Allez, ce matin, on va se faire plaisir. Je vais vous parler de la faille sécurité CVE-2023-21036 connue également sous le nom aCropalypse. Cela touche principalement les gens qui ont des smartphones Google Pixel et qui s’amusent recadrer leurs photos.

Alors en quoi ça consiste ? Et bien cela permet de récupérer des données dans des fichiers PNG qui ont été tronqués. Ainsi, un attaquant pourrait, en exploitant cette faille, restaurer des informations personnelles qui auraient été retirées d’une image comme des adresses postales ou des données bancaires, le tout à partir d’images mises en ligne. Flippant (ou trop cool… lol) !!

Pour mieux comprendre, imaginez que vous preniez une capture d’écran d’un mail contenant votre adresse personnelle, puis que vous la recadriez pour ne montrer que le produit que vous avez acheté et masquer vos données personnelles. Grâce à cette faille, il est tout à fait possible de récupérer la partie supprimée de l’image, y compris votre adresse.

Alors comment fonctionne cette vulnérabilité ?

Et bien cela repose sur la compression zlib utilisée dans les fichiers PNG. Normalement, il est très difficile de décompresser des données compressées sans connaître l’arbre de Huffman utilisé pour effectuer cette compression. Toutefois, dans le cas spécifique de cette exploitation de faille, en trouvant le début d’un bloc de codage Huffman, il devient possible de le décompresser à partir de celui-ci.

L’algorithme utilisé est assez simple : il parcoure chaque décalage binaire et, lorsqu’un décalage correspondant au début d’un bloc de Huffman est trouvé, il tente de décompresser les données en le prenant comme point de départ. Ainsi, si les données se décompressent, c’est OK. Sinon, il passe au décalage suivant.

for each bit-offset:
    if it doesn't look like the start of a dynamic huffman block:
        skip this offset

    try decompressing from that offset:
        if the decompressed data looks plausible:
            return decompressed data!
    catch decompression errors:
        continue

Et voilà comment on récupère des données effacées sur des PNG.

Cette vulnérabilité est due à un problème d’API chez Google, où c’est l’option « w » (écriture) qui a été utilisée à la place de « wt » (écriture avec troncage). Par conséquent, l’image d’origine n’est pas tronquée lorsqu’elle est recadrée.

Et si vous voulez jouer avec, il y a un petit Proof of concept ici ou encore ce site qui permet de récupérer une image complète qui aurait été recadrée sur un Google Pixel. Ça promet :).

Bref, si la fonction « recadrage » que vous utilisez dans votre logiciel préféré passe par l’API de Google, soyez vigilant, le temps que ce problème soit corrigé.

Source

Vous êtes en ville et autour de vous, ça crépite de réseaux wifi en tous genres ! Et bien bonne nouvelle, vous allez pouvoir analyser et cartographier tout ça comme vous le feriez avec un nmap. Sauf qu’il n’y a pas besoin de se connecter à ces réseaux wifi ni même que ces derniers diffusent un SSID.

L’outil qui permet cet exploit s’appelle TrackerJacker. C’est un outil en ligne de commande qui permet tout simplement de faire du monitoring 802.11 sous Linux (Raspberry Pi aussi) et macOS.

Ça permet comme ça d’avoir non seulement une liste des réseaux wifi, mais également de tous les appareils qui y sont connectés. Sur votre propre réseau wifi, ça peut vous permettre également de trouver l’appareil qui pompe toute la bande passante.

Pour l’installer :

pip3 install trackerjacker

Vous pouvez également traquer certaines adresses MAC si besoin et ensuite déclencher des alertes ou toute sorte de scripts. Imaginez, vous avez l’adresse MAC de quelqu’un qui doit rester loin de vous… Et bien vous pouvez instantanément savoir s’il est dans le coin dès qu’il se connecte à un réseau wifi autour de vous :-).

Pour cartographier tout ce qui est autour de vous, vous pouvez également utiliser la commande suivante en spécifiant l’interface réseau à utiliser (ici eth0) :

trackerjacker -i eth0 --map

Vous récupérerez alors un fichier YAML nommé wifi_map.yaml.

Bref, un bon petit outil développé en Python à tester. Toute la doc est dispo sur Github.

Ce matin, on va causer cybersécurité avec un outil vraiment cool qui pourrait aider à protéger vos réseaux contre les menaces avancées : ATT&CK.

ATT&CK a été créé par le MITRE en 2013 pour documenter les tactiques, techniques et procédures (TTP) couramment utilisées par les menaces persistantes avancées contre les réseaux d’entreprise Windows. Mais ce n’est pas juste une liste d’outils et de logiciels malveillants utilisés par les attaquants puisque ATT&CK se concentre surtout sur la façon dont ces acteurs interagissent avec les systèmes lors d’une opération.

Le site organise ces TTP dans une matrice pour aider à fournir un contexte à chaque technique employée par des cyberattaquants. Par exemple, la tactique « Persistence » représente l’objectif de l’attaquant qui est de se maintenir dans l’environnement cible. Cette tactique est ainsi associée à plusieurs autres techniques pour qu’elle soit efficace, selon le système visé.

Cette matrice est probablement l’aspect le plus connu de cette base de connaissance car elle est souvent utilisée pour montrer la surface de défense d’un environnement, les capacités de détection des produits de sécurité et les résultats d’un incident ou d’une simulation d’attaques.

Mais ATT&CK va encore plus loin puisqu’il intègre des informations de renseignement sur les menaces pour permettre une meilleure compréhension des comportements des groupes d’attaquants. Les analystes peuvent ainsi se concentrer sur les techniques les plus couramment utilisées par des groupes spécifiques, telles que le célèbre groupe APT29, et comprendre comment ces groupes les utilisent.

Alors, qu’est-ce que cela signifie concrètement pour vous ?

Eh bien, si vous bossez dans la cybersécurité, vous pouvez utiliser ATT&CK pour améliorer votre défense contre les menaces avancées en identifiant les TTP couramment utilisées par les attaquants et en vous assurant que vos défenses couvrent ces vecteurs d’attaque. Vous pouvez également utiliser ATT&CK pour tester vos défenses en simulant des attaques qui utilisent des TTP spécifiques et en mesurant votre capacité à les détecter.

Il s’agit d’un outil super utile pour aider à protéger les systèmes contre les menaces avancées. Il est gratuit et accessible à tous !

A découvrir ici.

Une intelligence artificielle qui peut créer des virus informatiques et des emails de phishing. Quels sont les dangers pour nous ? Comment s’en protéger ?

J'ai utilisé ChatGPT pour créer des emails de phishing, je vous explique tout ça dans cet épisode.

L’année 2022 a été marquée par un contexte international particulier, qui a eu son lot de  répercussions sur le paysage des menaces. Alors que les groupes de cybercriminels basés en Russie diffusaient de la désinformation et lançaient de multiples cyberattaques contre l’Ukraine, les groupes de cybercriminels basés en Chine (et probablement subventionnés) attaquaient les produits matériels de sécurité fabriqués par presque toutes les entreprises des secteurs de la cybersécurité et des infrastructures.

