Vous le savez peut-être, les applications Android sont très simples à analyser afin de comprendre leur fonctionnement interne. La raison ? Le code embarqué est un code interprété par une machine virtuelle, ce qui signifie que la rétro-ingénierie permet de produire du code lisible par un humain, à contrario du code assembleur, qui peut être fastidieux à comprendre dans le cadre d'une application moderne.

Quel outil utiliser pour analyser un APK ?

L'outil le plus simple que j'ai trouvé actuellement pour décompiler une application Android est JADX.
Il s'agit d'un logiciel Opensource disponible sur GitHub et disponible en standard sous forme de paquet sur Kali Linux disponible sur Windows avec WSL2.

Son interface graphique permet en un clic de découvrir l'ensemble de la structure du code de l'application.
C'est après avoir cliqué sur la classe à analyser que l'outil génère du code Java à la volée.

Comment télécharger un APK ?

Un APK est une version compilée et packagée d'une application Android. Les APK sont les fichiers que votre Smartphone télécharge quand vous installez une nouvelle application depuis un magasin d'application.

Les APK peuvent être facilement téléchargeables depuis des sites comme ApkPure par exemple. Ces sites proposent en libre téléchargement les APK de la majorité des applications disponibles sur les magasins d'application officiels.

Vous pouvez bien sûr tester cet outil sur votre propre application.

Est-ce que le reverse engineering est légal en France ?

Le reverse enginering de code est protégé en France par l'article L122-6-1 afin de permettre l'interopérabilité de logiciels.

Au-delà d'un besoin d'interopérabilité, il est interdit de réaliser ce type de pratique sur des logiciels dont vous n'êtes pas l'auteur.

Comment modifier le code d'un APK ?

Il existe à ma connaissance deux possibilités :

• Générer un projet complètement vierge via l'export "Gradle" proposé par Jadx. Mais attention, certaines classes peuvent provoquer des erreurs dans Jadx. Vous ne serez pas certain sur une application complexe d'obtenir l'exhaustivité du code source vous permettant de régénérer une application neuve.

• L'autre alternative est de modifier le code source via un format Smali, un format de code moins lisible que le Java mais facilement modifiable sans devoir recompiler l'ensemble de l'application.

Dans les deux cas, l'application produite devra être signée avec votre certificat de développement pour pouvoir fonctionner sur un terminal Android.

Qu'est-ce que cela signifie pour la sécurité des applications Android ?

Si vous comptiez cacher des choses dans votre code : clef d'API, URL ... Sachez que ces éléments sont ouverts à tout pirate informatique qui peut s'intéresser la sécurité de l'application mobile.

Voici quelques recommandations :

• Offusquer le code de vos applications avec des logiciels comme Proguard par exemple. Mais attention quand votre application crashera, il ne sera pas forcement évident de comprendre l'origine du crash ...
• Ne stockez aucune donnée sensible dans votre application : Clef d'API, mot de passe ... Ces éléments de sécurité sont très simples à trouver depuis du code décompilé.

En conclusion

J'espère que cet article vous aura été instructif. N'oubliez pas que le code d'une application Android n'est pas quelque chose de protégé par défaut, une grande majorité d'entre elles sur les stores n'ont pas de code offusqué et peuvent dévoiler leurs secrets à des développeurs malicieux.

Depuis la pandémie de corona, ce type de fraude a énormément augmenté. 

Les fraudeurs profitent des sentiments de leurs victimes pour leur voler leur argent. Tout ça au nom de... l'amour ?

Vérifier les informations sur votre "nouvel ami(e)" via d'autres médias sociaux, par ex. LinkedIn.

Recherchez via Google si la photo de profil n'est pas déjà utilisée sur un autre médial social :

https://support.google.com/websearch/answer/1325808?co=GENIE.Platform%3DAndroid&hl=fr

Et surtout, quelle que soit la force de vos sentiments, ne transférez jamais d'argent.

Nous sommes de plus en plus mobiles. 

Les fraudeurs et les cybercriminels le savent et nous envoient des SMS frauduleux contenant un lien vers un virus. 

Mais ils ont besoin de nous pour installer ce virus. 

Apprenez faire attention aux signes suspects qui peuvent vous alertez du danger. 

Aujourd'hui je reçois à mon micro Xavier Martens, spécialiste international du Threat Hunting. Vous n'avez jamais entendu parler du Threat Hunting ? En voici l'occasion idéale ! 

Le Threat hunting  c'est une manière pour une entreprise de reprendre le contrôle de sa sécurité informatique et d'éviter proactivement les failles dans son réseau et ses systèmes d'information. 

Sur ce sujet qui parait complexe à première vue, Xavier Martens prend le temps de m'expliquer de manière extrêmement didactique les subtilités de cette pratique et l'importance de la mettre en place.

Notes de l'épisode:

Episode 4, Interview de Baptiste Robert, hackeur éthique :  https://smartlink.ausha.co/cybersecurity-evolved-le-podcast-qui-decrypte-la-cybersecurite 

David Bianco, La pyramide de la douleur : https://ichi.pro/fr/securite-cognitive-pyramide-de-la-douleur-69335906158285

« Retour sur… », un podcast pour décrypter l’actualité avec les expert·e·s.

Le 21 janvier 2021, Emmanuel Macron annonçait la mise en place du Plan Quantique National : 1,8 milliard d’euros destinés à accélérer les transformations de l’industrie et de la recherche informatique.

Nous faisons le point avec Eleni Diamanti, chercheuse CNRS au Laboratoire d’informatique de Sorbonne Université et au Paris Center for Quantum Computing.

Des capteurs aux ordinateurs en passant par la cryptographie, Eleni Diamanti explore avec nous la maturité des différentes technologies quantiques, dont certaines sont déjà utilisées actuellement, et nous explique quand les autres pourraient être déployées.

Pour aller plus loin, nous vous recommandons les articles suivants :

• Quand les technologies quantiques prennent le large, de Malo Cadoret et Jeanne Bernard, du CNAM.

