Cybersécurité - Innovations digitales et numériques

Il explique que grâce à HSTS, il est parvenu à isoler un code permettant d’identifier le navigateur utilisé par un internaute visitant le site. En effet HSTS génère et stocke une valeur pour chaque site selon le comportement du navigateur et l’activation automatique ou non d’HTTPS. Pour identifier un utilisateur, Sam Greenhalgh teste les valeurs du navigateur pour 32 sites différents et regroupe ces 32 valeurs dans un seul code, converti en base36, qui permet d’identifier le navigateur utilisé. Un exemple de sa technique, nommée HSTS Super Cookie, est présenté sur le site et permet de tester le comportement du navigateur.

add your insight...

Domino's Pizza France ne cède pas. Rappelons que le restaurateur été attaqué le 9 juin dernier : "Domino's Pizza France a été la cible d'une attaque informatique sur la plateforme technique qu'elle utilise pour gérer son site commerçant. Cet accès illégitime a potentiellement entraîné la récupération d'un nombre limité de données", explique le groupe dans un mail envoyé à ses clients.

Parmi les informations qu’Apple recueille et est susceptible de fournir aux agences gouvernementales des Etats-Unis suivant après assignation ou présentation d’un mandat figurent :

• des informations basiques d’enregistrement (nom, adresse, courriel, numéro de téléphone) ;
• les fichiers logs de données de messagerie stockées 60 jours durant dans le service iCloud (inclus l’historique des échanges entrants et sortants, la date, l’heure et les adresses électroniques de l’expéditeur et des destinataires) ;
• d’autres contenus iCloud, dont les photos, les contacts, le calendrier, les favoris ou encore les sauvegardes, tant que le client n’a pas supprimé ce contenu de son compte (qui ne serait de facto plus conservé sur les serveurs d’Apple);
• des données personnelles issues de l’application de localisation Find My iPhone. Apple précise cependant qu’il ne peut pas activer cette fonctionnalité sur demande des forces de l’ordre ; elle doit avoir été activée par le client lui-même pour ce dispositif en particulier que les agences souhaiteraient tracer;
• des contenus spécifiques achetés ou téléchargés depuis la vitrine en ligne d’Apple en plus du nom, adresse de livraison, numéro de téléphone, adresse IP ou endroit où l’achat a été effectué ;
• Apple peut extraire certaines catégories de données actives sur des dispositifs verrouillés par un code après réception d’un mandat de perquisition valide. Toutefois, le processus d'extraction des données est « uniquement réalisé au siège social d’Apple, à Cupertino, Californie » et sur des terminaux en bon état de fonctionnement, précise la multinationale américaine. Le groupe recommande aux représentants des autorités fédérales d’assister à l’extraction. Il précise également que le processus est réalisable à partir d’iOS 4 et les données qu’il peut fournir aux forces de l’ordre sont les SMS, photos, vidéos, liste de contacts, enregistrements audio et historique d’appel. En revanche, Apple ne pourra rien pour les demandes concernant les courriels, les rendez-vous notés sur le calendrier, ou tout ce qui touche aux applications tierces.

La modification en 2012 de la politique de confidentialité de Google a largement contribué à fédérer les agences européennes de protection des données personnelles. Et les pratiques de Facebook sont à présent aussi scrutées de très près.

En février, un groupe de travail au sein de l’Article 29 a été créé pour se pencher sur le cas Facebook. La Belgique se montre particulièrement active sur le sujet et un premier rapport épingle sévèrement le réseau social.

Les DSI ne peuvent se préoccuper des seuls aspects technologiques des projets conduits au sein de l’entreprise. Si les décideurs IT veulent et doivent peser plus dans les décisions business, ils doivent alors composer avec les risques liés à l’activité de l’entreprise et non seulement ceux ayant trait au système d'information.

Le géant confirme une professionnalisation des attaques, et note qu'elles sont "extrêmement ciblées", ainsi que "bien financées et semblables à des entreprises commerciales". Au final, elles proviennent de personnes à l'extérieur dans 56% des cas, d'employés internes malintentionnés dans 17%, d'une combinaison dans 22% et d'un acteur "par inadvertance" dans 5%.

Voilà qui lui permet d’affirmer que les cartes bancaires n’ont pas été compromises malgré le vol des codes PIN. Pas sûr que ces explications techniques suffisent à rassurer les clients alors même que les données dérobées sont déjà présentes sur le marché noir.