Au bout du compte, combien de secondes fait gagner la high-tech ?

Quoi ? Vous vous êtes équipé des applications Nike + Running, STT Sport Tracker ou Micoach d’Adidas, et vous n’avez pas encore battu le record du 100 mètres ? C’est normal. Ces applications n’ont pas pour but de vous transformer en Usain Bolt, mais de vous permettre de mieux gérer vos efforts, et de mesurer vos progrès.

Reste que la technologie a toujours joué un rôle pour améliorer les performances sportives, et faire gagner des centimètres ou des secondes. C’est que la technologie peut améliorer les records grâce à trois facteurs : la mesure de la physiologie, les vêtements de sport et la tenue portée, et les matériaux utilisés.

« L’eyetracking » pour garder l’oeil sur les performances
Pour la mesure des performances corporelles, l’institut des sciences du sport de Berne utilise par exemple l’eyetracking pour étudier « le comportement du regard, ainsi que ses répercussions sur le comportement décisionnel en situations sportives ». Mais la mesure n’a pas de limite : développé par la NASA pour ses astronautes, la « pilule thermomètre » peut être ingérée pour prendre en permanence la température du sportif en plein effort – puis être ensuite restituée par les voies naturelles.

Des « vêtements dopants » ?
Même les vêtements et accessoires peuvent « doper » la performance : ainsi, les combinaisons de nageurs en polyuréthane ont-elles été interdites en 2009, du fait de leur trop grande efficacité. Les scientifiques ont évalué en 2008 que ces tenues permettaient de gagner 1 à 2% sur le chronomètre, et les chercheurs de l’Institut de recherche biomédicale et d’épidémiologie du sport (Irmes) ont estimé que deux tiers des records du monde de natation battus depuis 2000 l’ont été grâce aux combinaisons.

Fibre de carbone, aluminium, graphite…
Quant aux matériaux, ils jouent bien sûr un rôle essentiel dans les gains de performance. La preuve chiffrée en a été apportée de manière éclatante dans la discipline du saut à la perche. Comme le montre le graphique ci-dessous, les perches en bois permettaient à peine de dépasser 3,5 mètres. Avec le bambou, on atteint 4,5 mètres. Le métal permet de tutoyer les 5 mètres et, avec la fibre de carbone, les records explosent, jusqu’à dépasser les 6 mètres.

En 2010, le cycliste Fabian Cancellara a défrayé la chronique parce qu’il utilisait un pédalier optimisé (qui réduit les forces de frottement par un roulement à billes de graphite et huile) qui lui faisait gagner 2 secondes au kilomètre. Toujours dans le cyclisme, l’utilisation d’un cycloergomètre (vélo immobile servant à des mesures scientifiques) a montré que le plateau de type Harmonic permet une augmentation significative de la puissance maximale développée (+ 3%) lors d’un sprint ou d’une montée.

Bien entendu, les prothèses du coureur amputé Oscar Pistorius présentent un cas extrême. Non seulement elles lui permettaient de courir, mais elles furent accusées de lui offrir un avantage face à ses rivaux : une expertise a révélé que l’énergie restituée par les prothèses lors de la poussée était quasiment trois fois plus élevée que celle des chevilles humaines – au point qu’en janvier 2008, l’Association internationale des fédérations d’athlétisme lui a interdit de participer avec les valides aux jeux de Pékin.

La prochaine étape ? Sans doute des capteurs électroniques ou des régulateurs d’hormones greffés en permanence, qui brouilleront les frontières entre les sportifs et les cyborgs…

Réagissez à cet article

Plus fort que les cookies, découvrez les super-cookies

Techniques de pistage – Cookies – et évolutions

La technique la plus utilisée en matière de pistage d’utilisateurs sur l’Internet repose sur l’exploitation des cookies. Nous rappelons que le terme cookie désigne une variable utilisée par un serveur HTTP pour sauvegarder des informations sur la session HTTP courante. Il est composé d’une paire obligatoire nom/valeur, et d’attributs optionnels, comme la date d’expiration, le domaine et le chemin. Ces informations sont créées et mises à jour lors des échanges entre un serveur et un client Web grâce à des en-têtes dédiés du protocole HTTP (« Set-Cookie », « Cookie ») [2].

Le premier cas d’usage des cookies est tout à fait nécessaire à la navigation sur de nombreux sites Web, par exemple pour le maintien d’une session applicative ou la mémorisation d’un panier d’achats, on parle alors de « cookies de premier niveau ». Il existe cependant d’autres cas d’utilisations controversés sur le plan du respect de la vie privée. En particulier, l’usage de « cookies tiers » (ou « tierce partie ») [1], notamment dans l’optique d’établir des statistiques de consultation, peut permettre par exemple d’offrir des services de publicité ciblée. Ces cookies sont reconnaissables en particulier à leur domaine d’appartenance différent de celui de la page consultée, et peuvent parfois permettre d’identifier finement un utilisateur donné (par exemple cookies Google).