En outre, l’économie cybercriminelle s’est transformée en une véritable industrie. Les entreprises du secteur des technologies de l’information ont évolué vers des offres « as-a-service » et l’écosystème de la cybercriminalité en a fait de même. Les courtiers en accès (IAB), les ransomwares, les malwares voleurs d’informations, la diffusion de logiciels malveillants et d’autres éléments de cybercriminalité ont permis l’entrée sur le marché d’aspirants cybercriminels.  

Dans ce nouvel épisode, nous revenons sur ces grandes tendances avec John Shier, Field CTO – Applied Research chez Sophos, qui possède plus de vingt ans d’expérience dans le domaine de la cybersécurité.   

Souvenez vous, je vous avais présenté Fail2ban il y a quelques années déjà et je vous avais parlé d'AbuseIPDB sur mon article autour du HoneyPot Log4shell que j'avais développé pour détecter les payloads transmis par les attaquants exploitant cette vulnérabilité.

À quoi sert Fail2ban ?

En quelques mots, Fail2ban est un logiciel Opensource qui permet d'exécuter des actions automatiques lors détection de patterns au sein de fichiers de logs. Ces actions peuvent être l'envoi d'un email, le blocage d'une adresse IP sur un firewall ou bien dénoncer l'adresse IP identifiée comme malveillante sur une plateforme Crowdsec comme AbuseIPDB par exemple. Il est par défaut configuré avec un grand nombre de filtres et d'actions facilement activables.

Qu'est-ce que AbuseIPDB ?

AbuseIPDB constitue une base de connaissance sur l'ensemble des IP malveillantes autour de la planète. Son usage est gratuit et limité à 5000 rapports d'adresse IP malveillante par jour. Des offres commerciales sont proposées par AbuseIPDB pour bénéficier d'une profondeur de données plus importantes pour les entreprises souhaitant de protéger des IP pouvant constituer un danger.
AbuseIPDB reçoit quasiment 30 000 adresses IP par heure de la part de ses utilisateurs. Cela représente actuellement pas moins de 23 millions d'adresses IP sur les 30 derniers jours.

Comment intégrer Fail2ban à AbuseIPDB ?

Par défaut, Fail2ban possède une action permettant de transmettre une adresse IP malveillante à la plateforme AbuseIPDB. Il est possible d'activer cette action tout simplement en précisant une règle d'action dans les fichiers "Jails" présents dans le répertoire "/etc/fail2ban/jail.d" du système :

[portsentry]
enabled = true

# Ban IP and report to AbuseIPDB for Port Scan
action = %(action_)s
         %(action_abuseipdb)s[abuseipdb_apikey="ee3b04b6sdfec61b4256cfgf975c8feedfc8", abuseipdb_category="14"]

La catégorie doit juste être adaptée à l'attaque reçue. Dans l'exemple ci-dessus, la catégorie 14 correspond à une attaque de type "Port scan" adaptée à une détection faite comme un logiciel comme Portsentry par exemple.

La clef d'API doit être modifiée la clef que vous pourrez obtenir sur la page de votre compte AbuseIPDB.

Comment fonctionne ma configuration ?

Dans un but d'exploration, j'ai configuré Portsentry sur mon serveur pour écouter certains ports stratégiques de mon serveur.
Fail2Ban remonte ensuite à AbuseIPDB une alerte dès lors que des tentatives de connexion réseau sont détectées par Portsentry.

En me limitant à quelques ports sensibles comme le port SMB 445 par exemple, mon serveur arrive à détecter par moins de 1500 adresses IP malveillantes par jour.

Il faut juste être vigilant à ce que la durée de bannissement soit suffisamment longue pour éviter de transmettre plusieurs fois les mêmes adresses IP à AbuseIPDB. Une durée minimale de 60 jours est conseillée par AbuseIPDB pour limiter les envois inutiles de données.

Pour obtenir un message plus digeste sur le commentaire transmis à AbuseIPDB, je vous conseille de revoir la règle actionban dans le fichier sur "/etc/fail2ban/abuseipdb.conf"

actionban = lgm=$(echo "<matches>" | cut -d ':' -f 5); curl -sSf "https://api.abuseipdb.com/api/v2/report" -H "Accept: application/json" -H "Key: <abuseipdb_apikey>" --data-urlencode "comment=Port scanning: $lgm" --data-urlencode "ip=<ip>" --data "categories=<abuseipdb_category>"

Afin d'augmenter les quotas d'appels aux API de la plateforme AbuseIPDB, il est possible d'exposer le badge suivant pour promouvoir le service proposé par la plateforme :

Chaque tentative d'attaque sur mon serveur est ainsi aussitôt déclarée à la communauté AbuseIPDB qui possède une importante connaissance sur les serveurs malveillants de la planète.

Comment renforcer votre Firewall IPTables contre les adresses IP malveillantes ?

Si vous souhaitez profiter des données centralisées par AbuseIPDB pour renforcer la sécurisation de votre infrastructure, il est possible d'utiliser un script Shell disponible sur GitHub pour créer des règles de filtrages IPTables basées sur la liste d'adresses IP malveillantes que AbuseIPDB peut vous partager au travers de son API "Blacklist" :

https://api.abuseipdb.com/api/v2/blacklist

Si la Cybersécurité vous intéresse, n'hésitez pas à aller découvrir mes articles sur Shodan, Kali Linux ou bien Hackthebox. Vous pouvez aussi passer sur le serveur Discord Geeek pour discuter avec des lecteurs aussi passionnés que vous.

Aujourd’hui, j’aimerais vous présenter un outil de chiffrement simple d’utilisation, sécurisé avec des clés « explicites » et sans configuration.

Son nom c’est Age et il est également disponible sous la forme d’une lib Go.

Pour l’installer sous macOS :

brew install age

Pour l’installer sous Ubuntu :

apt install age

Pour l’installer sous Windows :

scoop bucket add extras; scoop install age

Des binaires pour Windows, Linux, macOS et FreeBSD sont également disponibles sur la page Github. Pour générer une nouvelle clé de chiffrement, vous pouvez procéder comme ceci :

age-keygen -o key.txt

Celle-ci sera stockée dans key.txt. Ensuite, vous pourrez l’utiliser pour chiffrer un fichier comme ceci :

age --encrypt -i key.txt -o fichier.age fichier.txt

Ou directement avec la clé avec le paramètre -r . Dans l’exemple ci-dessous, je vous montre également qu’on peut chiffrer des fichiers qui seraient le résultat d’une commande (ici une création d’archive tar) :

tar cvz ~/data | age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p > data.tar.gz.age

Et pour déchiffrer ce fichier :

age --decrypt -i key.txt fichier.age > fichier.txt

Et vous pouvez également spécifier plusieurs clés pour tous vos destinataires.

age -o example.jpg.age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p \
    -r age1lggyhqrw2nlhcxprm67z43rta597azn8gknawjehu9d9dl0jq3yqqvfafg example.jpg

Vous pouvez également demander la création d’une phrase de passe avec le paramètre -p.

age -p fichier.txt > fichier.txt.age

L’outil vous demandera alors de saisir une phrase de passe ou la générera pour vous.

