Barack Obama veut réformer la cybersécurité des Etats-Unis. 01net. le 13/01/15 à 19h22 © Brendan Smialowski / AFP Barack Obama devant la Federal Trade Commission. Plusieurs entreprises américaines, dont Target, Home Depot et Sony Pictures, ont subi des cyberattaques ces derniers mois mettant en péril les données personnelles de nombreux clients et salariés. Une situation qui a poussé Barack Obama, président des Etats-Unis, à faire diverses propositions pour renforcer la cybersécurité. Lors d’un discours devant la Federal Trade Commission, l’agence américaine de protection des consommateurs, le président a prôné l’établissement d’un standard fédéral unique (au lieu de lois différentes dans chaque Etat) qui imposerait aux entreprises de signaler aux consommateurs dans les trente jours qu’une faille de sécurité a mis leurs données personnelles à la merci de hackers.
Réformer la cybersécurité des Etats-Unis Le président américain a aussi appelé à une protection fédérale des informations collectées auprès des élèves et étudiants. Terrorisme : les armes du gouvernement pour surveiller et filtrer Internet. 01net le 12/01/15 à 18h35 Après les attentats de la semaine dernière, la tentation sécuritaire est, et peut devenir de plus en plus forte pour le gouvernement qui pourrait probablement être soutenu par une population à juste titre inquiète. Depuis le début de l’année, l’État dispose d’un arsenal qui lui permet d’un côté de surveiller les communications téléphoniques (appel, SMS…) ou en ligne et, de l’autre, de filtrer les contenus en ligne publiés sur les sites ou les réseaux sociaux.
Ces deux dispositions ont été introduites avec la Loi de programmation militaire (LPM) entrée en application le 1er janvier 2015, et la LOPPSI, appliquée depuis vendredi dernier après un décret d’urgence. Avec Pharos, la population est également mise à contribution dans la surveillance du Net. Ce que prévoit la Loi de programmation militaire Considérée comme la loi martiale d’Internet, la LPM est effective depuis ce 1er janvier avec un décret publié en douce le 24 décembre. La méthode a aussi été critiquée. Des formations en cybersécurité sur mesure pour les entreprises via. 01net le 13/01/15 à 16h42 Alors que les cybercrimes se multiplient, les besoins en formation sur les techniques de cyberdéfense se multiplient. « Je suis intimement convaincu que la conclusion des événements récents est qu’il y aura des exigences de formation liées au cyberespace », estime le général Watin-Augouard, directeur du centre de recherche de l'école des officiers de la gendarmerie nationale.
L’Université technologique de Troyes (UTT) est positionnée sur la sécurité depuis une quinzaine d’années avec la création d’un master sur la sécurité des systèmes d’information en 2000. Trois types de formations différentes sont proposés à des publics allant des gendarmes aux étudiants en passant par les entreprises elles-mêmes. Des formations continuent sur-mesure pour les entreprises Ces formations sur mesure seront destinées aux grands groupes comme aux PME. « Ces dernières sont souvent une porte d’entrée à un écosystème beaucoup plus vaste » anticipe Pierre Koch, directeur de l’UTT. Piratage de l’armée américaine : un coup de bluff de l’état islamique. 01net le 12/01/15 à 20h40 Oups : les comptes Twitter et Youtube de l’US Central Command ont été piratés par un groupe de hackers se réclamant de Daech et cherchant à établir un « cybercalifat » (sic). Durant quelques minutes, ils ont ainsi utilisé deux très sérieux comptes de l’armée US pour diffuser leur propagande. Depuis, les comptes ont été suspendus.
Les pirates ont également publié un message menaçant sur Pastebin, indiquant qu’ils avaient « pénétré les réseaux du Pentagone » et les « terminaux » des militaires. « Nous sommes dans vos PC, dans vos bases militaires. Et avec la permission d’Allah nous somme dans le CENTCOM désormais ». Flippant ? The @CENTCOM N Korea image is from the FAS website. Pic.twitter.com/9O6GGfMWNL— Steve Koczela (@skoczela) 12 Janvier 2015 Note: The Korea scenario photos tweeted by ISIS / @CENTCOM up online already HT @patcaldwell— Peter W.
