sur Internet
sur ground418

ground418 hq :: Nouvelles

Votre mot de passe est-il sûr?

26/07/2010, 12:06 pm

On entend et on lit des témoignages et des études traitant de la sécurité des mots de passe depuis des années. Et avec des ordinateurs sans cesse plus puissants et des pirates toujours plus expérimentés et outillés, c'est de plus en plus facile de les deviner avec des attaques par « brute force », par dictionnaire ou hybrides. Davey Winder explique sur IT PRO comment développer des mots de passe sûrs mais en même temps assez faciles à retenir. Parce qu'une chaîne de 12 lettres majuscules et minuscules, chiffres et caractères spéciaux, ce n'est pas des plus faciles à retenir. Surtout qu'il est préférable qu'elles soit différente d'un service à l'autre.
msg id: 308

Une nouvelle version de TrueCrypt

23/07/2010, 10:19 am

Le logiciel de chiffrement en source libre s'est refait une beauté lundi dernier, alors que la version 7.0 était officiellement lancée. TrueCrypt intègre désormais de nouvelles fonctions, dont la plus intéressante est probablement l'accélération matérielle. Toutefois, celle-ci ne fonctionne malheureusement que sur des processeurs i5 et i7 d'Intel. Diverses améliorations de sécurité et de support pour les clés USB ont aussi été ajoutées. Mais nostalgiques s'abstenir, car des fonctions liées à l'utilisation avec des disquettes ont été retirées de la nouvelle version.
msg id: 307

De la certification des logiciels

20/07/2010, 2:07 pm

Pour s'assurer de la fiabilité et de la sûreté d'applications et autres produits sécurisés, plusieurs certifications existent. Ainsi, on retrouve des acronymes comme FIPS, CAPS et CESG. Mais que veulent-ils dirent, et que valent-ils réellement? Andy Cordial, d'Origin Storage, les explique dans un article récent, mais surtout il avertit de ne pas se fier qu'aux certifications, qui ne sont pas suffisantes pour s'assurer qu'un produit est totalement adéquat. Il donne plutôt six facteurs clés à considérer lors de la sélection de produits de sécurité.
msg id: 306

La saison des vacances fait aussi le bonheur des criminels

19/07/2010, 1:26 pm

Nous sommes au plus fort de l'été et plusieurs d'entre nous se préparent à partir en vacances, si ce n'est déjà fait. Bien que l'utilisation de la technologie (téléphones intelligents, Internet sans fil, réseaux sociaux, localisation par GPS, etc.) soit tentante, plusieurs experts, dont PandaLabs, recommandent de prendre certaines précautions pendant nos voyages et lors de leur planification. Help Net Security a su résumer ces recommandations. En fait, il faut surtout se rappeler de bien sécuriser ses données, en particulier lorsqu'on utilise un ordinateur ou un réseau qui ne nous appartient pas, et ne pas dévoiler des informations sur notre localisation à n'importe qui. C'est connu, les voleurs ciblent les propriétés inoccupées. Les informer de notre absence leur rendrait la vie plus facile.
msg id: 305

Exploitation automatisée d'une vulnérabilité de JavaServer Faces

16/07/2010, 11:29 am

Un nouvel outil, nommé Padding Oracle Exploitation Tool (POET) et publié par l'équipe de Netifera, automatise l'exploitation d'une vulnérabilité commune aux applications Web reposant sur la plateforme de développement JavaServer Faces. Elle permet d'accéder à des informations sensibles (traces d'achats, préférences, etc.) des sessions d'utilisateurs de sites de commerce, par exemple. Un résumé des capacités de POET, de même qu'une vidéo de démonstration avec Apache MyFaces et d'une attaque contre CAPTCHA, sont disponibles sur SecuObs.
msg id: 304

Le nombre de vulnérabilités logicielles augmente considérablement

15/07/2010, 3:18 pm

Secunia vient de publier son rapport de sécurité de mi-année 2010, et les résultats sont pour le moins alarmants. Pendant les six premiers mois de l'année, Secunia a rapporté 380 vulnérabilités, comparativement à 420 pour toute l'année 2009. Apparemment, le problème serait surtout au niveau des applications tierce-partie, qui sont responsables de 3,5 fois le nombre de vulnérabilités de produits de Microsoft sur un ordinateur Windows typique. Toutefois, il faut comprendre que vulnérabilité ne signifie pas nécessairement danger. Par exemple, Apple est l'éditeur de logiciels responsable du plus grand nombre de vulnérabilités, tandis que les produits de Microsoft sont beaucoup plus attaqués. À lire sur DarkReading.
msg id: 303

Apple achète une entreprise de Québec

14/07/2010, 2:10 pm

La transaction s'est apparemment faite en silence, mais Le Soleil a bel et bien confirmé ce matin que l'entreprise de Cupertino a acquis « récemment » Poly9, une jeune entreprise de TI se spécialisant dans la cartographie et qui comptait parmi ses clients Apple, Microsoft, Yahoo, MSNBC et NORAD. Le site Web de Poly9 est maintenant hors ligne et les deux employés restants (les autres étant partis pour la Silicon Valley) sont muselés par une entente de confidentialité, c'est donc impossible d'en savoir plus pour l'instant. BRANCHEZ-VOUS, Apple Insider et TechCrunch ont notamment repris la nouvelle.
msg id: 302

Fido laisse filer les informations de ses abonnés

13/07/2010, 2:05 pm

Environ un mois après qu'AT&T ait permis la fuite de quelques 114 000 adresses courriel d'utilisateurs d'iPad, c'est au tour de Fido de dévoiler les informations personnelles de ses clients. Un abonné de Fido a découvert hier la faille dans le concours en ligne Fido Extravaganza. Un internaute n'avait qu'à entrer un numéro de téléphone mobile de Fido, et la page lui renvoyait gentiment le prénom et l'adresse courriel associés à ce numéro! Le site Web du concours est maintenant hors ligne, mais on ne sait pas si des gens ont pu avoir accès à de grandes quantités d'information.
msg id: 301

Quatre bulletins de sécurité pour le Patch Tuesday de juillet

09/07/2010, 1:38 pm

Comme à chaque deuxième mardi du mois, Microsoft proposera le 13 juillet prochain des mises à jour pour Windows et la suite Office. Deux bulletins « critiques » pour Windows (un pour XP/Server2003 et un pour 7/Server2008) et deux bulletins pour Office (un « critique » et un « important ») sont au menu. Parmi les cinq vulnérabilités corrigées au total, on retrouve une importante faille du « Help and Support Center » de Windows, qui avait été dévoilée au lendemain du Patch Tuesday de juin. Plus de détails sur le blogue du Microsoft Security Response Center (MSRC) et dans le bulletin de notification.
msg id: 300

La cyber guerre (ou l'absence de celle-ci) selon Bruce Schneier

08/07/2010, 11:20 am

Cybers criminels, cyber espionnage, pirates informatiques, dénis de service... Autant de termes que plusieurs gouvernements et médias « s'amusent » à regrouper sous la bannière de la fameuse cyber guerre, qui risque apparemment de mettre en péril le monde tel qu'on le connaît. L'expert en sécurité Bruce Schneier est reconnu pour faire valoir des pratiques sécuritaires et saines sur le Web. Pourtant, cette cyber guerre n'est pour lui que le fruit d'une peur qui exagère grandement les menaces réelles, opinion qu'il ne se gêne pas pour faire valoir dans une récente entrée de son blogue.
msg id: 299

Vulnérabilité d'Adobe Reader corrigée, en partie seulement

07/07/2010, 10:59 am

Le 29 juin dernier, Adobe a corrigé une vulnérabilité de son logiciel Reader découverte par le chercheur Didier Stevens. Sur son blogue, celui-ci a rapporté dimanche la découverte d'un autre chercheur, Le Manh Tung, qui démontre que les utilisateurs d'Adobe Reader sont toujours à risque. En effet, Adobe a instauré un système de liste noire empêchant l'exécution de certains types de fichiers. Malheureusement, un fichier nommé "cmd.exe" (avec les guillemets) est détecté comme ayant l'extension .exe" et Adobe Reader permet son exécution, bien qu'il bloque les .exe. De nombreuses autres exceptions de ce type ont été découvertes mais pour l'instant, il faut ajouter ces extensions manuellement à la liste noire pour en prévenir l'exécution.
msg id: 298

Les vulnérabilités zero-day font rager Microsoft

06/07/2010, 3:13 pm

Microsoft n'a vraiment pas apprécié que Tavis Ormandy publie les détails d'un exploit pour une vulnérabilité « zero-day » de Windows XP le mois dernier. Un groupe de chercheurs nommé Microsoft-Spurned Researcher Collective (calque ironique du Microsoft Security Response Center) a maintenant décidé de défier le géant de Redmond en publiant une autre vulnérabilité zero-day, encore une fois accompagnés d'un exploit. Ils promettent en outre de publier ainsi toute autre vulnérabilité de ce type qu'ils pourraient trouver, en réponse à l'hostilité de Microsoft à l'endroit d'Ormandy.
msg id: 297

Attaque contre YouTube

05/07/2010, 11:43 am

De nombreux utilisateurs de YouTube ont détecté hier un problème dans le système de commentaires du populaire site de vidéos. Selon Google, propriétaire de YouTube, c'est une vulnérabilité XSS qui aurait permi la suppression des commentaires et de la publication de messages offensants et de spam. L'attaque rendait également impossible la soumission de nouveaux commentaires. Selon le résumé d'IT PRO, Google a résolu le problème environ deux heures après les premières plaintes.
msg id: 296

L'accès à Internet haute vitesse pour tous

02/07/2010, 11:47 am

La Finlande a modifié l'an dernier sa loi sur le marché des communications afin de rendre Internet un service universel sur son territoire, au même titre que le téléphone ou la poste. C'est hier que la nouvelle législation est entrée en vigueur, exigeant que tous, même les citoyens des régions rurales du grand nord, aient un « accès suffisant à Internet », soit un débit d'un mégabit par seconde. Cet accès doit en outre être offert à des coûts « raisonnables ». Le gouvernement finlandais vise également offrir à tous la fibre optique à 100 Mbit/s d'ici 2015. Il s'agit du premier pays dans le monde à se doter d'une telle loi, mais gageons que d'autres suivront d'ici peu. À lire sur Cyberpresse.
msg id: 295

Les 100 villes les plus infectées des États-Unis

28/06/2010, 11:16 am

Enigma Software recueille des statistiques sur le nombre d'ordinateurs infectés par des virus et autres maliciels selon leur emplacement géographique. Help Net Security résume un récent rapport de la firme présentant le taux d'infection des 100 plus grandes villes des États-Unis. À cause du nombre considérable d'ordinateurs s'y trouvant, New York a le plus d'ordinateurs infectés, mais si l'on se fie au taux d'infection, la métropole se retrouve au 85e rang des villes les plus infectées. C'est Atlanta qui occupe la position peu enviable de la ville au plus haut taux d'infection informatique des États-Unis. On peu consulter en tout temps le Malware Tracker d'Enigma.
msg id: 294

Deux adolescents soupçonnés d'être derrière un forum de cyber criminalité

25/06/2010, 11:01 am

Les jeunes de 17 et 18 ans ont été arrêtés à Londres à la suite d'une enquête de huit mois sur ce qui est considéré comme étant « le plus grand forum international de cyber criminalité de langue anglaise ». Comme l'explique IT PRO, la police a du même coup mis la main sur quelques 65 000 numéros de cartes de crédit, qui auraient pu servir à des fraudes de 7,8 millions de livres (12,2M $). Selon les informations disponibles, le forum distribuait le Trojan Zeus. Ce serait donc à l'aide de ce maliciel que les utilisateurs du forum auraient recueilli les numéros de cartes de crédits et autres informations sensibles.
msg id: 293

Les internautes australiens tenus par la main

23/06/2010, 5:07 pm

BRANCHEZ-VOUS nous révèle quelques détails du rapport d'une commission d'enquête australienne chargée de s'attaquer au problème de la cyberdélinquance. Des 34 pistes de solution présentées dans le rapport « Pirates, escrocs et réseaux d'ordinateurs zombies: s'attaquer au problème de la cybercriminalité », une suggestion surprend. En effet, le rapport propose d'accorder le pouvoir au gouvernement et aux fournisseurs d'accès Internet de contrôler qui pourrait avoir accès à Internet en allant jusqu'à déconnecter les ordinateurs qui n'ont pas de logiciels anti-virus ou de pare-feu à jour.
msg id: 292

AVG LinkScanner pour Mac

22/06/2010, 10:02 am

De plus en plus de signes nous rappellent que les utilisateurs de Mac ne sont pas à l'abri des attaques informatiques, ceux-ci doivent donc faire preuve de vigilance sur le Web. AVG a lancé récemment l'outil LinkScanner pour Mac, qui analyse les résultats des principaux moteurs de recherche et met en garde l'utilisateur contre les sites potentiellement dangereux. Help-Net Security a testé LinkScanner et offre un intéressant compte-rendu. Le gratuiciel semble pratique, mais plus de fonctionnalités seraient appréciées.
msg id: 291

Joyeux anniversaire ILOVEYOU

21/06/2010, 10:51 am

Il y a maintenant dix ans que le fameux virus ILOVEYOU a fait son entrée dans les boîtes de courriel des internautes. Pour l'occasion, Cyberpresse offre un petit résumé de ce qu'il est devenu. Connu comme étant le premier ver propagé par un fichier joint à un courriel et se servant d'ingénierie sociale pour inciter les utilisateurs à le télécharger, ILOVEYOU existe apparemment encore, bien que tous les logiciels anti-virus le détectent avant qu'il ne puisse faire le moindre dommage.
msg id: 290

Un logiciel pour analyser les fichiers PDF suspects

17/06/2010, 11:22 am

C'est la firme Zynamics qui offre cette application, du nom peu original mais bien clair de « PDF Dissector ». Le logiciel offre une interface détaillée permettant de faire l'analyse d'un fichier PDF et de faire divers tests en changeant des variables ou en évaluant un bout de code isolé, par exemple. Voir cet article de SecuObs pour de plus amples détails.
msg id: 289

L'ONU veut légiférer pour un Internet libre

16/06/2010, 3:54 pm

On parle depuis longtemps de la liberté sur Internet versus la censure imposée par certains pays (on connaît la saga de Google en Chine). Voici maintenant que l'Agence France-Presse (via Cyberpresse) rapporte que l'Organisation des Nations Unies désire adopter une législation au niveau mondial qui garantirait un Internet libre pour tous. « Une des choses à laquelle nous essayons de parvenir, c'est un consensus sur une législation internationale, un consensus de la communauté internationale », a déclaré Frank La Rue, rapporteur spécial de l'ONU pour la promotion et la protection des droits à la liberté d'expression et d'opinion.
msg id: 288

Ubuntu est plus sûr que Windows, selon Dell

15/06/2010, 3:04 pm

C'est le géant des manufacturiers d'ordinateurs qui le dit : « Ubuntu is safer than Microsoft Windows ». Dans une liste de « 10 choses à savoir sur Ubuntu », Dell explique que « la vaste majorité des virus et espiogiciels ne sont pas faits pour cibler et attaquer Linux ». La liste vante par ailleurs la simplicité, l'élégance et la rapidité du système d'exploitation. Notons que depuis 2007, Dell offre Ubuntu directement installé sur les ordinateurs. À lire aussi sur IT PRO (en anglais seulement).
msg id: 287

Man-in-the-middle et ingénierie sociale automatisés

14/06/2010, 10:55 am

Un récent article de DarkReading révèle que des chercheurs français ont mis au point une validation de principe (PoC, « Proof of Concept ») pour une attaque informatique par ingénierie sociale. En résumé, les chercheurs ont inséré leur robot entre deux utilisateurs maintenant une conversation par clavardage sur IRC. Le programme relaie les messages des interlocuteurs, ce qui lui permet de leur proposer des liens potentiellement infectés qui paraissent venir d'une personne réelle. Les chercheurs ont déjà testé leur programme sur Facebook et veulent même étendre ses capacités aux réseaux sociaux en général.
msg id: 286

Engager un pirate informatique pour sa sécurité?

11/06/2010, 10:14 am

Les experts en sécurité de l'information Bruce Schneier et Marcus Ranum ont publié cette semaine chacun un essai sur Information Security. Se penchant sur les risques associés au fait d'employer quelqu'un ayant été détenu pour crime informatique, Schneier se dit plutôt en faveur de l'idée d'engager un pirate, alors que Ranum est tout à fait contre. Le débat fait tout de suite penser à Michael Calce, le jeune pirate québécois mieux connu sous le pseudonyme de Mafiaboy, qui a causé pour 1,7 milliards de dollars de dommages en 2000 et qui travaille maintenant pour une PME de cybersécurité.
msg id: 285

Un jeu de simulation sur la gestion des risques

10/06/2010, 1:33 pm

En réponse à un article du Wharton Magazine, Howard Kunreuther et Robert Meyer de l'école de gestion du risque de pensylvanie ont produit le jeu "Quake" afin d'analyser la perception du risque de l'utilisateur. Durant le jeu, l'utilisateur doit prendre une série de décisions afin de survivre à 5 tremblements de terre. Le joueur commence avec 20 000$ et peut investir son argent dans des infrastructures de protection ou encore à la banque avec un taux d'intéret de 10%. Testé par plus de 500 étudiants la conclusion était toujours la même, soit la destruction de leur habitation. En conclusion de cet article, ils observent que les décisions de gestion des voisins ont une grande influence sur les décisions d'un joueur : "If everyone around you has a house of straw, having a straw house yourself seems somehow safer."
msg id: 284

Une enquête bien réelle pour un cambriolage virtuel

01/06/2010, 3:43 pm

Depuis son arrivée en 2000, le monde virtuel d'Habbo Hotel ne cesse d'attirer de nouveaux joueurs de 30 pays d'Europe et d'ailleurs. Voilà que Technaute révèle que des jeunes utilisateurs du site de réseautage se seraient fait voler, vraisemblablement suite à de l'hameçonnage, des meubles virtuels achetés avec de l'argent bien réel. Puisque la fraude implique donc de l'argent et n'est pas qu'un vol virtuel, la police finlandaise a ouvert une enqûete. En 2007, un adolescent des Pays-Bas avait été arrêté relativement à une affaire sembalble.
msg id: 283

Une protection pour blogues et réseaux sociaux

28/05/2010, 5:04 pm

Le fameux « Web 2.0 » est de plus en plus populaire, avec la surabondance de blogues et l'achalandage toujours grandissant de sites comme Facebook et Twitter. Évidemment, certains profitent de cette opportunité en remplissant les fils de nouvelles et les commentaires de spam, de liens malicieux et autre contenu dommageable. Des produits comme Defensio 2.0 sont tout indiqués pour contrer ce type de menaces. Defensio permet même de configurer les mots et le type de contenu à filtrer. En outre, la dernière version permet de protéger les utilisateurs de Facebook. Norton offre aussi une application gratuite accomplissant cette dernière fonction. BRANCHEZ-VOUS! en parlait plus tôt aujourd'hui.
msg id: 282

Un DDoS pour tout le monde!