• Au XXIᵉ siècle, la lumière s’invite dans les nouvelles technologies, d’Azzedine Boudrioua, de l’Université Sorbonne Paris Nord.

• L’ordinateur quantique, pour bientôt ?, de Jacques Baudron, de l’Université Paris-Saclay.

Conception, Elsa Couderc. Production, Romain Pollet.

Les auteurs ne travaillent pas, ne conseillent pas, ne possèdent pas de parts, ne reçoivent pas de fonds d'une organisation qui pourrait tirer profit de cet article, et n'ont déclaré aucune autre affiliation que leur organisme de recherche.

 Eliott Alderson @fs0c131y, de son vrai nom Baptiste Robert est un hacker éthique et une vraie célébrité sur Twitter. Il a accepté de répondre à nos questions et de nous révéler quelques-unes de ses découvertes les plus surprenantes. La morale de l’histoire à retenir avant tout : non le crime ne paie pas plus dans l’IT ! Mais aussi et surtout écoutons-le, pour nous imprégner de ses conseils pour nous préserver des cyberattaques. 

Cybersecurity Evolved est le podcast de Sophos qui décrypte la cybersécurité. Tous les mois une personnalité de la sécurité informatique se fait interviewer pour expliquer de manière simple et accessible les grandes tendances et les bons réflexes en termes de cybersécurité.

Ajouter un second facteur d’identification sur votre compte Fabebook ne veux pas dire ajouter une seconde serrure sur la porte mais installer un nouveau système de sécurité comme un système d’alarme. C'est aussi sûr mais la grande différence est que c’est complèment gratuit.

N’attendez pas, installez-la sans attendre.

Musique Free Music Archive

Licence : Creative Commons - CCBY 3.0

Kevin MacLeod - Backed Vibes Clean

Kevin MacLeod - Dances and Dames

Pierce Murphy - Just give it time

Kevin MacLeod - Faster Does it

Pourquoi Covid-19 apprend aux entreprises à combler le fossé de la cybersécurité

Selon le rapport 2021 Secure Consumer Cyber Report d’Ivanti, 30 % des travailleurs à distance aux États-Unis et au Royaume-Uni déclarent que leur entreprise ne les oblige pas à utiliser un outil d’accès sécurisé, notamment un VPN, pour se connecter aux bases de données et aux systèmes de l’entreprise.

En outre, 25 % des travailleurs à distance aux États-Unis et au Royaume-Uni ne sont pas tenus d’utiliser un logiciel de sécurité spécifique sur leurs appareils pour accéder à certaines applications lorsqu’ils travaillent à distance.

Et un travailleur à distance américain sur quatre utilise sa messagerie et ses mots de passe professionnels pour se connecter à des sites web et des applications grand public. Vous avez dit inquiétant ?

Les lacunes en matière de cybersécurité ont continué à se creuser pendant la pandémie. Une étude remarquable d’Ivanti illustre exactement comment les employés en home office mettent les organisations en danger et où la sécurité de l’entreprise est insuffisante, ce qui rend ces lacunes de cybersécurité difficiles à combler pour les RSSI. Le rapport 2021 Secure Consumer Cyber Report d’Ivanti décrit les défis auxquels les équipes informatiques et de cybersécurité ont été confrontées pour sécuriser les travailleurs à distance dans ce qui est décrit comme le « Everywhere Workplace ».

Basée sur des entretiens avec plus de 2 000 répondants américains et britanniques travaillant à domicile en novembre 2020, l’enquête montre que l’authentification et la sécurité des points névralgiques doivent être améliorées sur tous les appareils utilisés par les employés.

Les organisations informatiques ont besoin d’aide pour combler leurs lacunes en matière de cybersécurité

Parmi les nombreux enseignements tirés de l’enquête de 2020, les plus précieux sont les suivants :

• Les employés ont besoin de terminaux (desktop) qui s’autodiagnostiquent et s’autoréparent, tandis que les services informatiques doivent améliorer la gestion unifiée des terminaux finaux distants, c’est à dire des appareils des employés dans le cadre d’une stratégie de ZERO Trust. Les Hackers continuent de cibler les identifiants d’accès privilégiés des travailleurs à distance pour accéder et exfiltrer les données clients, financières et propriétaires, y compris la propriété intellectuelle. L’enquête d’Ivanti donne un aperçu des domaines où les lacunes en matière de cybersécurité doivent être comblées en priorité :
• La plus grande menace est celle liée à la protection de l’identité d’une personne, car elle est exposée à de divers menaces, notamment
  • les appareils personnels et professionnels,
  • les sites Web des consommateurs et les appareils IoT dans les foyers.

La pandémie prouve que les identités sont le nouveau périmètre de sécurité. Le téléphone portable, la tablette personnelle et l’ordinateur portable d’une personne constituent une définition numérique en temps réel de l’identité d’une personne. Près de la moitié (49 %) des travailleurs à distance américains utilisent des appareils personnels pour leur travail, souvent sans que l’authentification à deux facteurs soit activée.

L’absence de normes cohérentes en matière de logiciels de sécurité et de mots de passe contribue largement aux lacunes actuelles des organisations américaines et occidentales en matière de cybersécurité. Un travailleur à distance sur quatre peut accéder aux ressources de l’entreprise sans aucun logiciel de sécurité en place.