Certes, ces pirates ont réussi à hacker des comptes de réseaux sociaux. Silk Road, le supermarché de la drogue en ligne, refait surface sur le réseau I2P. 01net le 12/01/15 à 19h07 Deux mois à peine après la fermeture de Silk Road 2.0 par le FBI, voici qu’un nouveau projet similaire apparait sur le Darknet. Baptisé « Silk Road Reloaded » (SRR), le nouveau site a été lancé hier, d’après le site Motherboard. Son but est de proposer une place de marché pour des drogues, de la contrefaçon, des outils de piratage, des faux billets de banque, etc. Les armes et les numéros de carte bancaire volés, en revanche, ne devraient pas faire partie du catalogue qui, pour l’instant, est de toute façon assez vide. Mais il est probable que cela ne saurait tarder, car SRR propose deux changements majeurs par rapport aux versions précédentes.
Routage en ail La seconde différence se situe au niveau de l’architecture technique. Pourquoi I2P plutôt que Tor ? Par ailleurs, I2P utilise une variante du fameux routage en oignon de Tor, appelée « routage en ail » (garlic routing). Tentative de mystification Mais peut-être la raison est-elle avant tout psychologique. L’attaque DDoS sur PSN et Xbox Live s’est appuyée sur... des routeurs domestiques.
01net le 12/01/15 à 13h11 Fin décembre dernier, les pirates de Lizard Squad ont mis en ligne un service DDoS payant appelé « Lizard Stresser ». Disponible à partir de 5,99 dollars/mois, cet « outil » avait fait ses preuves quelques jours auparavant, en mettant à genoux les réseaux de Playstation Network et Xbox Live. Mais où ces pirates ont-ils trouvé leur puissance de feu ? Principalement dans les petits routeurs domestiques, révèle ainsi KrebsOnSecurity.com. Avec l’aide de quelques chercheurs en sécurité, le site spécialisé a réussi à mettre la main sur le malware qui a permis de construire le botnet de « Lizard Stresser ».
Après analyse, il s’avère que les routeurs domestiques sont très largement surreprésentés dans ce botnet, sans doute en raison de leur nombre et de leur faible niveau de protection. Lizard Squad a également piraté le cloud de Google Mais Lizard Squad ne s’attaque pas seulement aux pauvres particuliers, mais visent également les géants du web. Source : Lire aussi : Charlie Hebdo : vague de hacking sans précédent après les attentats. 01net le 12/01/15 à 15h31 Des dizaines de sites ont été attaqués. De nombreux sites Internet d'institutions locales, religieuses et même d’entreprises dans toute la France ont été piratés depuis le week-end par plusieurs groupes de hackers se présentant comme des islamistes de différents pays du Maghreb, a-t-on appris ce 12 janvier 2015 de sources concordantes.
Dimanche, le site du Conseil général du Lot a ainsi été brièvement victime d'un défaçage (remplacement de la page d'accueil du site) revendiqué par un groupe « dénommé Fallaga Team qui diffuse un discours intégriste », a indiqué cette collectivité locale. « Le site du Conseil général du Lot a été piraté pendant trois heures, par un groupe tunisien dénommé Fallaga Team, a indiqué à l'AFP un représentant du département. Notre page d'accueil était redirigée vers une adresse diffusant un discours intégriste. Des attaques régulières Mais d'autres groupes semblent également avoir été à l'oeuvre. Charlie Hebdo : les Anonymous ont commencé à venger les victimes de l'attentat. 01net le 12/01/15 à 17h21 Attaquer la liberté d’expression, c’est attaquer Anonymous, pouvait-on entendre dans une vidéo (voir ci-dessous) publiée le 10 janvier 2015. Les entreprises et organisations en lien avec ces attaques terroristes doivent s’attendre à une réaction massive d’Anonymous. » Les hactivistes ont mis leur menace à exécution.
