Un hacker éthique met en ligne un site parodique de Cambridge Analytica Pour sensibiliser les internautes sur la collecte des données sur les RS

Dans le sillage du scandale de Cambridge Analytica, qui est à l’origine du scandale de fuites de données qui a éclaboussé Facebook, Inti De Ceukelaire, un hacker éthique belge, a proposé le site Oilsjt Analytica, une pseudo-parodie de Cambridge Analytica qui se propose de deviner votre nom en 15 questions au maximum. 

Durant quelques jours, le site a proposé à des internautes de deviner leur nom en leur posant une série de questions comme « Quel fruit mangeriez-vous maintenant ? Pomme, banane ou orange », « Avez-vous déjà eu une fracture », « Où vous trouvez-vous à l’instant ? Au travail, à la maison, dehors, autre part » ou encore « Quel est votre sport favori ? Football, basketball, tennis, natation ». 

À trois reprises durant le questionnaire (après une série de cinq questions), l'application tente de deviner votre nom. 

Au total, plus de 200 000 internautes se sont prêtés au jeu.

Le Belge a choisi d’attendre le dimanche 1er avril pour révéler son tour de passe-passe. Vous l’aurez compris : à l’instar de David Copperfield, l’illusionniste improvisé se servait des questions pour détourner l’attention tandis que la vraie magie s’opérait ailleurs. Il a d’ailleurs précisé sur le site que « les utilisateurs se sont vu poser 15 questions personnelles non pertinentes et nous devions deviner leur nom. Même si leur nom a été deviné dans 80 % des cas, nous ne l'avons pas vraiment deviné. » 

En effet, il a expliqué que le site « a utilisé des plugins sociaux personnalisés (d'abord issus de Facebook, et désormais issus de Google) pour “deviner” votre nom (même si votre nom n'a jamais quitté aucune de ces plateformes, cela y ressemble juste). »

Sur son tweet, une petite vidéo permet de comprendre le pourquoi du comment ou le comment du pourquoi.

Le but était bel et bien de sensibiliser les internautes à la protection de leurs données sur les réseaux sociaux. En allant sur Oilsjt Analytica, un encadré explique que ce site « prouve combien il est facile de récolter des informations personnelles avec de faux quizz, tout comme Cambridge Analytica l’a fait. Heureusement, nous n’avons PAS stocké ces informations. »

source: developpez.com

Allemagne: des hackers russes infiltrent le réseau interne du gouvernement

Il pourrait s'agir de la plus grande cyberattaque jamais constatée en Allemagne. La cible n'était pas anodine puisqu'il s'agit du très protégé réseau interne du gouvernement. Des hackers ont réussi à s'y introduire. L'ampleur des dégâts en termes de données est encore inconnue. Un groupe russe est à nouveau suspecté d'être derrière cette opération.

Avec notre correspondant à Berlin, Pascal Thibaut

ATP28, le groupe russe de hackers, serait responsable des attaques informatiques contre le réseau interne du gouvernement allemand, d’après des sources proches des services de renseignement. Il pourrait s’agir de l’attaque la plus importante subie par l’Allemagne.

Découverte en décembre dernier, elle se serait étalée sur plusieurs mois, d’après l’agence de presse allemande. Les ministères de la Défense et des Affaires étrangères ont été ciblés d’après cette même source. On ignore pour l’instant à quelles données les hackers ont eu accès et si des copies en ont été faites.

Précédent en 2015

Le ministère de l’Intérieur a confirmé ce 28 février au soir que le réseau du gouvernement allemand avait été victime d’attaques et précisé que ces dernières avaient été depuis circonscrites et étaient désormais sous contrôle.

Cette affaire rappelle les cyberattaques dont avait été victime le Parlement allemand en 2015. Berlin avait redouté l’an passé que de nouvelles opérations soient lancées en amont des élections. Cela n’a finalement pas été le cas.

Après ces révélations, la commission en charge du dossier du Bundestag va siéger ce 1er mars. L’opposition réclame des informations supplémentaires au gouvernement pour connaître l’ampleur des attaques et le contenu des données auxquelles les hackers ont eu accès.