Un résultat encore plus surprenant est que 30 % des travailleurs à distance aux États-Unis et au Royaume-Uni peuvent accéder aux données de l’entreprise sans outil d’accès sécurisé ou connexion VPN. Si l’identité d’un travailleur distant est compromise, il y a une chance sur trois que son entreprise soit victime d’une faille, ce qui permet aux cyberattaquants de se déplacer latéralement dans les systèmes de l’entreprise :

• La protection des identités et des appareils des travailleurs à distance à grande échelle nécessite une confiance zéro.
• Automatiser autant de tâches que possible tout en offrant une expérience utilisateur continue et transparente est le moyen le plus sûr de combler les lacunes en matière de cybersécurité.
• Se débarrasser des mots de passe et automatiser l’authentification à deux facteurs en utilisant Zero Sign-On (ZSO), un élément central de la plateforme Ivanti, s’avère essentiel aujourd’hui. Zero Sign-On s’appuie sur une la technologie biométrique, notamment Face ID, comme facteur d’authentification secondaire pour accéder à la messagerie professionnelle, aux communications unifiées et aux outils de collaboration, ainsi qu’aux bases de données et ressources partagées par l’entreprise.
• Les RSSI et leurs équipes doivent également réfléchir à la manière dont la défense contre les menaces peut mieux sécuriser les appareils personnels contre le phishing, les menaces liées aux appareils, au réseau et aux applications malveillantes.

À la fin de l’année dernière, MobileIron (qui fait désormais partie d’Ivanti) a reçu sa deuxième mention en deux ans dans la Forrester Wave : Zero Trust eXtended Ecosystem Platform Providers, Q3 2020.

En conclusion, les lacunes des entreprises en matière de cybersécurité se creusent en raison d’une combinaison de comportements risqués des employés et d’un manque de sécurité cohérente pour salariés en remote. Et ces lacunes ne feront que s’accroître, car les employés travaillent de plus en plus depuis n’importe où, en utilisant leurs appareils personnels pour se connecter aux ressources de l’entreprise. Pour sécuriser et permettre l’evolution de la modern workplace, les organisations doivent commencer dès aujourd’hui à mettre en œuvre et à faire évoluer un modèle de sécurité de bout en bout de type « Zero Trust » en tirant parti des nouvelles technologies et en protégeant leurs investissements actuels dans les technologies de sécurité.

L’article Combler le fossé de la cybersécurité est apparu en premier sur Actualité Informatique.

Qu’est-ce qu’une attaque SYN flood

L’inondation TCP SYN (alias SYN flood) est un type d’attaque par déni de service distribué (DDoS) qui exploite une partie de la poignée de main tripartite TCP normale pour consommer les ressources du serveur ciblé et le rendre insensible.

Essentiellement, avec SYN flood DDoS, le délinquant envoie des demandes de connexion TCP plus rapidement que la machine ciblée ne peut les traiter, ce qui provoque une saturation du réseau.

Description de l’attaque
Lorsqu’un client et un serveur établissent une « poignée de main à trois » TCP normale, l’échange ressemble à ceci :

Le client demande une connexion en envoyant un message SYN (synchronisation) au serveur.
Le serveur accuse réception en envoyant un message SYN-ACK (synchronize-acknowledge) au client.
Le client répond par un message ACK (acknowledgement) et la connexion est établie.
Dans une attaque par inondation SYN, l’attaquant envoie des paquets SYN répétés à chaque port du serveur ciblé, souvent en utilisant une fausse adresse IP. Le serveur, qui n’est pas au courant de l’attaque, reçoit de multiples demandes, apparemment légitimes, pour établir la communication. Il répond à chaque tentative par un paquet SYN-ACK sur chaque port ouvert.

Le client malveillant n’envoie pas l’ACK attendu ou, si l’adresse IP est usurpée, ne reçoit jamais le SYN-ACK. Dans tous les cas, le serveur attaqué attendra l’accusé de réception de son paquet SYN-ACK pendant un certain temps.

Pendant ce temps, le serveur ne peut pas fermer la connexion en envoyant un paquet RST, et la connexion reste ouverte. Avant que la connexion ne se termine, un autre paquet SYN arrive. Cela laisse un nombre de plus en plus important de connexions semi-ouvertes – et les attaques SYN flood sont également appelées attaques « semi-ouvertes ». Finalement, à mesure que les tables de débordement de connexions du serveur se remplissent, le service aux clients légitimes est refusé, et le serveur peut même tomber en panne ou tomber en panne.

Alors que l’inondation SYN « classique » décrite ci-dessus tente d’épuiser les ports du réseau, les paquets SYN peuvent également être utilisés dans les attaques DDoS qui tentent d’obstruer vos tuyaux avec de faux paquets pour atteindre la saturation du réseau. Le type de paquet n’est pas important. Néanmoins, les paquets SYN sont souvent utilisés car ils sont les moins susceptibles d’être rejetés par défaut.

Méthodes d’atténuation
Bien que les systèmes d’exploitation modernes soient mieux équipés pour gérer les ressources, ce qui rend plus difficile le débordement des tables de connexion, les serveurs restent vulnérables aux attaques SYN flood.

Il existe un certain nombre de techniques courantes pour atténuer les attaques SYN flood, notamment :

Micro-blocs – les administrateurs peuvent allouer un micro-enregistrement (aussi peu que 16 octets) dans la mémoire du serveur pour chaque demande SYN entrante au lieu d’un objet de connexion complet.

Cookies SYN : à l’aide d’un hachage cryptographique, le serveur envoie sa réponse SYN-ACK avec un numéro de séquence (seqno) construit à partir de l’adresse IP du client, du numéro de port et éventuellement d’autres informations d’identification uniques. Lorsque le client répond, ce hachage est inclus dans le paquet ACK. Le serveur vérifie l’ACK et n’alloue qu’ensuite la mémoire pour la connexion.

Cookies RST : lors de la première demande d’un client donné, le serveur envoie intentionnellement un SYN-ACK invalide. Cela devrait amener le client à générer un paquet RST, qui indique au serveur que quelque chose ne va pas. Si ce paquet est reçu, le serveur sait que la demande est légitime, enregistre le client et accepte les connexions entrantes suivantes.

Modification de la pile – les administrateurs peuvent modifier les piles TCP pour atténuer l’effet des inondations SYN. Il peut s’agir de réduire le délai d’attente jusqu’à ce qu’une pile libère la mémoire allouée à une connexion, ou de supprimer sélectivement les connexions entrantes.

