce qui complète l’arsenal technologique basé sur OpenID Connect / Oauth 2.0 / WS-Federation / SAML pour la fédération d’identités et Fast IDentity Online 2.0 (FIDO) pour l’authentification multi-facteurs sur Internet.

Gartner publie son étude de marché 2018 sur l’Access Management

Publié le par Poster un commentaire

GartnerLe cabinet d’étude Gartner a publié fin juin la version 2018 de son étude de marché concernant l’Access Management, notion qui s’applique aux technologies utilisant des systèmes centralisés d’accès pour fournir une authentification centralisée, une authentification unique (SSO), la gestion des sessions sécurisées et la gestion des autorisations pour l’accès aux applications et ressources.

Même si le nom a changé cette étude porte sur ce que l’on a coutume d’appeler l’Identity and Access Management. Et pour Gartner 50 % des entreprises utilisent actuellement le Cloud pour ces services qui sont la base de toute réflexion concernant la sécurité. L’Identity and Access management as a Service (IDaaS) devant en 2022, toujours selon Gartner, représenter 80% du marché.

Gartner IDaaS

Les leaders sont la société spécialisée Okta, suivie par Microsoft (avec Azure AD, généralement associé à d’autres offres telles que les suites Enterprise Mobility + Security et Microsoft 365), IBM (avec IBM Security Access Manager), Oracle (avec Oracle Access Management et Oracle Identity Cloud Service), et Ping Identity (avec PingFederate, PingAccess et PingOne).

On peut noter que CA Technologies a cette année quitté le quadrant des leaders.

Regin : Une nouvelle attaque d’espionnage …

Publié le par Poster un commentaire

Des chercheurs de Symantec ont trouvé une série de malwares très élaborés probablement développés par la NSA (USA) et le GCHQ (UK). Englobé sous le nom Regin, cette backdoor a servi dans de multiples campagnes depuis au moins 2008.

C’est par une faille présente dans Yahoo! Messenger (corrigée depuis) que le cheval de Troie entrait.

Pour rester furtif le malware s’organise en 6 étapes dont chacune est chiffrée sauf la première. Ces étapes entraîne une série d’actions de type domino où le module déchiffre son code et l’exécute avant de passer à l’étape suivante.

Regine

Regin intègre un catalogue d’attaques qui va de la capture d’écran, la prise de contrôle de la souris, le vol de mots de passe, la surveillance du trafic ou la récupération de fichiers supprimés. Pour l’éditeur de sécurité, d’autres modules ont semble-t-il été adaptées pour des cibles particulières, comme la surveillance du trafic d’un serveur IIS de Microsoft ou le trafic des stations de base de téléphonie mobile GSM (ce qui est assez nouveau).

Les entreprises visées par Regin sont variées, mais avec une prédilection (48%) sur des PME-PMI ou des particuliers. Vient ensuite le backbone des opérateurs télécoms (28%), Regin pouvant expliquer les problèmes de sécurité de l’opérateur Belgacom. Sur les pays touchés par les attaques, la Russie et l’Arabie Saoudite représentent la majorité avec 52%. On trouve aussi des pays européens et le système d’information de l’Union européenne.
Les chercheurs de Symantec ont aussi tenté de donner une date de début des attaques avec deux échantillons, une V1 et une V2 de Regin. Le premier aurait été actif en 2008 avec un arrêt brutal et non expliqué en 2011. La V2 (en version 64 bits) a elle été utilisée à partir de 2013, mais a pu être active avant.
Le faible nombre de victimes laisse supposer des campagnes très ciblées pour obtenir des informations très précises, avec une ce qui ressemble furieusement à une nouvelle APT (Advanced Persistent Threat) avec des AET (Advanced Evasion Technique) assez sophistiquées.
Pour information nous traitons de ce sujet lors de l’actuel Briefing Calipia. Des places sont encore disponibles pour les sessions de Paris et de Lille.

 

[Lettre Calipia] PRISM, ECHELON, la NSA, qui est encore dupe ?

Publié le par Poster un commentaire

Il y a quelques mois le monde entier fut plus ou moins secoué par les révélations d’Edward Snowden concernant le programme de surveillance PRISM, découvrant effaré que les États-Unis, par l’intermédiaire de la NSA (National Security Agency) avaient mis en place un assez impressionnant programme de surveillance électronique des communications à l’échelle globale.

Ma première réaction fut : Vous avez aimé ECHELON ? Grand bien vous fasse, vous allez adorer PRISM… Donc aucun intérêt en soi, hormis la précision des informations concernant les dernières initiatives de la NSA pour espionner le monde entier. Donc pas d’article, de coup de gueule ou de billet d’humeur.