Source: rfi.fr

Quelles sont les cybermenaces qu'il faut le plus surveiller en 2018 ? Le MIT Technology Review nous donne ses prédictions

Quelles sont les cybermenaces qu'il faut le plus surveiller en 2018 ?

18 votants

MIT Technology Review est un magazine américain publié par Technology Review, Inc, une société de médias appartenant au Massachusetts Institute of Technology (MIT). Il se focalise sur les technologies émergentes. Alors que nous commençons une nouvelle année, le MIT Technlogy Review a publié ses prédictions en matière de cybermenaces, en se basant notamment sur les attaques qui se sont récemment produites dans l'espace cybernétique, mais aussi sur l'avis de certains experts en cybersécurité.

Au vu des évènements passés, on retient que les hackers recherchent constamment de nouvelles cibles et affinent les outils qu'ils utilisent pour casser les cyberdéfenses. Pour l'année 2018, il y a, d'après le magazine du MIT, six cybermenaces que nous devons vraiment prendre au sérieux et surveiller. Elles partent des piratages propulsés par l'intelligence artificielle à la falsification des systèmes de vote de certains pays.

Encore plus de violations massives de données

L'année 2017 a été marquée par la cyberattaque de grande envergure de la société d'évaluation de la cote de crédit Equifax. Cela a entraîné le vol de numéros de sécurité sociale, de dates de naissance et d'autres données sur près de la moitié de la population américaine. « Cela nous montre que les pirates informatiques réfléchissent beaucoup quand il s'agit de leurs cibles », explique Martin Giles, chef du bureau de San Francisco du MIT Technology Review. Ce genre d'attaques contre les courtiers de données est susceptible de se produire plus fréquemment en 2018. C'est d'ailleurs ce que pense Marc Goodman, expert en sécurité et auteur de Future Crimes. « Les courtiers en données qui détiennent des informations sur des choses telles que les habitudes personnelles de navigation des internautes seront des cibles particulièrement populaires », rapporte Martin Giles.

Ransomware dans le cloud

Les douze derniers mois ont aussi été marqués par une vague d'attaques de ransomware, avec des cibles comme le National Health Service (NHS) britannique, le réseau de tramway de San Francisco et de grandes entreprises telles que FedEx. 

Le ransomware est une forme de malware tellement répandue aujourd'hui qu'il n'est plus vraiment à présenter, du moins pour ceux qui s'intéressent un peu à l'actualité informatique. Après avoir infecté une machine, il verrouille les fichiers de sa victime en utilisant un chiffrement plus ou moins fort. Les hackers demandent ensuite de l'argent en échange de clés numériques pour déchiffrer les données. Les victimes paieront souvent, surtout si le contenu chiffré n'a pas été sauvegardé sur un autre dispositif. Cette forme de malware a de la cote auprès des pirates informatiques, qui exigent souvent des paiements dans des cryptomonnaies difficiles à retracer. Certains ransomwares comme WannaCry ont pu compromettre des centaines de milliers d'ordinateurs.

En 2018, la croissance des ransomwares est susceptible d'être plus forte, d'après le MIT Technology Review. Et l'une des grandes cibles cette année sera les entreprises de cloud computing, qui hébergent des quantités énormes de données pour les entreprises. Certaines d'entre elles gèrent également des services dédiés aux consommateurs tels que les photothèques et les emails.

Martin Giles estime que les plus grands opérateurs de cloud computing, tels que Google, Amazon, Microsoft et IBM, ont embauché certains des plus grands cerveaux en matière de sécurité informatique. Il sera donc très difficile de compromettre leurs plateformes. Mais les petites entreprises de cloud computing sont quant à elles susceptibles d'être plus vulnérables, et même une violation modeste pourrait générer des revenus importants pour les pirates impliqués.

Militarisation de l'IA

Cette année verra aussi l'émergence d'une course aux armements basée sur l'IA. Les entreprises de sécurité et les chercheurs utilisent depuis un certain temps des modèles d'apprentissage automatique, des réseaux de neurones et d'autres technologies de l'IA pour mieux anticiper les attaques et repérer celles qui sont déjà en cours. Mais il est fort probable que les pirates adoptent la même technologie pour riposter. « L'IA donne malheureusement aux attaquants les outils pour obtenir un retour sur investissement beaucoup plus important », explique Steve Grobman, directeur de la technologie chez McAfee.