Vous l’aurez compris, pas de clé privée. Juste une grosse clé (publique) qui sert à la fois pour le chiffrement et le déchiffrement. Rassurez-vous, age prend également en charge le chiffrement à partir de clés publiques SSH ssh-rsa et ssh-ed25519, et le déchiffrement se fait avec la clé privée correspondante. Pour chiffrer :

age -R ~/.ssh/id_ed25519.pub exemple.jpg > exemple.jpg.age

Pour déchiffrer :

age -d -i ~/.ssh/id_ed25519 exemple.jpg.age > exemple.jpg

Attention cela dit, la prise en charge des clés SSH utilise une cryptographie plus complexe et incorpore une balise de clé publique dans le fichier chiffré, ce qui permet de suivre les fichiers chiffrés avec cette clé spécifique.

Et si ça vous intéresse, une implémentation en Rust est également disponible ici.

De plus, il existe un plugin pour ceux qui veulent utiliser leur Yubikey avec ce truc 🙂

À découvrir ici.

— Article en partenariat avec le Ministère des Armées —

Vous ne le savez peut-être pas, mais après le bac, j’ai fait un BTS en alternance et c’était vraiment un rêve devenu réalité, car je pouvais enfin bidouiller toute la journée sur des ordinateurs sans aucune modération, aussi bien à l’école que dans l’entreprise qui m’a pris en alternance. Évidemment déjà à l’époque, je m’intéressais beaucoup à la cybersécurité, mais à ma connaissance, il n’y avait aucune école spécialisée sur ce sujet.

Heureusement, ça a bien changé, car maintenant, les passionnés de cybersécurité ont l’embarras du choix au niveau des écoles qui forment à des métiers « cyber ».

Maintenant, la cybersécurité est partout dans notre vie quotidienne et les menaces en ligne (dont je vous parle régulièrement) sont nombreuses. Cela peut provoquer des catastrophes humaines, mais également économiques et c’est aussi un terrain d’affrontement pour les armées du monde entier.

C’est pour ça que j’aimerai vous présenter le BTS Cyber-Défense de Saint Cyr qui est une formation assez unique en son genre puisqu’elle a été lancée en 2017 sur l’initiative de l’Armée de Terre et des services spécialisés du Ministère des Armées. Il s’agit avant tout de répondre aux besoins de recrutement de l’armée en matière de cybersécurité. C’est un peu comme si l’armée vous disait :  « Vous aimez la cybersécurité ? Alors, venez nous aider à protéger notre pays ! ».

Je suis sûr que si vous êtes encore au lycée, en sortie de Bac STI2D, Bac Scientifique ou Bac Pro SN, ça peut vous intéresser. Il s’agit d’un BTS CIEL (Cybersécurité, Informatique et réseaux, Électronique, anciennement BTS SNIR) reprenant en totalité le programme officiel de l’Éducation Nationale, sauf qu’en plus, ils y ont rajouté des spécificités propres au Ministère des Armées.

Ce BTS Cyber-Défense de Saint Cyr va bien au-delà d’une simple formation de 2 ans après le bac : c’est carrément une nouvelle vie qui s’offre à ceux qui choisiront cette voie puisqu’un contrat d’engagement est signé avec le Ministère. Vous serez logé (c’est de l’internat), nourri et blanchi avec un peu d’argent de poche et en 2 ans, vous obtiendrez un niveau opérationnel se rapprochant de celui de quelqu’un qui aurait fait une licence. Vous l’aurez compris, c’est une formation intense.

Et en sortie, lorsque vous réussirez votre diplôme, un emploi vous sera proposé (et il sera obligatoire), soit en tant que civil pour rejoindre les services spécialisés du Ministère des Armées (Commandement des systèmes d’information, cyberdéfense, renseignement), soit en tant que militaire, c’est-à-dire que vous intégrerez un régiment quelque part en France. Vous suivrez alors une formation complémentaire spécifique, soit à l’École des Transmissions, soit au sein du service pour lequel vous travaillerez. Et si vous voulez continuer les études, et bien c’est toujours possible et même encouragé, mais uniquement en cours à distance / cours du soir.

C’est ouvert à toutes les personnes de nationalité française et vous n’avez pas nécessairement besoin d’avoir des connaissances en informatique à l’entrée. Il faut juste être motivé, exigeant avec soi-même et avoir une très bonne capacité de travail. Et surtout, vous l’aurez compris, être bien motivé pour travailler au Ministère des Armées. Notez que les admissions dans cette formation sont également ouvertes aux candidats en réorientation après une première année d’études dans un domaine scientifique ou technique.

Alors y’a quoi exactement dans cette formation de 40h de cours par semaine ?

Et bien évidemment, vous aurez des cours de cybersécurité (connaissance du milieu, défense et attaque) à hauteur de 4h par semaine, des cours d’anglais (4h par semaine au total) avec le passage du TOEIC, histoire d’être au point. Il y a également 4h de sport par semaine donc c’est mieux si vous êtes en bonne condition physique. Et également une préparation militaire supérieure. Ça veut dire que vous allez tout apprendre sur la chose militaire, de la reconnaissance des grades au maniement des armes en passant par une formation de commandement.

Hé oui, c’est indispensable puisqu’après, ceux qui choisiront la voie militaire pourront se retrouver en train de taper des lignes de commande dans un shell lors d’une opération dans un pays étranger. Bref, un boulot de technicien supérieur dans des conditions de travail exceptionnelles, des moyens uniques avec des missions que vous ne pourriez jamais réaliser dans une entreprise classique, comme de la lutte informatique réellement offensive.

Voici un peu à quoi ressemble le quotidien d’une personne qui a suivi ce cursus au sein de l’armée :

Des travaux pratiques sont également donnés par des employeurs militaires et civils, ce qui vous permettra d’être bien dans le bain avec la réalité du terrain et en fin de première année, vous effectuerez 5 semaines de stage au Ministère des Armées, histoire de parfaire encore plus votre formation en vous confrontant aux réalités du métier.

Ce qui est cool également avec cette formation, c’est que tout est teinté cybersécurité, y compris les cours plus traditionnels d’informatique, et que les profs sont tous issus du monde professionnel, avec pour certains, une expérience dans le secteur de la défense. Donc si vous aimez la cybersécurité et votre pays, je pense que c’est une voie intéressante à envisager, avec tous les avantages d’une carrière militaire (qui a dit la retraite ? );-))

Si ça vous chauffe, vous pouvez faire votre demande sur ParcourSup en cliquant ici. Depuis son ouverture en 2017, cette formation affiche un taux de réussite de 100% à l’examen final.

Vous trouverez plus d’infos
sur cette page du Ministère des Armées.

La fin de l’année 2022 a été un désastre au niveau de la protection de nos données personnes. Mots de passe, numéros de comptes bancaires, email, dates de naissance sont tombées entre les mains de cybercriminels et des fraudeurs. Comment peuvent-ils utiliser ces données contre nous ? Et comment devons nous nous protéger ?