D’autres mécanismes permettent la conservation de données utilisateur, qui exploitent d’autres modes de création et de stockage que les cookies HTTP. On regroupe généralement ceux-ci sous le terme « supercookie ». Ils s’appuient notamment sur l’utilisation :

• mécanismes de stockage local dédiés à des applications Web au-dessus du protocole HTTP, comme Adobe Flash (« Local Shared Objects », également appelés « cookies Flash »), Microsoft Silverlight (« Silverlight Isolated Storage ») ou encore HTML5 (« HTML5 storage ») ;
• d’objets dans le contenu des pages Web, comme la propriété « window.name » en JavaScript, qui peut être détournée pour stocker temporairement des informations ;
• du cache du navigateur et de l’historique de navigation, pour stocker sous forme encodée des informations ;
• de HSTS (« HTTP Strict Transport Security ») [3], mécanisme de politique de sécurité pour HTTP, permettant à un serveur de demander le passage vers HTTPS via un champ d’en-tête HTTP (« Strict-Transport-Security »), mais dont une utilisation détournée permet à tiers contrôlant plusieurs domaines d’identifier de façon unique un utilisateur [4].

Cette liste, non exhaustive, montre bien qu’il existe de nombreuses façons de stocker des données issues de la navigation Web, et qu’un simple nettoyage des cookies HTTP via le navigateur ne peut pas suffire à effacer proprement l’ensemble de celles-ci. D’ailleurs, on parle de « cookie zombie » pour désigner des cookies HTTP qui sont régénérés après leur suppression grâce à l’utilisation des supercookies. L’application Evercookie [5], par exemple, illustre cela, permettant la propagation des cookies HTTP dans autant que mécanisme de stockage que possible afin d’assurer la résilience de l’information.

Autres techniques

Si les cookies (et assimilés) permettent d’obtenir une masse d’informations très intéressante, ils ne sont pas pour autant la seule source considérée par les entités cherchant à pister l’utilisateur. Il existe en particulier de nombreuses autres méthodes permettant d’identifier de façon unique un utilisateur, parfois à la granularité du terminal utilisé (téléphone, ordinateur, téléviseur connecté, tablette, etc.).

Ces méthodes peuvent être classées en cinq catégories [6] :

• entification générée par le client : certains terminaux ou applications clientes génèrent un identifiant unique pouvant être accessible par les services tiers à des fins publicitaires (advertising identifiers).
• Identification via des éléments réseau : certains équipements réseau situés entre le client et le serveur insèrent des éléments permettant, volontairement ou non, d’identifier l’utilisateur. Par exemple, l’utilisation du champ « X-Forwarded-For » dans l’en-tête HTTP précise l’adresse IP d’origine d’un client se connectant à travers un serveur mandataire.
• Identification par le serveur : certains serveurs ajoutent des pixels-espions [7], images de très petite taille généralement non repérables par l’utilisateur, qui permettent la génération de cookies tiers.
• Identification unique : certains services permettent à l’utilisateur de s’authentifier pour accéder à un ensemble de ressources (sites, applications), induisant ainsi la création d’un identifiant unique, censé faciliter la navigation (unique portail d’authentification, gestion des préférences utilisateur, etc.). On peut citer par exemple Facebook Connect, Windows Live ID, Google Account, etc.
• Identification statistique : certaines données issues du navigateur, de l’application ou encore du système d’exploitation permettent le calcul d’une empreinte entraînant la capacité à singulariser l’utilisateur. Ce calcul peut par exemple s’appuyer sur le User-Agent, la valeur du champ HTTP Accept, la politique de gestion des cookies, la résolution de l’écran, ou encore les extensions installées [8].

La directive 2002/58 du Parlement européen et du Conseil concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques [9][10] précise que l’utilisation de cookies est autorisée à condition que l’utilisateur se voie donner des informations claires et précises sur la finalité de ces cookies ainsi que les informations placées sur l’équipement terminal qu’il utilise. L’utilisateur pourra refuser l’utilisation de ces dispositifs, cependant cette disposition ne fait pas obstacle au stockage de données utilisées à des fins exclusivement techniques.

Techniquement, des solutions amont ont été proposées, comme l’en-tête HTTP « Do Not Track » (DNT, 2009), pour permettre d’indiquer à un site web qu’un utilisateur ne souhaite pas être tracé. Cependant, bien qu’intégré dans tous les navigateurs modernes, il est purement déclaratif et peut être ignoré par le site visité.

D’un point de vue pratique, une des solutions les plus simples afin de limiter ces traces est de bloquer les cookies tiers. Ces cookies ne sont généralement pas utiles pour la navigation et il est recommandé de les refuser par défaut [11].

Enfin, de nombreuses extensions pour navigateur permettent de limiter le suivi d’un utilisateur existant. Elles ont principalement pour effet :

• blocage des traceurs (DoNotTrackME, Disconnect, uBlock Origin, AdBlock),
• le blocage des scripts (NoScript, ScriptNo),
• la génération de fausses informations afin de brouiller le calcul des empreintes numériques (Random Agent Spoofer),
•  le basculement automatique vers HTTPS si disponible (HTTPS Everywhere).