Un exemple cité par le magazine du MIT est le spear phishing qui utilise des messages fortement personnalisés pour inciter les cibles à installer des logiciels malveillants ou à partager des données sensibles. Martin Gilles estime que les modèles d'apprentissage automatique peuvent maintenant désormais égaler les humains dans l'art d'élaborer des faux messages pour convaincre leurs cibles. Mieux encore, l'IA peut en produire beaucoup plus sans se fatiguer. Les pirates informatiques vont donc en profiter pour augmenter le nombre d'attaques de phishing.

Ils sont par ailleurs susceptibles d'utiliser l'intelligence artificielle pour concevoir des logiciels malveillants encore plus efficaces pour tromper les bacs à sable ou les programmes de sécurité qui tentent de repérer le code malveillant avant qu'il ne soit déployé dans les systèmes des entreprises.

Attaques « cyber-physiques »

Comme son nom pourrait l'indiquer, une attaque cyber-physique fait allusion à une cyberattaque qui peut cibler par exemple les réseaux électriques, les systèmes de transport et d'autres parties de l'infrastructure critique des pays. D'après le MIT Technology Review, il y aura plus d'attaques de ce type qui vont avoir lieu en 2018. Certaines seront conçues pour causer des perturbations immédiates, tandis que d'autres impliqueront des ransomwares qui détournent des systèmes vitaux et menacent de faire des ravages à moins que les propriétaires ne paient rapidement pour reprendre le contrôle de leurs systèmes. Au cours de l'année 2018, les chercheurs – et les pirates informatiques – sont susceptibles de découvrir davantage de failles dans les défenses des anciens avions, trains, navires et autres moyens de transport, et ces découvertes pourraient rendre ces systèmes plus vulnérables.

Minage de cryptomonnaies : détournement de puissance de calcul

Si en 2017, les hackers ont ciblé les détenteurs de bitcoins et d'autres monnaies numériques, le vol de cryptomonnaies n'est pas la plus grande menace dont il faut s'inquiéter en 2018, d’après le magazine du MIT. C'est plutôt le vol ou détournement de la puissance de traitement informatique.

Miner des cryptomonnaies nécessite en effet de grandes capacités de calcul pour résoudre des problèmes mathématiques complexes. Et comme nous avons pu le constater vers la fin de 2017, avec la forte croissance du cours du bitcoin, cela encourage les pirates informatiques à compromettre des millions d'ordinateurs afin de les utiliser pour le minage de cryptomonnaies. La tentation de pirater de nombreux réseaux d'ordinateurs est donc susceptible d'être plus forte en 2018. Et si les pirates ciblent les hôpitaux, les aéroports et d'autres lieux sensibles, le potentiel de dommages collatéraux sera très important et profondément inquiétant.

Piratage des élections

Les fake news ne sont pas la seule menace à laquelle est confronté un pays qui organise une élection. Il y a aussi le risque de cyberattaques contre le processus de vote lui-même. Des rapports ont déjà indiqué que les pirates informatiques russes ont ciblé les systèmes de vote dans de nombreux États américains avant l'élection présidentielle de 2016. Avec les élections US de mi-mandat qui auront lieu en novembre, les responsables ont travaillé dur pour éliminer les vulnérabilités. Mais d'après le MIT Technology Review, les attaquants déterminés ont encore beaucoup de cibles potentielles, allant des listes électorales électroniques aux machines de vote et les logiciels utilisés pour assembler et auditer les résultats.

Des cybermenaces… mais aussi le renforcement des sanctions et des règles de protection des données personnelles

Avec les risques de cybermenaces qui vont augmenter en 2018, les pénalités pour les entreprises qui ne parviendront pas à y faire face efficacement le seront également, d’après Martin Gilles. Il fait par exemple allusion au fait que le 25 mai, le règlement général sur la protection des données entrera en vigueur en Europe. Première grande révision des règles de protection des données en Europe depuis plus de deux décennies, le GDPR exigera des entreprises qu'elles signalent les violations de données aux régulateurs – et informent les clients que leurs données ont été volées – dans les 72 heures suivant la découverte d'une violation. Le non-respect pourrait entraîner des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires global d'une entreprise, en fonction du montant qui sera le plus élevé.