Ils ont commencé par dévoiler 36 comptes Twitter de présumés djihadistes et une quinzaine de profils Facebook. Durant le week-end, les Anonymous se félicitaient également d’avoir rendu inaccessible le site Ansar-alhaqq, qui se revendique ouvertement islamiste. #TangoDown : Expect us. Si les attaques contre Charlie Hebdo et le supermarché Hyper Cacher ont soulevé une énorme vague d’indignation, les autorités ont rappelé que ces blocages de site pouvaient se montrer contre-productifs puisqu’ils les empêchent aussi de faire leur travail… Mieux vaut signaler les contenus illicites pour que les forces de l'ordre puissent enquêter.
Web Privacy.
A Call for Better Coordinated Vulnerability Disclosure - MSRC. For years our customers have been in the trenches against cyberattacks in an increasingly complex digital landscape. We’ve been there with you, as have others. And we aren’t going anywhere. Forces often seek to undermine and disrupt technology and people, attempting to weaken the very devices and services people have come to depend on and trust. Just as malicious acts are planned, so too are counter-measures implemented by companies like Microsoft. With all that is going on, this is a time for security researchers and software companies to come together and not stand divided over important protection strategies, such as the disclosure of vulnerabilities and the remediation of them.
In terms of the software industry at large and each player’s responsibility, we believe in Coordinated Vulnerability Disclosure (CVD). Microsoft has long believed coordinated disclosure is the right approach and minimizes risk to customers. Let’s face it, no software is perfect. Google récidive et révèle une faille zero-day dans Windows 8.1 via.
La France saura-t-elle concilier la liberté et la sécurité sur Internet ? 01net le 12/01/15 à 12h23 L’après Charlie va-t-il conduire la France à mettre en place une surveillance généralisée du Net comme les Etats-Unis l'ont fait après le 11 septembre avec le Patriot Act ? Depuis quelques jours, beaucoup le craignent, comme, entre autres la Quadrature du Net, association de défense des libertés sur la toile. D’autant que ce week-end, Bernard Cazeneuve, ministre de l’Intérieur, a pointé Internet qui serait à l’origine de 95% des conversions au djihadisme. Au lendemain des attentats parisiens, le gouvernement a notifié en urgence à Bruxelles de la parution du décret d'application de la Loppsi 2 qui permet le blocage administratif de sites terroristes sans passer par le juge.
Ce week-end, pendant les manifestations, Jérémie Zimmerman, ancien porte-parole de l’association, a tweeté pour prévenir ce risque. « #PatrioAct, US a permis guantanamo, torture, assassinats par les drones, surveillance de masse par la NSA.. ns voulons cela pour la France? Avec Key Vault, Microsoft dote Azure d'un coffre pour clés de cryptage. Le coffre sécurisé Azure Key Vault peut générer et stocker les clefs de cryptage. Microsoft lance Azure Key Vault, un coffre pour gérer les clés de chiffrement dans le cloud. Microsoft continue à faire évoluer sa plate-forme cloud Azure. Cette fois le fournisseur a ajouté un coffre sécurisé Azure Key Vault pour générer et stocker les clefs de cryptage et protéger les charges de travail dans le cloud.
Le fournisseur propose également un set de machines virtuelles de plus grande taille et une solution plus simple pour déployer des charges de travail basées sur Docker. « Toutes ces nouvelles solutions sont simples et abordables. Surtout, elles permettent de conserver des capacités d'échelle dans le cloud », a déclaré Corey Sanders, directeur associé du programme Azure chez Microsoft. En effet, les entreprises peuvent « fixer les capacités de mise à l'échelle de leurs applications et le cloud s'adaptera à leurs modalités ».
Apple bloque iDict, un outil destiné à casser les mots de passe sur iCloud. Pr0x13, à l'origine d'iDict, aurait trouvé un moyen de contourner ces protections. Des attaquants ont utilisé l'outil de force brute iDict pour tester des mots passe et trouver ceux qui leur donneraient accès à des comptes Apple ID. Apple a corrigé un problème qui aurait pu permettre à des attaquants de trouver les mots de passe Apple ID d'utilisateurs d'iCloud avec un outil capable de lancer des attaques par force brute. Le problème a été détecté début janvier après la publication sur GitHub d'un outil proof-of-concept dénommé iDict. Selon son auteur qui se cache derrière l'alias Pr0x13, l'outil « 100 % fonctionnel, permet d'attaquer l'iCloud Apple ID Dictionary en contournant les restrictions de verrouillage de compte et en trompant l'authentification secondaire de n'importe quel compte ».