27/05/2010, 2:19 pm

Selon une étude des laboratoires iDefense de VeriSign, il est possible de louer les services d'un botnet pour effectuer des attaques par DDoS et ce, pour aussi peu que 9$ de l'heure ou 67$ par jour, tel que le rapporte ZDNet UK. Des prix aussi bas font en sorte qu'à peu près n'importe qui peut obtenir les services d'un botnet « professionnel ». Toutefois, Dancho Danchev, toujours de ZDNet, fait remarquer sur son blogue que plusieurs conditions font en sorte que les botnets à bas prix ne sont peut-être pas aussi menaçants qu'ils en ont l'air à première vue.
msg id: 281

HTML 5 ouvrira-t-il la porte à plus de vulnérabilités?

26/05/2010, 9:34 am

Une étude menée par des chercheurs de l'Université de Berkeley, aux États-Unis, dresse un tableau on ne peut plus sombre du HTML 5. Bien entendu, le nouveau standard du W3C apporte des innovations importantes et très bien accueillies, mais certaines fonctions pourraient également servir de portes d'entrées à des individus mal intentionnés. Parmi les failles possibles, on notera entre autres l'introduction de mini bases de données côté client (WebDatabase), qui pourraient être vulnérables à des injections SQL directement sur le poste utilisateur. SecuObs a un article sur le sujet qui résume bien les enjeux.
msg id: 280

Une formation sur le développement d'applications Web sécuritaires

21/05/2010, 3:44 pm

En partenariat avec Aspect Security, In Fidem offre des formations visant à transmettre des notions de programmation sécuritaire. La prochaine est d'ailleurs reconnue par l'Open Web Application Security Project (OWASP). La « Formation sur l’intégration de la sécurité dans le développement d’applications Web » aura lieu du 8 au 10 juin 2010 à Montréal. Pour s'y inscrire, il suffit de communiquer avec eux par courriel ou par téléphone (514 847-3664). Il sera principalement question durant ces trois jours de la sécurité des applications .NET. Dans le futur, d'autres formations s'attarderont à d'autres langages, dont le Java dès cet automne.
msg id: 279

Le Canada en danger imminent d'attaque informatique?

20/05/2010, 11:08 am

Depuis des mois, les États-Unis parlent sans cesse de cyber-guerre et autres menaces terroristes informatisées. Apparemment, c'est au tour du Canada de se lancer dans une telle campagne de peur. Dans un mémo de l'agence d'espionnage canadienne obtenu par CBC News, on apprend que les réseaux et le matériel informatique de partout au Canada feraient face à une « augmentation considérable » des risques de brèche de sécurité. Certes, certains équipements vieux de vingt ans tardent à être mis à jour, ce qui les rend vraisemblablement vulnérables. Mais les réseaux bancaires, les centrales et lignes électriques et autres infrastructures risquent-ils réellement d'être mis hors service par un simple virus informatique?
msg id: 278

Pas difficile de s'introduire dans un centre de données

19/05/2010, 1:49 pm

On parle souvent de la nécessité de protéger les réseaux contre les attaques informatiques perpétrées par Internet. Mais il est rarement question de la sécurité physique des installations informatiques. Ryan Jones, consultant senior en sécurité aux SpiderLabs de Trustwave, a présenté, dans le cadre d'une conférence lundi dernier à Sao Paulo, les résultat de son étude portant sur la vulnérabilité physique des centres de données. Des espaces dans l'entretoit aux serrures de basse qualité, il semble que certaines installations regorgent de failles permettant à quiconque de s'y introduire. Le diaporama de la présentation de Jones est disponible ici.
msg id: 277

Les victimes de l'erreur de McAfee ont jusqu'au 31 mai pour soumettre une demande de remboursement

17/05/2010, 10:36 am

Le mois dernier, le populaire logiciel de sécurité de McAfee a subi un important plantage suite à un bogue dans une mise à jour. Le processus « svchost.exe » sous Windows XP SP3 était alors reconnu comme étant un virus, ce qui rendait la machine affectée hautement instable. Évidemment, le problème a été rapidement réglé mais la réputation de McAfee a été sérieusement entachée par cette erreur, qui a engendré des pertes énormes en temps et argent dans l'industrie. McAfee a annoncé ce matin que les personnes et entreprises touchées ont jusqu'à la fin du mois pour demander à être remboursées pour les pertes reliées à cette erreur et obtenir un abonnement gratuit.
msg id: 276

Deux tiers des sites d'hameçonnage créés par une seule organisation

14/05/2010, 10:48 am

Un rapport préparé par l'Anti-Phishing Working Group (APWG), dont un article d'ITPro résume les grandes lignes, démontre qu'un groupe connu sous le nom d'Avalanche est responsable des deux tiers de toutes les attaques par hameçonnage perpétrées dans la deuxième moitié de 2009. Le groupe semble toutefois avoir disparu au cours du mois de novembre, ce qui signifie que sa puissance était encore plus grande lors de sa période active. Avalanche ayant succédé à Rock Phish, actif entre 2006 et 2008, les experts redoutent qu'une nouvelle organisation prenne la relève dans les mois qui viennent.
msg id: 275

Contre-attaque américaine dans le cadre d'une cyber-guerre?

13/05/2010, 11:08 am

Les États-Unis songent de plus en plus sérieusement à développer des stratégies de cyber-guerre pour se défendre contre des attaques contre leurs infrastructures. L'agence responsable de l'impression des billets de banque a d'ailleurs essuyé une attaque tout récemment. Mais voici maintenant qu'un haut responsable du Département de la Défense américain parlait hier des moyens que le Pentagone pourrait mettre en oeuvre en contre-attaque à ces menaces informatiques. Il a entre autres dit que le gouvernement doit « penser à des réponses potentielles qui ne soient pas limitées au domaine informatique. » À lire sur Technaute et Branchez-Vous.
msg id: 274

Plus de piratage au niveau mondial, moins au Canada

12/05/2010, 11:15 am

Le taux de piratage de logiciels informatiques a encore enregistré une hausse en 2009, selon l'association mondiale des fabricants de logiciels BSA (Business Software Alliance). Comme nous l'apprennent entre autres Technaute et Branchez-Vous, le taux de piratage a atteint les 43%. Au Canada, tout comme dans 53 autres pays, ce taux a toutefois régressé au niveau de 2003, soit 29%. Mais le pays a encore du chemin à faire pour rejoindre les États-Unis, à 20%, ou le Luxembourg et le Japon, à 21%.
msg id: 273

Le Colloque RSI se tiendra la semaine prochaine à Montréal

11/05/2010, 9:54 am

L'ISIQ présentait hier quelques invités du Colloque international RSI 2010, qui se tiendra les 17 et 18 mai prochains à Montréal. Des conférenciers québécois, européens et américains prendront la parole au cours de ce colloque sur la sécurité de l'information. Quatre membres de la Filière PME de l'ISIQ présenteront par ailleurs des conférences. La programmation complète de l'événement est également disponible.
msg id: 272

Un logiciel espion dur l'iPad

10/05/2010, 11:15 am

Branchez-Vous, entre autres, nous informait vendredi dernier de la parution d'un premier logiciel espion destiné à l'iPad, le nouveau joujou d'Apple. En fait, il s'agit d'une nouvelle version du logiciel Mobile Spy, vendu par la firme Retina-X Studios. Le produit, a priori indétectable par l'utilisateur, serait destiné entre autres aux parents qui veulent surveiller à distance l'utilisation que leurs enfants font du iPad. Ce pourrait toutefois être un premier pas vers un logiciel véritablement malicieux. Notons aussi que, non vendu sur iTunes, l'iPad Mobile Spy n'est installable que sur les tablettes « débloquées ».
msg id: 271

Deux bulletins seulement pour le Patch Tuesday de mai

07/05/2010, 10:57 am

Comme à tous les mois, Microsoft distribuera un ensemble de correctifs le deuxième mardi du mois, soit le 11 mai cette fois-ci. Dans son habituel communiqué, l'entreprise de Redmond annonce deux correctifs seulement, bien loin des 25 vulnérabilités corrigées avec les 11 patches du mois dernier. Microsoft ne corrigera toutefois pas tout de suite la vulnérabilité récemment découverte dans Internet Explorer, comme le font entre autres remarquer IT Pro et Ars Technica.
msg id: 270

Une agence gouvernementale américaine sous attaque

06/05/2010, 12:47 pm

Hier, Cyberpresse nous apprenait que le site Web de l'agence états-unienne responsable de l'impression des billets de banque du pays, le Bureau de gravure et d'impression de la monnaie (BEP), ainsi que les quatre adresses qui y renvoient « avaient été suspendues jusqu'à nouvel ordre. » En effet, le BEP a été victime d'une attaque informatique et a décidé de mettre ses sites Web hors ligne en mesure préventive. La firme de sécurité informatique AVG a par ailleurs affirmé sur son blogue que l'attaque était venue d'Ukraine. Décidément, les États-Unis sont véritablement une cible de choix pour les pirates étrangers.
msg id: 269

Google donne des cours de piratage

05/05/2010, 10:49 am

Google a lancé récemment un cours en ligne pour apprendre à pirater des applications Web. Le cours se sert de l'application Jarlsberg, connue pour ses nombreux bogues, afin d'enseigner des techniques de piratage « black-box » et « white-box ». Le but, évidemment, est que les utilisateurs apprennent à bien tester leurs applications et à en déceler les failles afin de pouvoir les corriger et stopper les vrais pirates informatiques. Google avertit d'ailleurs les participants au cours que les connaissances et techniques ainsi acquises doivent être utilisées à des fins de sécurité seulement, non pas pour attaquer des applications tierces.
msg id: 268

Un logiciel dans les nuages pour tester des applications

04/05/2010, 5:29 pm

Il ne fait pas de doute que les vulnérabilités dans les applications Web sont un important vecteur de propagation de maliciels et autres infections. Dans la lignée, de plus en plus importante, de l'informatique « dans les nuages » et du software-as-a-service (SaaS, logiciel en tant que service), un nouveau logiciel en SaaS vient de voir le jour. Webroot soutient en effet que son Web Security Service permet d'analyser les applications utilisées dans une entreprise, par exemple, afin d'en découvrir les failles et d'appliquer les correctifs nécessaires. Help-Net Security a un article sur le sujet.
msg id: 267

Une conférence pour une approche mondiale contre les attaques informatiques

03/05/2010, 11:24 am

C'est aujourd'hui que commence le Worldwide Cybersecurity Summit à Dallas, au Texas. La conférence, organisée par l'EastWest Institute, durera trois jours, durant lesquels quelques 400 experts et responsables de gouvernements et d'entreprises se réuniront pour « établir une carte des dangers et des zones de coopération » du cyberespace. Les organisateurs soutiennent que malgré les récentes attaques d'envergure contre nombre d'institutions gouvernementales et privées (notamment Google), il n'y a pas encore de concertation au niveau mondial sur la stratégie à adopter contre ces menaces. Le sommet aspire à construire cette concertation. Lire aussi l'article de Cyberpresse sur le sujet.
msg id: 266

15% des maliciels sont de faux logiciels antivirus

29/04/2010, 10:43 am

Une nouvelle étude menée par Google entre janvier 2009 et février 2010 a démontré plus tôt cette semaine que 15% de tous les maliciels distribués sur le Web seraient de faux logiciels antivirus. Dans les articles de Branchez-Vous et de CNET News, notamment, on apprend effectivement que ces dangereux logiciels, qui imitent un logiciel antivirus afin d'inciter l'utilisateur à l'installer, se répandent très vite. Google explique d'ailleurs qu'ils sont de plus en plus sophistiqués, certains étant en mesure de détecter le système d'exploitation utilisé afin de rendre leur interface plus crédible. En outre, il est parfois bien difficile de se débarrasser de ces faux logiciels antivirus, puisqu'ils installent souvent un « rootkit » et empêchent la mise à jour des vrais antivirus.
msg id: 265

Des spammeurs qui recyclent

27/04/2010, 10:46 am

Le blogue Security Labs de Websense nous apprenait hier une ruse que de plus en plus de distributeurs de pourriels semblent utiliser : ils « recyclent » des sites Web bloqués par les outils de détection afin de contourner ces derniers. En effet, au lieu de fermer ces sites et d'en démarrer de nouveaux, et ainsi de suite, on voit que les spammeurs se servent de la technologie de cache des engins de recherche. Par exemple, expliquent Artem Gololobov et Ivan Sabo de Websense, les individus s'assurent que le site en question est archivé dans la mémoire cache de Google puis en suppriment le contenu ou le bloquent, de façon à ce qu'il ne puisse plus être archivé. Ils utilisent ensuite l'URL menant à la version archivée par Google dans leurs pourriels. Parfois, l'URL redirigera même l'utilisateur vers un autre site Web.
msg id: 264

L'OTAN se prépare à la cyber guerre

26/04/2010, 10:39 am

Après plusieurs pays, dont les États-Unis et la Grande-Bretagne, c'est au tour de l'OTAN de se pencher sur les risques d'une cyber guerre. Un article de l'Agence France-Presse, disponible sur Cyberpresse, rapporte en effet que le Centre d'excellence pour la cyberdéfense en coopération (CCDCOE, Cooperative Cyber Defence Centre of Excellence), cellule de l'OTAN basée en Estonie, étudie sérieusement les possibilités d'attaques et de défenses informatisées, qui iraient de pair avec les conflits armés dans un futur rapproché. Le CCDCOE a d'ailleurs déjà fait les frais d'une offensive, vraisemblablement d'origine russe, en 2007.
msg id: 263

Comment utiliser un Trojan à son avantage

23/04/2010, 11:48 am

Les pirates informatiques font souvent l'analyse de logiciels afin d'en exploiter les failles et monter des attaques contre ceux-ci. Andrzej Dereszowski, de Signal 11, a pour sa part décider de passer au peigne fin un Trojan pour en trouver des vulnérabilités exploitables, question de pouvoir remettre la monnaie de leur pièce à ces individus mal intentionnés. En utilisant la technique du « fuzzing », Dereszowski a réussi a trouver une faille dans le protocole de communication du Trojan Poison Ivy, ce qui lui a permis de créer une validation de principe démontrant la possibilité de retourner le Trojan contre son maître. Pour des raisons de sécurité, il n'a pas publié le code de l'exploit, mais il explique en détail ses expérimentations dans ce document.
msg id: 262

McAfee se retourne contre l'ordinateur

22/04/2010, 12:08 pm

Hier matin, des milliers d'utilisateurs du logiciel antivirus de McAfee ont vu leur ordinateur planter et redémarrer sans arrêt. Apparemment, la dernière mise à jour du logiciel de sécurité fait en sorte que ce dernier prend à tort le processus « svchost.exe » de Windows XP pour le virus « W32/Wecorl.a ». Selon plusieurs sources, le bogue semble concerncer principalement les ordinateurs tournant sous Windows XP avec le Service Pack 3. Selon McAfee, seulement un demi pourcent de leurs clients commerciaux et une fraction des autres utilisateurs seraient affectés par la mise à jour erronée. McAfee a publié une procédure de correction, et l'entreprise travaille actuellement à un correctif automatisé. À lire sur Branchez-Vous, Cyberpresse et CNET.
msg id: 261

Rapport de Symantec : deux fois plus de nouveaux maliciels en 2009

21/04/2010, 11:05 am

La 15e édition du rapport ISTR (Internet Security Threat Report) de Symantec, dévoilée plus tôt cette semaine, fait état une nouvelle fois des avancées dans le domaine des attaques informatiques. En effet, Symantec a répertorié en 2009 plus de 240 millions de nouveaux maliciels, soit le double du nombre enregistré en 2008. Par ailleurs, David McKinney de Symantec, a ressorti les principales observations du rapport sur le blogue de l'entreprise. Il explique entre autres que les vulnérabilités reliées à ActiveX sont en baisse, mais que des celles d'autres technologies comme Java SE ont gagné du terrain. Les vulnérabilités « zero-day » ont également connu une certaine hausse, passant de 9 en 2008 à 12 en 2009.
msg id: 260

Palm WebOS était facile à attaquer

20/04/2010, 4:56 pm

Apparemment, Palm n'avait pas travaillé bien fort pour sécuriser son WebOS 1.3.5. En effet, les experts d'Intrepidus Group n'auraient mis que quelques heures à monter un bon nombre d'attaques par messages textes pouvant sérieusement compromettre l'intégrité du système d'exploitation du téléphone intelligent Palm Pre. La vulnérabilité d'injection de code HTML vient du fait que les applications de WebOS sont principalement programmées en HTML et en Javascript, puisque le système d'exploitation est essentiellement un navigateur Web. Heureusement, comme le font remarquer les commentaires à cet article, Palm a corrigé ces lacunes dans son WebOS 1.4.
msg id: 259