Mais après quelques mois de réflexion, j’avoue avoir été interpellé non pas par le fait que les États-Unis interceptaient sans vergogne toutes les communications et données possibles, mais par le manque flagrant de réactions des états et citoyens devant le cynisme affiché par ce pays et surtout par une proposition de loi assez liberticide votée en France fin décembre.

Je vous propose donc de partager avec moi une petite indignation froide et raisonnée avec ce modeste article (qui est clairement un billet d’humeur). Lire la suite

Du nouveau dans la roadmap Forefront

Publié le par Poster un commentaire

Forefront, la marque des produits de sécurité de Microsoft, vient de se voir définir une nouvelle roadmap, qui annonce une refonte de cette offre produits et un réalignement de la stratégie des produits de sécurité de l’éditeur de Redmond.
Ainsi, Microsoft annonce d‘importantes modifications à la famille Forefront, en particulier la fin des développements des produits suivants :

  • Forefront Protection 2010 for Exchange Server (FPE)
  • Forefront Protection 2010 for SharePoint (FPSP)
  • Forefront Security for Office Communications Server (FSOCS)
  • Forefront Threat Management Gateway 2010 (TMG)
  • Forefront Threat Management Gateway Web Protection Services (TMG WPS)

Les solutions spécifiques serveurs (Lync, SharePoint …) seront remplacées par des fonctions directement intégrées aux serveurs concernés.

Les logiciels Forefront listés seront accessibles commercialement jusqu’à la fin 2012. Microsoft fournit également des informations sur le support des logiciels. De façon paradoxale, ces annonces marquent :

  • le succès des solutions Forefront liées directement aux blockbusters Microsoft : Exchange, SharePoint ou Windows Server, qui vont maintenant faire partie de leur produit de référence.
  •  l’échec ou pour le moins de grandes difficultés, pour les autres solutions Forefront arrêtées, qui n’ont pas réussi à convaincre face à la concurrence.

 

Malware et Apple : le début des ennuis….

Publié le par Poster un commentaire

Eh oui, dur réveil pour tous les Apple maniacs, leur chouchou est sensible aux différentes menaces provenant du web ! Pour tous ces fans, ce genre de risques étaient réservés à Windows, car mal conçu, mal développé, et donc soumis par nature (by design comme on dirait à Cupertino) à ce type d’aléas.

L’actualité récente du cheval de Troie Flashback vient éclairer d’un jour nouveau cette question. Apple a d’ailleurs mis un certain temps à réagir, et à proposer un correctif au problème. Si l’on en croit Eugene Kaspersky, fondateur de la société du même nom, spécialisée sur le logiciels de sécurité et autres anti virus, Apple se trouverait aujourd’hui dans le même état que Microsoft il y a 10 ans sur cette question de la sécurité de ses environnements. Toujours selon lui, Apple doit revoir complètement son approche en termes de veille et de développement / mise à disposition des correctif pour offrir une véritable protection à ses clients. Mais Kaspersky n’est pas le seul à tenir ce discours. Lire la suite

Windows 8 : l’usage de l’UEFI fait des remous

Publié le par Poster un commentaire

C’était annoncé depuis pas mal de temps (on en parlait déjà au lancement de Windows NT 3.1… en 1993) mais cette fois c’est fait, ou presque, Windows devrait abandonner ce qui reste de la gestions des entrées/sorties du BIOS en imposant l’usage de l’UEFI (comme ce qui se pratique déjà depuis 7 ans pour les Mac) et du boot sécurisé pour tordre le cou une bonne fois pour toutes aux rootkits et donc à une source importante d’attaque des systèmes.

Si l’intention est louable, certains y voient également un moyen de s’affranchir des possibilités de dual-boot et donc de couper la route à une installation d’un autre système… Les Linuxiens de tous poils se sont donc hérissés logiquement de cette décision (qui dépendra néanmoins des constructeurs) mais il en va de même aussi pour les systèmes de Microsoft lui même. Impossible donc d’exécuter un Windows XP en dual boot ou même un Windows 7… Autant dire qu’une telle décision n’est pas pour demain, pour bon nombre de constructeurs, et si un seul ne souhaite pas s’engager sur cette voix il risque bien d’en entrainer d’autres ! Microsoft sera-t-il encore en mesure de dicter sa loi dans un an avec la sortie de Windows 8, et après les migrations massive vers Windows 7 ? Rien n’est moins sur.

« Entrées précédentes Derniers articles »