Évidemment, toutes les méthodes mentionnées ci-dessus reposent sur la capacité du réseau cible à gérer des attaques DDoS volumétriques à grande échelle, avec des volumes de trafic mesurés en dizaines de gigabits (et même en centaines de gigabits) par seconde.

Une DDoS s’appuie sur la technologie Anycast pour équilibrer les requêtes DDoS entrantes à travers son réseau mondial de centres de scrubbing très performants. Grâce à la capacité combinée de son réseau mondial, Incapsula peut dépasser de manière rentable les ressources de l’attaquant, rendant l’attaque DDoS inefficace. Le service est conçu pour évoluer à la demande, offrant des ressources suffisantes pour faire face aux attaques DDoS volumétriques les plus importantes.

Pour assurer la continuité des activités, l’algorithme de filtrage analyse en permanence les requêtes SYN entrantes, en utilisant des cookies SYN pour allouer sélectivement les ressources aux visiteurs légitimes. Cela permet une atténuation transparente des attaques DDoS, sans temps d’arrêt, latence ou toute autre perturbation de l’activité.

L’article Définition attaque SYN Flood est apparu en premier sur Actualité Informatique.

Qu’est-ce qu’une attaque HTTP flood ?

L’inondation HTTP est un type d’attaque par déni de service distribué (DDoS) dans lequel l’attaquant exploite des requêtes HTTP GET ou POST apparemment légitimes pour attaquer un serveur ou une application Web.

Les attaques par déluge HTTP sont des attaques volumétriques, qui utilisent souvent une « armée de zombies » (botnet), c’est-à-dire un groupe d’ordinateurs connectés à Internet, dont chacun a été pris en charge de manière malveillante, généralement avec l’aide de malwares comme les chevaux de Troie.

Attaque sophistiquée de niveau 7, les inondations HTTP n’utilisent pas de paquets malformés, de techniques d’usurpation ou de réflexion, et nécessitent moins de bande passante que d’autres attaques pour faire tomber le site ou le serveur ciblé.

En tant que telles, elles exigent une connaissance plus approfondie du site ou de l’application ciblée, et chaque attaque doit être spécialement conçue pour être efficace. Les attaques par inondation HTTP sont donc beaucoup plus difficiles à détecter et à bloquer.

Description de l’attaque
Lorsqu’un client HTTP, tel qu’un navigateur Web, « parle » à une application ou à un serveur, il envoie une requête HTTP – généralement l’un des deux types de requête suivants : GET ou POST. Une requête GET est utilisée pour récupérer du contenu standard et statique comme des images, tandis que les requêtes POST sont utilisées pour accéder à des ressources générées dynamiquement.

L’attaque est plus efficace lorsqu’elle force le serveur ou l’application à allouer le maximum de ressources possibles en réponse à chaque demande. Ainsi, l’auteur de l’attaque cherchera généralement à inonder le serveur ou l’application de multiples requêtes qui nécessitent chacune un traitement aussi intensif que possible.

C’est pourquoi les attaques par inondation HTTP utilisant des requêtes POST ont tendance à être les plus efficaces en termes de ressources du point de vue de l’attaquant, car les requêtes POST peuvent inclure des paramètres qui déclenchent un traitement complexe côté serveur. D’autre part, les attaques basées sur les requêtes HTTP GET sont plus simples à créer et peuvent s’étendre plus efficacement dans un scénario de botnet.

Méthodes d’atténuation
Les attaques par inondation HTTP sont très difficiles à différencier du trafic valide car elles utilisent des requêtes URL standard. Cela en fait l’un des défis de sécurité non-vulnérable les plus avancés auxquels sont confrontés les serveurs et les applications aujourd’hui. La détection traditionnelle basée sur le débit est inefficace pour détecter les attaques par inondation HTTP, car le volume du trafic dans les inondations HTTP est souvent inférieur aux seuils de détection.

Les mécanismes d’atténuation les plus efficaces reposent sur une combinaison de méthodes de profilage du trafic, notamment l’identification de la réputation de l’IP, le suivi des activités anormales et l’utilisation de défis de sécurité progressifs (par exemple, demander d’analyser JavaScript).

L’article Définition attaque HTTP flood est apparu en premier sur Actualité Informatique.

Suite à l'incendie majeur dans le datacenter d'OVH qui a détruit de nombreuses données, voici une petite astuce pour rapatrier de manière automatisée les sauvegardes de vos serveurs à votre domicile sur votre NAS Synology.

Cet incident produit chez OVH a remis en question les idées reçues sur la sécurité des données d'un Datacenter. Un certain nombre de clients qui n'ont pas géoredondé leurs sauvegardes ont un risque important d'avoir perdu les données de leurs serveurs dans la mesure où l'incident à la fois détruit les serveurs, mais les sauvegardes qui étaient stockées dans le même Datacenter ...

Plus vous multipliez le type de support de vos sauvegardes, plus vous diminuez le risque de perdre vos données. L'utilisation de votre NAS vous assure le contrôle des données, mais ne vous prémunit en rien un incident majeur : vol du NAS, incendie. Il permet de géoredonder votre sauvegarde et de limiter les risques de pertes de données si votre serveur part en fumée avec sa sauvegarde primaire.

? Créez un backup de votre serveur

Avant de pouvoir rapatrier les sauvegardes de vos serveurs sur notre serveur Synology NAS, il est nécessaire que vos serveurs soient sauvegardés avec un outil comme Backup Manager que je vous avais présenté il y a plus d'une décennie déjà.

Une fois que votre serveur produit correctement des archives prêtes à être récupérées. L'idée est de créer une tâche planifiée sur un NAS Synology pour que le backup soit automatiquement récupéré de manière quotidienne.

? Créez une tâche planifiée de sauvegarde sur un NAS Synology

Le planifier de tâches est accessible depuis l'outil de gestion de configuration du NAS synology.