De l'importance des tests de pénétration logicielle

19/04/2010, 1:55 pm

Un récent article publié sur Dark Reading offre d'intéressantes réflexions sur les avantages et les inconvénients d'avoir un testeur en pénétration logicielle au sein d'une entreprise, comparativement à recourir aux services d'un testeur à l'externe. L'idée générale est qu'il est préférable de recourir à un individu ou une équipe responsable d'effectuer ces tests, pour diverses raisons dont des coûts réduits. Toutefois, l'auteur nous met en garde contre des pièges dans lesquels pourraient tomber une entreprise qui pourrait faire un tel choix.
msg id: 258

Du « FUD » face au iPhone OS 4.0

15/04/2010, 10:32 am

Apple a annoncé la semaine dernière la venue plus tard cette année d'une nouvelle version du système d'exploitation de son fameux téléphone intelligent. Comme bien souvent lorsqu'une nouvelle technologie fait son apparition, des firmes de sécurité tentent d'y trouver des failles qui leur permettront de mieux vendre leurs produits. Un courriel reçu par Mirko Zorz d'Help Net Security s'attaque cette fois au « multi-tasking », la grande nouveauté du iPhone OS 4.0. Mais à force de comparaisons boiteuses avec Windows Mobile et d'allégations non fondées, l'auteur du courriel, l'entreprise Fortify, se tire dans le pied plus qu'autre chose, comme le démontre Zorz.
msg id: 257

Piratage massif de blogues Wordpress

14/04/2010, 3:08 pm

Des centaines de blogues Wordpress hébergés par Network Solutions ont été piratés au cours des derniers jours. Mais Sucuri Security a une explication. Le problème vient du fait que les informations de connexion des utilisateurs de Wordpress sont stockées en texte clair dans le fichier « wp-config.php », ce qui est nécessaire pour que le serveur puisse y avoir accès. Ce n'est a priori pas dangereux, mais une option de Wordpress permet à des utilisateurs non autorisés d'avoir accès à ce fichier. Un individu a eu l'idée de lancer un script qui lit les informations de tous les blogues Wordpress hébergés par Network Solutions et s'en est suivi le piratage en question. Plus de détails sur le blogue de Network Solutions et sur Dark Reading.
msg id: 256

10 conseils pour assurer la sécurité des enfants en ligne

13/04/2010, 12:29 pm

Avril est le mois de la prévention de l'abus des enfants (Child Abuse Prevention Month) au États-Unis. Pour l'occasion, la firme de sécurité BitDefender offre un document comprenant une liste de dix conseils aux parents et professeurs destinés à les aider à protéger les enfants lors de leurs escapades en ligne. Ceux-ci étant curieux et très habiles avec l'informatique et Internet, ils peuvent parfois mettre en danger l'ordinateur familial mais aussi leur propre sécurité. Il est donc important de savoir comment gérer la situation, comme l'explique BitDefender.
msg id: 255

Un nouveau type d'attaque par XSS

12/04/2010, 2:45 pm

Le « Cross-Site Scripting » compte parmi les attaques informatiques les plus sérieuses et est également très prisé des pirates. L'Institut SANS l'inclut d'ailleurs parmi les quatre attaques les plus courantes dans son dernier rapport. Voilà maintenant que Tyler Reguly, chercheur chez nCircle, a décrit une nouvelle forme de XSS difficile à détecter, le « meta-information XSS » (miXSS). Reprenant des principes du XSS « réfléchi » et du XSS « persistant », le miXSS s'attaquerait à des informations de DNS. Plus de détails dans un article de Dark Reading.
msg id: 254

Botnets, ransomware et exploits zero-day

09/04/2010, 10:21 am

Le centre FortiGuard de l'entreprise Fortinet a publié son rapport pour le mois de mars 2010. On y découvre entre autres la montée en puissance du ransomware, logiciels malveillants qui exigent une certaine forme de rançon de la part de l'utilisateur infecté afin de lui redonner le contrôle de son ordinateur. DigiPog est le premier ransomware à se retrouver dans le top 10 des logiciels malveillants de FortiGuard. Par ailleurs, un nouvel exploit « zero-day » se retrouve au deuxième rang des exploits détectés en mars. Enfin, les botnets font toujours des ravages, Gumblar et Sasfis occupant les premier et cinquième rangs respectivement. Bredolab et Pushdo seraient toutefois les deux plus grands responsables de la propagation des logiciels malveillants. Help-Net Security offre également un résumé du rapport.
msg id: 253

Les extensions sont responsables de 70% des plantages d'IE8, selon Microsoft

08/04/2010, 1:22 pm

Est-ce une manière facile de jeter le blâme sur les autres ou un simple énoncé des faits? Probablement un peu des deux. Quoi qu'il en soit, un rapport de Microsoft publié plus tôt cette semaine indique que plus de 70% des cas de plantage du navigateur Internet Explorer seraient dus à des plugiciels (ou extensions). Malheureusement, le document n'offre pas de données sur quels plugiciels sont particulièrement responsables de quels problèmes et dans quels proportions. Il soutient qu'Internet Explorer ne peut pas distinguer les bons des mauvais plugiciels, « par respect pour la confidentialité » des usagers, ce qui est compréhensible. Enfin, Microsoft admet tout de même qu'elle est responsable de 30% des déboires de son navigateur! Branchez-Vous et Ars Technica en parlent également.
msg id: 252

La Chine encore une fois sous les projecteurs

06/04/2010, 4:02 pm

Comme le rapportent aujourd'hui le Globe and Mail ainsi que Branchez-Vous, les professionnels de la sécurité informatique ne sont pas au bout de leur peine lorsqu'il est question des attaques informatiques d'origine chinoise. Effectivement, un consortium d'experts vient de publier le rapport Shadows In The Cloud, qui met en évidence une nouvelle fois un réseau de cyber-espionnage apparemment basé en Chine. Le rapport révèle entre autres que le réseau, surnommé « Shadow », a mis la main sur des documents militaires et gouvernementaux confidentiels indiens, de même que sur des documents dont l'origine serait l'ordinateur personnel du Dalaï-Lama. Les auteurs se gardent bien toutefois d'incriminer directement le gouvernement chinois.
msg id: 251

Facebook et Google : l'illusion de la confidentialité

06/04/2010, 10:12 am

Les géants de l'Internet Facebook et Google se retrouvent préiodiquement sous les projecteurs suite à des histoires ayant trait au respect (ou au non-respect) de la vie privée de leurs utilisateurs. Bruce Schneier a récemment publié un essai sur le site Web du magazine Forbes, intitulé « Google And Facebook's Privacy Illusion », qui traite justement de la manière dont sont traitées les informations confidentielles par ces sites Web, dont les présidents soutiennent que la confidentialité est chose du passé. Selon Schneier, les utilisateurs se préoccupent autant, sinon plus qu'avant du respect de leur vie privée. Ce seraient plutôt les entreprises en question qui tentent d'imposer leur opinion, des gains commerciaux étant évidemment en jeu.
msg id: 250

Le spam réussit toujours à séduire des millions d'internautes

01/04/2010, 2:53 pm

Selon un sondage mené par le Messaging Anti-Abuse Working Group (MAAWG), 80$ des utilisateurs de courrier électronique connaissent ce qu'est le spam, ou courrier indésirable. Pourtant, la moitié des répondants ont aussi avoué avoir cliqué sur un lien ou une pièce jointe à un message indésirable, avoir répondu à un tel message ou en avoir réexpédié. Par ailleurs, plus de la moitié de ceux qui ont dit avoir ouvert un message de spam l'ont fait intentionnellement. Plusieurs (25%) voulaient se désinscrire ou se plaindre à l'envoyeur, d'autres (18%) voulaient voir ce qui se passerait et 15% étaient intéressés par le produit! Pour plus de détails, le rapport est disponible en format PDF ici et Help-Net Security a aussi publié un article.
msg id: 249

Après Google, Yahoo! se fait pirater

31/03/2010, 10:41 am

À peine quelques mois après que des militants chinois des droits de l'homme se soient fait piraté leur compte Gmail, c'est au tour de certains utilisateurs de la messagerie de Yahoo! d'avoir des problèmes. En effet, Technaute.cyberpresse.ca rapportait ce matin, via l'Agence France-Presse, que des correspondants étrangers basés en Chine et à Taïwan ont vu leur compte courriel Yahoo! être piraté. Le Club des correspondants étrangers de Chine (FCCC) a d'ailleurs indiqué avoir « confirmé huit cas de piratage de comptes courriel de journalistes en Chine et à Taïwan ces dernières semaines, dont plusieurs comptes désactivés par Yahoo! le 25 mars. »
msg id: 248

Les systèmes de sécurité de Windows 7 facilement contournés

30/03/2010, 10:20 am

La semaine dernière se tenait le concours de piratage Pwn2Own, dans le cadre de la conférence CanSecWest à Vancouver. Le chercheur indépendant Peter Vreugdenhil a été l'un des grands gagnants de la compétition en piratant Internet Explorer 8 sur Windows 7, tout en contournant les systèmes de Data Execution Prevention (DEP) et d'Address Space Layout Randomization (ASLR), deux composantes du nouveau système d'exploitation de Miscrosoft qui sont habituellement très efficaces pour bloquer les attaques perpétrées par le Web. Selon Dark Reading, Vreugdenhil ne veut pas détailler les vulnérabilités qu'il a utilisées pour son exploit, « mais pourrait les révéler un jour, lorsque Microsoft les aura corrigées. »
msg id: 247

Bing sur les téléphones en Chine?

29/03/2010, 11:34 am

Google a annoncé la semaine dernière la fermeture de son portail google.cn et les internautes chinois sont désormais redirigés vers une version de google.com.hk maladroitement filtrée par le gouvernement. Suite à ce geste, de nombreux experts se sont interrogés sur l'avenir de Google en Chine, principalement dans le marché de la téléphonie mobile, qui est en pleine expansion dans l'empire du milieu. Ce matin, Technaute.cyberpresse.ca rapportait que « pour les compagnies d'État, c'est probablement un must (d'abandonner Google). Pour les compagnies privées, une décision pratique », selon Eric Wen, de Mirae Asset à Hong Kong. L'article souligne le fait que les géants China Mobile et China Unicom pourraient bien exiger de leurs fournisseurs de téléphones que les appareils utilisent un moteur de recherche autre que Google, comme Bing de Microsoft.
msg id: 246

Le pirate de Twitter n'a « pas agi dans un but destructeur »

26/03/2010, 4:46 pm

Près d'un an après avoir infiltré un certain nombre de comptes Twitter de célébrités, dont Britney Spears et Barack Obama, un Français de 23 ans a été appréhendé plus tôt cette semaine par les autorités françaises et le FBI américain. Tel que le rapportait Technaute.cyberpresse.ca hier, le jeune pirate, surnommé « Hacker-Croll », soutient par ailleurs qu'il voulait « simplement démontrer que les grandes sociétés ne sont pas plus en sécurité que n'importe quel internaute. » Il devra comparaître devant un tribunal le 24 juin pour « intrusion dans un système de données »; il risque deux ans de prison.
msg id: 245

RSA nommé « leader » dans la détection de fraude

25/03/2010, 4:23 pm

La firme reconnue Gartner Inc. a nommé récemment RSA, la division Sécurité de EMC, comme étant un leader dans son rapport intitulé « Magic Quadrant for Web Fraud Detection ». Les analystes ont salué « l'exhaustivité de la vision et la capacité à exécuter » de la suite Identity Protection and Verification de RSA. L'identification d'un produit contre la fraude qui est performant et complet est une bonne nouvelle, considérant que les crimes économiques en ligne sont en hausse constante. La suite de RSA est un logiciel-service, ou SaaS (« Software-as-a-Service) conçu pour protéger les organisations et leurs utilisateurs avec un puissant système authentification et des technologies anti-fraudes. Voir le communiqué de presse (en anglais).
msg id: 244

GoDaddy suit Google et quitte la Chine

25/03/2010, 11:27 am

On rapportait lundi que Google avait officiellement mis un terme aux activités de la version chinoise de son moteur de recherche, google.cn, et redirigeait maintenant les internautes chinois vers google.com.hk, qui n'est pas directement censuré. Hier, c'était au tour d'une autre entreprise de TI étrangère d'annoncer son départ de l'empire du milieu. En effet, GoDaddy n'accepte maintenant plus d'enregistrer des noms de domaine .cn. Se gardant bien de dire qu'elle suivait la direction prise par Google plus tôt cette semaine, l'entreprise affirme que son départ de Chine est en grande partie en réaction à « des douzaines d'attaques par DDoS extrêmement sérieuses » ayant eu lieu « au cours des trois premiers mois de cette année » et « apparemment d'origine chinoise », selon Christine Jones de GoDaddy. Selon Branchez-Vous, le bureau d'enregistrement NetworkSolutions a aussi fait de même. CNET News et Yahoo! News ont également rapporté la nouvelle.
msg id: 243

Une mise à jour de Firefox pour corriger une vulnérabilité

24/03/2010, 10:31 am

Il est loin le jour où on aura accès à un logiciel libre de tout bogue ou faille de sécurité. Pour l'instant, on doit se contenter d'espérer que les développeurs offrent des mises à jour de sécurité avant que des pirates ne parviennent à exploiter les failles en question. Mozilla vient d'ailleurs de lancer une nouvelle version de son navigateur en code source libre Firefox afin de boucher quelques trous. La version 3.6.2 promet aussi d'être plus stable et de corriger des problèmes de corruption de mémoire lors de la fermeture inopinée du navigateur. On peut la télécharger ici.
msg id: 242

Le fisc américain protège mal les données des contribuables

23/03/2010, 11:38 am

Alors que la saison des impôts arrive à grands pas chez nos voisins du sud, l'Internal Revenue Service (IRS) des États-Unis (l'équivalent de notre Agence du Revenu) n'a pas encore réussi à protéger adéquatement les informations des contribuables américains. Selon une étude du Government Accountability Office (GAO), seulement 28 des 89 vulnérabilités identifiées en 2009 ont été réglées. Parmi les éléments à revoir, on retient entre autres la faiblesse des mots de passe utilisés et un accès trop faciles aux données par un trop grand nombre d'employés de l'IRS, ce qui pourrait mener à la modification, le vol ou la destruction des informations des contribuables. Dark Reading a publié un article détaillant les grandes lignes de l'étude du GAO.
msg id: 241

Google cesse de censurer ses résultats de recherche en Chine

22/03/2010, 4:27 pm

Vendredi dernier, de nombreux médias, dont Branchez-Vous, parlaient de la possibilité que Google mettrait fin à ses activités le 10 avril prochain. En effet, le China Business News, citant un employé de Google en Chine, affirmait que Google.cn allait fermer et que plus de détails seraient annoncés aujourd'hui, le 22 mars. Le fait est que Google avait annoncé en janvier dernier, suite aux allégations de piratage de ses ressources par des militants chinois, que le géant considérait se retirer de l'empire du milieu s'il ne parvenait pas à un accord avec Shanghai concernant la censure des résultats de recherche. Mais, coup de théâtre, plutôt que d'annoncer son départ, la direction de Google a annoncé ce midi sur son blogue officiel que les visiteurs de google.cn sont désormais redirigés vers les serveurs de google.com.hk (Hong Kong) et ont maintenant accès aux mêmes résultats non censurés que le reste de la planète. L'entreprise maintiendra ses autres opérations en sol chinois, mais de manière probablement restreinte. Enfin, de l'avis même de David Drummond de Google, il se pourrait tout de même que le gouvernement chinois décide de bloquer lui-même tout accès à Google à ses internautes.
msg id: 240

Nouvelle loi sur la cyber-sécurité aux États-Unis

19/03/2010, 11:58 am

En avril 2009, le Sénat américain avait étudié la possibilité d'adopter le « Cybersecurity Act », qui aurait entre autres donné le droit au président de couper l'accès à Internet à des individus ou à des réseaux complets en cas d'attaque informatique importante. Elizabeth Montalbano d'InformationWeek nous apprenait hier que la proposition est de nouveau sur la table, mais sans cette disposition particulière cette fois. Les nouvelles dispositions favoriseront plutôt l'échange d'information entre l'administration américaine et des firmes privées qui pourront contribuer à assurer une sécurité accrue des réseaux américains.
msg id: 239

1 jeune Anglais sur 4 s'est déjà essayé au hacking

18/03/2010, 11:18 am

Un article de Help-Net Security nous apprend ce matin les résultats d'un sondage de la firme britannique Tufin, révélant des statistiques quelque peu troublantes. Effectivement, il apparaît que 27% des jeunes sondés (à Londres et à Cumbria), dont 47% de filles, se sont déjà adonnés, d'une manière ou d'une autre, à une forme de piratage informatique. De ceux-ci, le quart visaient un compte Facebook, 18% le compte de courriel d'un ami, 7% les sites de magasinage en ligne, 6% le compte de courriel de leurs parents et 5% le site Web de leur école. Un étonnant 3% des jeunes pirates se sont même attaqués à des sites Web d'entreprises! De plus, 78% des jeunes pirates de Cumbria avaient commis ces actes avant l'âge de 13 ans. Ça augure bien, ou mal, pour le futur, tout dépendant de quel côté on se trouve!
msg id: 238

Séminaire Gouvernance et TI au Québec

17/03/2010, 2:09 pm

L'institut de sécurité de l'information du Québec (ISIQ) et le Centre francophone d'informatisation des organisations (CEFRIO) organisent demain à l'Auberge Saint-Antoine de Québec le Séminaire Gouvernance et TI au Québec. Au cours de ce déjeuner-conférence qui se tiendra entre 7h30 et 10h30, dirigeants et administrateurs de sociétés seront appelés à discuter avec des experts en TI autour de quatre thèmes : la gouvernance des TI, les enjeux stratégiques, la gestion des risques liés à la sécurité informatique et la gestion par une meilleure utilisation des TI. Pour plus d'information, consulter la page Web du Séminaire.
msg id: 237

