Cybersécurité - Innovations digitales et numériques

« La démarche française s’articule aujourd’hui autour de trois enjeux : mieux protéger, mieux réguler et mieux dépenser. Elle s’inscrit dans la volonté d’établir un équilibre entre les enjeux de sécurité et de compétitivité, et un accès à un coût raisonnable à des solutions fiables. La structuration de la filière nationale ne signifie pas, cependant, un repli national. La France soutient une politique industrielle européenne de sécurité. C’est pourquoi nous pensons aussi notre démarche au niveau européen. C’est d’ailleurs en mutualisant nos efforts que nous pourrons gagner. Nous devons protéger ensemble nos pépites industrielles européennes pour rester dans la course internationale. L’objectif de cette politique est, et sera, de répondre aux exigences de sécurité tout en assurant le respect des fondamentaux éthiques de la vie privée. Pour cela, il est indispensable d’intégrer les utilisateurs finaux dans le développement des technologies ».

Les cybercriminels avaient dérobé des informations confidentielles sur 22 000 comptes Twitter, 59 000 comptes Yahoo!, 60 000 comptes Google et 326 000 comptes Facebook. D’autres sites sont également concernés, à savoir, LinkedIn, agateway ou encore vk.com. Les données ont été aspirées suite à l’infection des comptes par un malware, principalement sur des ordinateurs dont les mises à jour de sécurité étaient obsolètes. Les informations volées étaient principalement des mots de passe permettant l’accès à l’ensemble des comptes. L’ensemble des utilisateurs qui se sont fait dérober leurs codes à leur insu se trouvaient aux Etats-Unis, en Chine, en Thaïlande et en Europe, notamment, en Allemagne. Suite à cette découverte, Facebook a réagi très rapidement en modifiant l’ensemble des mots de passe des comptes concernés afin de protéger les utilisateurs.

En 2014 également, les téléphones mobiles serviront encore à … passer des appels ! Avec le développement de la VoIP et la dépendance accrue des particuliers, entreprises et états aux réseaux de communication, la protection des infrastructures de télécommunications sera nécessairement d’actualité, afin d’éviter des attaques telles que les TDoS (ou Telephony Denial of Service) ou autres tentatives d’interception ou de modification de conversations.

Juliet Lodge, professeur à l’université de Leeds et membre du Privacy Expert Group au Biometrics Institute, commentant le rapport sur le rôle des machines, a expliqué que les deux scénarios envisagés impliquent une dépersonnalisation de l’individu, avec une identité, telle que nous la connaissons, qui semble être remplacée par le concept d’un code reconnaissable par la machine. « L’identité est devenue un petit bout d’algorithme qui peut être associé à un autre code », a expliqué le Pr. Lodge, soulignant les plus larges implications sur la personne qui a accès aux données personnelles, mais aussi en termes d’imposition et de tenue d’archives, d’emploi, d’accès aux services et d’intégration sociale. Les deux scénarios « soulèvent des questions éthiques stratégiques sur le modèle de société ainsi créé. »

Reprenant un argument déjà utilisé par Adobe, Cupid Media suggère que de nombreux password appartiennent en réalité à des utilisateurs inactifs. Et la société précise qu’elle a depuis renforcé sa sécurité (hashage et salage de la base de données, obligation faite aux utilisateurs de choisir des mots de passe non triviaux).

La partie privée permet une utilisation libre des fichiers à des fins personnelles, tandis que la partie entreprise permet de cloisonner les données dans un ‘container’ chiffré et géré par l’organisation. Laquelle peut notamment effacer des éléments à distance, transférer des comptes (en cas de départ ou de reclassement d’un employé) et partager des journaux d’audit. De quoi enfin rassurer en partie les DSI, qui pestent régulièrement contre la multiplication des comptes Dropbox dans leurs organisations, au mépris des règles de sécurité qu’ils défendent.