Connaissez-vous le Certificate Transparency ? Il s'agit d'un service de cybersécurité permettant de détecter et de prévenir les attaques par certificats non autorisés. Ce mécanisme assure une plus grande protection des données et des informations sensibles des utilisateurs.

Le meilleur schéma détaillant sont fonctionnement est probablement celui du site certificate.transparency.dev qui détaille l'ensemble des flux de la solution de logs distribués.

Ces logs sont consultables auprès de certains sites comme le site de Comodo disponible à l'adresse suivante par exemple : https://crt.sh

Il vous suffit de rentrer le nom de domaine d'une entreprise pour identifier l'exhaustivité des noms de domaines qui utilisent des certificats TLS même si vous avez interdit le transfert de noms de domaines sur votre serveur DNS.

En plus de fournir les noms de domaine, la plateforme détaille l'ensemble des certificats utilisés ainsi que leur date de validité. C'est assez bluffant.

En investiguant de plus près les capacités du site, celui-ci est capable de retourner une réponse en JSON via le paramètre "output=json" et peut être requêté directement via le paramètre "q". Vous commencez à voir où je veux en venir ?

https://crt.sh/?q=www.perdu.com&output=json

Il est pour le coup possible d'appeler ce portail directement depuis un script pour en extraire facilement l'ensemble des domaines et identifier les adresses IP des serveurs au travers d'une simple résolution DNS.

Pour finaliser le script, un simple appel à Shodan.io est possible pour retourner l'ensemble des vulnérabilités connues sur les adresses IP identifiées.

Cette astuce permet d'identifier très rapidement l'ensemble des points d'entrée vulnérables d'une entreprise.

Avec ChatGPT ou le playgroud GPT il est très simple de créer un script dans le langage de votre choix pour automatiser une analyse :

Create a script in Go lang that calls https://crt.sh/?q=domain.com&output=json and parses the JSON response, taking a command line parameter that is the domain name to analyse. For each common name found in the JSON, resolve the IP address behind the domain and call shodan.io to identify the vulnerabilities.

Bref, identifier les vulnérabilités d'un système d'information complexe est désormais accessible à n'importe quel "script kiddie" qui connait https://crt.sh et GPT.

Nous entendons de plus parler de cookies informatiques quand on parle de notre vie privée sur internet. Régulièrement, les grands d’internet comme Google ou Facebook se retrouvent poursuivis en juste et condamnés à cause d’eux. Mais qu’est-ce que sont réellement ces cookies ? Sont-ils vraiment dangereux ? Et si oui, comment s’en protègent-on ? Nous vous racontons tout sur les cookies dans cet épisode de votre podcast. 

Alors que les cyberattaques se multiplient, chacun d'entre nous peut potentiellement y être confronté. Certes, nous avons tous nos astuces pour les mots de passe que nous utilisons dans nos ordinateurs et nos portables : cachés sous un clavier, écrits sur un bout de papier ou issus de la date d’anniversaire du petit dernier.

Mais comment faire pour s'assurer que son mot de passe est véritablement in-cra-qua-ble ?

De nombreuses études constatent qu’une part importante des mots de passe ne protègent pas suffisamment les utilisateurs : les mots de passe sont trop faibles et trop souvent réutilisés. Par exemple, 51 % des Français utiliseraient le même mot de passe pour des usages professionnels et personnels – une statistique que l’on retrouve aux États-Unis.

À partir d’un mot de passe, les cybercriminels pourront récupérer des informations privées en se connectant à nos comptes en ligne (messageries, réseaux sociaux, etc.), notamment nos comptes bancaires ou de e-commerce, mais aussi pénétrer sur notre ordinateur et en chiffrer le contenu en vue d’obtenir une rançon.

Le vol d’un mot de passe peut avoir des conséquences financières, mais aussi psychologiques à travers des pratiques comme le « doxxing » (publier des informations sur l’identité ou la vie privée d’une personne dans le but de lui nuire) ou le « revenge porn ». Dans le cadre professionnel, les fuites de mot de passe exposent l’entreprise à des attaques par chantage, à des « dénis de service » (des cyberattaques consistant à interrompre ou malmener le service fourni par un tiers), ou encore à de l’espionnage économique.

À lire aussi : Cryptographie : comment ma carte à puce résiste-t-elle aux attaques ?

Comment un fraudeur récupère-t-il des mots de passe ?

Les deux grandes approches utilisées par les cybercriminels pour récupérer des mots de passe sont l’ingénierie sociale et le vol de bases de données d’identifiants.

L’ingénierie sociale consiste pour le cybercriminel à convaincre sa victime de révéler son mot de passe en ayant, typiquement, recours à l’hameçonnage : la grande majorité des attaques ne ciblent pas une victime prédéfinie et ces attaques de masse ont pour but d’hameçonner des victimes quelconques. C’est seulement dans un second temps que le cybercriminel concentrera ses forces sur la personne hameçonnée.

Quant au vol de bases de données d’identifiants, l’attaque consiste généralement à pirater un site web pour voler les noms et mots de passe des utilisateurs afin de se connecter sur le compte des victimes, de les utiliser sur d’autres comptes (par exemple, le fraudeur testera les identifiants Google de sa victime sur Twitter) ou de les revendre sur le dark web. Le site web « Have I been pwned ? » permet à chacun de vérifier si son mot de passe a fuité sur Internet ; il recense actuellement presque 12 milliards de comptes dont les identifiants ont fuité.

Dans la majorité des cas, ces bases de données d’identifiants ne contiennent pas des mots de passe, mais des empreintes de mots de passe : l’empreinte est le résultat d’une fonction dite « à sens unique » qui est appliquée sur le mot de passe. Par analogie, l’empreinte est au mot de passe ce que l’empreinte digitale est à l’humain : deux mots de passe différents ont des empreintes différentes et étant donné une empreinte, on ne peut pas identifier l’humain. Mais étant donné une empreinte et un humain, on peut dire si l’empreinte provient de cet humain. Dans le cas des mots de passe, on ne peut donc pas retrouver le mot de passe à partir de son empreinte, mais on peut tester un mot de passe pour voir s’il correspond à l’empreinte : on dit alors que le mot de passe est « cassé ».

Les casseurs de mots de passe utilisent différentes approches pour tester les mots de passe les plus probables : d’abord les plus courts, puis les mots du dictionnaire et leurs variantes (par exemple « repas », puis « Repas », « RepaS », « saper », « repas1 »…) et les mots de passe fortement structurés (par exemple démarrant par une majuscule, puis des minuscules, des chiffres et enfin des caractères spéciaux).

Les casseurs modernes peuvent également utiliser des techniques évoluées reposant sur l’intelligence artificielle ou l’algorithmique.

Enfin, tous les mots de passe possibles sont testés si les autres tentatives ont échoué : c’est ce que l’on appelle une recherche exhaustive, qui a généralement peu d’espoir de rencontrer un succès en un temps raisonnable. Notamment, les attaques qui consistent à tester directement sur un site web différents mots de passe pour un utilisateur donné jusqu’à réussir à se connecter sont peu praticables : elles sont très lentes à cause du temps de réponse du serveur web et facilement détectables.