L'Internet à 100Mbps pour tous

16/03/2010, 4:38 pm

La Federal Communications Commission (FCC), en quelque sorte l'équivalent de notre CRTC aux États-Unis, a dévoilé aujourd'hui son très attendu « National Broadband Plan ». Comme le prétendaient les rumeurs qui couraient depuis quelques semaines, un point majeur du plan américain prévoit offrir à tous les citoyens des États-Unis une connexion à Internet à haut débit de 100 mégabits par seconde (Mbps) d'ici 2020. En ce moment, la moyenne des connexions Internet dans les foyers américains est de 4Mbps, et 14 millions de personnes n'ont même pas accès à la large bande. Par ailleurs, le plan prévoit la disponibilité d'une connexion à 1Gbps pour les institutions comme les écoles et les hôpitaux. Il s'agit bien entendu d'une bonne nouvelle, et les États-Unis rejoignent des pays comme la Finlande, qui a proclamé récemment que l'accès à une connexion Internet à haut débit est un droit. Toutefois, les procédures administratives et les débats politiques entourant le plan pourraient faire en sorte que les dispositions de celui-ci ne soient approuvées que dans quelques années.
msg id: 236

Journée mondiale contre la cyber-censure

15/03/2010, 12:14 pm

Vendredi dernier se tenait la Journée mondiale contre la cyber-censure, mise en place par Reporters sans frontières. Comme l'indique un article de Branchez-Vous sur le sujet, l'organisme a publié une liste des « ennemis de l'Internet », qui comprend entre autres des pays comme la Corée du Nord, l'Iran, la Chine, l'Arabie saoudite, la Birmanie, la Syrie et la Tunisie. Ces pays tentent de contrôler, par divers moyens comme des lois ou des logiciels de filtrage, l'information accessible à leurs citoyens. Par ailleurs, la Turquie, la Russie, le Bélarus et la Thaïlande sont parmi les pays « sous surveillance » qui ont des améliorations à apporter quant à leur attitude par rapport à la liberté de leurs citoyens sur le Web.
msg id: 235

Comment éviter 100% des brèches de sécurité

12/03/2010, 10:45 am

InfoWorld publiait cette semaine un nouvel article du consultant en sécurité informatique Roger Grimes. Celui-ci, s'appuyant sur des constatations d'un rapport de Verizon sur les failles de sécurité en 2008, soutient que près de la totalité des failles de sécurité en entreprise peuvent être évitées. Grimes offre dans son texte un certain nombre de mesures utiles non seulement pour prévenir les attaques informatiques, mais aussi pour les détecter et agir en conséquence avant qu'il ne soit trop tard.
msg id: 234

Un botnet de 8000 téléphones intelligents

10/03/2010, 2:43 pm

Les botnets ne sont plus réservés aux simples ordinateurs, ils menacent aussi maintenant les téléphones intelligents. Effectivement, on apprenait hier dans un article de DarkReading que des chercheurs ont réussi à monter un botnet comptant près de 8000 iPhones et téléphones Android. Leur application nommée WeatherFist a été présentée dans le cadre de la RSA Conference 2010 comme ayant des fonctionnalités permettant à ses créateurs d'accéder à certaines fonctions des téléphones intelligents, bien qu'ils n'aient pas testé de code malicieux sur des appareils ne leur appartenant pas. Enfin, l'application n'a pas été distribuée sur les marchés d'application officiels car ceux-ci ne l'auraient probablement pas acceptée. Toutefois, l'opération motre une fois de plus que les téléphones intelligents débloqués (« jailbroken ») sont certainement vulnérables à des attaques informatiques.
msg id: 233

Le Wi-fi en voiture!

09/03/2010, 1:28 pm

Ford a lancé son système à commande vocale Sync en 2008. L'entreprise se prépare maintenant à lancer la version 2.0, qui comprendra un accès Wi-fi via un modem USB et un navigateur Internet. Les responsables soutiennent que le réseau sera protégé par WPA2 et qu'un coupe-feu séparera le système Sync des composantes électroniques des voitures, mais on peut tout de même se demander si certaines personnes ne tenteront pas de percer le système par l'entremise de la connectivité Web. Les ingénieurs assurent toutefois que les logiciels sont testés rigoureusement et que le système est sécuritaire. Plus de détails dans l'article de DarkReading.
msg id: 232

Une faille dans l’implémentation RSA de OpenSSL

08/03/2010, 12:34 pm

Trois chercheurs de l'université du Michigan, aux États-Unis, ont mis au point une technique qui leur a permis d'obtenir une clé RSA privée de 1024 bits sur un système Linux utilisant OpenSSL 0.9.8i. La méthode repose sur la manipulation de l'alimentation de la machine : en abaissant le voltage entrant, le système est plus enclin à faire des erreurs, qui ultimement permettent aux chercheurs d'obtenir les informations nécessaires à l'obtention de la clé de chiffrement. On peut toutefois douter du réel danger que présente cette faille puisque la technique requiert obligatoirement un accès physique à la machine afin de pouvoir en modifier le voltage. Un résumé plus détaillé du rapport des chercheurs est disponible sur SecuObs.com.
msg id: 231

Un outil pour « spear phishing » automatisé sur Twitter

05/03/2010, 5:25 pm

Dans le cadre de la Conférence RSA 2010, Pedro Varangot, chercheur chez Core Security Labs, a présenté un outil permettant d'automatiser des attaques par hameçonnage ciblé (« spear phishing ») via le site de réseautage Twitter. Comme le rapporte DarkRearding, l'outil permet de copier un profil légitime et son réseau de contacts pour ainsi faire croire que le profil pirate est légitime. Suffit ensuite d'envoyer aux contacts, qui font confiance à ce profil, des liens empoisonnés ou d'autres messages visant à leur extorquer des données personnelles comme leurs informations d'identification en ligne. Décidément, on en vient à se demander si les réseaux sociaux n'engendrent pas plus d'inconvénients que de bénéfices.
msg id: 230

Un autre botnet détruit

04/03/2010, 10:46 am

Moins d'une semaine après que Microsoft se soit attaqué au botnet Waledac, c'est au tour des autorités espagnoles et du FBI de libérer plus de 12 millions d'ordinateurs zombies. Branchez-Vous expliquait hier que le botnet Mariposa (« papillon » en espagnol) n'est plus. Plus de 190 pays et un millier de grandes entreprises avaient été infiltrés par le ver contrôlé par trois jeunes Espagnols qui, apparemment, n'avaient pas conscience de l'étendue et de la puissance de l'arme informatique qu'ils avaient entre les mains. Comme quoi il ne faut pas nécessairement être un craqué d'informatique pour pouvoir se servir de logiciels malveillants.
msg id: 229

Mars, mois de la prévention de la fraude

01/03/2010, 1:44 pm

Le mois de mars est le mois de la prévention de la fraude de la Gendarmerie Royale du Canada. Selon le communiqué affiché sur le site Web de la GRC, le Centre d'appel antifraude du Canada a reçu des plaintes totalisant près de 14,5 M$ pour les fraudes par courriel, messages texte et Internet. Et cela ne compte pas les pertes qui n'ont pas été rapportées. On y rapporte également qu'« au cours des prochaines semaines, la GRC et le Bureau de la concurrence [du] Canada participeront à une série d'initiatives locales et nationales de sensibilisation à la fraude. » De plus, l'ISIQ invite les gens à visiter son site Web de même que le site de la campagne « Je protège mon identité sur Internet » afin de mieux s'informer sur les mesures à adopter pour éviter de faire partie des victimes.
msg id: 228

L'ISIQ au Centre des sciences

26/02/2010, 4:30 pm

L'Institut de la sécurité de l'information du Québec sera présent au Centre des sciences de Montréal, dans le cadre de l'événement Technofolies qui aura lieu du 27 février au 7 mars 2010, de 11 h à 17 h 30. Des experts de l'ISIQ seront présents au Cybercafé pour prodiguer des conseils pratiques sur l'utilisation sécuritaire d'Internet à la maison. Une page dédiée à l'événement et offrant des informations sur le sujet est d'ailleurs disponible sur le site Web de l'ISIQ. Il est important que toute la famille soit au courant des bons comportements à adopter sur Internet.
msg id: 227

SPAWAR et l'informatique dans les nuages

26/02/2010, 10:33 am

On parle de plus en plus de l'informatique dans les nuages (« cloud computing »), mais on n'entend pas encore vraiment parler d'entreprises qui adoptent ce nouveau modèle. C'est que de nombreuses préoccupations sont reliées à l'adoption de l'informatique dans les nuages. Government Computer News avait justement un article cette semaine qui rapportait les propos de Stephen Jarrett, du Space & Naval Warfare Systems (SPAWAR) de la marine américaine, concernant cette technologie. Il parle évidemment de ce qu'elle peut apporter dans un contexte militaire, mais il est aussi question des préoccupations de sécurité et autres enjeux communs au déploiement de l'informatique dans les nuages pour tout type d'organisation.
msg id: 226

Une école espionne ses étudiants par caméra Web

24/02/2010, 5:33 pm

Dans un article de DarkReading, on apprenait aujourd'hui que le FBI mène présentement une enquête concernant des allégation d'espionnage par caméra Web, suite à la plainte des parents d'un élève de l'école Harriton High School en Pennsylvanie. Il aurait été découvert que la direction de l'école pouvait espionner ses étudiants à distance comme bon lui semble, par l'entremise de la caméra Web des ordinateurs portables fournis par l'école. Selon Mike Walker, consultant chez Intrepidus Group, les responsables auraient utilisé le Trojan LANRev pour espionner les étudiants.
msg id: 225

Des rootkits sur téléphone cellulaire

24/02/2010, 3:53 pm

Ce ne sera pas vraiment une surprise lorsqu'on verra apparaître des maliciels ou des botnets sur téléphones intelligents. Ceux-ci ressemblant de plus en plus à des ordinateurs de bureau miniatures, ce n'est qu'une question de temps avant que des pirates se mettent à produire du code malicieux à grande échelle sur cette plateforme. Hier, un article de DarkReading nous apprenait que des chercheurs ont mis au point un rootkit permettant à un utilisateur distant de prendre le contrôle d'un téléphone intelligent. À l'aide d'un simple message texte, par exemple, un individu pourrait activer le micro du téléphone pour en espionner le propriétaire, obtenir sa position grâce aux fonctionnalités GPS, ou encore vider la batterie du téléphone en peu de temps.
msg id: 224

Le réseau électrique américain potentiellement vulnérable

22/02/2010, 10:29 am

DrakReading a publié un article vendredi dernier dans lequel Jeffrey Carr du projet Grey Goose parle du nouveau système de « smart grid » que les fournisseurs d'électricité devraient mettre en place aux États-Unis dans les prochains mois. Il est question de la sécurité de ces installations et de comment le réseau électrique américain pourrait devenir plus vulnérable aux attaques informatiques si la « smart grid » est implantée à la hâte. On y apprend qu'il y aurait déjà eu au moins 120 attaques réussies contre le réseau et que les experts s'attendent à voir ce nombre augmenter en 2010.
msg id: 223

Vers une industrialisation du piratage des téléphones cellulaires

19/02/2010, 11:05 am

Au Mobile World Congress qui se tenait cette semaine à Barcelone, les principaux acteurs de la téléphonie mobile ont discuté de sujets chauds en ce qui a trait à la téléphonie mobile. L'un de ces sujets est la menace grandissante des virus informatiques et autres vers qui pèse sur les utilisateurs de téléphones cellulaires, particulièrement les téléphones intelligents. Les vers et Trojans détectés jusqu'ici étaient créés par des amateurs, comme dans les débuts du piratage informatique sur ordinateur. Les experts s'attendent désormais à ce que les maliciels s'industrialisent de la même manière que sur PC d'ici un an ou deux. Des articles (en anglais seulement) sont disponibles entre autres sur Help-Net Security et le site Web du Sydney Morning Herald.
msg id: 222

Zeus fait encore les manchettes

18/02/2010, 11:23 am

Le Wall Street Journal vient de publier un article traitant encore de la découverte d'un botnet et de ses ravages. C'est NetWitness qui a fait la découverte d'une attaque coordonnée et à grand déploiement qui a débuté fin 2008. Depuis un centre de contrôle basé en Allemagne, les pirates ont utilisé le Trojan Zeus pour infiltrer près de 2 500 entreprises et accéder à de grandes quantités de données concernant des transactions par carte de crédit ou encore des propriétés intellectuelles. Les pirates se sont apparemment introduits dans les réseaux en utilisant des techniques d'hameçonnage sur des employés. Branchez-Vous en parle aussi en français.
msg id: 221

Un botnet qui en attaque un autre

17/02/2010, 12:06 pm

Computerworld a un article à propos de SpyEye, un nouveau toolkit permettant de générer des Trojans pour construire un botnet à la manière du très répandu Zeus. SpyEye était encore méconnu mais depuis quelques temps, ses créateurs lui ont donné une nouvelle fonction qui lui permet d'intercepter des données recueillies par Zeus et d'effacer celui-ci des machines infectées! SpyEye peut ainsi littéralement voler du territoire à Zeus. Le toolkit d'origine russe se vend pour aussi peu que 500$ sur le marché noir et ses fonctionnalités lui permettent de se répandre rapidement. Donc bien qu'il ne représente pas encore une très grande menace, SpyEye a toutefois le potentiel de réclamer le titre du roi des botnets d'ici peu, selon Symantec.
msg id: 220

Entretien avec un fraudeur

15/02/2010, 3:19 pm

La boîte de courriel de chacun de nous se remplit probablement de dizaines (voir des centaines) de pourriels du genre chaque semaine. Les tentatives de « scam » sur Internet visent à extorquer de l'argent à des gens vulnérables ou naïfs en leur faisant croire que l'argent qu'ils envoient à leur prétendu ami servira à leur rapporter de grandes sommes d'argent, souvent de l'ordre des millions de dollars. Beaucoup de ces tentatives de fraude sont perpétrées depuis le Niger et elles sont connues en tant que la « 419 fraud ». Scam-Detectives ont récemment publié une entrevue avec un ancien « scammer » nigérian qui tente maintenant de retrouver une vie normale et un emploi légal. Par souci d'anonymat, on n'y donne pas de nom alors il est difficile de vérifier la véracité de la chose. Quoi qu'il en soit, le texte montre tout de même à quel il ne faut jamais faire confiance à ce genre d'offres.
msg id: 219

Former des hackers pour s'en protéger

15/02/2010, 11:13 am

Il existe plusieurs compétitions de piratage informatique qui demandent entre autres aux participants de contrer des attaques. Ces compétitions, comme le concours Cyber Patriot ou le Digital Forensics Challenge du Département de la Défense, visent à découvrir les individus les plus doués en sécurité informatique. De son côté, l'Institut SANS a lancé en juillet dernier NetWars, où les compétiteurs peuvent gagner des points en protégeant le système ou en trouvant des moyens de l'attaquer et de pénétrer les serveurs. Le gagnant de la première ronde est un jeune de dix-sept ans, Michael Coppola, qui a manipulé les résultats pour atteindre un score trois fois plus élevé que ses adversaires. Alors que certains croient que c'est de la triche, un article de Forbes cite le directeur de SANS Alan Paller, qui croit que ce sont des talents comme celui-là qui pourront réellement être utiles aux services de sécurité informatique. Paller soutient que les États-Unis ont besoin de quelques 20 000 experts en la matière, alors qu'ils n'en comptent que 1 000. Enfin, certains croient que NetWars contribue à développer des futurs pirates malhonnêtes, mais apparemment le risque est contrebalancé par la découverte de futurs experts comme Coppola.
msg id: 218

Entretien avec un fraudeur

12/02/2010, 1:12 pm

La boîte de courriel de chacun de nous se remplit probablement de dizaines (voir des centaines) de pourriels du genre chaque semaine. Les tentatives de « scam » sur Internet visent à extorquer de l'argent à des gens vulnérables ou naïfs en leur faisant croire que l'argent qu'ils envoient à leur prétendu ami servira à leur rapporter de grandes sommes d'argent, souvent de l'ordre des millions de dollars. Beaucoup de ces tentatives de fraude sont perpétrées depuis le Niger et elles sont connues en tant que la « 419 fraud ». Scam-Detectives ont récemment publié une entrevue avec un ancien « scammer » nigérian qui tente maintenant de retrouver une vie normale et un emploi légal. Par souci d'anonymat, on n'y donne pas de nom alors il est difficile de vérifier la véracité de la chose. Quoi qu'il en soit, le texte montre tout de même à quel il ne faut jamais faire confiance à ce genre d'offres.
msg id: 217

Qu'est-ce qu'une cyber guerre?