Selon l’étude (dont on retrouvera les données imagées sur cette page), 97% des applications testées ont accès à au moins une information privée (contacts, réseaux sociaux, connexion Wifi ou Bluetooth…) depuis un mobile et 86% de ces applications ne dispose d’aucune mesure de protection contre les risques d’attaques les plus communes (débordement de mémoire tampon notamment).

L'Asic indique que le régime dérogatoire est « étendu au-delà des cas de terrorisme, [...] à la recherche des renseignements intéressant la sécurité nationale, la sauvegarde des éléments essentiels du potentiel scientifique et économique de la France, ou la prévention du terrorisme, de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien de groupements dissous ».

C'est aux abords de Lille que la matinée débat IT Tour le Monde Informatique a donné rendez-vous aux responsables informatiques de la région le 21 novembre 2013. En association avec le GUN et le Clusir Infonord, plusieurs tables rondes ont réuni des grands témoins : Emmanuel Dupont, RSSI d'Holcim France Benelux ; Didier Lamballais, DSI de l'Université de Lille 1 ; Pierre-Marie Moulière, DSI du groupe ARC et membre du GUN ; Thierry Servais, Président du Clusir Infonord et RSSI de Kingfisher et Jean-François Guilbert de Manpower. Voici un résumé des échanges.

AirWatch bénéficie de l’écosystème de partenaires technologiques et d’intégration d’API le plus abouti du marché. Les entreprises peuvent tirer profit des fonctionnalités d’AirWatch tout en capitalisant sur l’intégration avec les prestataires de gestion des risques pour applications du Marketplace d’AirWatch comme Appthority ou Veracode pour des fonctionnalités additionnelles.

Dans l’état, les pirates auraient récupéré suffisamment d’éléments pour procéder à l’ouverture de comptes bancaires sous de fausses identités. Autres possibilités, revendre ces numéros – qui se monnayent entre 10 et 50 dollars au marché noir – ou en céder à des ‘caissiers’, ces personnes chargées d’encoder de nouvelles cartes de crédit à partir des données subtilisées pour qu’elles soient utilisables ailleurs que sur Internet.

À cause de cette caractéristique, il n’a pas été possible de supprimer complètement le botnet de la Toile. Au lieu de cela, l’action menée a permis de bloquer son fonctionnement – ce qui obligera les pirates à réviser le dispositif technique du botnet – et aussi de casser le business model des criminels exploitant ce réseau de machines. De quoi freiner fortement et, espérons-le, durablement cette menace.

Ceci dit, « Prolexic ne faisait pas beaucoup parler d’elle en France jusqu’ici », explique Arnaud Cassage. Contrairement à d’autres fournisseurs comme Arbor Network, Corero, F5, Radware ou encore Juniper. Les entreprises françaises externalisent peu leur sécurité. Elles préfèrent se protéger avec un boitier installé en interne que de passer par un prestataire externe. « Pour repérer une attaque DDOS, il vaut mieux bien connaître les applications de l’entreprises, argumente Arnaud Cassagne. Et avec ses 120 collaborateurs, Prolexic ne convainc pas nécessairement. » Et comparé au rachat de Sourcefire par Cisco celui de Prolexic fait pâle figure. Plus de 2 milliards de dollars dépensé dans le premier cas contre 370 millions dans le deuxième.

Par sécurité, l’informatique du Parlement demande également aux utilisateurs d’installer un certificat sur tous les terminaux se connectant aux systèmes d’information internes. Et préconise, pour tous, le changement de leurs mots de passe donnant accès aux mêmes systèmes.

Si les Français pataugent avec la gestion de leurs mots de passe, ce n‘est pas parce qu’ils n’ont pas l’habitude de les utiliser : pour 84 % des Français, entrer un mot de passe sur Internet est un geste quotidien. Parmi cette large majorité de la population, un tiers effectue ce geste plus de 5 fois par jour.

La solution réside donc peut-être dans une approche repensée de l'attribution des droits étendus. En lieu et place de privilèges absolus, la mise à disposition de privilèges étendus devraient être mise en place uniquement en cas de nécessité, en recevant par exemples des droits d'entrée élevés à des ressources spécifique de manière limitée dans le temps.