Références
Bulletin d’actualité CERTA-2010-ACT-005 (05 février 2010)
http://www.cert.ssi.gouv.fr/site/CERTA-2010-ACT-005/CERTA-2010-ACT-005.html
RFC 6265 (HTTP State Management Mechanism) (avril 2011)
https://www.rfc-editor.org/rfc/rfc6265.txt
RFC 6797 (HSTS) (novembre 2012)
https://tools.ietf.org/html/rfc6797##section-14.9
How HSTS supercookies make you choose between privacy or security (02 février 2015)
https://nakedsecurity.sophos.com/2015/02/02/anatomy-of-a-browser-dilemma-how-hsts-supercookies-make-you-choose-between-privacy-or-security/
Evercookie (github)
https://github.com/samyk/evercookie
IAB Cookie White Paper (janvier 2014)
http://www.iab.net/media/file/IABPostCookieWhitepaper.pdf
Web beacon (9 janvier 2014)
https://www.iab.net/wiki/index.php/Web_beacon
Browser uniqueness
https://panopticlick.eff.org/browser-uniqueness.pdf
Directive 2002/58/CE (12 juillet 2002)
http://eur-lex.europa.eu/legal-content/fr/TXT/?uri=CELEX:32002L0058
Sites web, cookies et autres traceurs (CNIL)
http://www.cnil.fr/vos-obligations/sites-web-cookies-et-autres-traceurs/que-dit-la-loi/
Conseils aux internautes (CNIL)
http://www.cnil.fr/vos-droits/vos-traces/les-cookies/conseils-aux-internautes/
Vulnérabilités critiques au sein de Juniper ScreenOS

Contexte

Le 18/12/2015, le CERT-FR a émis l’alerte CERTFR-2015-ALE-014 [1] concernant plusieurs vulnérabilités critiques impactant le système ScreenOS des équipements Juniper. D’après le bulletin de sécurité publié par Juniper [2], ces vulnérabilités ont été découvertes suite à un audit de code interne et auraient été introduites volontairement pour affaiblir la sécurité de ScreenOS. Il s’agit en l’occurrence de deux portes dérobées qui permettent de :
– contourner le mécanisme d’authentification en place au niveau des services SSH et Telnet,
– déchiffrer les communications entre un client et le service VPN d’un équipement Juniper vulnérable.

Marqueurs de détection

La société Fox-It propose des signatures au format Snort afin d’identifier toute tentative de connexion à un équipement Juniper vulnérable via la porte dérobée. Ces signatures sont cependant limitées au service Telnet. De plus, la vulnérabilité liée au service VPN étant exploitable après une interception passive du trafic chiffré, il n’est pas possible de détecter son exploitation.
Versions affectées

La porte dérobée permettant d’accéder à l’interface d’administration de l’équipement via le protocole Telnet ou SSH impacte le logiciel Juniper ScreenOS de la version 6.3.0r17 à 6.3.0r20.
La vulnérabilité permettant de déchiffrer les communications réseau liées au service VPN impacte le logiciel Juniper ScreenOS versions 6.2.0r15 à 6.2.0r18 et les versions 6.3.0r12 à 6.3.0r20.

Ces vulnérabilités permettant un accès illégitime sont respectivement référencées par les identifiants CVE-2015-7755 et CVE-2015-7756.

Description des portes dérobées

CVE-2015-7755

La porte dérobée permettant d’accéder à l’interface d’administration d’un équipement Juniper vulnérable est localisée au sein du code de vérification des identifiants de connexion. Ce code compare le mot de passe saisie par l’utilisateur avec une chaîne de caractère codée en dur dans le système ScreenOS. Si elles sont identiques, l’accès est autorisé.

CVE-2015-7756

La seconde porte dérobée reposait sur une faiblesse du générateur de nombres aléatoires utilisé par l’algorithme de chiffrement et permettait à un attaquant d’accéder au contenu des communications VPN, obtenues à partir d’une écoute passive du trafic réseau.

Corrections

Le CERT-FR recommande d’appliquer les mesures préconisées dans le bulletin d’alerte CERTFR-2015-ALE-014.

Documentation

1
Bulletin d’alerte du CERT-FR :
http://cert.ssi.gouv.fr/site/CERTFR-2015-ALE-014/index.html
2
Bulletin de sécurité de l’éditeur :
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10713&cat=SIRT_1&actp=LIST
3
Versions de ScreenOS vulnérable :
https://isc.sans.edu/diary/Infocon+Yellow%3A+Juniper+Backdoor+(CVE-2015-7755+and+CVE-2015-7756)/20521

1 – Rappel des avis émis
Dans la période du 21 au 27 décembre 2015, le CERT-FR a émis les publications suivantes :