10/02/2010, 4:36 pm

Mischel Kwon écrivait récemment sur le blogue de RSA à propos de ce qu'est réellement une « Cyber War ». En fait, il pose plus la question qu'il n'y répond. Kwon observe que les médias utilisent le terme pratiquement à toutes les sauces, alors que bien peu d'attaques informatiques mériteraient d'être qualifiées de façon aussi dure. Il propose d'ailleurs de définir la nature d'une cyber guerre comme est définie la notion de guerre conventionnelle. Il insiste aussi sur le fait que les fournisseurs d'accès Internet et de noms de domaines peuvent fournir des statistiques sur les attaques informatiques, ce qui pourrait permettre d'analyser la situation et de mieux la comprendre. Enfin, une meilleure « hygiène » des systèmes informatiques pourrait selon lui grandement améliorer la qualité de l'expérience en ligne.
msg id: 216

Un mardi occupé pour les responsables en sécurité

09/02/2010, 4:32 pm

Comparativement aux deux bulletins de sécurité du mois dernier, les treize qui ont été annoncés aujourd'hui forment un gros "Patch Tuesday". La mise à jour du mois de février, gracieuseté de Microsoft, comprend cinq mises à jours "critiques", sept "importantes" et une "modérée" touchant Windows de même que la suite Office. On remarque par ailleurs que Microsoft n'a toujours pas réglé la vulnérabilité du protocole SMB découverte en novembre dernier.
msg id: 215

Détails sur les Advanced Persistent Threats

08/02/2010, 10:25 am

Wired publiait récemment un article sur les attaques par APT (Advanced Persistent Threat, « menace persistante avancée »), le genre d'attaques qui a affecté Google en décembre dernier. Grâce aux détails promulgués par Kevin Mandia, président de la firme de sécurité de l'information Mandiant, on apprend que les victimes des APT ne se comptent pas par dizaines, comme on aurait pu le croire avec l'annonce de Google, mais bien par milliers. Selon les recherches menées par Mandiant, il peut s'écouler des mois, voire des années, avant que les intrus ne soient détectés à l'intérieur d'un réseau. Et même si on réussit à se débarrasser d'une menace en particulier, les individus reviennent toujours, parfois même dans les heures qui suivent. Pendant ce temps, ceux-ci recueillent des fichiers et des courriels avant de les envoyer discrètement à un serveur distant, souvent localisé en Chine. Et apparemment, on ne peut pas faire grand chose pour s'en protéger...
msg id: 214

Réflexions sur l'anonymat sur le Web

04/02/2010, 5:11 pm

Les experts en sécurité informatique Bruce Schneier et Marcus Ranum se sont récemment livrés à un duel de mots dans Information Security. M. Schneier soutient qu'il est futile de tenter d'implémenter un système d'identification universel et efficace pour les utilisateurs d'Internet, dont la nature ne se prête pas à un tel procédé. M. Ranum déplore quant à lui le fait que Bruce Schneier dise que puisque Internet est ainsi fait, on ne peut rien faire pour remédier au problème. Deux points de vue divergents qui nous font réfléchir sur la notion d'anonymat sur le Web.
msg id: 213

Drôle de comportement pour le botnet Pushdo

02/02/2010, 10:36 am

Le botnet Pushdo (aussi connu comme Cutwail ou Pandex), un des cinq plus importants botnets de spam, agit bizarrement depuis quelque temps. Selon Joe Stewart de SecureWorks, dont les propos sont rapportés sur DarkReading, Pushdo envoie en masse de fausses demandes de connexion SSL dont le résultat est une erreur de négociation. Un tel afflux de centaines de milliers de clics à un site particulier ressemble à première vue à un déni de service distribué (DDoS), mais pour des sites comme ceux de Google Chrome, la CIA ou le FBI, il y a peu de conséquences, alors les experts se grattent la tête. Selon Stewart, le trafic envoyé à ces sites Web majeurs sert peut-être de diversion pour cacher d'autres activités. Une chose est certaine, Pushdo rompt avec sa tradition de passer relativement inaperçu.
msg id: 212

Un bogue à 1337$

01/02/2010, 10:05 am

Google vient de lancer un programme visant à récompenser la divulgation responsable de bogues et vulnérabilités du projet à source libre Chromium et de son navigateur Chrome. Depuis jeudi dernier, n'importe qui peut communiquer à Google ses découvertes via la page prévue à cet effet. Dans son message sur le blogue de Chromium, Chris Evans de Google Chrome Security donne le crédit à Mozilla pour avoir été les premiers à proposer un tel système de récompenses. Il est également précisé qu'un bogue considéré comme éligible pourrait valoir de 500$ à 1337$, les plus gros montants étant réservés à des vulnérabilités particulièrement importantes.
msg id: 211

Facebook encore pointé du doigt

29/01/2010, 2:37 pm

En août dernier, la direction de Facebook annonçait qu'elle allait apporter des changements à la politique de confidentialité de son populaire site de réseautage suite à des recommandations de la Commissaire à la protection de la vie privée du Canada, Jennifer Stoddart. Les changements ont finalement été apportés en décembre, mais Mme Stoddart vient de lancer une nouvelle enquête puisque la commission a reçu un nombre croissant de plaintes d'utilisateurs soutenant que les nouveaux paramètres par défaut de Facebook protègent encore moins leur identité qu'auparavant. Plusieurs médias dont Branchez-Vous ont repris la nouvelle.
msg id: 210

Top 10 des avis de 2009

28/01/2010, 9:53 pm

Avec un peu de retard, voici le Top 10 des avis de sécurité les plus consultés pour l'année 2009. Durant la dernière année, nous avons réduit la cadence publication ce qui pourrait expliquer la réduction du total des consultations. Voilà certainement un bon défi pour l'année qui débute.
msg id: 209

Être pauvre protégerait du vol d'identité?

28/01/2010, 12:04 pm

Dans un récent article, DarkReading parle des résultats d'une étude menée par Experian qui indique que les Américains faisant partie de la catégorie des ménages les mieux nantis sont 43% plus à risque d'être victime d'un vol d'identité. La pensée populaire voulant que les pirates informatiques s'attaquent aux individus les plus faibles, donc les plus pauvres, ne tient pas, selon l'étude dont les résultats devraient être révélés sous peu. De plus, la firme soutient que les vols d'identité sont surtout concentrés dans les grands centres urbains et les quartiers riches, alors que les habitants des régions rurales de moins de 2 500 âmes courent 60% moins de risque de se faire voler leur identité. Quand est-ce qu'on s'achète une ferme?
msg id: 208

Logiciel de sécurité pour les réseaux sociaux

25/01/2010, 10:33 am

Un nouveau logiciel de protection contre le spam et autres nuisances du Web vient de voir le jour : Defensio 2.0. Le logiciel, propriété de Websense, a fait ses preuves dans sa première version pour la protection de blogues contre la publication non sollicitée et potentiellement dangereuse. Le nouveau Defensio intègre maintenant des fonctions permettant de bloquer la publication de contenu non sollicité ou illicite sur une page Facebook. Des options permettent de configurer la censure de certains mots ou de liens à contenu offensant ou présentant une menace, par exemple. De base, Defension 2.0 supporte entre autres Facebook, Wordpress et Drupal, mais une API est disponible pour adapter et configurer le logiciel pour le faire fonctionner avec d'autres réseaux sociaux. Le nombre de logiciels de ce type devrait aller en croissant puisque les réseaux sociaux sont la cible de plus en plus d'attaques informatiques depuis quelques mois.
msg id: 207

« 123456 », mot de passe le plus populaire

21/01/2010, 4:44 pm

En décembre dernier, l'entreprise de développement d'applications de réseaux sociaux RockYou a été la cible de pirates informatiques. C'est l'entreprise Imperva qui a découvert la brèche et qui a du même coup mis la main sur la liste des 32 millions de comptes d'utilisateurs du site. Imperva a récemment publié un rapport analysant entre autres le niveau de sécurité des mots de passe en question. Force est de constater que beaucoup de travail reste à faire pour que les gens comprennent qu'un mot de passe comme « 123456 » n'est pas vraiment mieux que de ne pas en avoir. Parmi les mots de passe les plus répandus, Imperva a également répertorié « Password » et « abc123 ». Help Net Security a publié un article sur le sujet et cite Amichai Shulman, d'Imperva, qui dit que selon les statistiques relevés dans ce rapport, il ne faut que 17 minutes à un pirate pour obtenir facilement l'accès à 1000 comptes. La situation serait semblable à celle de 1990. Les moyens des pirates informatiques, eux, sont toutefois beaucoup plus grands...
msg id: 206

Les kits de cybercrime DIY sont à la mode

20/01/2010, 9:50 am

Un article de Help Net Security traite d'une nouvelle source d'hameçonnage, les kits en DIY (Do It Yourself, « Faites-le vous-même). Ces kits, se vendant entre 400 et 700$ selon USA Today, permettent à n'importe qui de lancer des campagnes d'hameçonnage personnalisées. Cette nouvelle pratique mène évidemment à une prolifération des attaques par hameçonnage mais aussi, et heureusement, à un plus grand nombre d'attaques détectées par les logiciels de sécurité. Espérons que des campagnes de sensibilisation comme celle de l'ISIQ réussiront à faire baisser le taux de succès de l'hameçonnage car autrement, ces kits en DIY deviendront bien vite une source de revenu facile pour les pirates informatiques. Et une source de maux de têtes pour bien des gens...
msg id: 205

Identification par la voix comme troisième facteur d'authentification

18/01/2010, 12:05 pm

DarkReading annonçait vendredi dernier que l'entreprise PhoneFactor lancera cette semaine un service d'authentification par la voix. Le service, qui cible les entreprises désireuses d'ajouter un niveau de sécurité additionnel à leur système, envoie un appel téléphonique à l'utilisateur qui se connecte à son poste, l'invitant à dire sa phrase d'identification afin de poursuivre. Ce qui est bien, c'est que le service ne nécessite aucun matériel additionnel, à l'opposé de systèmes d'identification biométrique à empreintes digitales, par exemple. Jumelé à l'utilisation d'un bon mot de passe et d'un jeton d'authentification (comme une clé USB spéciale), le service de PhoneFactor peut faire partie d'un puissant système de sécurité à trois facteurs.
msg id: 204

Google et Adobe victimes d'attaques informatiques en provenance de la Chine

14/01/2010, 10:37 am

Les deux géants de l'informatique ont annoncé mardi dernier avoir été victimes d'attaques informatiques de grande envergure dernièrement. Google soutient que les attaques contre ses infrastructures, datant de la mi-décembre, ont servi entre autres à obtenir l'accès aux comptes Gmail de plusieurs activistes pour les droits humains en Chine. L'entreprise menace maintenant de cesser ses activités dans l'empire du milieu si le gouvernement ne lui permet pas d'arrêter de censurer le contenu offert par Google.cn. Adobe donne moins de détails dans son entrée de blogue, mais précise tout de même qu'il ne semble y avoir eu aucune fuite d'informations. L'enquête est en cours et la Secrétaire d'État américaine Hillary Clinton maintient que le gouvernement des États-Unis prend le sujet très au sérieux et qu'il demandera des explications au gouvernement chinois. Une affaire à suivre.
msg id: 203

Hameçonnage sur l'Android Market

11/01/2010, 1:32 pm

Le marché des applications pour les téléphones utilisant le système d'exploitation Android de Google a accueilli à la fin décembre au moins une application visant à obtenir les informations bancaires de ses utilisateurs. En fait, Droid09 a lancé une série d'applications visant plusieurs banques et fonctionnant comme de l'hameçonnage sur PC, invitant les utilisateurs à entrer leurs informations personnelles sur la copie d'un site en lequel ils pouvaient avoir confiance, tel le site d'une institution bancaire. La banque First Tech a donc émis un communiqué le 22 décembre annonçant que toutes les applications créées par Droid09 avaient été retirées de l'Android Market. Il est recommandé aux utilisateurs de supprimer toutes les applications de Droid09 de leur téléphone et de communiquer avec leur fournisseur de téléphonie mobile.
msg id: 202

Un nouveau livre pour être parfaitement à jour sur les tendances en « hacking »

07/01/2010, 12:23 pm

Les experts en sécurité Nitesh Dhanjani, Billy Rios et Brett Hardin (qui ont tous travaillé entre autre en sécurité informatique chez Ernst and Young) ont publié récemment un livre chez O'Reilly. « Hacking: The Next Generation » fait une revue complète des techniques les plus récentes dans le domaine et s'avère, selon Zeljka Zorz de Help Net Security, une lecture essentielle pour toute personne oeuvrant dans le domaine des TI et qui manipule des données sensibles. Les auteurs donnent des exemples clairs et détaillés d'attaques, dont certaines, comme le note un utilisateur sur le site d'O'Reilly, ont fait l'actualité en 2009. Disponible sur Amazon.
msg id: 201

Rappel massif de clés USB sécurisées

05/01/2010, 5:10 pm

Suite à la découverte par la firme SySS d'un défaut dans le logiciel se chargeant du chiffrement des données dans les clés USB sécurisées distribuées par SanDisk, cette dernière a annoncé une mise à jour pour tous ses produits Cruzer Entreprise. Le fabricant Verbatim a lui aussi rendu disponible une mise à jour afin de régler le même problème. Quant à Kingston, trois modèles de DataTraveler ont été rappelés pour corriger le problème. Comme décrit dans un article de DarkReading, cette découverte majeure mènera sans doute à plus de tentatives de pénétration du chiffrement des clés USB. David Jevans, PDG d'IronKey, un autre fabricant de clés USB sécuritaires, explique dans le même article qu'il est troublant de voir que tous ces fabricants utilisent tous le même système de chiffrement logiciel plutôt que du chiffrement matériel, jugé beaucoup plus fiable. Cette situation pourrait compromettre la confidentialité d'une grande quantité de données si des individus mal intentionnés parvenaient à mettre à profit cette faille.
msg id: 200

Le chiffrement GSM piraté avec un équipement de 4000$

04/01/2010, 2:17 pm

Les réactions sont mitigées suite au piratage par Karsten Nohl du système de chiffrement GSM utilisé par 80% des téléphones cellulaires au monde pour préserver la confidentialité des conversations. L'algorithme A5/1 élaboré en 1988 était déjà reconnu comme étant relativement faible et les experts recommandent depuis quelques années l'adoption du A5/3, mais cette fois, M. Nohl a apparemment mis en pratique l'utilisation de cet algorithme pour déchiffrer des conversations complètes. Certains crient haut et fort que cela doit inciter l'industrie à mettre à jour son système de chiffrement, mais d'autres mettent plutôt en doute ces déclarations, citant le manque de preuves et soutenant que les activités du chercheur ne peuvent être appliquées en pratique. Lire les articles de The Register (anglais), du New York Times (anglais) et de Mac4Ever (français) pour plus de détails.
msg id: 199

Alliance CATA critique l’inertie canadienne en matière de sécurité

04/01/2010, 11:44 am

Dans un récent communiqué, l'Alliance Canadienne des Technologies Avancées prend position face à l'inaction du gouvernement canadien concernant la sécurité informatique. Alors qu'un nombre grandissant de pays annonce des stratégies nationales dans le domaine et que les États-Unis ont nommé un « Coordonnateur à la cybersécurité se rapportant au Conseil national de sécurité et avec accès direct au président Barack Obama », le Canada accuse un retard. Alliance CATA lance donc un appel à tous pour faire réagir le ministre de la sécurité publique Peter Van Loan et son gouvernement.
msg id: 198

Outils de sécurité pour le « cloud computing »

23/12/2009, 7:00 am

Sun Microsystems a dévoilé une série d'outils en source libre pour la sécurité de l'informatique dans les nuages, ou « cloud computing ». Dans un article de Help Net Security sur le sujet, il est entre autres fait mention de support pour le nuage virtuel privé (VPC) d'Amazon et d'images de machines virtuelles (VMIs) à sécurité élevée. Une bonne nouvelle dans un contexte où l'informatique dans les nuages est appelée à gagner en popularité.
msg id: 197

Des chercheurs battent Bitlocker

21/12/2009, 11:28 am

Des chercheurs de l'Institut Fraunhofer pour la sécurité des technologies de l'information (Fraunhofer SIT) ont attaqué le processus de lancement de Bitlocker pour réussir à passer outre le logiciel et parvenir à lire les données stockées sur le disque chiffré et ce même si Bitlocker est utilisé avec un TPM (Trusted Platform Module). Il s'agit d'une situation de type "Evil Maid", où l'individu mal intentionné accède physiquement à la machine cible afin de recueillir les informations entrées par l'utilisateur, sans que celui-ci puisse s'en apercevoir. Suite à la publication de cet exploit, ZDNet UK a publié un article sur le sujet.
msg id: 196

Antivirus efficaces à 83-98%, ou pas?

18/12/2009, 7:31 am

Au nombre de logiciels antivirus disponibles sur le marché, il n'est pas simple de faire un choix. Dark Reading a comparé les études de deux entreprises spécialisées dans l'évaluation de la performance de ces programmes de protection, AV-Test et NSS Labs. Les résultats présentés par les deux entreprises divergent grandement, mais la méthodologie utilisée n'est pas la même dans les deux cas non plus. Des données à prendre avec modération...
msg id: 195

Pas si sécuritaire, la « two-factor authentication »

17/12/2009, 3:03 pm

Thomas Claburn d'InformationWeek publiait hier un article sur Dark Reading concernant de nouvelles pertes financières reliées au vol d'informations sur les sites Web de banques. Considérée comme un système de sécurité sûr, l'authentification à deux niveaux (« two-factor authentication ») est de plus en plus percée par les cyber criminels, selon la firme Gartner. Il semblerait que pour parvenir à leurs fins, ces individus ont recours entre autres à des Trojans « man-in-the-middle » leur permettant de recueillir les informations requises pour compromettre le compte de banque de la cible. Certains vont même jusqu'à utiliser en plus un malgiciel qui change les chiffres dans le compte bancaire, faisant croire à la victime que les fonds sont toujours présents au compte.
msg id: 194

Hameçonnage et pages Web contrefaites ridiculisent le gouvernement canadien en marge de la conférence de Copenhague

15/12/2009, 11:19 am

Hier matin, sur Twitter, un faux ministre fédéral de l'environnement Jim Prentice donnait un lien vers un faux communiqué annonçant un changement inattendu en ce qui concerne les objectifs de réduction des émissions de gaz à effet de serre du Canada. Radio-Canada a été en mesure de confirmer que The Yes Men, reconnus pour leurs canulars envers des personnalités politiques et de grandes entreprises, sont à l'origine des fausses annonces. Le gouvernement a vite démenti l'annonce, déplorant le fait que des médias prestigieux aient repris la nouvelle. Or, il s'agissait d'un faux article, et même le communiqué « officiel » démentant l'annonce précédente fait partie du canular! Le faux communiqué offrait d'ailleurs un lien vers un (autre) faux site où une présumée représentante de la délégation ougandaise à Copenhague félicitait le Canada de ses nouveaux engagements, qui incluaient 13G$ d'aide aux pays en développement. En fait, il n'était pas si difficile de discerner le vrai du faux, mais l'organisation des Yes Men et surtout une utilisation exceptionnelle des outils informatiques ont permis de déstabiliser et mettre dans l'embarras le gouvernement Harper. Comme s'il ne l'était pas déjà assez, alors que la communauté internationale le critique sans cesse sur ses politiques environnementales.
msg id: 193

Augmentation fulgurante des attaques par injection SQL

15/12/2009, 9:13 am

Dans un article de Security Focus, on apprend que des données d'IBM montrent que le nombre d'attaques par injection SQL est passé de 2 500 à 600 000 par jour en moyenne dans la dernière année. Ces chiffres sont ceux de l'année 2008 comparés à ceux de la première moitié de 2009. Toutefois, ces attaques fonctionnant un peu comme le spam, seulement une petite quantité d'attaques se traduisent en un site compromis. De plus, ces chiffres sont ceux collectés par les logiciels vendus par l'entreprise. Les données récentes ont donc peut-être été gonflées par une vérification plus fréquente de la part des clients d'IBM suite à la médiatisation accrue de la menace, une telle pratique détectant inévitablement plus d'attaques par jour. Il demeure néanmoins que les attaques par injection SQL sont une menace sérieuse puisque ce sont dorénavant des sites Web légitimes qui deviennent dangereux à visiter, alors que précédemment, c'était ceux du « Red light » de l'Internet, comme se plaît à dire Tom Cross, d'IBM.
msg id: 192

Discussions É-U-Russie sur le désarmement informatique

14/12/2009, 10:20 am

Le New York Times a publié en fin de semaine dernière un article traitant des discussions des dernières semaines entre des responsables de la sécurité informatique des États-Unis et de la Russie. Depuis plusieurs années, les Russes tentent d'arriver à un accord contraignant quant au développement d'armes et de logiciels pouvant servir à des attaques informatiques, mais l'administration Bush a toujours été réfractaire à des discussions constructives. Il semblerait que le président Obama, encore une fois, veule rompre avec les pratiques de son prédécesseur. Les pourparlers avancent donc, bien que tranquillement, car les responsables américains, toujours selon le NYT, préféreraient faire une distinction entre les produits à usage militaire et ceux à fins commerciales. Les Russes, quant à eux, souhaitent bannir tout ce qui pourrait servir à la cyberguerre.
msg id: 191

Logiciels malveillants détectés dans Ubuntu!