Qu’est-ce qu’un mot de passe robuste ?

Pour se protéger efficacement, il faut utiliser des mots de passe robustes, ne pas utiliser un même mot de passe pour plusieurs usages et changer de mots de passe régulièrement.

Pour qu’un mot de passe soit robuste, il faut qu’il soit choisi aléatoirement dans un ensemble de mots de passe ayant la même chance d’être choisis : par exemple, un mot présent dans le dictionnaire serait cassé en une poignée de secondes. Ajouter une majuscule ou des chiffres à la fin n’apporte qu’une sécurité illusoire.

À lire aussi : Cryptographie : à quoi servent les nombres aléatoires ?

Afin de mesurer la robustesse d’un mot de passe choisi aléatoirement (cas idéal, rarement atteint sans gestionnaire de mots de passe), on compte le nombre de tests que devra faire un pirate dans le pire des cas pour le casser. Cette valeur est généralement calculée par la formule n^c_ où c est la longueur du mot de passe et n la taille de l’ensemble des éléments parmi lesquels piocher pour composer le mot de passe. Par exemple, dans le cas d’un mot de passe de longueur 8 (c=8), composé de lettres minuscules uniquement (n=26), le pirate devra tester 26⁸ mots de passe (soit 208 milliards) dans le pire des cas. Bien que le chiffre semble astronomique, un ordinateur standard mettra moins d’une seconde pour le casser en utilisant la puissance de calcul de sa carte graphique.

L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) définit la robustesse d’un mot de passe par la taille de l’espace dans lequel il est choisi aléatoirement, et distingue quatre catégories.

La robustesse d’un mot de passe d’après l’ANSSI

Un mot de passe aléatoire, construit à partir d’un alphabet constitué de lettres, de chiffres et de 8 caractères spéciaux, devra ainsi contenir au moins 17 caractères (par exemple, « b !sDzf5w,5+W2s3k ») pour être considéré comme fort selon l’ANSSI, et il sera considéré comme très faible s’il est de taille inférieure ou égale à 10 caractères (« b !sDzf5w,5 »). Même très faible, le mot de passe sera difficile à mémoriser… surtout qu’il faut en mémoriser des dizaines !

Pour faciliter la mémorisation des mots de passe, une technique de plus en plus recommandée consiste à utiliser des « phrases de passe », c’est-à-dire des suites de mots choisis aléatoirement. Une phrase de passe de sept mots choisis dans un dictionnaire de 60000 mots pourrait ainsi être « contrefort fatalement semelle signifié distance revergète fourguer », plus facile à mémoriser que « b !sDzf5w,5+W2s3k » pour une sécurité équivalente.

Mais il est difficile pour un humain de choisir aléatoirement des mots dans un ensemble suffisamment grand, car nous n’utilisons que quelques centaines de mots au quotidien. Il est alors conseillé de rajouter des minuscules, majuscules et caractères spéciaux dans la phrase de passe.

Faut-il utiliser un gestionnaire de mots de passe ?

Un gestionnaire de mots de passe est une application qui stocke de manière sécurisée tous les mots de passe de l’utilisateur pour qu’il n’ait pas besoin de les mémoriser. Il lui suffit de se souvenir d’un seul mot de passe, le mot de passe maître, qui doit être le plus fort possible tout en restant mémorisable. L’utilisation d’un gestionnaire de mots de passe, par exemple KeyPass, est recommandée par les grands acteurs de la cybersécurité tels que l’ANSSI, son homologue allemand, le BSI ou l’agence européenne ENISA, ainsi que par des organisations comme Reporters sans Frontières. Certains gestionnaires de mots de passe sont stockés dans le cloud, par exemple Bitwarden (gratuit et open source), 1Password (payant), DashLane (payant), ou encore LastPass (payant, mais il existe une version gratuite assez évoluée) qui est le gestionnaire le plus utilisé mais aussi le plus attaqué.

Notons que les gestionnaires intégrés dans les navigateurs (qui ne nécessitent pas d’installation) ne sont pas recommandés pour des raisons de sécurité, comme le souligne le BSI allemand.

Dans le cas où le gestionnaire stocke les mots de passe dans le cloud, il est fondamental que les mots de passe maîtres soient forts, au sens de l’ANSSI. Dans le cas contraire, un prestataire ayant accès au cloud pourrait les casser et ainsi accéder à tous les mots de passe qu’ils protègent. Il s’agit d’une menace sérieuse à prendre en compte par les entreprises, dans un monde où l’espionnage économique est légion. Recommander aux entreprises d’héberger elles-mêmes les gestionnaires de mots de passe de leurs employés n’est certainement pas un excès de prudence.

Enfin, l’usage de l’authentification par double facteur (par exemple la réception d’un code par mail) est fortement recommandé… même s’il ne faut pas pour autant baisser la garde.

Diane Leblanc-Albarel a reçu des financements du CNRS.

Gildas Avoine a reçu des financements du CNRS pour ses travaux sur la sécurité des mots de passe.

Vincent Strubel, ingénieur général des Mines, prendra ses fonctions jeudi 5 janvier 2023, après quinze ans passés au sein de l’ANSSI et deux ans et demi à la direction de l’Opérateur des systèmes d’information interministériels classifiés (OSIIC). Il s’y est notamment illustré lors de la pandémie du Covid-19 en proposant des solutions novatrices pour les services essentiels de l’État. Il succède à Guillaume Poupard, parti en décembre 2022 après neuf années passées à la tête de l’ANSSI.

« C’est un immense honneur pour moi de revenir à l’ANSSI pour en prendre la direction générale. J’ai la grande joie de retrouver des équipes formidables, dont le savoir-faire est unanimement reconnu. J’ai la chance de prendre mes fonctions en ayant à mes côtés Emmanuel Naëgelen, directeur adjoint de l’agence depuis janvier 2021. Nos défis sont nombreux, mais nous saurons les relever avec l’exigence et le sens de l’intérêt général qui caractérisent l’agence depuis sa création », déclare le nouveau directeur général.

Vincent Strubel a en effet intégré dès 2005 la direction centrale de la sécurité des systèmes d’information (DCSSI) devenue, en 2009, l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Ancien élève de l’École Polytechnique (promotion X2000) et de Télécom ParisTech, il a successivement occupé les postes de chef de laboratoire, de chef de division et de sous-directeur Expertise. En juillet 2020, le secrétariat général de la Défense et de la Sécurité nationale (SGDSN) décide de la fusion du centre de transmissions gouvernemental et de la sous-direction Numérique de l’ANSSI pour créer l’OSIIC. C’est Vincent Strubel qui prend la direction de ce service à compétence nationale.

« Je remercie vivement Guillaume Poupard, au nom de toute l’agence, pour ces neuf riches années d’exercice. Tout le travail accompli ces dernières années a permis à l’agence de s’ouvrir davantage, d’affirmer son savoir-faire et de positionner la France comme un acteur majeur de la cybersécurité en Europe et dans le monde. Nous continuerons d’œuvrer au quotidien pour la résilience cyber des Français, avec la compétence et le dévouement qui constituent le cœur de nos valeurs », ajoute Vincent Strubel.