CERTFR-2015-ALE-015 : Campagne de messages électroniques non sollicités de type TeslaCrypt
CERTFR-2015-AVI-554 : Multiples vulnérabilités dans le noyau Linux de Debian
CERTFR-2015-AVI-555 : Vulnérabilité dans VMWare
CERTFR-2015-AVI-556 : Multiples vulnérabilités dans Citrix XenServer
CERTFR-2015-AVI-557 : Multiples vulnérabilités dans Cisco IOS et IOS XE
CERTFR-2015-AVI-558 : Multiples vulnérabilités dans le noyau Linux d’Ubuntu
CERTFR-2015-AVI-559 : Vulnérabilité dans Xen
CERTFR-2015-AVI-560 : Vulnérabilité dans Cisco IOS XE
CERTFR-2015-AVI-561 : Multiples vulnérabilités dans le noyau Linux de Fedora
CERTFR-2015-AVI-562 : Multiples vulnérabilités dans ISC Bind
CERTFR-2015-AVI-563 : Multiples vulnérabilités dans le noyau Linux de SUSE
Durant la même période, les publications suivantes ont été mises à jour :

CERTFR-2015-ALE-014-1 : Vulnérabilité dans Juniper ScreenOS (ajout de règles Snort dans les contournements provisoires.)
Gestion détaillée du document

28 décembre 2015 version initiale.
Dernière version de ce document : http://cert.ssi.gouv.fr/site/CERTFR-2015-ACT-052

CERT-FR
2015-12-28

Réagissez à cet article

L’histoire interdite du piratage informatique (Documentaire)

C’est au cours des années 80 que ce mot a été utilisé pour catégoriser les personnes impliquées dans le piratage de jeux vidéos, en désamorçant les protections de ces derniers, puis en en revendant des copies.

Aujourd’hui ce mot est souvent utilisé à tort pour désigner les personnes s’introduisant dans les systèmes informatiques.

Réagissez à cet article

Scientists create world’s first biologically powered computer chip

The dream of melding biological and man-made machinery is now a little more real with the announcement that Columbia Engineering researchers have successfully harnessed a chemical energy-producing biological process to power a solid state CMOS integrated circuit.

According to study lead professor Ken Shepard, this is the world’s first successful effort to isolate a biological process and use it to power an integrated circuit, much like the ones we use in phones and computers.

The researchers developed the system by using an artificially created lipid bilayer membrane containing naturally occurring ion pumps, which are powered by the biological world’s « energy currency molecule, » ATP (adenosine triphosphate). ATP is the coenzyme that transfers chemical energy between living cells. It is an end product of processes such as photosynthesis and cellular respiration, and it powers the mechanical work of living systems such as cell division and muscle contraction.

The scientists connected the lipid membrane to a conventional solid-state complementary metal-oxide-semiconductor (CMOS) integrated circuit, and the ion pumps powered the circuit.

« Ion pumps basically act very similarly to transistors, » Shepard tells Gizmag. « The one we used is the same kind of pump that is used to maintain the resting potential in neurons. The pump produces an actual potential across an artificial lipid membrane. We packaged that with the IC and we used the energy across that membrane due to those pumped ions to power the integrated circuit. »
Using an isolated and artificially created biological component is a different approach to interfacing whole living systems with chips, which was done in the past with varying success.

« We don’t need the whole cell [now], » Shepard says. « We just grab the component of the cell that’s doing what we want. For this project, we isolated the ATPases because they were the proteins that allowed us to extract energy from ATP. »

Shepard says the team is excited about the prospect of extending the range of possibilities in electronics.

« As technology scaling ends, we have to be a little bit more creative and expansive in the way we define an electronic device and the material systems that we use to create electronic devices, » he says. « How do we expand the palette? That’s essentially what this work is about. »

The key challenges now are to try to scale the system down, and to look for ways to manage biological decay.

Challenges aside, the potential for combining biological and electronic processes certainly fires the imagination.

« 100 Intel designers couldn’t design a system that could tell if there’s a skunk in the room or not, and the best synthetic biologists in the world couldn’t build a radio, » quips Shepard. « But if we can just use the piece of the biological process that we want and use its function with solid state electronics, we’ll get that enhanced functional palette of capabilities that don’t exist with chips alone. »

The research was recently published in Nature Communications.

Source: Columbia University

Réagissez à cet article

Vous avez eu un drone en cadeau à Noël, voici vos nouveaux droits, devoirs et obligations

 
Si le Père Noël vous apporte un drone, voici quelque chose qui devrait vous intéresser : ce que vous avez le droit de faire ou non avec, les règles à respecter, etc.

Tout d’abord, sachez que deux textes datant du 17 décembre 2015 définissent désormais la réglementation pour l’usage de drones. Il s’agit d’un arrêté relatif à la conception, aux conditions d’utilisation et aux qualifications des télépilotes et d’un autre arrêté relatif aux conditions d’insertion dans l’espace aérien.

Comme le rappelle la DGAC, les deux textes font la distinction entre les différents pilotes : professionnels ou non. Par exemple, « lorsque cette utilisation est limitée au loisir et à la compétition, on parle d’aéromodèles ». Ce sont les drones achetés dans les grandes surfaces ou des boutiques high-tech. D’autre part, on évoque les drones réservés à une utilisation professionnelle.