Ajoutez une tâche en cliquant sur le bouton créer. Vous devrez ensuite saisir le nom de la tâche, son heure d'exécution et enfin les lignes de commande Linux à exécuter.

Dans mon cas, la sauvegarde de mon serveur est disponible dans un serveur FTP hébergé dans le même Datacenter que mon serveur, j'ai donc tout simplement utilisé la commande Wget pour récupérer l'archive depuis mon NAS.

# Je supprime toutes les anciennes archives de sauvegarde de plus de 1 an
$find /volume01/backup/* -mtime +365 -exec rm {} \;

# Je génére une variable avec le jour 
$export DIRPATH = $(date +"%Y-%m-%d");

# Je recopie tous les fichiers disponibles dans le serveur FTP de mon serveur sur un répertoire dédié de mon NAS synology
$wget -m ftp://user:password@mon-serveur/* -P /volume01/backup/$DIRPATH/

En conclusion

Une fois cette tâche mise en route, votre serveur NAS stockera à fréquence constante les sauvegardes de votre serveur.

Si vos disques le permettent, vous pourrez garder ainsi une profondeur d'historique importante vous permettant en cas d'incident de restaurer des sauvegardes anciennes.

Enfin, si vous souhaitez renforcer la sécurité de votre NAS Synology, je vous conseille d'aller jeter un coup d'oeil sur mon précédent article sur le sujet.

Bonnes sauvegardes !

Des données personnelles sont volées tous les jours sur internet. 

Certaines nous concernent et nous n’en sommes pas toujours informés. Pourtant il existe un moyen de savoir si quelqu’un d’autre que nous a accès à nos identifiants en ligne et pourrait utiliser notre compte Facebook à notre place ou aller lire nos e-mails.

Nous allons voir comment tester nos mots de passe et notre e-mail en utilisant des services gratuits en ligne ou même intégrés à notre smartphone.

https://haveibeenpwned.com

https://sec.hpi.de/ilc/search

Musique Free Music Archive

Licence : Creative Commons - CCBY 3.0

Kevin MacLeod - Backed Vibes Clean

Kevin MacLeod - Dances and Dames

Pierce Murphy - Just give it time

Kevin MacLeod - Faster Does it

John Shier, conseiller en sécurité chez Sophos, revient sur les cyberattaques ayant eu lieu ses 20 dernières années pour mieux dessiner l'avenir. 

Si Sherlock Holmes vivait à l'époque d'Internet, l'outil Sherlock présenté dans cet article lui aurait probablement servi à plusieurs reprises sur ses affaires de détective.

Sherlock est un outil développé en Python capable de découvrir la présence de comptes utilisés par un pseudonyme sur une majorité de sites Internet: Youtube, Vimeo, Unsplash, Trello ... etc.

Son fonctionnement est très simpliste, mais très efficace. Il peut être utilisé :

• D'une manière malveillante, en vue d'une attaque ciblée par un pirate.
• D'une manière bienveillante, pour éviter le cybersquattage et identifier les faux comptes utilisant votre marque.

Comment installer Sherlock ?

Pour installer cet outil, c'est très simple :

• Soit vous utilisez Kali Linux, dans ce cas un "apt-get install sherlock" vous sera suffisant pour installer cet outil.
• Soit vous utilisez une autre distribution, dans ce cas vous pouvez passer par une installation manuelle de l'outil :

$ git clone https://github.com/sherlock-project/sherlock.git
$ cd sherlock
$ python3 -m pip install -r requirements.txt

Si vous n'avez pas Linux, vous pouvez démarrer gratuitement Sherlock un shell Google via ce lien.

Comment utiliser Sherlock ?

Son usage est très simple, il vous suffit de taper la commande suivante pour rechercher l'ensemble des comptes utilisés par le pseudonyme "user123" :

sherlock user123

ou dans le cas d'une installation sur la base du code source :

python sherlock user123

En conclusion

Cet outil démontre la fragilité de l'utilisation d'un pseudonyme unique sur Internet si vous souhaitez protéger votre vie privée.
L'utilisation d'une chaine aléatoire dans votre pseudonyme est la seule solution pour se protéger de ce type d'outil.

Pour plus d'anonymisation sur ce type d'analyse, Sherlock supporte l'utilisation du réseau Tor pour anonymiser les vérifications.

Enfin, n'oubliez pas de changer de mot de passe sur chaque service Web que vous utilisez. n'hésitez pas à utiliser un gestionnaire de mot de passe comme KeePaasXC pour simplifier gratuitement la gestion de vos mots de passe.

Le projet Sherlock est Opensource est disponible sur GitHub.

Vous souhaitez lister les sous-domaines d'un domaine facilement ? Dnsdumpster est un portail en ligne qui permet d'analyser en quelques secondes les entrées DNS connues d'un nom de domaine Internet.

Les DNS ne permettent pas de lister facilement les sous-domaines d'un domaine principal sauf si celui-ci est mal configuré et ouvre des fonctions de transfert de zone.

Dnsdumpster est un outil en ligne exploitant les résultats de plusieurs plateformes comme Alexa Top 1 Million sites, Search Engines, Common Crawl, Certificate Transparency, Max Mind, Team Cymru, Shodan et scans.io pour en extraire les sous-domaines d'un domaine connu.

C'est à la fois un outil pouvant servir de détection de points d'entrée sur un réseau pour un attaquant, mais c'est aussi un outil pour permettre d'identifier des points d'attaque pour une entreprise.

Pour une plus grande simplicité dans l'analyse des résultats, la plateforme génère un schéma statique et un visuel dynamique permettant de mieux comprendre l'hébergement de l'ensemble des sous-domaines découverts.

Bref, c'est un outil gratuit intéressant à exploiter et qui est à la portée de tous et de toutes.

Une grande majorité d’entre-nous va préférer créer un mot de passe simple et laisser de côté les recommandations sur la sécurité informatique de peur de l’oublier.