En général, les services en ligne comme iCloud limitent le nombre de tentatives de connexion infructueuses pour prévenir les attaques par force brute. FIC 2014 : La cybersécurité se cherche un avenir. Manuel Valls, ministre de l'Intérieur, a inauguré le FIC 2014 à Lille. Crédit Photo: D.R La sixième édition du FIC à Lille a été l'occasion de réfléchir sur les questions autour de la cybersécurité.
La session plénière s'est interrogée sur l'état des lieux sur ce sujet Le ministre de l'intérieur est venu expliquer le rôle de l'Etat pour garantir la protection du cyberspace. En direct de Lille - Le Forum International de la Cybersécurité (FIC) tient sa 6ème édition à Lille. Le succès de la manifestation ne se dément pas avec plus de 3 000 personnes attendues provenant de plus de 40 pays. Il faut dire que le sujet intéresse, passionne et effraye à la fois.
En levée de rideau de l'évènement, une table ronde a été organisée sur un thème provocateur, « La cybersécurité est-elle un échec ?» Remettre le citoyen au centre la politique de cybersécurité Le sabotage industriel est une vraie menace terroriste Manuel Valls mise sur la connaissance et les réponses face aux menaces. FIC 2014 : La cyberdéfense active prend forme. Le ministère de la Défense va se doter prochainement d'un pacte de défense cyber.
Crédit Photo: D.R Fort d'un cadre réglementaire fixé et d'un plan de bataille lancé par le ministre de la Défense, la cyberdéfense se construit patiemment. Le FIC a été l'occasion de discuter de plusieurs sujets dont la cyberdéfense active. Après le vote la loi de programmation militaire (LPM), les participants au Forum International de Cybersécurité à Lille attendaient les propos du ministre de la Défense sur la cyberdéfense. Ce dernier a prôné « un changement d'échelle dans la lutte contre les attaques cybernétiques ». Il faut dire que le ministère a été fortement visé en 2013 avec « quelque 780 attaques en ligne contre 420 l'année précédente ». Vers une cyberdéfense plus active ? Après les orientations ministérielles, les acteurs institutionnels et privés présents au FIC ont discuté de plusieurs sujets dont celui de la cyberdéfense active ou proactive.
FIC 2015 : Les cybergendarmes garants de la confiance numérique. Le général (2s) Marc Watin-Augouard, fondateur du FIC, à la caserne Davout le 8 janvier. 15 jours avant l'ouverture du Forum International de la Cybersécurité, nous avons pu rencontrés les forces de gendarmerie à la pointe de la lutte contre la cybercriminalité. Juste avant la septième édition du FIC (les 20 et 21 janvier 2015 au Grand Palais de Lille), nous avons pu rencontrer le jeudi 8 janvier les organisateurs du salon et les équipes de cybergendarmes de Paris (Section de recherche de Paris et ses spécialistes N-Tech) et de Rosny Sous Bois (C3N). L'occasion de faire un premier point sur les principaux enjeux de cette manifestation dédiée à la cybersécurité et les menaces les plus inquiétantes pour les entreprises comme les citoyens.
Le colonel Mathieu Frustié, commandant la section de recherches (SR) de Paris avec 2 de ses experts en cybercriminalité, le capitaine Gwénaël Rouillec et le major Etienne Neff. Simon Singh. Imitation Game. Software Protection Initiative - Main. Le MIT repense la sécurité de l'architecture des sites web.
NSA. Heartbleed. 3 low-tech threats that lead to high-profile breaches. Security ov14462 Comment se preparer. Security Archives - Techstagram. 5 Lessons to Help Security Pros Craft a New Year’s Resolution. 5 information security trends that will dominate 2015. The future of security: 11 predictions for 2015. Les pirates de Lizard Squad s'en prennent au Xbox Live et au Playstation Network. 3 Snapchat Alternatives for Self-Destructing Messages. Severe Remote Code Execution Flaw Spotted in NTP Protocol- Freedom Hacker. Network Time Protocol Vulnerabilities (Update A) | ICS-CERT.
Webcasts. XSSer. Authentication.