Règles basiques

Si l’espace aérien est libre en-dessous de 150 mètres, il faut toutefois respecter certaines consignes basiques :

• Voler en dehors des agglomérations et des rassemblements de personnes ou d’animaux ;
• Voler en dehors des zones proches des aérodromes ;
• Et voler en dehors d’espaces aériens spécifiquement réglementés qui figurent sur les cartes aéronautiques.
• Il est également interdit de survoler des villes ou des rassemblements de personnes sans autorisation préfectorale.
• Dans tous les cas, le « télépilote d’un drone est responsable des dommages causés par l’évolution de l’aéronef ou les objets qui s’en détachent aux personnes et aux biens de la surface (article L.61613-2 du code des transports) ».

Protection de la vie privée

Le texte compte tout un tas d’autres interdits. Notamment, les personnes sourdes ne peuvent pas piloter d’aéromodèles puisqu’un pilote doit toujours être en mesure de détecter visuellement et auditivement les autres drones. Il est aussi interdit de voler la nuit, ou de piloter un drone depuis une voiture.

La DGAC rappelle aussi que la « prise de vue aérienne est réglementée par l’article D133-10 du code de l’aviation civile », afin de veiller à la protection de la vie privée. Une amende de 45 000 euros et d’un an d’emprisonnement est prévue s’il y une volonté manifeste de porter atteinte à l’intimité de la vie privée d’autrui.

Réagissez à cet article

Les super cartes bancaires débarquent

Cette révolution est à portée de main. Dans quelques mois, tout devrait changer… dans votre portefeuille. Votre carte bancaire va s’offrir une deuxième jeunesse. Un relooking qui porte un nom barbare : «cryptogramme dynamique». Ce qui, en français, signifie que les trois petits chiffres, situés au verso de votre carte, changeront au bout de quelques minutes.

Les plus grands fabricants de cartes bancaires au monde, Gemalto et Oberthur, ont lancé ces derniers mois la commercialisation de cette technologie. BNP Paribas, la Banque postale, la Société générale… La quasi-totalité des établissements financiers français sont en train de la tester auprès de leurs clients.

Qui va payer ?
Objectif affiché : mieux lutter contre la fraude à la carte bancaire. Un fléau dont la finance aimerait bien se débarrasser. Pas question de laisser les arnaques et les fraudes nuire à l’engouement des Français pour ce mode de paiement. Imaginez, le 5 décembre dernier, la France a battu un record : 42 millions de transactions par carte bancaire en un week-end. Soit 12 % de plus que lors du premier samedi de décembre 2014 !

Un effet logique du boom du commerce en ligne. Pourtant, les banques se laissent encore quelques mois pour un développement à grande échelle de cette carte bancaire plus sécurisée. Car un petit détail reste encore à trancher. Ce bout de plastique bourré de technologies coûte plus cher à produire que la carte à puce classique. Qui va payer ? La banque, les commerçants ou le client ? Les réponses du milieu bancaire restent floues. Les banques trancheront ces prochains mois. Mais elles n’ont plus vraiment le temps de tergiverser. Des start-up dénommées FinTech (technologie financière) commencent déjà à les bousculer, notamment en utilisant le smartphone pour lancer de nouveaux modes de paiement. Et comme d’autres secteurs l’ont appris à leurs dépens, l’immobilisme face aux nouvelles technologies ne paye pas.

«2016 sera l’année des nouveaux modes de paiements», pronostique donc un cadre de banque. Nombre d’établissements ont, dans les cartons, de nouveaux produits qui n’attendent plus qu’une autorisation de la Cnil (Commission nationale de l’informatique et des libertés) pour passer des simples tests à la commercialisation. C’est le cas des technologies de biométrie utilisant des éléments du corps (empreinte digitale, vocale, etc.). Les bons vieux codes bancaires bientôt périmés ?

Réagissez à cet article

Les juges antiterroristes veulent recourir à des hackers

Interrogé par les sénateurs, le vice-président chargé de l’instruction à la section antiterroriste du TGI de Paris a demandé que les magistrats puissent recourir à des « experts » (comprendre des hackers) pour installer des mouchards sur les ordinateurs de suspects, puisque l’État ne veut pas fournir ses propres outils utilisés par les services de renseignement.

Le Sénat conduisait le 9 décembre dernier différentes auditions à huis clos dans le cadre du Comité de suivi de l’état d’urgence, mis en place pour s’assurer que l’État n’abuse pas des pouvoirs spéciaux confiés à la suite des attentats du 13 novembre 2015, et pour tirer des enseignements sur les pratiques et les obstacles rencontrés par les spécialistes de l’anti-terrorisme. Le Sénat a rendu public le compte-rendu d’audition, qui permet d’en savoir plus sur les attentes des juges.

Les sénateurs ont en effet entendu David Bénichou, le vice-président chargé de l’instruction à la section antiterroriste et atteintes à la sûreté de l’État au tribunal de grande instance de Paris. Celui-ci a vivement critiqué le manque de moyens des juges pour prévenir les actes de terrorisme, en demandant que les magistrats disposent de pouvoirs légaux et de moyens technologiques beaucoup plus proches de ceux dont disposent la police et en particulier les services de renseignement.