Source :developpez.com

Chiffrement : trop improbable la possibilité de l'existence de backdoors dans AES et autres ? Les travaux d'un chercheur tirent la sonnette d'alarme

Dites « affaiblissement du chiffrement » et vous risquez de vous attirer les foudres d’utilisateurs soucieux de la protection de leurs données. Flux de données Web, certificats électroniques, logiciels de gestion de disques, etc. la technique est omniprésente de nos jours. De récents développements d’Eric Filliol, directeur du laboratoire de cryptologie et virologie opérationnelles de l’ESIEA, ont mis en exergue le fait que ces technologies sur lesquelles on s’appuie tant au quotidien pour des raisons désormais évidentes sont à prendre avec des pincettes. 

Dans le cadre de la conférence Black Hat Europe 2017, le chercheur a en effet présenté l’algorithme BEA-1, un algorithme de chiffrement symétrique par bloc similaire à l’AES. Ce dernier passe avec brio les tests de résistance auxquels des solutions similaires ont été soumises jusqu’ici et est conforme au standard FIPS 140 du gouvernement américain. Seulement voilà, certaines propriétés mathématiques bien particulières de cet algorithme permettent de trouver la clé secrète en 10 secondes sur une machine munie d'un processeur Core i7 avec une probabilité de succès de 95 %. 

« L’algorithme n’est absolument pas indiqué pour assurer une sécurité véritable », conclut le chercheur. Et pour cause, il s’agit d’un algorithme de chiffrement qui intègre une porte dérobée mathématique. Tout le problème est ici : celui qui conçoit un algorithme de chiffrement peut y intégrer une faille au niveau du design ouvrant ainsi la voie au déchiffrage des données des utilisateurs. AES et compagnie pourraient donc bien être dans la même situation.

Si rien à date ne constitue une preuve de l’existence d’une backdoor au sein de l’algorithme AES supervisé par la NSA, il faut rappeler que l’agence a trempé par le passé. En excellent recueil d’histoire, la publication du chercheur de l’ESIEA souligne que Dan Shimow et Niels Ferguson ont démontré une faiblesse dans le générateur de nombres aléatoires « Dual EC DRBG », approuvé par l’Institut national des normes et de la technologie américain (NIST) et implémenté dans certains produits d’une entreprise américaine spécialisée en sécurité (RSA). Edward Snowden a contribué à ce propos en 2013 en soulignant qu’il s’agissait bien d’une porte dérobée de l’agence. L’entreprise spécialisée en sécurité a reçu un chèque de 10 millions de dollars de la part de la NSA pour l’intégrer.

Les travaux d’Eric Filliol sont de nature à tirer la sonnette d’alarme. La Russie utilise GOST, son propre algorithme de chiffrement pour les raisons précitées. Aussi amusant que cela puisse paraitre, les conclusions de ces travaux ne l’exemptent pas elle aussi. L’Europe gagnerait peut-être à suivre l’exemple du géant russe avec une solution personnalisée.

Source:developpez.com

Mozilla va s'attaquer au chargement des URI de données dans la barre de navigation de l'URL Pour combattre le phishing sur Firefox

Data-URI est un schéma d'URI (Uniform Resource Identifier, identifiants uniformes de ressources) contenant directement les données qu'il identifie, contrairement à la plupart des autres schémas. Data-URI est aujourd'hui utilisable en production, bien souvent appelé pour augmenter légèrement les performances de vos sites Web à l'aide de données embarquées via data: et encodées en base64.

Il ne faut pas faire l'amalgame entre un URI et une URL : une URL (Uniform Resource Locator) est seulement un sous-ensemble d'un URI. En effet, alors qu'une URL est un localisateur de ressource, un URI est plus largement un identifiant de ressource. Cela signifie qu'un URI sert à identifier une ressource, sans nécessairement indiquer l'emplacement de celle-ci. Ainsi, un URI ne pointe pas nécessairement vers une ressource à télécharger.