Son parcours en quelques dates clés

• En 2005, il rejoint la DCSSI en tant qu’expert en sécurité des systèmes d’exploitation.
• En 2009, la DCSSI devient l’ANSSI. Vincent Strubel est nommé chef du laboratoire architectures matérielles et logicielles.
• En 2012, il est nommé chef de la division Scientifique et technique de l’ANSSI.
• En 2014, il prend la tête de la sous-direction Expertise de l’ANSSI.
• En juillet 2020, il est nommé directeur de l’OSIIC.
• Le 4 janvier 2023, il est nommé directeur général de l’ANSSI en Conseil des ministres.

Treize, 53, 433… la taille des ordinateurs quantiques est donnée en termes de bits quantiques, ou « qubits ». Elle a augmenté considérablement ces dernières années grâce à d’importants investissements publics et privés. Clairement, il ne faut pas se focaliser seulement sur leur quantité, car la qualité des qubits que l’on arrive à préparer est aussi importante que leur nombre pour qu’un ordinateur quantique surpasse un jour nos ordinateurs classiques actuels – on parle d’atteindre « l’avantage quantique ». Pourtant, il est concevable que des dispositifs de calcul quantique offrant un tel avantage soient disponibles dans un avenir proche. Comment cela affecterait-il notre vie quotidienne ?

Il n’est jamais facile de faire des prédictions, mais il est admis que la cryptographie sera modifiée par l’avènement des ordinateurs quantiques. Il est devenu banal de dire que la protection de la vie privée est une question essentielle dans notre société de l’information : chaque jour, de grandes quantités de données confidentielles sont échangées, par exemple via l’internet. La sécurité de ces transactions est cruciale et dépend principalement d’un seul concept : la complexité, ou plus précisément la complexité informatique. Les informations confidentielles restent secrètes parce que tout ennemi ou espion désireux de les lire doit résoudre un problème mathématique extrêmement complexe.

[Près de 80 000 lecteurs font confiance à la newsletter de The Conversation pour mieux comprendre les grands enjeux du monde. Abonnez-vous aujourd’hui]

En fait, les problèmes utilisés pour la cryptographie sont si complexes pour nos algorithmes et ordinateurs actuels que l’échange d’informations reste sûr en pratique, car résoudre le problème puis pirater le protocole prendrait un temps ridiculement long (des années, voir plusieurs milliers d’années, par exemple).

L’exemple le plus emblématique de cette approche est le protocole RSA (pour ses inventeurs Ron Rivest, Adi Shamir et Leonard Adleman), le schéma utilisé de nos jours pour sécuriser nos transmissions d’informations (par exemple les transactions bancaires). Sa sécurité repose sur le fait que nous ne connaissons pas d’algorithme efficace pour factoriser les grands nombres. Alors que la factorisation est un problème mathématique facile, que beaucoup d’entre nous ont déjà rencontré à l’école (étant donné un grand nombre, le but est de trouver deux nombres dont le produit est égal au nombre initial, en laissant de côté la solution triviale donnée par le nombre initial et un – par exemple, si le nombre initial est 6, la solution est 2 et 3, car 6=2x3), les protocoles cryptographiques sont construits de telle manière que l’ennemi, pour décrypter le message, doit factoriser un très grand nombre (pas 6 !), ce qui est actuellement impossible en pratique.

Mais si l’on construit des dispositifs informatiques plus puissants, pour lesquels les problèmes mathématiques utilisés actuellement pour la cryptographie sont faciles à résoudre, notre paradigme actuel en matière de protection de la vie privée doit être repensé. En d’autres termes, tandis que les ordinateurs classiques peuvent avoir besoin de durées folles pour résoudre les versions les plus ardues d’un problème (l’âge de l’univers par exemple), les ordinateurs quantiques idéaux devraient être capables de le faire en quelques minutes… ou, si l’on considère des modèles plus réalistes d’ordinateurs quantiques, peut-être en quelques heures.

C’est pourquoi les cryptographes développent des solutions pour remplacer RSA et atteindre la « sécurité quantique », c’est-à-dire des protocoles cryptographiques qui sont sûrs contre un ennemi qui a accès à un ordinateur quantique. Pour ce faire, il existe deux approches principales : la cryptographie post-quantique et la distribution de clés quantiques.

Comment crypter des informations dans un monde équipé d’ordinateurs quantiques ?

La cryptographie post-quantique maintient le paradigme de sécurité basé sur la complexité : on cherche les problèmes mathématiques qui restent difficiles même pour les ordinateurs quantiques, et on les utilise pour construire des protocoles cryptographiques. L’idée est toujours qu’un ennemi a besoin d’un temps ridiculement long pour pirater le protocole. Les chercheurs travaillent d’arrache-pied pour développer des algorithmes de cryptographie post-quantique, et le NIST (le « National Institute of Standards and Technology » américain) a lancé un processus pour solliciter et évaluer ces algorithmes. Les candidats choisis ont été annoncés en juillet 2022.

La cryptographie post-quantique présente un avantage majeur : elle est basée sur des logiciels. Elle est donc bon marché et, surtout, son intégration dans les infrastructures existantes est simple, puisqu’il suffit de remplacer le protocole précédent, par exemple RSA, par le nouveau.

Mais la cryptographie post-quantique présente également un risque évident : notre confiance dans la « difficulté » des nouveaux algorithmes face aux ordinateurs quantiques est limitée. En effet, il faut rappeler qu’il n’est pas prouvé qu’aucun des protocoles cryptographiques basés sur la notion de complexité est sûr : il n’existe pas de preuve (mathématique) qu’ils ne peuvent pas être résolus efficacement sur un ordinateur classique ou quantique !

C’est par exemple le cas de la factorisation. On ne peut pas exclure qu’un algorithme classique de factorisation efficace soit trouvé un jour – auquel cas la sécurité basée sur le protocole s’effondrerait, même sans ordinateur quantique. On pense que c’est peu probable, car des chercheurs (très intelligents) cherchent depuis des siècles un algorithme efficace pour la factorisation, sans succès. Mais on ne peut pas l’exclure.

Dans le cas des nouveaux algorithmes, la preuve de leur complexité est beaucoup plus limitée, car ils ont été inventés récemment et ils n’ont pas encore été beaucoup mis à l’épreuve – ni par des chercheurs (toujours très intelligents) ni par un ordinateur quantique (car aucun n’est disponible). Parfois, les tests de difficulté sont assez rapides : l’un des algorithmes proposés dans l’initiative du NIST a été par la suite craqué en une heure sur un PC standard.

Exploiter les lois de la physique quantique pour sécuriser les communications

La deuxième approche de la sécurité quantique est la distribution de clés quantiques. Ici, nous avons un changement de paradigme, puisque la sécurité des protocoles n’est plus basée sur des considérations de complexité, mais sur les lois de la physique quantique. On parle donc de sécurité physique quantique.

Sans entrer dans les détails, une clé secrète est distribuée à l’aide de qubits et la sécurité du protocole découle du principe d’incertitude d’Heisenberg, qui implique que toute intervention de l’espion est détectée car elle modifie l’état de ces qubits.