Une justice antiterroriste sert-elle à compter les morts ?

Alors que le rôle premier de la police est traditionnellement d’empêcher la commission des infractions, et le rôle de la justice est de les punir, M. Bénichou réfute l’opposition. « Une justice antiterroriste sert-elle à entraver des attentats ou à compter les morts en offrant à leurs auteurs une tribune, et à leur payer un avocat ? », a-t-il lancé. « Nous préférons prévenir les attentats. Pour cela, il nous faut des moyens opérationnels, performants et actualisés ».
Le magistrat a ainsi formulé deux demandes principales. Tout d’abord, il souhaite que les juges puissent saisir les e-mails archivés des suspects dans le cadre d’enquêtes préliminaires, sans que les personnes concernées soient prévenues. Actuellement les juges doivent se contenter de mettre sur écoute les boîtes emails des suspects pour collecter les correspondances reçues ou envoyées à un instant T, mais ils ne peuvent pas collecter ce qui a été émis ou reçu dans le passé (ce qu’a rappelé la cour de cassation le 8 juillet 2015). Le seul moyen d’obtenir copie des e-mails passés est de réaliser une perquisition, ce qui en droit oblige à prévenir le suspect qu’il fait l’objet d’une enquête, et à lui faire assister à la perquisition.
Ensuite, le magistrat demande à pouvoir installer des mouchards informatiques chez les suspects. En théorie cette capacité à capter à distance des données grâce à un dispositif installé localement (clé USB ou autre) ou injecté par une attaque informatique existe déjà en droit, depuis la loi Loppsi de 2011. Elle autorise les juges d’instruction à faire « mettre en place un dispositif technique ayant pour objet, sans le consentement des intéressés, d’accéder, en tous lieux, à des données informatiques, de les enregistrer, les conserver et les transmettre, telles qu’elles s’affichent sur un écran pour l’utilisateur d’un système de traitement automatisé de données ou telles qu’il les y introduit par saisie de caractères ».

Recourir à des hackers ou aux services de l’État

Mais dans les faits, comme nous l’avions déjà signalé en 2013, les juges n’ont pas accès aux outils théoriques. Les services de l’Agence nationale de sécurité des systèmes d’information (ANSSI) doivent en effet homologuer les outils mais selon le juge Bénichou, seuls deux outils ont été validés depuis 2011, et pour une raison inconnue, « le ministère de la justice ne les a toujours pas mis à notre disposition ».
« Les services de renseignement monopolisent les outils et ne les mettent pas à notre disposition, par crainte de les voir divulgués. Ils ont pourtant une durée de vie très courte », regrette le magistrat antiterroriste.
David Bénichou demande donc que les juges antiterroristes puissent faire appel à des « experts » extérieurs pour développer de tels outils, c’est-à-dire à des hackers à qui le magistrat passerait commande en fonction des besoins du moment. « Un amendement du Sénat autorisant le juge à commettre un expert pour développer un outil a malheureusement été retiré, le ministre de l’intérieur invoquant la sécurité du système d’information de l’administration », rappelle le juge.

Les services de renseignement monopolisent les outils

Or, « contrairement au contre-espionnage, la lutte contre le terrorisme est avant tout un problème judiciaire : nous avons un besoin opérationnel constant de ces éléments ». « C’est pourquoi je vous suggère de redéposer cet amendement », a-t-il demandé aux sénateurs.

Depuis 2014, la loi autorise potentiellement la police judiciaire à faire appel à des hackers, mais uniquement dans un cadre de perquisitions pour obtenir l’accès à des données chiffrées ou inaccessibles sur le matériel saisi. L’article 57-1 du code de procédure pénale permet en effet aux officiers de la PJ de « requérir toute personne susceptible d’avoir connaissance des mesures appliquées pour protéger les données auxquelles il est permis d’accéder dans le cadre de la perquisition » ou pour « leur remettre les informations permettant d’accéder aux données mentionnées ».

À défaut de pouvoir avoir accès à ces mêmes personnes dans le cadre de mises sur écoute ou de piratage à distance des données, le magistrat souhaite pouvoir recourir aux services du Centre Technique d’Assistance (CTA), qui sert déjà aux magistrats dans les affaires les plus graves, lorsqu’ils doivent déchiffrer un contenu saisi par les enquêteurs. Le CTA met à la disposition de la justice ses analystes et ses supercalculateurs pour décrypter les contenus, sans que la justice ne sache quels moyens techniques ont été utilisés pour obtenir la version en clair.

Réagissez à cet article

Google propose d’utiliser son téléphone en guise de mot de passe

Google s’efforce depuis longtemps de retirer les différentes barrières s’opposant à un accès rapide aux données. Et il pourrait bien avoir un nouveau tour dans son sac : au lieu de saisir comme d’habitude un mot de passe depuis son PC, sa tablette ou un autre terminal, vous pourriez simplement utiliser votre téléphone pour vous authentifier.