Le schéma data URI (RFC 2397) a été déployé en 1998 lorsque les développeurs cherchaient des moyens d'incorporer des fichiers dans d'autres fichiers. Ce qu'ils ont trouvé était le schéma data URI qui permet à un développeur de charger un fichier représenté sous la forme d'un flux d'octets codé en ASCII dans un autre document.

Depuis, le schéma URI est devenu très populaire auprès des développeurs de sites, car il leur permet d'intégrer des fichiers texte (CSS ou JS) ou des fichiers image (PNG, JPEG) dans des documents HTML au lieu de charger chaque ressource via une requête HTTP séparée.

Cette pratique est devenue extrêmement populaire parce que les moteurs de recherche ont commencé à classer les sites Web en fonction de la vitesse de chargement de leur page et plus les requêtes HTTP d'un site Web étaient longues, plus cela affectait la position SERP (Search Engine Result Page, page de résultats des moteurs de recherche) d'un site.

Cependant, vers la fin des années 2000, les chercheurs en sécurité se sont rendu compte que les URI de données pourraient également être utilisées pour des attaques de phishing et XSS (cross-site scripting), une technique plus tard perfectionnée et mieux expliquée en 2012 par un chercheur de l'Université d'Oslo.

Depuis lors, les campagnes de phishing qui s’appuient sur les URI de données sont devenues monnaie courante. D’ailleurs, comme l’expliquaient des chercheurs en sécurité d’Easy Solutions, ce type d’attaque est intéressant pour quelques raisons :

• les attaques d'URI de données sont relativement faciles à mettre à l'échelle avec l'utilisation de services gratuits de raccourcissement de lien ;
• les attaques d'URI de données sont relativement faciles à automatiser ;
• les attaques d'URI de données ne sont pas « hébergées » dans le sens typique, elles ne peuvent donc pas être mises sur liste noire.

Ces URI de données peuvent également être chargés dans la barre de navigation du navigateur pour rendre le fichier directement, puis utiliser un code malveillant supplémentaire pour masquer l'URL réelle.

Le schéma, qui avait été développé au départ pour « incorporer des fichiers dans d'autres fichiers », est alors devenu une « méthode de navigation » dans les navigateurs modernes.

Halte aux abus !

Des navigateurs comme Google Chrome et Microsoft Edge ont vu cet abus et ont agi en bloquant le chargement des URI de données dans la barre de navigation de l'URL. Mozilla a décidé à son tour de faire de même pour Firefox.

« Nous voulons seulement bloquer les navigations URI de données de haut niveau qui sont principalement utilisées pour le phishing », a précisé Christoph Kerschbaumer, l'un des ingénieurs de Mozilla qui ont travaillé sur cette nouvelle fonction de sécurité. « Je ne vois aucun cas d'utilisation réel pour ces navigations (en dehors des tentatives de phishing réelles). »

À partir de Firefox 59, les ingénieurs de Mozilla prévoient de déployer une série de fonctions de sécurité qui empêcheront le rendu d'URI de données HTML, JS et SVG dangereux dans certains cas:

• un lien URL de données sur une page est cliqué manuellement ou par programmation ;
• une page tente de charger une URL de données via des fonctions JavaScript telles que location.href, location.assign () ou location.replace () ;
• une page tente de charger une URL de données dans un nouvel onglet avec la fonction JavaScript window.open () ;
• le contenu interne d’un frame tente de charger une URL de données dans la fenêtre de niveau supérieur ou dans un nouvel onglet.

Les URI de données qui affichent des images non SVG, des fichiers PDF, JSON et des fichiers en texte brut ne seront pas affectés, car elles ne peuvent pas être utilisées pour des attaques de phishing.

Source : developpez.com

Microsoft a déjà patché la faille WPA2

Après la révélation de la faille de sécurité Wi-Fi, Microsoft annonce avoir déjà corrigé le problème pour Windows.