Le principal avantage de la distribution de clés quantiques est qu’elle est basée sur des phénomènes quantiques, qui ont été vérifiés dans de nombreux laboratoires expérimentaux.

Le principal problème pour son adoption est qu’elle nécessite un nouveau matériel (quantique). Il est donc coûteux et son intégration dans les infrastructures existantes n’est pas facile. Pourtant, d’importantes initiatives sont en cours, par exemple pour le déploiement de la distribution de clés quantiques à l’échelle européenne.

Plus forts ensemble

Quelle approche adopter ? Cette question est souvent présentée comme une dichotomie et même cet article a pu donner cette impression jusqu’ici. En fait, je pense que la voie à suivre est de combiner la distribution de clés quantique (voir matérielle) et post-quantique (voie logicielle). La distribution quantique des clés nous a montré que la physique quantique nous fournit de nouveaux outils et recettes pour garantir nos secrets, au-delà des arguments de complexité standard. Si les deux approches sont combinées, les pirates informatiques auront beaucoup plus de mal à pirater les protocoles de sécurité, car ils devront faire face à la fois à des problèmes de calcul complexes et à des phénomènes quantiques.

Antonio Acín est ICREA Professor au ICFO-The Institute of Photonic Sciences. Il a reçu des financements de AXA Fund, la Union Européenne, et les gouvernements espagnol et catalan.

Est-ce que 2023 sera pire que 2022 en matière de sécurité en ligne ?

Qu'en pensent les experts ?

Et quelles sont les bonnes nouvelles pour notre sécurité ?

Je vous explique tout.

La révolution est en marche. Notre sécurité en ligne sera bientôt garantie par un nouveau standard dans le monde de l’identification en ligne. Dans cet épisode, je vous explique ce qu’est passkey et comment ça marche et surtout comment il va stopper le phishing. 

Le Visa de sécurité SecNumCloud repose sur un référentiel exigeant développé par l’ANSSI. Il permet d’identifier des offres de services cloud « de confiance », c’est-à-dire justifiant d’un haut niveau de compétence et de qualité de service en matière de cybersécurité, tout en démontrant une protection forte des données sensibles.

L’ANSSI et la DGE sont conscientes que ce Visa de sécurité constitue un processus exigeant et coûteux, en particulier pour les startups et PME développant des logiciels et proposant des services de PaaS (platform as a service) ou de SaaS (software as a service).

L’Etat entend donc lever ces freins pour nos startups et PME avec l’ouverture d’un dispositif d’accompagnement, qui est doté d’une enveloppe de 3,5 millions d’euros, financée dans le cadre de la stratégie cloud de France 2030.
 

L’ambition de cette initiative est d’accompagner les entreprises souhaitant être qualifiées SecNumCloud tout au long de leur préparation à la qualification et selon leur niveau de maturité. Le dispositif inclut ainsi un audit initial pour définir le niveau de maturité de l’entreprise candidate, des prestations de conseil (plan de développement à une démarche de qualification et plan de préparation à la qualification), et enfin une aide au financement pour la qualification elle-même. Ces prestations seront réalisées, dans un premier temps, par des Prestataires d’Audit de la Sécurité des Systèmes d’Information (PASSI), puis par des Prestataires d’Accompagnement et de Conseil en Sécurité (PACS) lorsque la qualification sera en vigueur.

Lancé ce 22 décembre 2022, le guichet d’accès au dispositif est confié à Bpifrance, en lien étroit avec l’ANSSI et la DGE (Direction Générale des Entreprises).

Une première relève du dispositif aura lieu dès le 15 février 2023 et cible en priorité des PME qui souhaitent commercialiser une offre qualifiée SecNumCloud sous 2 ans : https://www.bpifrance.fr/nos-appels-a-projets-concours/guichet-dacces-au-dispositif- daccompagnement-a-la-qualification-secnumcloud

Piloté par la Direction générale des Entreprises (DGE) avec la Direction Générale de la recherche et de l’innovation (DGRI) et l’appui du Secrétariat Général pour l’Investissement (SGPI), le volet cloud de France 2030, doté de 667M€, soutient l’innovation dans ce domaine, et en particulier auprès des acteurs émergents, PME et start-ups.

Jean-Noël Barrot, Ministre délégué chargé de la Transition numérique et des Télécommunications, a déclaré : « Avec le lancement de ce dispositif, c’est un message que nous adressons à notre riche écosystème de start-ups et PME du logiciel français : le cloud de confiance se bâtira aussi sur vos forces, sur la qualité de vos services, et par la reconnaissance du haut niveau de cybersécurité et de protection que vous êtes capables de proposer. »

 Thomas Courbe, Directeur général des Entreprises, a déclaré : « Les services cloud sont essentiels pour l’innovation et la transformation numérique : nos entreprises doivent disposer d’un large panel de solutions qualifiées cloud de confiance. Lever les verrous d’accès à cette qualification pour nos PME est donc un enjeu majeur, et je suis ravi que nous y répondions aujourd’hui. »

 Guillaume Poupard, Directeur général de l’ANSSI, a déclaré : « Ce dispositif d’accompagnement est parfaitement adapté aux besoins comme aux différents niveaux de maturité de nos start-ups et PME. Il nous permettra d’enrichir l’offre de services cloud avec un Visa de sécurité SecNumCloud, élément crucial pour accroître le niveau global de cybersécurité en France. »

Apple serait bientôt obligé de laisser ses clients utiliser des app stores alternatifs ...  

Si c'est une bonne chose pour la concurrence, nous allons le payer très cher car les app stores alternatifs sont surtout une source de ... virus.  

Dans ce premier billet d'humeur, je vous donne mon avis sur ce changement qui pourrait ne pas être si positif pour les utilisateurs d'iPhones.

Gratuit et 100% en ligne.
MonServiceSécurisé est la nouvelle solution de l’ANSSI, incubée par son laboratoire d’innovation, pour renforcer la cybersécurité de tous les services publics numériques : site web, applications mobile et API.

Collaboratif et pédagogique.
Pensée par et pour les services publics, MonServiceSécurisé leur permet de gagner en efficacité grâce à une liste personnalisée de mesures de sécurité à mettre en œuvre, un indice cyber final pour évaluer le niveau de sécurité et une homologation clé-en-main. Un mode collaboratif permet de déléguer et de faire collaborer toutes les parties prenantes (DSI, directions métiers, chefs de projet).

TÉMOIGNAGES DES BÉNÉFICIAIRES

Marylyne Boubée, Responsable de la Sécurité des Systèmes d’Information du Conseil départemental de Haute-Garonne

Fabrice Idier, Responsable des Systèmes d’Information du département de la Seine-Saint-Denis

Matthieu Devallé, Responsable de la Sécurité des Systèmes d’Information adjoint au Centre Interministériel des Services informatiques relatifs aux Ressources Humaines

MARYLYNE BOUBÉE

RESPONSABLE DE LA SÉCURITÉ DES SYSTÈMES D’INFORMATION DU CONSEIL DÉPARTEMENTAL DE HAUTE-GARONNE

« Cet outil permet de rendre accessible l’homologation des téléservices à tous les acteurs. »

Pour répondre à quels enjeux avez-vous fait appel à MonServiceSécurisé ?