11/12/2009, 1:47 pm

Ce n'est certainement pas tous les jours qu'on entend dire que des utilisateurs de Linux sont la cible d'attaques informatiques. Pourtant, c'est bel et bien le cas cette semaine, alors qu'on apprend qu'au moins deux fichiers .deb déguisés en écrans de veille, « Waterfall » et « Ninja Black », ont été rendus disponibles sur Gnome-Look. Les deux sites dont les liens sont disponibles ci-haut expliquent comment se débarrasser du logiciel malicieux, qui a le potentiel de perpétrer une attaque par déni de service (DoS).
msg id: 190

Pourquoi ne pas monter aux barricades à chaque nouvelle vulnérabilité trouvée

11/12/2009, 10:18 am

L'expert en sécurité Bruce Schneier revient ce matin sur le sujet de la vulnérabilité du protocole SSL/TLS qui a fait les manchettes le mois dernier. Il offre une vision particulière des vulnérabilités informatiques médiatisées comme celle-là. Il explique comment, au fond, on ne peut pas vraiment s'en protéger et que tout ce qu'il y a à faire, c'est de conserver des habitudes sécuritaires.
msg id: 189

Un pas de plus vers la protection des informations personnelles sur Facebook

10/12/2009, 2:48 pm

En août dernier, Facebook promettait des changements à son site de réseau social pour permettre une meilleure protection des informations personnelles. EPIC fait d'ailleurs une couverture de cet enjeu depuis 2007. Des changements ont entre autres été apportés à la politique de confidentialité au cours de l'automne, mais ce qui survient aujourd'hui est un pas de plus sur le bon chemin. En effet, la prochaine fois que vous vous connecterez à votre compte Facebook, vous serez invités via un pop-up à accéder à la page des paramètres de confidentialité de votre compte. Cette page a été entièrement revue afin de permettre une gestion plus simple et efficace de qui a accès à quelles informations vous concernant. Par contre, on attend toujours les modifications annoncées au système d'applications.
msg id: 188

Une vidéo sur l'hameçonnage votée la plus populaire au concours de l'ISIQ

09/12/2009, 12:29 pm

La troisième campagne de sensibilisation « Je protège mon identité sur Internet », organisée par l'Instititut de sécurité de l'information du Québec, s'est terminée lundi dernier avec le dévoilement de la vidéo gagnante du concours de création vidéo portant sur le vol d’identité. La vidéo de sensibilisation de l'équipe Obamax de Gaétan Houde a remporté le concours et est disponible sur le site de l'ISIQ. On peut aussi visionner sur cette même page les autres vidéos finalistes ainsi que quelques autres. Du travail non professionnel qui peut tout de même s'avérer très éducatif.
msg id: 187

Réflexion sur la possibilité d'un « Pearl Harbor numérique »

07/12/2009, 12:08 pm

Le 7 décembre est l'anniversaire de l'attaque de Pearl Harbor, qui a pris par surprise une partie importante de la flotte américaine pendant la Deuxième Guerre mondiale. William Jackson, du site Government Computer News, en profite pour examiner la question de la possibilité d'une attaque informatique d'envergure contre les États-Unis. Jackson explique que l'idée de plus en plus répandue qu'un « digital Pearl Harbor » est une menace grandissante a son lot de partisans et de détracteurs. Dans son article, l'auteur analyse la possibilité qu'un tel événement se produise et surtout s'interroge sur les répercussions réelles qu'une attaque informatique à grande échelle pourrait avoir. Au bout du compte, une petit « hacker », même s'il réussit à s'infiltrer où il veut, ne pourrait probablement pas faire de véritables dommages.
msg id: 186

Vérifiez l'ouverture de vos ports sur CanYouSeeMe.org

04/12/2009, 4:28 pm

Sur ce site très minimaliste, on retrouve l'utilitaire tout aussi minimalement nommé Open Port Check Tool. Il n'y a qu'à entrer le numéro de port à tester, à cliquer « Check » et un message disant si l'application a réussi à communiquer par le port en question apparaît. Utile pour vérifier si des ports sont bloqués par le fournisseur d'accès Internet (ISP) ou si le pare-feu bloque correctement des ports. On ne le répétera jamais assez, certains ports comme les ports 139 ou 445, à moins d'être essentiels, doivent être bloqués afin de prévenir les attaques par ver ou autres. Toutefois, le site Web redirige l'utilisateur vers des applications payantes pour exécuter des tests complémentaires à Open Port Check Tool. Un commentaire sur Branchez-vous.com suggère donc l'utilitaire ShieldsUP! comme solution gratuite.
msg id: 185

La collecte d'informations personnelles est possible même sur des iPhones non débloqués

04/12/2009, 12:09 pm

Un court texte de Help Net Security résume une présentation donnée à Genève mercredi par Nicolas Seriot, qui est développeur pour iPhone, entre autres. Il y a abordé principalement les questions de la préservation et de la sécurité des informations personnelles sur un iPhone. Suite aux différents vers qui ont affecté les iPhones débloqués en novembre, la sécurité de la plate-forme est de plus en plus questionnée. Seriot explique d'ailleurs des moyens efficaces de collecte d'informations personnelles par l'entremise d'applications pour iPhone et ce, même sur des téléphones non débloqués. On attend toujours une initiative de la part d'Apple pour combattre les logiciels malicieux.
msg id: 184

La revue de l'année de la sécurité chez Microsoft

03/12/2009, 3:08 pm

Help Net Security a publié mardi dernier un article très détaillé de Josh Phillips, chercheur chez Kaspersky Lab, concernant les correctifs de sécurité effectués par Microsoft au cours de la dernière année. Sans surprise, une bonne part du texte est consacrée à Conficker et à ses semblables. Outre le célèbre ver, Phillips montre que Microsoft a été très occupé dans la dernière année, battant des records en ce qui concerne le nombre de correctifs apportés et le nombre de vulnérabilités corrigées en une seule fois.
msg id: 183

Conférence sur l'accessibilité et le transport des données pour les utilisateurs mobiles

03/12/2009, 12:19 pm

La Filière PME de l'Institut de sécurité de l'information du Québec (ISIQ) présentera le 8 décembre 2009, à 7h30 au CRIM, une conférence dans le cadre de son prochain Carrefour PME Sécurité. Le conférencier Hervé Bonnemains de Feeder Amériques expliquera comment « accéder aux applications de façon sécuritaire, et ce, autant dans les lieux public que privé; protéger les environnements de contrôle et d'administration ». Pour plus d'information et pour s'inscrire à la conférence, visiter le site de l'ISIQ.
msg id: 182

Les États-Unis et la cyberguerre

01/12/2009, 12:06 pm

Le National Journal Magazine a publié récemment un article intitulé The Cyberwar Plan. Il y est question de la cyberguerre menée plus ou moins en secret par les États-Unis depuis quelques années. Il a souvent été question récemment de possibles attaques informatiques, dont le fameux « blackout » au Brésil, et le président Obama a lui-même déclaré que son gouvernement sait que des pirates ont réussi à infiltrer des réseaux de l'administration publique américaine par le passé. Le présent article, quant à lui, fait intervenir divers personnages influents du Département de la défense américain et explique les différentes stratégies de cyberguerre utilisées par la NSA et l'armée depuis quelques années, principalement depuis 2007 dans la guerre en Irak. Une petite mise à jour dans la guerre de l'information, depuis les tracts de propagande du siècle dernier. Attention, il est très, très long.
msg id: 181

Top 10 des fraudes du temps des fêtes

30/11/2009, 12:15 pm

À l'approche de Noël, les gens sont traditionnellement plus enclins à faire des achats de même qu'à donner à des oeuvres de charité, deux comportements qui constituent littéralement une mine d'or pour les fraudeurs et les voleurs. À l'aube du mois de décembre, Unisys a donc dressé une liste des dix types de fraudes et de vols d'identité les plus fréquents, en prenant soin d'ajouter des conseils sur la manière de se protéger. Cette liste comprend entre autres les fraudes par « phishing » et les menaces liées aux réseaux sans fil, mais aussi les fraudes classiques impliquant des guichets automatiques. À lire.
msg id: 180

Des centaines de milliers de faux blogues envahissent les résultats de Google

27/11/2009, 11:56 am

Google est la cible depuis quelques temps d'empoisonnement de ses résultats de recherche. En effet, des centaines de milliers de faux blogues générés automatiquement se retrouvent parmi des résultats de recherche faisant partie de la « long tail » de Google (des combinaisons de plusieurs mots-clés inhabituels). En cliquant sur le lien d'un de ces résultats, l'utilisateur est redirigé vers deux sites Web : le faux blogue et un site malicieux installant un « scareware », une imitation malicieuse d'un antivirus prétendant détecter des infections sur l'ordinateur de la victime. Il semble que Google soit le seul moteur de recherche affecté. De plus, les blogues sont inoffensifs par eux-même puisqu'ils ne redirigent le visiteur vers le « scareware » que s'il y parvient par l'entremise de Google. Deux explications plus détaillées sont disponibles sur ces blogues (sécuritaires!) : 1 - 2
msg id: 179

L'efficacité énergétique dans les TI

26/11/2009, 12:29 pm

Dans une chronique en deux parties, Robert Nagle, un rédacteur technique aspirant à la neutralité carbone en 2010, s'intéresse à l'efficacité énergétique des centre de données et des serveurs qui propulsent l'Internet. Il est intéressant de constater que les méga-centres comme ceux de Google font souvent très bonne figure en matière d'efficacité. Il reste toutefois beaucoup de travail à faire dans ce domaine, car les données montrent que les TI produisent 2% des émissions totales de CO2 aux États-Unis et prévoient qu'elles seront plus importantes que celles de l'industrie de l'avionique d'ici 2012. Vu la croissance exponentielle de l'industrie, c'est un destin plutôt difficile à éviter. Première et deuxième partie du texte.
msg id: 178

5 extensions de Firefox pour tester la sécurité de votre site ou application Web

26/11/2009, 10:27 am

Help Net Security a publié hier un court article présentant cinq extensions de Mozilla Firefox servant à tester la sécurité d'un site Web ou d'une application Web. Les programmes simples simulent, entre autres, des attaques XSS et des injections SQL sur le code entré afin d'en tester la vulnérabilité face à de telles menaces. Quelques minutes de tests qui pourraient sauver bien des maux de tête.
msg id: 177

L'Allemagne songe à interdire Google Analytics

25/11/2009, 4:12 pm

De plus en plus, Google s'introduit partout. Avec ses nombreuses applications et propriétés Web, l'entreprise peut suivre le comportement de millions d'internautes. Google Analytics permet aussi à tout administrateur de site Web d'obtenir certaines informations sur ses visiteurs, mais la nature et la portée des informations collectées n'est pas tout à fait claire. Le journal allemand Zeit (traduction de l'article) rapportait hier que le gouvernement de Berlin songe à rendre illégal l'usage de l'application en question et distribuerait des amendes aux contrevenants. Il semblerait que les opposants à Google Analytics sont préoccupés par le fait que les informations recueillies par Google sont emmagasinées sur des serveurs étrangers (américains), ce qui est contraire à la loi allemande. L'histoire ne dit pas si Berlin s'intéresse aux nombreuses autres applications du même genre, ni si elle sait qu'une telle collecte d'information peut être bloquée par des extensions de Firefox ou simplement en refusant les cookies. Néanmoins, les développements dans ce dossier risquent de s'avérer plutôt intéressants. TechCrunch Europe explique le tout en un langage plus compréhensible (anglais).
msg id: 176

De l'efficacité des mots de passe

25/11/2009, 2:28 pm

Dans une entrevue sur Help Net Security, l'analyste en sécurité chez Elcomsoft Dmitry Sklyarov parle de l'efficacité des mots de passe. Il explique entre autres que, sans surprise, la plupart des gens sont rarement enclins à sacrifier temps et énergie à construire une multitude de mots de passe complexes réellement sécuritaires. Quand on s'aperçoit qu'un mot de passe de 128 bits nécessite 20 caractères, dont des majuscules, minuscules, chiffres et caractères spéciaux, on comprend d'ailleurs que la sécurité a un prix...
msg id: 175

L'Unité de recherche sur le climat (CRU) hackée

24/11/2009, 2:29 pm

On en parle partout sur la blogosphère : treize ans de correspondance par courriel entre des scientifiques influents dans la recherche sur le climat ont été obtenus illégalement sur un serveur du Climate Research Unit, en Angleterre. Puisqu'il s'agit de correspondance privée, beaucoup d'informations sensibles ont été révélées, faisant s'élever la voix de ceux qui soutiennent la communauté scientifique comme celle de ceux qui veulent se servir d'extraits de cette correspondance pour appuyer leurs théories de conspiration. Un sujet chaud qui risque de faire jaser pendant un bon moment. Enfin, ces documents ont été obtenus illégalement, nous ne donnons donc pas de lien permettant d'y accéder, mais ils demeurent tout de même disponibles un peu partout... Lire l'article du New York Times
msg id: 174

Les votes brésiliens en Podcast?

23/11/2009, 11:18 am

La semaine dernière, on parlait d'un concours de « hacking » organisé par le gouvernement du Brésil offrant 5000$ de récompense à quiconque réussirait à compromettre la sécurité des urnes électroniques. Personne n'avait réussi à pénétrer les urnes devant être utilisées lors des élections de 2010, mais il se trouve que Sergio Freitas da Silva a finalement démontré qu'il était possible de connaître le choix de l'électeur au moment du vote, grâce à une technique datant de 1985! Le « Van Eck phreaking », nommé en l'honneur du premier chercheur à avoir démontré le concept, consiste à enregistrer les émissions électromagnétiques émises par un écran d'ordinateur à l'aide d'une antenne radio afin de les retransmettre sur un écran. Le matériel requis se trouve dans tout magasin d'électronique! Lire l'article original (traduction du portugais).
msg id: 173

Publication d'un rapport détaillé sur l'analyse des risques liés au « cloud computing »

20/11/2009, 2:50 pm

L'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA) a publié un rapport de 123 pages qui étudie l'informatique dans les nuages ainsi que les avantages et les risques y étant associés. L'agence y dresse également des listes détaillées fonctionnant par tableaux des différents problèmes et vulnérabilités potentiels liés à l'utilisation de services d'informatique dans les nuages. Elle en explique les sources possibles et les répercussions potentielles puis donne une liste de recommandations en s'appuyant sur les analyses du rapport. Une référence pour bien s'informer au sujet du « cloud computing ». - Annonce officielle de l'ENISA - Article de Help Net Security sur le sujet
msg id: 172

VIARoot publie une validation de principe pour le « Referrer Spoofing »