(CCM) — Hier, tout Internet tremblait à l'annonce d'une importante faille découverte dans le protocole de sécurité WPA2utilisé pour se connecter à des réseaux Wi-Fi. Cette faille permet potentiellement à des pirates d'espionner le trafic entre une borne Wi-Fi et les appareils qui y sont connectés, et tous les appareils utilisant le Wi-Fi sont exposés. Si comme à l'accoutumée, tous les grands acteurs de la tech indiquent qu'ils vont déployer un correctif, Microsoft a d'ores et déjà réglé le problème pour les utilisateurs de Windows.

Dans une déclaration faite au site américain The Verge (lien en anglais), un porte-parole de la firme de Redmond explique qu'une mise à jour de sécurité comblant la faille a été distribuée dès le 10 octobre. "Les clients qui appliquent la mise à jour ou qui ont activé les mises à jour automatiques seront protégés" a ajouté le porte-parole. Par ailleurs, Microsoft précise qu'il a retenu l'information jusqu'à ce que "d'autres fournisseurs puissent développer et publier des mises à jour". 

Justement, qu'en est-il pour les autres ? Google, dont les appareils Android sont très affectés, a promis une correction pour les prochaines semaines. Si la gamme Pixel devrait recevoir une mise à jour de sécurité dès le 6 novembre, cela risque d'être plus complexe suivant la régularité de mises à jour de sécurité de chaque constructeur. 

Plus ou moins le même son de cloche pour Apple, qui a fait savoir au site AppleInsider (lien en anglais) que la vulnérabilité à été corrigée dans les versions beta d'iOS, tvOS, watchOS et macOS. Ce qui veut dire que le patch ne sera pas officiellement distribué avant plusieurs semaines. Par ailleurs, AppleInsider indique que les bornes Wi-Fi Apple Airport ne sont pas patchées. 

Croisons les doigts pour que toutes ces vulnérabilités ne soient bientôt plus que de l'histoire ancienne !

Source: commentcamarche.net

Une immense faille dans la sécurité Wi-Fi

Des chercheurs ont dévoilé une importante faille de sécurité dans le protocole de sécurité WPA2 

(CCM) — Créé dans les années 2000 pour pallier aux faiblesses de sécurité du format WEP, le protocole de sécurité Wi-Fi Protected Access II, utilisé par la vaste majorité des personnes connectées à Internet en Wi-Fi via mobile ou ordinateur, vient d'être sérieusement remis en question par une équipe de chercheurs. Ces derniers ont identifié une très importante faille de sécurité appelée KRACK qui pourrait permettre à des hackers d'espionner le trafic entre des ordinateurs et des points d'accès sans fil. 

Comme l'expliquent les chercheurs dans un site mis en ligne aujourd'hui (lien en anglais), les vulnérabilités exploitent ce qu'on appelle la "4 -way handshake", une procédure en 4 étapes de connexion entre le point d'accès et l'appareil, et de création de clés d'authentification et de chiffrage du trafic. A la 3e étape, un hacker peut potentiellement renvoyer plusieurs clés pour réussir à berner le système. Pour cette raison, les chercheurs ont baptisés la faille KRACK, pour Key Reinstallation Attacks (attaques par réinstallations de clé). 

D'après les chercheurs, tous les appareils - même récents - sont potentiellement vulnérables et l'attaque fonctionnerait sur presque tous les réseaux Wi-Fi. Pire encore, sur des réseaux mal protégés, ce système permettrait à des hackers de potentiellement injecter des malwares et des ransomwares. Et selon les chercheurs, 41% des appareils Android seraient vulnérables à une variante "exceptionnellement dévastatrice". 

Si l'on ne sait malheureusement pas si cette faille est déjà utilisée par des pirates, les chercheurs rassurent néanmoins en indiquant que la faille pourrait être patchée sur un bon nombre d'appareils, même si certains d'entre eux ne pourront jamais l'être. Selon Ars Technica (lien en anglais), certaines entreprises ont d'ores et déjà des patchs en cours de déploiement. En attendant de plus amples présentations des vulnérabilités pour le 1er novembre, les chercheurs indiquent néanmoins qu'il est préférable pour les internautes d'utiliser le WPA2 pour se connecter en Wi-Fi. 

source: commentcamarche.net