Afin de réaliser l’homologation de nos téléservices. Nous recherchions un outil d’analyse de risques plus complet que ceux dont nous disposions, mais aussi une solution collaborative.

Pourquoi avoir choisi MonServiceSécurisé ?

Que pouvait-il y avoir de mieux qu’un produit proposé par ANSSI ? Les outils classiques d’analyse de risque sont très complexes, pour qui n’est pas du métier. A l’inverse, MonServiceSécurisé est très accessible. Il nous permet de travailler avec les chefs de projet et l’ensemble des métiers qui n’appartiennent pas au domaine informatique. Autre avantage, non négligeable : l’interface est nettement plus agréable qu’un tableur classique. Et les résultats sont très probants : la synthèse finale et l’Indice Cyber offrent une vision panoramique et constituent une vraie plus-value.

Quels bénéfices constatez-vous depuis la mise en place de MonServiceSécurisé ?

Cet outil permet de rendre accessible l’homologation des téléservices à tous les acteurs. Ce qui constitue un grand avantage pour les entités qui n’ont pas forcément de RSSI. Grâce à MonServiceSécurisé, toutes les collectivités peuvent se donner les moyens de respecter les contraintes d’homologation.

Qu’avez-vous le plus apprécié parmi les solutions apportées par MonServiceSécurisé ?

MonServiceSécurisé présente de nombreuses qualités pour ses utilisateurs. Son utilisation est facile et son interface est agréable. Cet outil permet en outre d’accéder à un ensemble de documentations et d’annexes très précieuses. Cette solution présente aussi un gain en terme d’image : grâce à MonServiceSécurisé nous pouvons assurer à nos partenaires et à nos usagers que nous respectons les préconisations de l’ANSSI.

FABRICE IDIER

RESPONSABLE DES SYSTÈMES D’INFORMATION DU DÉPARTEMENT DE LA SEINE-SAINT-DENIS

« C’est sa simplicité et sa facilité d’emploi qui nous ont convaincus.»

Pour répondre à quels enjeux avez-vous fait appel à MonServiceSécurisé ?

Nous avons utilisé MonServiceSécurisé pour initier nos démarches d’homologation, qui sont devenues incontournables avec l’essor des portails numériques et l’intensifications du recours aux téléservices. MonServiceSécurisé nous a permis à la fois d’améliorer nos procédures de sécurisation de réaliser rapidement une « checklist » de points à traiter et de les partager à nos équipes projets.

Pourquoi avoir choisi MonServiceSécurisé ?

C’est sa simplicité et sa facilité d’emploi qui nous ont convaincus. Toutes les thématiques sont présentées avec clarté. MonServiceSécurisé offre en outre une solution parfaite pour faire collaborer toutes les parties prenantes . Cette approche collaborative est un vrai avantage pour les utilisateurs. De plus, l’ANSSI apporte une très solide garantie du respect de la règlementation !

Quels bénéfices constatez-vous depuis la mise en place de MonServiceSécurisé ?

Il y a véritablement un avant et un après. MonServiceSécurisé m’a permis de partager ma démarche d’homologation des téléservices avec les différents métiers impliqués et les chefs de projet. Ce qui nous permet d’ anticiper les enjeux de sécurisation parfois dès la conception de nos services (« Security by design »), et de sensibiliser les acteurs des projets. De plus, cette solution nous permet de faire un inventaire exhaustif de tous nos téléservices et de nos portails, et de lister tous les points d’amélioration.

Qu’avez-vous le plus apprécié parmi les solutions apportées par MonServiceSécurisé ?

Sa dimension collaborative, son référentiel adapté de mesures de sécurité, son ergonomie et la simplicité qu’elle offre pour initier une démarche même avec des agents non aguerris à l’homologation.

MATTHIEU DEVALLÉ

INGÉNIEUR DE L’INDUSTRIE ET DES MINES, RESPONSABLE DE LA SÉCURITÉ DES SYSTÈMES D’INFORMATION ADJOINT AU CENTRE INTERMINISTÉRIEL DES SERVICES INFORMATIQUES RELATIFS AUX RESSOURCES HUMAINES

« MonServiceSécurisé offre tous les avantages d’un outil collaboratif»

Pour répondre à quels enjeux avez-vous fait appel à MonServiceSécurisé ?

Nous avons fait appel à MonServiceSécurisé pour l’homologation et la mise en conformité de nos systèmes d’information avec les normes en vigueur, en effectuant une revue complète de nos systèmes d’information.

Pourquoi avoir choisi MonServiceSécurisé ?

Nous l’avons d’abord testé dans une démarche exploratoire avant d’être convaincus par l’homologation d’un premier service. Nous avons ensuite décidé de généraliser l’usage de MonServiceSécurisé pour une partie de nos homologations (15 ont été réalisées à ce jour).

Quels bénéfices constatez-vous depuis la mise en place de MonServiceSécurisé ?

Des homologations beaucoup plus rapides, un parcours guidé grâce à des référentiels et des catalogues de risques et de mesures de sécurité déjà établis ainsi qu’un document récapitulatif exhaustif à présenter à l’autorité d’homologation. Par ailleurs, il s’agit d’une offre en SaaS, ce qui nous permet à la fois de nous affranchir des contraintes d’hébergements et de profiter de tous les avantages d’un outil collaboratif en ligne hébergé par l’ANSSI. Grâce à cet aspect collaboratif, nous avons pu intégrer les métiers à la démarche (développeurs, chefs de projet, etc.) comme le préconisent les autorités en matière de sécurité du numérique.

Qu’avez-vous le plus apprécié parmi les solutions apportées par MonServiceSécurisé ?

MonServiceSécurisé a l’avantage d’être simple d’utilisation et d’être en même temps une solution de confiance, développée par l’ANSSI. Nous sommes éditeurs interministériels d’application dans le domaine des ressources humaines, et l’utilisation d’un outil porté par l’ANSSI pour réaliser les homologations de sécurité d’une partie de nos services peut constituer un gage de confiance pour nos partenaires.

L’ANSSI (Agence nationale de la sécurité des systèmes d’information) et le BSI (Bundesamt für Sicherheit in der Informationstechnik) ont signé en juin 2022 un accord de reconnaissance mutuelle des certificats de sécurité pour les schémas CSPN (Certification de Sécurité de Premier Niveau) et BSZ (Beschleunigte Sicherheitszertifizierung). Cette publication conjointe, met l’accent sur ces types de schémas de certification de sécurité qui ont la particularité d’être réalisés dans des délais prédéterminés et d’alléger l’effort pesant sur les fournisseurs de produits.

Pour découvrir cette publication conjointe, cliquez sur le lien ci-dessous.

Publication conjointe ANSSI / BSI – 2022

Il s’agit de la cinquième publication conjointe entre l’ANSSI et le BSI.

Vous souhaitez (re)découvrir les précédentes publications : 2018 / 2019 / 2020 / 2021