Et si vous laissiez un gestionnaire de mots de passe faire le travail à votre place ?

Je vous explique comment les choisir et comment les utiliser afin de garantir votre sécurité en ligne.

Musique Free Music Archive

Licence : Creative Commons - CCBY 3.0

Kevin MacLeod - Backed Vibes Clean

Kevin MacLeod - Dances and Dames

Pierce Murphy - Just give it time

Kevin MacLeod - Faster Does it

Qu’est-ce que la gestion des clés SSH ? Comment les clés SSH sont-elles gérées ?

Secure Shell, ou SSH, est un protocole réseau normalement utilisé pour connecter un utilisateur à un système distant sur un réseau non sécurisé. SSH permet non seulement d’authentifier les utilisateurs, mais aussi de crypter les communications sur des réseaux comme Internet. Dans les organisations, SSH est utilisé par les administrateurs système, les utilisateurs et les processus automatisés pour lancer des transferts de fichiers, gérer l’infrastructure et fournir un accès à d’autres opérations système critiques. SSH travaille également dans le domaine du cloud computing pour aider à résoudre les problèmes de réseau et de sécurité. Les clés SSH servent à authentifier les utilisateurs sans utiliser de noms d’utilisateur ni de mots de passe. Au lieu de cela, les utilisateurs disposent d’une paire de clés SSH de confiance qui les authentifie comme la personne qu’ils disent être.

Comment les clés SSH sont-elles utilisées ?

L’authentification des clés SSH commence par la création d’une paire de clés. Comme l’authentification par SSH est asymétrique, une paire de clés asymétriques est créée. Le cryptage asymétrique utilise une paire de clés composée d’une clé publique et d’une clé privée, également appelées respectivement clé autorisée et clé d’identité. La clé publique donne à l’utilisateur l’accès au système de fichiers distant, de sorte que tout le monde ne peut pas se connecter au système de fichiers distant. Même si un utilisateur non autorisé volait la clé publique, il ne pourrait accéder à aucune information dans le système de fichiers distant, car il aurait également besoin de la clé privée. La clé privée sert à authentifier l’identité de l’utilisateur, donnant à l’utilisateur authentifié l’accès aux données auxquelles il est autorisé à accéder. Comme pour toutes les clés privées, la clé d’identité doit être conservée en toute sécurité et ne doit être accessible qu’à l’utilisateur qu’elle authentifie. La création de la paire de clés ne se produit qu’une seule fois, ce qui signifie que la paire de clés est liée à l’utilisateur pendant toute sa durée de vie. Une phrase de passe peut également être utilisée pour ajouter une mesure de sécurité supplémentaire au processus d’authentification SSH. Les données contenues dans le message sont cryptées avec un chiffrement symétrique.

Après la création de la paire de clés asymétriques, le client envoie ensuite l’ID de la clé publique au serveur pour authentification. Le serveur recherche un numéro d’identification correspondant à la clé publique et, s’il le trouve, crypte un message avec la clé publique et l’envoie au client. Le client décrypte ensuite le message, calcule le hachage MD5 du message et le renvoie au serveur. Si les hachages correspondent, le client est alors authentifié dans le système et peut travailler dans le système de fichiers distant.

Pourquoi la gestion des clés SSH est-elle importante ?
La gestion des clés SSH est primordiale lors du cryptage des connexions via SSH. La mauvaise gestion d’une paire de clés SSH peut compromettre l’accès à l’ensemble du système distant. Vous trouverez ci-dessous une liste des risques que la gestion des clés SSH permet de déjouer :

Perte d’informations : Les attaquants qui prennent le contrôle des clés SSH peuvent voler, supprimer ou modifier toutes les données auxquelles la victime avait accès. Cela peut entraîner l’exposition de données sensibles, telles que des informations personnellement identifiables (IPI), ou la perte de ces mêmes données.

Génération de clés étrangères : Tout utilisateur ayant accès au système à distance peut créer une paire de clés à d’autres fins d’authentification. Si une paire de clés SSH était mal gérée et qu’un attaquant volait les clés, il pourrait créer un nombre illimité de nouvelles paires de clés. Cela rendrait non seulement difficile la gestion des clés légitimes, mais permettrait également à l’attaquant de se connecter via n’importe laquelle des paires de clés nouvellement créées si la paire de clés qu’il a volée était supprimée.

Absence de date d’expiration : Les clés SSH n’ont pas de date d’expiration, comme les certificats SSL/TLS, ce qui augmente le risque qu’une paire de clés SSH soit mal gérée. Plus une paire de clés existe depuis longtemps, plus il est facile de ne pas continuer à la protéger lorsque de nouvelles clés sont créées. Les anciennes clés sont également moins susceptibles de faire l’objet d’une rotation, car les administrateurs système peuvent ne pas connaître le but d’une clé. Un autre problème posé par l’absence de date d’expiration est que lorsque les membres de l’équipe quittent l’entreprise, ils peuvent toujours avoir accès à leur clé, ce qui leur permet d’accéder à toutes les données auxquelles ils pourraient avoir accès lorsqu’ils sont dans l’entreprise. La suppression des anciennes clés est également rare, car les administrateurs système craignent de bloquer des accès importants s’ils suppriment la paire de clés.

Clés individuelles : Si un employé quitte l’entreprise, il a tendance à laisser derrière lui une seule clé, ce qui conduit à une paire de clés qui ne peut pas être utilisée. Les utilisateurs peuvent également perdre leurs clés, ce qui pose davantage de problèmes lorsqu’ils tentent de les supprimer. Comme auparavant, les administrateurs système hésitent à se débarrasser de clés dont ils ne connaissent pas le but, d’autant plus que cela pourrait interrompre des systèmes critiques.

Étalement des clés : Au fur et à mesure qu’une organisation fonctionne, de plus en plus de clés sont créées. Avec autant de clés créées, il devient difficile de suivre et de gérer les clés en circulation. Cela ouvre la porte aux attaquants qui peuvent compromettre les clés, car il est probable que chaque clé ne puisse être retrouvée.