L’utilisateur de Reddit, Rohit Paul, a été invité à tester la fonctionnalité, qui nécessite encore un peu de saisie de la part de l’internaute.

Adresse Gmail saisie sur un mobile pour se connecter sur PC

Comme relevé par Android Police, une fois le téléphone de Rohit Paul enrôlé comme terminal d’authentification, ce dernier n’a plus eu qu’à entrer son adresse Gmail sur son smartphone pour se connecter à Google depuis son ordinateur.

Si le processus ne s’avère pas aussi rapide pour tous, ceux dont le mot de passe Google compte de nombreux caractères pourraient en profiter en réduisant le temps de saisie nécessaire à l’authentification.

Naturellement, si vous perdez votre téléphone ou si vous ne souhaitez plus utiliser ce mode d’authentification, vous pouvez toujours vous connecter à votre compte Google de manière classique.

Google n’ayant pas annoncé officiellement cette nouvelle fonctionnalité, les détails techniques de la procédure d’accès restent inconnus. La firme de Mountain View n’est cependant pas la seule à vouloir s’affranchir des mots de passe et à développer des méthodes alternatives d’authentification. C’est par exemple le cas de Microsoft dans Windows 10 au travers d’une fonction comme Next Generation Credentials.

Réagissez à cet article

Donald Trump veut fermer Internet

Pour le milliardaire américain Donald Trump, tout est bon pour se faire remarquer. L’homme a l’ambition de remplacer Barack Obama à la tête des Etats-Unis et souhaite ainsi devenir le candidat du parti républicain. Si on n’abordera pas en détails les opinions conservatrices du milliardaire, ses propos sur Internet sont assez tranchés.

Donald Trump s’en est par ailleurs pris à Jeff Bezos, fondateur et PDG d’Amazon. Via trois messages publiés sur Twitter, l’homme estime que M. Bezos utilise le Washington Post, racheté en août 2013 et déficitaire, pour éviter de payer des taxes trop élevées. Face à ces agressions, Jeff Bezos a ironiquement répondu qu’il l’enverrait loin dans l’espace sur sa fusée Blue Origin.

Réagissez à cet article

Source : http://pro.clubic.com/technologie-et-politique/actualite-788798-donald-trump-gate.html##pid=22889469

Les tendances 2016 en cyber-sécurité

Si une semaine peut sembler longue en politique, comme l’a observé l’ancien Premier ministre britannique Harold Wilson, une année dans le domaine de la cyber-sécurité peut ressembler à une éternité. Malgré les changements rapides, beaucoup de choses restent cependant constantes. Les trois principales menaces prévues par Check Point pour 2015 étaient la croissance rapide des logiciels malveillants inconnus, les menaces mobiles et les vulnérabilités critiques dans les plates-formes couramment utilisées (Android, iOS et autres). Ces prédictions se sont pleinement réalisées et ces menaces continueront certainement de poser nombreux problèmes. Le jeu du chat et de la souris qui a caractérisé la cyber-sécurité au cours des dernières années se poursuit. Les pirates tentent de trouver sans cesse de nouvelles manières d’attaquer les réseaux, comme le montrent les failles de cette année chez Anthem, Experian, Carphone Warehouse, Ashley Madison et TalkTalk.

Logiciels malveillants « sniper »

Les plus grandes failles de 2016 seront le résultat de logiciels malveillants conçus sur mesure pour franchir les défenses d’entreprises spécifiques, telles que lors des attaques menées contre TV5 Monde. Les attaques génériques à champ large continueront de menacer les utilisateurs individuels et les petites entreprises, et les pirates amélioreront leurs méthodes d’attaque contre les grandes entreprises qui disposent de postures de sécurité plus sophistiquées. Ils utiliseront des méthodes de phishing plus approfondies et plus sophistiquées, et d’autres astuces d’ingénierie sociale pour accéder aux systèmes et aux données qu’ils souhaitent.

Les terminaux mobiles en 1ère ligne des attaques

Le nombre d’attaques mobiles continue d’augmenter à mesure que les appareils mobiles prennent place dans l’entreprise et offrent aux pirates un accès direct et potentiellement lucratif aux données personnelles et professionnelles. D’après une étude que nous avons menée en 2015, 42% des entreprises ont subi des incidents de sécurité mobile leur coûtant plus de 200 000 €, et 82% s’attendent à une augmentation du nombre d’incidents. Cette année a également été le témoin de l’émergence de plusieurs vulnérabilités mobiles critiques, notamment Certifigate impactant des centaines de millions d’appareils Android, et XcodeGhost – première infection malveillante à grande échelle ciblant des appareils Apple iOS non jailbreakés. Nous nous attendons à d’importantes vulnérabilités mobiles similaires l’année prochaine.

La bataille contre les menaces les plus dangereuses

Dans la bataille continue entre les pirates et les professionnels de la sécurité, les agresseurs déploient des variantes personnalisées de logiciels malveillants existants et d’attaques encore inconnues (« zero-day ») de plus en plus sophistiquées, capables de contourner la technologie de sécurité traditionnelle. Ces nouveaux vecteurs d’attaque exigent des solutions plus proactives et plus avancées pour stopper ces logiciels malveillants. Des innovations comme le sandboxing au niveau du CPU, capable d’identifier les menaces les plus dangereuses avant qu’elles ne parviennent à échapper à la détection des outils traditionnels et infecter les réseaux, seront plus que jamais nécessaires en 2016 pour faire face à ces nouvelles menaces.