20/11/2009, 9:31 am

Voici la version française de l'annonce faite sur VIARoot : Notre équipe a récemment programmé un outil Web qui permet une utilisation ingénieuse du « referrer spoofing » dans le but d'augmenter l'achalandage sur certains sites Web en ayant recours à une forme d'hameçonnage. De façon générale, l'hameçonnage consiste à collecter de l'information sensible en attirant un utilisateur sur un site Web contrefait, afin qu'il y inscrive des données personnelles. Le « referrer spoofing » est un dérivé de cette approche, mais il se distingue de par le fait qu'il vise à augmenter l'affluence des visiteurs, et non pas à voler de l'information. Comment ça fonctionne? Le « referrer spoofing » permet l'inscription massive de l'URL d'un site Web dans les statistiques d'un autre site, donnant ainsi l'impression qu'un nombre considérable d'internautes a visité le site visé par le « referrer spoofing ». L'avantage de cette pratique se situe dans le fait que l'administrateur du site Web ou du blogue visé, curieux de connaître la raison de l'achalandage massif provenant d'une URL en particulier, aura souvent le réflexe de visiter le site associé à cette URL. Cette méthode vous permet donc d'attirer un grand nombre de visiteurs sur votre propre site Web. Comment fait-on? Pour que le « spoofing » soit efficace, plusieurs éléments sont à considérer. Il faut d'abord effectuer la collecte de sites Web à interroger en les sélectionnant manuellement ou en utilisant un inforobot (« spider »). Le concept du Web 2.0 dicte qu’il est préférable de laisser les autres entrer les sites Web pour nous. La liste de sites Web ne doit toutefois pas être trop longue, puisque les inforobots mettraient trop de temps à tous les visiter. Ensuite, il est nécessaire d’avoir plusieurs adresses IP, car un plus grand nombre d’adresses signifie un public plus vaste. De plus, il est essentiel de séparer l’application, qui fonctionne avec une base de données, des inforobots. Un système d’inforobots bien distribué a deux avantages. D'une part, l’utilisation d’un grand nombre d’adresses IP différentes a habituellement un impact important sur les statistiques. D'autre part, la distribution de la bande passante entre plusieurs fournisseurs d’accès Internet augmente la vitesse. Il est aussi important de faire le lien entre le nombre d’inforobots distribués et le nombre de sites à interroger. Une liste de sites trop longue par rapport au nombre d’inforobots réduit les chances d’apparaître au haut des statistiques de référencement. À l’opposé, une liste trop courte ne permettra pas de rejoindre beaucoup d’administrateurs. Utilisation de la publicité en ligne Alors que les budgets pour la publicité en ligne sont sans cesse en hausse, le « referrer spoofing » permet de cibler un grand nombre d'entreprises sans dépenser un seul sou en publicité « pay-per-click ». La version de démonstration de notre application est libre de droits, vous pouvez donc visiter la page de téléchargements afin d’en faire l’essai et d'observer son code PHP. Pour toute question ou commentaire, contactez support@viaroot.com. L’équipe de VIARoot
msg id: 171

La NSA collabore avec Microsoft et donne des conseils

19/11/2009, 11:05 am

Help Net Security a publié un article concernant la collaboration de la NSA au développement de Windows 7. L'article donne également l'opinion de chercheurs de chez AVG Technologies et du Electronics Privacy Information Center (EPIC). Il y est aussi question de trois conseils que Richard Schaeffer Jr., de l'agence de sécurité, donne pour contrer la majorité des cyber-attaques.
msg id: 170

Arrestations relativement au trojan Zbot/ZeuS

18/11/2009, 5:05 pm

Un homme et une femme de 20 ans ont été arrêtés à Manchester relativement au cheval de Troie (trojan) Zbot/ZeuS, qui a réussi à infecter des dizaines de milliers d'ordinateurs de partout dans le monde. Il s'agit des premières arrestations à avoir lieu en Europe en lien avec ce trojan. Lire l'article de Help Net Security.
msg id: 169

Conférence de l'ISIQ sur la cybersécurité et la prévention

18/11/2009, 10:04 am

L'Institut de sécurité de l'information du Québec a présenté hier « la première conférence en salle et en ligne sur le thème de la cybersécurité et la prévention », dans le cadre de la campagne de sensibilisation « Je protège mon identité sur Internet », lancée le 9 novembre. Le capitaine Frédérick Gaudreau, responsable du Bureau de coordination des enquêtes sur les délits informatiques de la Sûreté du Québec, était le conférencier invité. Les fichiers du diaporama sont disponibles ici.
msg id: 168

Des urnes électroniques impénétrables

16/11/2009, 11:35 am

Le gouvernement brésilien tenait la semaine dernière un concours où des professionnels des TI devaient tenter de craquer des urnes électroniques, et personne n'y est parvenu! Cela ne signifie évidemment pas que les machines sont tout à fait sécuritaires, mais il s'agit certainement d'un pas vers l'avant, après le fiasco du vote électronique aux États-Unis ces dernières années, entre autres. Reste à voir si certains ne gardent pas leurs trucs pour le jour des élections... Lire l'histoire détaillée.
msg id: 167

Air Parcel Express et le « reshipping scam »

16/11/2009, 10:28 am

RSA Security a publié récemment sur son blogue une description détaillée du fonctionnement d'un « reshipping scam », en prenant comme exemple les services frauduleux d'Air Parcel Express. Le FraudAction Research Lab de RSA note que dans la conjecture économique actuelle, plus de gens, à la recherche d'un emploi et d'argent vite gagné, sont vulnérables à de telles fraudes. Les « mules » recrutées par ces organisations se retrouvent souvent les victimes de ceux qui prétendaient les aider. On retrouve d'ailleurs dans le texte des indices permettant de repérer les sites annonçant des activités potentiellement frauduleuses.
msg id: 166

Top 10 de l'OWASP

13/11/2009, 5:53 pm

L'Open Web Application Security Project (OWASP) a dévoilé aujourd'hui son top 10 2010 des risques de sécurité pour les applications Web, mettant l'accent cette année sur les risques plutôt que sur les problèmes communs des sites Web. Sans suprise, les attaques d'injection et de XSS sont au haut de la liste. Lire l'article de DarkReading sur le sujet.
msg id: 165

Des outils pour réparer à distance les téléphones intelligents dont la sécurité à été compromise

12/11/2009, 3:16 pm

Dark Reading a publié mardi un article à propos de la cyber sécurité pour les téléphones intelligents. Kelly Jackson Higgins y rapporte que des chercheurs du Georgia Tech College of Computing sont actuellement en train de mettre au point des outils qui pourraient permettre aux fournisseurs de services mobiles de nettoyer à distance les appareils infectés par des logiciels malveillants. Les téléphones mobiles ressemblant de plus en plus à des ordinateurs, ils deviennent également plus vulnérables aux attaques. Pourtant, ils ne disposent pas de systèmes de protection adéquats car ils ne sont pas assez puissants pour accueillir les anti-virus conventionnels, les chercheurs se sont donc tournés vers une nouvelle approche.
msg id: 164

Une entrevue sur la sécurité dans les applications Web

11/11/2009, 1:50 pm

Help Net Security a publié hier une entrevue avec Robert Abela, directeur technique chez Acunetix, une entreprise fournissant des services de sécurité pour applications Web. Il y parle des défis auxquels doivent faire face les entreprises utilisant des applications Web dans la un contexte où le Web 2.0 devient de plus en plus attrayant pour les malfaiteurs à mesure qu'il gagne en popularité. Les injections SQL et les attaques XSS (Cross-Site Scripting) sont évidemment au menu, et Abela fournit également des conseils aux entreprises désireuses d'améliorer la sécurité de leurs systèmes informatiques.
msg id: 163

Lancement de la campagne de sensibilisation à la sécurité de l'information et à la protection des renseignements personnels

09/11/2009, 4:30 pm

"La ministre des Services gouvernementaux, madame Dominique Vien, a lancé aujourd’hui la troisième campagne de sensibilisation à la sécurité de l’information et à la protection des renseignements personnels. Sur le thème « Je protège mon identité sur Internet », cette campagne vise à sensibiliser les internautes aux bonnes pratiques à adopter lorsqu’ils naviguent et font des transactions sur Internet. Réalisée en partenariat avec l’Institut de sécurité de l’information du Québec (ISIQ), mais également avec l’appui d’autres organismes et d’entreprises, la campagne de 2009 prend un virage branché et propose diverses activités sur le Web. La campagne de 2009 se déroulera du 9 au 27 novembre." Communiqué de presse disponible ici.
msg id: 162

La perspective d'une cyber guerre

09/11/2009, 3:38 pm

Les vols d'identité et les fraudes ne datent pas d'hier, mais depuis quelques années, avec la propagation d'Internet, il devient de plus en plus facile pour les personnes mal intentionnées de perpétrer des attaques d'envergure. Un reportage de l'émission « 60 minutes » au réseau CBS met en lumière les problèmes de sécurité auxquels les États-Unis doivent faire face depuis quelques temps. Elle explique aussi comment des cyber terroristes pourraient bien compromettre la sécurité publique des pays industrialisés si notre dépendance à l'Internet n'est pas bientôt contre-balancée par une infrastructure plus efficace et sécuritaire. Certains diront qu'il ne faut pas être trop alarmistes, mais ignorer la vulnérabilité du système ne ferait que rendre la tâche plus facile aux cyber terroristes. Le reportage est également disponible en version écrite.
msg id: 161

Des Evil Maids des services secrets israéliens?

06/11/2009, 3:56 pm

Il a été question la semaine dernière de Evil Maid, un code malicieux permettant d'accéder en toute simplicité aux données d'un disque dur pourtant très bien chiffré. Il se trouve que des agents de renseignement israéliens ont usé d'un stratagème semblable afin d'accéder aux plans d'une centrale nucléaire syrienne qu'Israël a plus tard détruite. Les agents du Mossad auraient installé un Trojan sur l'ordinateur portable qu'un diplomate avait laissé sans surveillance dans une chambre d'hôtel. Bruce Schneier a lui aussi repris l'histoire.
msg id: 160

De l'aide pour les jeunes entreprises de TIC

04/11/2009, 1:35 pm

L'Association québécoise des technologies a lancé le 21 septembre dernier son Programme 1-2-3 GO! visant à propulser les jeunes entreprises spécialisées en technologies de l'information et des communications (TIC). Le programme comprend des activités de formation pour le démarrage d'une entreprise de même que des rabais substantiels sur les activités régulières de l'AQT. Afin de pouvoir en bénéficier, l'entreprise qui soumet sa candidature doit avoir été légalement constituée il y a moins de trois ans et compter au maximum trois employés (incluant le propriétaire).
msg id: 159

Nouveau rapport sur les injections SQL automatisées

04/11/2009, 10:54 am

Dark Reading publiait lundi un nouveau rapport dans leur série traitant de la sécurité des bases de données. Intitulé « SQL Injection: A Major Threat to Data Security », ce rapport se penche sur les injections SQL automatisées et les conséquences inhérentes à ce genre d'attaques, dont le nombre quotidien monte en flèche depuis quelques mois. On y retrouve des détails sur comment s'opère une injection SQL automatisée, de même que des pistes de solutions afin de protéger nos bases de données contre cette menace. Des extraits du rapport sont disponibles ici. Il faut être membre (inscription gratuite) du réseau InformationWeek pour télécharger le fichier PDF du rapport complet.
msg id: 158

Pourquoi ne pas faire confiance aux femmes de ménage

27/10/2009, 11:23 am

Bruce Schneier discutait vendredi dernier sur son blogue du texte de Joanna Rutkowska concernant une manière simple, rapide et peu coûteuse de contourner les systèmes de chiffrement de disque tels que le logiciel TrueCrypt : Evil Maid. La fondatrice et directrice de Invisible Things Lab a nommé son programme ainsi parce qu'il peut facilement être transporté sur une clé USB par une femme de chambre et installé subtilement sur un ordinateur portable laissé dans une chambre d'hôtel, par exemple, afin d'en soutirer les données d'identification de l'utilisateur, et ce sans laisser de traces. De plus, Mme Rutkowska note que peu de solutions existent actuellement pour se prémunir efficacement contre les attaques du type Evil Maid, et que les moyens disponibles (comme un programme qu'elle nomme « Disk Hasher », fait sur mesure et utilisé à l'interne chez Invisible Things Lab) sont complexes et peu accessibles. C'est pourquoi Mme Rutkowska espère en mettant en ligne ce logiciel malveillant faire réfléchir les développeurs de logiciels de sécurité afin qu'ils améliorent leurs produits.
msg id: 157

Bruce Schneier parle des « mardis correctifs » de Microsoft

20/10/2009, 4:38 pm

Suite à un article de ComputerWorld sur les « mardis correctifs » de Microsoft (Patch Tuesdays), le spécialiste en sécurité Bruce Schneier a publié un texte intéressant au sujet de ces correctifs qui inondent le système de mise à jour de nos logiciels. Les architectes en sécurité logicielle des entreprises comme Microsoft étant sans cesse tiraillés entre avoir à corriger les vulnérabilités le plus rapidement possible et s'assurer que les correctifs soient stables et efficaces, ces derniers sont rarement suffisants et le cycle des correctifs s'étend à l'infini. Schneier soutient que ce système est inefficace mais qu'au moins, le lancement périodique de correctifs à la manière de Microsoft est le mieux que l'on puisse faire tant qu'on demeure empêtrés dans ce cycle.
msg id: 156

Le futur d'Internet et l'agenda numérique de l'Europe

16/10/2009, 11:36 am

Le 6 octobre dernier, Viviane Reding, commissaire au EU Directorate-General for Information Society and Media a émis un communiqué détaillant un débat sur le futur d'Internet en Europe. Plusieurs points importants, ressortis d'ailleurs par EPIC.org, traitent d'enjeux importants concernant la sécurité informatique et la protection des données personnelles, soit les réseaux sociaux (web 2.0), la publicité ciblée (par l'analyse des comportements de l'internaute) et les « puces intelligentes » RFID. Mme Reding indique les mesures que la Commission désire mettre en oeuvre afin de prévenir les menaces potentielles émanant de ces technologies grandissantes. Lire le texte en entier.
msg id: 155

Le mois d'octobre est le mois de la Cyber Sécurité

04/10/2009, 10:16 pm

Le président Obama, appuyé par le Homeland Security, a déclaré le mois d'octobre le mois de la prévention contre les Cyber-Attaques. La campagne vise à inciter le plus grand nombre d'entreprises et d'individus à reconnaître la nécessité d'être informés des risques et de leur sécurité sur Internet. Au Canada, le ministère de la Sécurité Publique du Canada a émis le même genre de communiqué et vient appuyer la démarche américaine en regroupant des outils à la disposition des citoyens. Les organismes locaux (du Québec) se font toujours attendre. En lire plus sur StaySafeOnline.org
msg id: 154

Architectures de Cloud Computing

09/09/2009, 12:16 pm

Une étude réalisée par des chercheurs américains du MIT et de l'Université de Californie à San Diego se penche sur les risques posés par l'usage de la virtualisation au sein des architectures de Cloud Computing. Lire la suite
msg id: 153

Droit de la sécurité et les affaires électroniques

14/08/2009, 11:39 am

La sécurité et les affaires électroniques ne sont pas souvent au menu dans l’actualité, mais vraisemblablement ils sont d'une importance capitale dans l'industrie du développement d'application et de logiciels Web. Alors comment protéger vos intérêts ? Quels sont vos droits respectant la propriété intellectuelle et les brevets de logiciels?

La propriété intellectuelle se qualifie comme le résultat d'un travail de création de l'esprit qui fait l'objet d'un droit.
Le brevet de logiciel se qualifie comme un titre délivré par l'État et donnant à l'inventeur le droit exclusif d'exploitation. Le brevet de logiciel est délivré sous réserve que la méthode revendiquée soit :

- Nouvelle, c'est-à-dire qu'elle n'existait pas auparavant ;
- Inventive, c'est-à-dire qu'elle n'est pas évidente.


Critères
Votre logiciel doit être:
==> nouveaux et utiles;
==> étant un objet informatisé intégré à un autre système pratique;
==> tombant dans le domaine de ce qui est normalement brevetable;

Le brevet de logiciel est délivré lorsque la méthode permet de résoudre un problème technique. Par technique, on entend justement qui ne s'agit pas d'un problème abstrait. Les critères de brevetabilité soulignent que votre invention doit avoir un but réel qui est applicable sur un on objet tangible. D’ailleurs, les formules mathématiques non appliquées ne sont pas brevetables.


Types de protection de Propriété intellectuelle

• Marque de Commerce

Protection : La Marque de Commerce vous donne plein droit sur un nom et ne peut être exploité par un tiers, sans votre consentement. La Marque de Commerce est une forme de protection utilisée pour fidéliser les clients. De plus elle aide à bâtir de la crédibilité sur le marché.
Exemple: Nom du logiciel (Microsoft office)= Marque de Commerce

• Droit Auteur

Protection : Le droit d’auteur protège la somme des fonctionnalités de votre logiciel. Ce droit constitue une preuve de propriété et est la seule preuve officielle qui existe en cas de litige.Le droit d’auteur vous garantie une protection contre la reproduction frauduleuse. Cette forme de protection n’est pas complète, car il suffit de changer le nom d’une fonctionnalité dans la recette et un nouveau droit d’auteur sera signifié.

• Brevet

Protection : Pour une protection complète, il s’agit d’assigner des brevets à chacune des fonctionnalités du logiciel. Une fois accordé, le brevet confère à son inventeur un monopole absolu de fabrication, de vente et d'exploitation de son invention à travers tout le pays avec le droit de poursuivre tout contrefacteur devant les tribunaux.

Durée : 20 ans Les règlements de brevets varient de pays à pays. Le brevet de logiciel au Canada s’acquiert seulement si votre invention interagit avec un dispositif technologique prévu par la loi. Par exemple:

a) Périphériques (clavier, imprimant, souris, infrarouge,...)
b) Appareil externe (cellulaire, système asservi)
c) Réseau (Intranet, Internet,...)
d) Composant (processeur,mémoire, système alimentation)

Pour conclure, si vous avez un logiciel en voie de développement et qu’il traite l'information d'une façon nouvelle et utile en respectant les lignes directives susmentionnées ; ne tardez pas à vous inscrire au Bureau des brevets.