Attaques basées sur les SSH : Les attaques basées sur la cryptographie sont de plus en plus fréquentes. Les acteurs de la menace peuvent exploiter les clés privées compromises et se faire passer pour des administrateurs, modifier le trafic crypté, lire le trafic crypté et accéder à des documents qui ne sont pas destinés à des personnes non autorisées. Si un attaquant accède aux systèmes distants d’une organisation, il peut modifier des données, les supprimer, les voler, mettre en œuvre des logiciels malveillants ou perturber le fonctionnement de systèmes critiques.

Conformité : L’une des raisons les plus importantes pour gérer correctement les clés est de se conformer aux normes et réglementations de sécurité. Les normes de conformité et de réglementation gouvernementales telles que PCI-DSS et FIPS exigent des organisations qu’elles gèrent correctement leurs clés SSH. Le National Institute of Standards and Technology (NIST) des États-Unis a publié des lignes directrices sur les meilleures façons de s’assurer que les clés SSH sont correctement gérées dans son document NIST IR 7966.

Conformité de la gestion des clés SSH

Pour être conforme aux normes telles que PCI-DSS, HIPPA et FIPS, il faut satisfaire à certaines exigences :

• Les identités et les clés SSH doivent être correctement gérées pour assurer la protection des IIP et autres données sensibles
• Les clés doivent être tournées lorsqu’elles sont utilisées pendant une longue période, et supprimées si elles ne sont plus actives
• La politique du moindre privilège doit être suivie. Cela signifie que les utilisateurs ne devraient avoir accès qu’aux informations dont ils ont absolument besoin, et rien de plus. Cela empêche les attaquants qui volent des clés d’accéder à l’ensemble du système à distance
• Les clés doivent être rapidement remplacées en cas de perte ou de compromission
• La sécurité des zones contenant des informations de paiement ou des données IIP doit être particulièrement surveillée et séparée des autres parties du réseau
• Bonnes pratiques pour la gestion des clés en sciences humaines

Le processus de gestion des clés SSH est très important à faire correctement. Vous devez assurer une couverture complète des clés de votre organisation et une couverture adéquate de toutes les vulnérabilités de sécurité. Vous trouverez ci-dessous une série de meilleures pratiques suggérées pour une gestion correcte des clés SSH.

Découverte et consolidation : La première étape du processus de gestion des clés SSH consiste à découvrir quelles sont les clés qui ont été distribuées dans votre organisation et combien il en existe. Les clés doivent être associées aux utilisateurs et aux serveurs auxquels elles correspondent, et elles doivent être continuellement vérifiées pour savoir depuis combien de temps elles ont été utilisées. Elles doivent être renouvelées si elles sont utilisées depuis longtemps. Si l’utilisateur authentifié par les clés ne fait plus partie de l’organisation, les clés doivent être supprimées pour éviter tout abus de la paire de clés. Les clés doivent également être regroupées dans un seul domaine au sein de l’organisation. Cela facilite la gestion des clés tout en réduisant la surface d’attaque des clés. La centralisation du stockage des clés permet d’éviter les clés individuelles et l’étalement des clés.
Création et mise en œuvre de politiques : L’étape suivante consiste à créer des politiques pour protéger les clés. Ces politiques doivent être définies :

• Qui peut créer des clés
• Comment créer et conserver des clés
• Quelles sont les clés créées pour
• Combien de temps les clés doivent exister avant la rotation
• Ce qui justifie la suppression d’une clé
• L’accès maximum qu’une clé doit avoir

Tant que ces politiques sont appliquées par l’organisation, les clés ne doivent pas être mal gérées et les vecteurs d’attaque des acteurs de la menace doivent être fortement réduits. Ces politiques sont au cœur de la gestion des clés des sciences humaines, aussi l’application de ces politiques devrait-elle être une priorité dans le plan de sécurité de toute organisation.

Identification et neutralisation des risques : Toutes les vulnérabilités de sécurité liées aux clés SSH doivent être identifiées et éliminées. Avec la centralisation des paires de clés SSH, l’identification des problèmes devient plus facile. Les techniciens de sécurité doivent rechercher les clés anciennes ou inutilisées, les options de stockage non sécurisées ou les clés compromises. Comme indiqué précédemment, les anciennes clés devraient être tournées et les clés inutilisées devraient être supprimées. Cette étape du processus permet de maintenir les systèmes à distance et d’assurer leur sécurité continue.
Rotation des clés : Les clés doivent être tournées régulièrement, une fois qu’elles ont été utilisées pendant un certain temps. Les deux clés de la paire de clés doivent être tournées avec les nouvelles clés. Cela réduit le risque qu’une clé soit compromise par le fait que les techniciens de sécurité ne protègent pas la clé car ils ne savent pas à quoi elle sert. Cela réduit également le risque d’étalement des clés. L’automatisation de ces étapes réduit considérablement le risque d’erreur humaine lorsqu’une clé est oubliée et n’est pas tournée.

Surveillance et audit continus : La dernière étape consiste à surveiller et à auditer en permanence les clés pour s’assurer qu’elles sont tournées et supprimées au moment opportun. Sans surveillance continue, les clés peuvent passer à travers les trous et être laissées après que l’utilisateur ait quitté l’organisation, ouvrant ainsi la société à des compromis de la part des acteurs de la menace. Grâce à une surveillance continue, le risque d’étalement des clés, de clés solitaires et de non-respect de la conformité est pris en charge. L’automatisation de cette étape du processus permettrait d’éviter les erreurs humaines.

L’article Définition Clés SSH est apparu en premier sur Actualité Informatique.

Les cyberpirates Maze ont été terriblement efficaces en 2020. Mais leurs actions n'ont heureusement pas toutes été couronnées de succès. Dans ce podcast nous interviewons Benjamin Mercusot de Sophos qui nous raconte comment Sophos a réussi à déjouer une de leur tentative en temps réel.