Les infrastructures critiques plus que jamais en ligne de mire

En décembre 2014, une aciérie en Allemagne a été frappée par des pirates qui ont réussi à accéder au réseau de production de l’usine et causer des dommages « massifs ». Le département américain de la sécurité intérieure a découvert que le Trojan « Havex » était parvenu à compromettre les systèmes de contrôle industriel de plus de 1 000 entreprises du secteur de l’énergie en Europe et en Amérique du Nord. Les cyber-attaques menées contre des services publics et des processus industriels clés se poursuivront, à l’aide de logiciels malveillants ciblant les systèmes SCADA qui contrôlent ces processus. Comme ces systèmes de contrôle sont de plus en plus connectés et offrent une surface d’attaque plus étendue, une meilleure protection sera nécessaire pour les défendre. Ces risques sur les infrastructures critiques sont particulièrement sensibles dans un contexte de menaces terroristes accrues.

Les objets connectés : futur terrain de jeu des hackers ?

L’Internet des objets en est encore à ses balbutiements, et il est peu probable qu’il ait un fort impact en 2016. Néanmoins, les entreprises doivent réfléchir à la manière dont elles peuvent protéger les appareils intelligents et se préparer à une plus vaste adoption de l’IoT. Les utilisateurs doivent se demander « où leurs données sont transmises » et « ce qui se passerait si quelqu’un mettait la main sur ces données ». L’année dernière, nous avons découvert une faille dans des routeurs équipant des TPE dans le monde entier, qui pourrait permettre à des pirates de les détourner pour lancer des attaques sur tous les appareils qui leur sont connectés. Nous nous attendons à plus de vulnérabilités similaires dans les appareils connectés.

Les wearables c’est beau … mais pas très sécurisé !

Les wearables tels que les montres intelligentes font leur entrée dans l’entreprise, présentant de nouveaux risques et défis pour la sécurité. Les données stockées dans les montres intelligentes et les autres appareils personnels intelligents sont vulnérables et pourraient même être utilisées par des pirates pour capturer de l’audio et de la vidéo via des Trojans d’accès à distance. Les entreprises qui autorisent l’utilisation de ces appareils doivent assurer leur protection via des mots de passe et des technologies de chiffrement renforcées.

Trains, avions et véhicules connectés… autant de portes d’entrée pour les hackers !

2015 est l’année de l’émergence du piratage de véhicules : leurs logiciels embarqués sont détournés afin de prendre le contrôle des véhicules. En juillet, Fiat Chrysler a rappelé 1,4 millions de véhicules Jeep Cherokee aux États-Unis après que des chercheurs aient découvert qu’ils pouvaient être piratés via le système de divertissement connecté. Avec plus de gadgets et de systèmes connectés que jamais dans les véhicules modernes, nous devons protéger ces systèmes. Il en va de même pour les systèmes complexes des avions de ligne, des trains et autres formes de transport public.

Véritable sécurité pour les environnements virtuels

La virtualisation a été rapidement adoptée par les entreprises au cours des dernières années, que ce soit via SDN, NFV ou le Cloud. Les environnements virtualisés sont complexes et créent de nouvelles couches réseau. C’est seulement maintenant que nous comprenons réellement comment protéger ces environnements. Lorsque les entreprises migrent vers des environnements virtualisés, la sécurité doit être conçue dès le départ pour offrir une protection efficace.

Nouveaux environnements, nouvelles menaces

2015 était également l’année du lancement de plusieurs nouveaux systèmes d’exploitation, tels que Windows 10 et iOS 9. La majeure partie des attaques menées contre les entreprises ces dernières années ciblaient Windows 7, en raison de la faible adoption de Windows 8. Mais avec Windows 10 et son offre de téléchargement gratuit, les cybercriminels vont donc tenter d’exploiter ce nouveau système d’exploitation. Ses mises à jour sont plus fréquentes et les utilisateurs maîtrisent moins son environnement.

La consolidation de la sécurité pour la simplifier !

Pour se protéger contre les menaces multiformes, les professionnels de la sécurité sont susceptibles de se tourner vers des solutions d’administration centralisée de la sécurité. Les grandes entreprises qui possèdent pléthore de différents produits de sécurité sur leur réseau verront la consolidation comme un moyen de réduire à la fois coût et complexité. La multitude de solutions et de produits individuels devient rapidement ingérable et peut effectivement entraver la sécurité plutôt que l’améliorer. La consolidation de la sécurité fournit un moyen efficace de réduire la complexité afin que les nouvelles menaces ne s’égarent pas entre les mailles des différents systèmes.

Réagissez à cet article

Source : http://www.globalsecuritymag.fr/La-cyber-securite-en-2016-Check,20151204,58072.html