Coordonnées

* Renseignements généraux : 1 866 997-1936
* ATS : 1 866 442-2476
* Courriel : opic.contact@ic.gc.ca

Produit par Mathieu Frenette,
Redacteur technique chez Heptacube inc.


msg id: 152

Cyber-criminalité

27/07/2009, 2:28 pm

Les délinquants informatiques adoptent des méthodes opérationnelles similaires aux grandes puissances financières. Avec des nouvelles méthodes raffinées, ils parviennent encore et encore à piéger, Monsieur, Madame, tout le monde. Leur but? De voler vos informations, d’étudier vos comportements, et de vous vendre des services souvent inutiles. Leurs méthodes sont inspirées de nos élites en affaires et ils appliquent la recette pour terroriser dans un domaine très peu réglementé.
La cybercriminalité est en hausse cette année selon une étude publiée par M. Patrick Peterson chef en recherche de sécurité pour Cisco. Par exemple, M. Peterson cite que quelques malfaiteurs ont réussi à profiter du décès de Michael Jackson. Ils ont injecté le "cyberspace" avec des milliers de courriels-virus propageant la nouvelle de son décès. D'autre part, ils ont créé des sites pièges attirant votre attention avec promesse d' informations juteuses sans aucune crédibilité.
Ses pratiques sont de plus en plus fréquentes et elles sont adoptées par des gens intelligents et allumés. Ils trouvent une façon de vous piéger avec promesses de faire de l'argent ou en vous attirant vers une annonce qui semble trop belle pour être vrai. Ensuite, ils vous demandent de télécharger un logiciel ou de donner vos informations personnelles et voilà, le mal est fait. Les pirates informatiques utilisent des stratégies corporatives apprises sur les bancs universitaires et appliquent ses stratégies à des fins criminels. Quel rôle le gouvernement doit-il jouer pour protéger la vie privée des internautes? Doit-il resserrer la vis? Ceci ouvre le débat sur la réglementation de l'internet. La réglementation de l’Internet en opposition au principe fondamental de la liberté. Doit-on tourner la tête chaque fois qu'on est victime de la cybercriminalité ou nos gouvernements ont-ils l'obligation d'instaurer une constitution universelle avec des sanctions sévères pour ceux qui abusent de leur liberté? Faut-il attendre que l'internet devienne l'instrument par excellence des organisations criminelles avant de voir du changement? Selon Cisco, il existe un site internet appelé « Virtest» qui charge les cyber-pirates un tarif mensuel pour récolter de l'information sur les compagnies de logiciels sécurités. Ils ont créé leur propre blog afin de connaître si les compagnies de sécurité informatiques réussissent à détecter et supprimer les nouvelles éditions de logiciels malveillants et espionnage. Sans aucune contrainte, ses compagnies continuent à promouvoir des actes illicites Dorénavant,il existe aussi le phénomène de « spandexing» qui réfère à des spammeurs qui confectionnent des liens infectés reliés à un sujet médiatisé et qui manipulent les engins de recherche pour que leurs sites apparaissent dans les premiers résultats de la recherche. Or, le débat est ouvert, qui pense qu’on doit réglementer plus l'Internet? ground418hq
msg id: 151

Les serrures de haute sécurité Medeco3 à revoir selon Wired

22/06/2009, 1:37 am

Wired a fait la démonstration, dans un article publié la semaine dernière, que les serrures de haute sécurité fabriqués par Medeco3 ne rencontrent pas les exigences de l'insdustrie. Deux experts font la démonstration sur vidéo qu'ils sont en mesure d'ouvrir 5 serrures produites par l'entreprise Américaine en moins de 10 minutes. Belle initiative de la part Wired, j'aurais bien aimé voir cette expérience réalisée avec plus que 2 pro-lockpicker. [ À lire ici ]
msg id: 150

Le Fédéral parlera cybercrime aujourd'hui à 11h

18/06/2009, 10:12 am

À surveiller aujourd'hui à 11h: conférence de presse du gouvernement fédéral qui traite des moyens pour combattre le crime et cybercrime.

À voir (et entendre) sur le site de Radio-Canada

msg id: 149

Un rare exemple de justice en ce bas monde

15/06/2009, 10:25 am

C'est bon de voir que les grandes entreprises peuvent parfois répondre, et payer, pour leur comportement dégueulasse envers leurs clients, ses cancres qui doivent supporter une attitude corporative abusive et très malicieuse. Quand il y a un dollars à faire, vous pouvez être certain que les entreprises les plus "huilées" vont tout faire pour l'obtenir. On ne dit pas que le principe de la recherche du profit est en soi mauvais, mais bon sang! qu'il attise le pire en l'homme aux commandes de la machine corporative.

Le dernier exemple en lice est l'amende de 375 000$ imposée à Symantec et McAfee pour régler la poursuite à laquelle ils faisaient face. C'est que, comme tout le monde sait ou presque, ces deux entrerpises trouvent bon de renouveller l'abonnement mensuel de leurs clients sans en glisser mot à ceux-ci. Rien que ça! Ils doivent maintenant payer! Enfin.

À lire ici pour plus de détails
msg id: 148

Des collègues de bureau vous espionnent !

10/06/2009, 1:20 pm

Aujourd'hui sur le site du journal Les Affaires: Saviez-vous qu’un tiers des responsables de l’informatique des entreprises s’amusent à fouiner dans les informations confidentielles, comme les salaires, de leurs collègues?
msg id: 147

Le Pirate Party au Parlement Européen!

08/06/2009, 9:34 am

Nous vous en avions parlé. Eh bien c'est maintenant chose faite! Le Parti Pirate (Pirat Partiet)a récolté 7,1% du suffrage aux élections européennes en Suède hier. Ce score représente 215,000 scrutins et se situe bien au-delà du 4% nécessaire à l'obtention d'un "euro-siège". Le parti se battra pour «un Internet libre, sans aucune licence, dans une société ouverte». Son programme : réformer la loi sur les brevets, améliorer la protection de la vie privée, défendre les droits des internautes. On leur souhaite la meilleure des chances! Le Figaro a une histoire là-dessus aujourd'hui.
msg id: 146

Hameçonnage et marketing douteux sur Twitter

02/06/2009, 12:53 pm

Les analystes de chez Kapersky Labs pensaient découvrir un nouveau ver actif sur le réseau social Twitter. Ils ont plutôt mis à jour une douteuse tactique qui est appelée à exploser dans les prochaines années. Probablement grâce à l'hameçonnage, des pirates ont mis la main sur des identifiants et mots de passe Twitter pour ensuite propager un vidéo nommé "Best Video". En téléchargeant la vidéo, un fichier PDF malveillant est téléchargé automatiquement à l'insu des usagers. Ce fichier PDF tente alors d'exploiter des failles de sécurité pour télécharger un autre fichier: le module d'installation d'un faux logiciel de sécurité nommé «System Security». Les internautes «infectés» voient ensuite un message d'alerte indiquant que leur ordinateur a été infecté, et on les invite à acheter le logiciel pour bénéficier d'une protection complète contre les contaminations informatiques. Infos trouvées sur Branchez-vous et le blogue des analystes de Kapersky Labs
msg id: 145

5e colloque sur la cybercriminalité à Montréal

26/05/2009, 12:23 pm

C'est aujourd'hui et demain que se tient le 5e Colloque sur la cybercriminalité à Montréal. Au menu: ateliers, conférences, et de nombreux spécialistes. Plusieurs thèmes seront abordés tout au long du Colloque, notamment la fraude dans le secteur des télécommunications, l'espionnage électronique, la cyberintimidation, les technologies d'enquête ainsi que les applications psycholégales de la cyberpsychologie. Plus de détails ici et aussi ici
msg id: 144

Le iPhone défonce tout sur son passage

25/05/2009, 4:38 pm

Après avoir atteint le milliard de vente d'applications sur sa boutique en ligne, voilà maintenant que le iPhone atteint un nouveau sommet. L'édition du 1er juin de l'excellente revue The New Yorker (de loin la meilleure publication au monde) présente une couverture entièrement conçue sur iPhone. L'artiste Jorge Colombo a en effet utilisé l'application Brushes (disponible pour 4.99$) pour peindre une tortueuse scène de Times Square. Le progrès n'arrêtera donc jamais! À lire et à voir ici, en anglais
msg id: 143

Vol de données personnelles à Berkeley

11/05/2009, 9:45 am

L'Associated Press rapporte ce matin que l'Université Berkeley en Californie a été victime d'un vol de renseignements personnels sur ses serveurs. Plus de 160,000 étudiants ont donc vu, entre autres informations, leur numéro d'assurance sociale, leur date de naissance et leurs informations médicales atterir entre les mains de hackers. Selon les dirigeants d'UC Berkeley, les pirates auraient accédé à plusieurs reprises à la base de données de l'université entre le 6 octobre 2008 et le 9 avril 2009. Des frissons dans le dos vous dites...
msg id: 142

Le Pirate Party devient le #3 en Suède

08/05/2009, 11:30 am

On vous a parlé, récemment, du Pirate Party en Suède. Après que la cours suédoise ait condamné quatre gestionnaires du site Pirate Bay à un an de prison, le parti politique combattant pour l'abolition des lois régissant la propriété intellectuelle avait vu ses membres doublé en moins d'une semaine. Voilà maintenant qu'ils les ont triplé et le Pirate Party est maintenant le troisième parti politique suédois en terme de membres, devançant le Centre. Le parti est en lice pour les élections européennes de juin prochain. À lire ici
msg id: 141

Obama sur Youtube (encore)

29/04/2009, 2:49 pm

Signe des temps, le président américain Barack Obama s'adressera encore à la nation à travers le Web. À l'occasion des ses 100 premiers jours à la présidence, Obama prouvera encore une fois que le monde médiatique est en grande révolution. Le discours sera disponible sur la chaîne Youtube de la Maison-Blanche et parions qu'on pourra retrouver des photos sur le compte Flickr du WebPrez.
msg id: 140

McAfee lance un nouveau service anti-cybercrime gratuit

29/04/2009, 2:38 pm

Mc Afee, un vieux de la vieille en sécurité informatique, vient de lancer un nouveau site qui offre des conseils et services aux internautes relativement au cybercrime. Le site est en anglais seulement. Il contient une vidéo de présentation de 5 minutes, une grille afin d’identifier les besoins de l’usager, des liens utiles, des numéros de téléphone, et bien sur des logiciels produit par McAfee. James Quin, analyste senior chez Info-Tech Research Group Ltd a déclaré à itWorldCanada qu'une telle solution pourra certainement être utile pour les petites entreprises qui, dans le contexte économique actuel, pourront peut-être se débrouiller sans avoir à investir de gros montants en expertise pour assurer leur sécurité. Article trouvé chez Branchez-Vous
msg id: 139

Le gouvernemnt américain veut engager des hackers!

28/04/2009, 11:30 am

Les autorités fédérales américaines ne veulent pas traîner les hackers en justice. Oh non! Ils veulent plutôt les payer afin qu’ils sécurisent les réseaux informatiques du pays. C'est ce qu'on a tous comprit quand General Dynamics Information Technology a publié, récemment, une annonce au nom du Homeland Security Department. Recherché: quelqu’un qui « pense comme le méchant »! Les personnes intéressées, dit l’annonce, doivent connaître les outils et tactiques des hackers et être en mesure d’analyser le trafic internet et d’identifier les vulnérabilités dans les systèmes fédéraux. Dans la demande de budget du Pentagone en avril, le secrétaire à la Défense Robert Gates a mentionné que le Pentagone allait augmenter le nombre de cyberexperts formés chaque année de 80 (2008) à 250 (2011). Avis aux intéressés! Lisez-en davantage ici, en anglais
msg id: 138

Un parti politique pour les pirates!

23/04/2009, 2:22 pm

Comme vous le savez probablement, quatre fondateurs du site d’échange de fichiers The Pirate Bay ont été condamnés à un an de prison par la justice suédoise la semaine dernière. Depuis leur condamnation, le parti politique suédois Pirate Party a vu le nombre de ses membres pratiquement doublé, passant de 14 711 à 36 624. Pirate Party est en lice pour les élections européennes de juin prochain avec un total de 20 candidats. Selon son leader Rick Falkvinge, le parti est le quatrième plus gros en Suède « en terme de nombre de membres ». À lire sur BBC News
msg id: 137

Des remous dans les hautes sphères de la cyber-sécurité

22/04/2009, 12:01 pm

Hier à San Francisco se tenait la RSA Conference. Cette conférence existe depuis maintenant 18 ans et est un important forum pour les gens de l’industrie de la sécurité informatique. Les participants peuvent apprendre sur les plus importants dossiers de l’heure à travers l’interaction avec des pairs, génies et des compagnies émergentes, ainsi que plusieurs entreprises bien établies. Cette année, parmi les conférenciers invités, se retrouvaient Arthur W. Coviello, Jr. (Executive Vice President, EMC Corporation), Enrique T. Salem (President and Chief Executive Officer, Symantec Corporation), Scott Charney (Corporate Vice President, Trustworthy Computing (TwC), Microsoft) et beaucoup d’autres. Toutes les informations ici

Cette année, le directeur de la NSA, le Lieutenant-Général Keith B. Alexander, tenait le discours d’ouverture. Alexander est un personnage quelque peu controversé dans le milieu, puisque personne ne sait vraiment quelles sont les intentions de la toute-puissante NSA par rapport à la cyber-sécurité. En mars dernier, Rod Beckström, le chef de la cyber-sécurité au Département de la Homeland Security à Washington, démissionnait subitement et dans la controverse, affirmant que la NSA ne coopérait pas avec ses efforts et que c’était une très mauvaise idée de laisser la NSA mener le bal dans l’important domaine de la sécurité informatique. Hier, le Lieutenant-Général Alexander affirmait pourtant devant le parterre de la RSA Conference que la NSA « ne veut pas s’occuper de la cyber-sécurité pour l’ensemble du gouvernement des États-Unis ». Un dossier à suivre. [ Complétez votre information avec cet article et celui-ci. ]
msg id: 136

Sondage sur le vol d'identité et la cybercriminalité au Québec

09/02/2009, 3:42 pm

Voici le premier sondage officiel sur la cybercriminalité et le vol d'identité au Québec. Mené en 2007, ce sondage expose l'ampleur des problèmes de sécurité liés aux TIC touchant les québécois. "Des 877 600 incidents de vol d'identité et de cybercriminalité, on compte 267 000 victimes d'intrusions ou de piratage informatique et 94 900 incidents de fraude sur Internet." L'indice de confiance par rapport à la prévention de ces crimes est de 68% chez les institutions bancaires et de 22 % pour les entreprises de services sur internet. [ Consulter les résultats ]
msg id: 135

Un hack sur le site de Monster

09/02/2009, 3:24 pm

Une faille sur le site de recrutement Monster a permit le vol d'information affectant 4.5 millions d'utilisateurs. L'information volée comprends des nom d'usager, mot de passe, téléphones, adresses, etc. Selon Monster, aucun numéro d'assurance social ou d'information bancaire a été dérobé. L'information envoyé sur un site Web ne devrait jamais être considérée comme sensibles par l'utilisateur, à moins que le réalisateur du site Web assure à ses utilisateurs que les données sont sauvegardées de façon sécuritaire. [ Lire sur itpro (anglais) ]
msg id: 134

Des problèmes de mathématique chez Verizon

08/02/2009, 9:15 pm

Une petite vidéo sur YouTube nous expose une frustration quotidienne de certains utilisateurs de services internet (ISP). Pour remettre les choses dans leur contexte, voici le synopsis d'un cauchemar qui est trop fréquent, même au Canada. L'utilisateur Verizon tente d'expliquer au représentant qu'il y a une erreur dans sa facturation. Il est vraisemblablement indiqué que les frais de surcharge de bande passant sont de 0.002 cents, mais l'entreprise elle lui charge 0.002 $ par kilobyte supplémentaire téléchargé. Aucun employé chez Verizon semble savoir que 0.002 dollar n'est pas égal à 0.002 cent. Peut-être après tout, que les employés de Sympatico ( ISP la plus problématique du Québec ) ont été formés chez Verizon ? [ Voir le clip ]
msg id: 133

Selon Google, l'ensemble des sites sur internet sont dangereux

02/02/2009, 12:56 pm

Une erreur humaine chez Google a provoquée une classification automatique de l'ensemble des sites disponibles sur Google comme "site dangereux". L'erreur a été effective samedi dernier entre 6h. 30 et 7h. 25 PST. Durant cette période, à chaque requête de recherche l'on pouvait voir la phrase: "This site may harm your computer". Ce qui est amusant, c'est que cette nouvelle a rapidement fait la une de securityfocus.com, site qui est la propriété de Symantec. Cette dernière fait aussi la notation des site dangereux (voir safeweb.norton.com). L'article de securityfocus.com ressemble donc à une dénonciation de médiocrité de la part d'un compétiteur. [ Lire l'article sur securityfocus | google blog ]
msg id: 132

La NSA encore dans l'eau chaude

27/01/2009, 12:31 pm

Un officier de la NSA, Russell Tice, a admit avoir fait, sous la direction du gouvernement américain Bush, l'audition de milliers de comptes de carte de crédit sans avoir de mandat conforme. L'histoire ne dit pas comment la NSA aurait mis la main sur ces informations de compte. Les entreprises de télécommunication tel que AT&T ou Verizon pourraient bien être à la source de cet espionnage gouvernemental illégal. On nous explique dans cet article qu'une pièce entière était réservée dans un local de AT&T pour les activités de "data mining" des agents de la NSA. Si les banques sont aussi dans le coup, elles devront aussi faire face à la justice américaine. [ Lire l'article sur Wired ]
msg id: 131

Downadup affecterait plus de 3 millions de machines

20/01/2009, 9:36 am

Le ver Downadup utilise une technique plutôt innvatrice, qui le rend très difficile à stopper. Comme la pluspart des vers informatique, il se connecte sur un serveur Web afin télécharger des programmes malicieux. La différence provient du fait que Downadup change constamment de serveur Web pour effectuer ses téléchargement. Traditionnellement, le serveur Web utilisé par un vers était relativement facile à fermer et l'effet du virus devenait pratiquement nul. Maintenant, la chose devient plus harsardeuse. Selon le groupe en cybersécurité F-Secure, le ver affecterait maintenant plus de 3.5 millions d'ordinateurs. Les pays les plus touchés sont la Chine, le Brazil et la Russie. [ Lire l'article de f-Secure ]
msg id: 130

Top 10 des avis de sécurité pour 2008

09/01/2009, 12:57 pm

Voici notre top 10 des alertes de sécurité et vulnérabilités les plus populaires de l'année 2008. Nous désirons mentionner que le nombre d'alertes ajoutées en 2008 a été plus petit que les années précédentes. Encore une fois en 2008, les avis "maison", soit ceux produits par notre équipe, sont tous présents dans ce palmares. La section avis de sécurité et vulnérabilités logiciel a servit près de 90 000 pages en 2008, ce qui représente une augmentation de 400% par rapport à l'année 2007. [ Consulter le top 10 ]
msg id: 129