Benjamin Mercusot de Sophos fait le point avec Edouard Fleuriau-Chateau et Jean-Philippe Gaulier sur les attaques auxquelles les entreprises ont dû faire face en 2020. En quoi le Covid a été un accélérateur ? Quelles sont les solutions disponibles pour aider les entreprises à faire face ? Et quels sont les bons réflexes à avoir quand on se fait pirater et qu'on reçoit une demande de rançon ?

Si vous avez suivi les dernières actualités, une faille énorme a été découverte sur la commande sudo inférieure à la version 1.9.5p2.

Cette faille a été identifiée sous le doux nom de CVE-2021-3156, ce n’est pas moins la 3156ème faille recensée de l'année 2021 sur le portail CVE (Common Vulnerabilities and Exposures).

Beaucoup de journaux informatiques en parlent, mais savez-vous réellement quelle est l'origine de cette faille de sécurité béante ?

? D'où vient la faille CVE-2021-3156 ?

L'origine de la faille est liée à une mauvaise gestion de l'allocation de la mémoire de la chaine de caractère contenant l'argument de la commande sudo.

La faille n'est pas directement liée à la commande Sudo mais plus précisément à la commande Sudoedit qui possède un comportement légèrement différent de Sudo dans le traitement de son paramètre d'entrée (argc).

L'expert en sécurité s'est rendu compte que Sudo disposait de différents modes de fonctionnement : MODE_EDIT, MODE_SHELL. Dans un certain cas, le caractère '\' est utilisé pour ajouter des paramètres à la ligne de commande passée en paramètre, dans un autre cas, cela ne semble pas être le cas.

Pour autant, si un caractère de ce type est inclus dans la commande alors Sudoedit se trompe dans la taille d'allocation de la mémoire et un buffer overflow se produit tout simplement ...

sudoedit -s '\' `perl -e 'print "A" x 65536'` 
malloc(): corrupted top size 
Aborted (core dumped) 

? Une faille simplement exploitable ?

La faille de sécurité étant facilement exploitable, le nombre d'exploits explose sur le Web, on recense pas moins d'une quarantaine d'exploits disponibles sur GitHub.

L'exploit le plus connu semble est le "Baron Samedit" présenté dans la vidéo de Qualys et qui est disponible sur Exploit Database.

? Quel est le risque pour votre serveur ?

Cette faille ne permet pas à une personne à distante d'attaquer un serveur, mais à une personne ayant des droits d'utilisateurs d'acquérir les droits "root" sur un serveur.

Si vous voulez rentrer plus en profondeur dans l'explication de la faille et le code de Sudoedit qui a permis d'identifier ce buffer overflow, n'hésitez pas à faire un tour sur le blog de Qualys.

N'oubliez pas de mettre à jour dès à présent vos serveurs Linux avec une version de Sudo supérieure ou égal à la version 1.9.5p2 !

Nos mots de passe sont souvent trop simples parce que nous souhaitons les retenir plus facilement.

Et si nous ne mettions plus la sécurité de nos comptes en ligne en danger avec des mots de passe complexes et super faciles à retenir ?

Dans cette première partie de cette série sur les mots de passe, nous allons voir pourquoi le mot de passe tel qu'il a été créé il y plus de cinquante ans ne répond plus à sa fonction première, mais aussi comment nous pouvons y remédier facilement.

Musique Free Music Archive

Licence : Creative Commons - CCBY 3.0

Kevin MacLeod - Backed Vibes Clean

Kevin MacLeod - Dances and Dames

Pierce Murphy - Just give it time

Kevin MacLeod - Faster Does it

Auteur(s) : Omar Fawzi;

Puis-je chiffrer mes données en utilisant un appareil dont je ne connais pas l’origine ? Oui, à condition qu’il soit quantique.

Auteur(s) : Itsaka Rakotonirina;

Bientôt des échanges 100% sécurisés ? Découvrez la réponse dans cette histoire épistolaire de cryptographie et de gourmandise...

Comment réagir ? Dans quels cas puis-je être remboursé ? Après quelques informations générales, ce guide propose un panorama des principaux types de fraudes, les réflexes à adopter lorsque vous pensez en être victime et les modalités de remboursement s’il y a lieu.

Janvier 2021

Informations et recommandations générales

• Comment se prémunir contre les fraudes ?
• Comment réagir aux fraudes et tentatives ?
• Comment être remboursé en cas de fraude ?
• Panorama par moyen de paiement / opération
  • La carte
  • Le chèque
  • Le virement
  • Le prélèvement
  • L’accès à sa banque et les opérations à distance

Annexe 1 – Tableau récapitulatif

Annexe 2 – Quelques pièges types à (re)connaître

1. La fraude aux coordonnées bancaires
2. Le chantage à la webcam
3. Le ransomware
4. Le faux prêt
5. La fraude aux faux tests techniques
6. La fraude aux sentiments
7. Les arnaques sur les réseaux sociaux
8. La fraude aux offres d’emploi
9. La fraude à la loterie
10. Etre payé par un autre moyen de paiement que celui prévu
11. L’acquéreur trop généreux
12. Etre recruté comme mule

Voir les actions

• Aimer cet article
• Enregistrer cet article
• Partager cet article

2 Min

La sécurité

L'authentification forte pour tout achat en ligne

Voir les actions

• 3

  Aimer cet article
• Enregistrer cet article
• Partager cet article

2 Min

La sécurité de la banque à distance

Le phishing : comment le reconnaître et l'éviter ?

Voir les actions

• 1

  Aimer cet article
• Enregistrer cet article
• Partager cet article

3 Min

La sécurité

Les précautions pour déjouer les arnaques

Voir plus sur la gauche Voir plus sur la droite

The post Fraude aux opérations bancaires appeared first on Les clés de la banque - Particulier.