Vous êtes développeur et vous contribuez à des dépôts Git publics ? Une erreur de commit est vite arrivée, et vos données sensibles peuvent se retrouver publiées par inadvertance...

En 2021, Gitgardian annonçait détecter 5000 secrets par jour sur Github, 85% seraient liées à des repository personnels et 15% à des repository d'entreprise.

Pour éviter ce genre de scénario, par exemple la publication accidentelle d'une clé d'API sur un dépôt public, Gitleaks est un outil indispensable. Il permet de sécuriser vos dépôts Git et de vérifier que chaque commit ne contient aucune information sensible. Cela vous protège contre des fuites qui pourraient conduire jusqu'à un piratage ou un vol de données sensibles de votre infrastructure.

Comment fonctionne Gitleaks ?

Gitleaks agit au niveau du pre-commit, c'est-à-dire que l'outil est exécuté avant que le commit ne soit ajouté à votre repository Git. Pour cela, vous avez deux options pour mettre l'outil en place :

1. Utiliser Pre-commit : Vous pouvez passer par la solution Pre-commit et ajouter Gitleaks comme commande à lancer avant chaque commit.
2. Utiliser un hook Git : Vous pouvez aussi utiliser la fonctionnalité native des hooks de Git en copiant le fichier "pre-commit.py" de Gitleaks dans le répertoire .git/hooks/ de votre repository.

Ces méthodes garantissent une vérification systématique des commits.

Si vous êtes débutant en Git, le livre Git PRO est gratuit sur Kindle, je vous invite à le lire. Ce livre constitue une référence :

Vous pouvez aussi réaliser des contrôles automatisés avec Gitleaks-Actions pour vérifier le contenu de repository automatiquement au travers d'une action Github automatisée.
Gitleaks Action est malheureusement plus sous licence MIT, celui-ci est payant pour les organisations, mais gratuit d'utilisation pour les projets personnels. Une demande de clef gratuite est possible depuis le site Gitleaks.io.

Comment ignorer des fichiers ?

Si Gitleaks détecte de faux positifs, vous pouvez créer un fichier ".gitleaksignore" à la racine de votre repository pour spécifier les fichiers ou motifs à ne pas analyser. Cela peut être très pratique pour des fichiers qui contiennent des données non sensibles, mais qui pourraient être identifiés par erreur.

Gitleaks, un projet open source solide

Gitleaks est un projet open source distribué sous licence MIT. Le code source est disponible sur GitHub. Avec plus de 17 000 stars et environ 180 contributeurs, c'est un projet mature et fiable. Vous pouvez donc l'intégrer sereinement à votre workflow Git.

En intégrant Gitleaks, vous prenez des mesures concrètes pour protéger vos dépôts et vos données sensibles, tout en renforçant la qualité et la sécurité de votre code.

Vous souhaitez discuter code et cybersécurité, le serveur Discord Geeek est disponible pour tous les lecteurs du blog.
Si les sujets autour de la cybersécurité vous intéressent, je vous recommande mes autres articles dédiés sur le sujet.

Si vous suivez l'actualité, vous avez très probablement entendu parlé du pirage des données de Free cette semaine par un Hacker au nom de Drusselx ?

Cette attaque a suscité de vives inquiétudes parmi les abonnées de Free. La sécurité de leurs données personnelles est désormais remise en question.

Cette attaque tombe juste après la publication du libre de Xavier Niel "Une sacrée envie de foutre le bordel". La question que l'on peut se poser: est-ce un hasard ou une revanche ? Seul le hacker pourrait en témoigner.

La Revendication du Pirate

Le hacker Drusselx affirme depuis lundi 21 octobre être en possession de 19,2 millions de données Free Mobile et Freebox ainsi que de 5,11 millions d'IBAN. Ces chiffres sont impressionnants et semble démontrer la gravité de l'intrusion.

La Communication de Free

Ce week-end, Free a informé ses clients Freebox et Free Mobile par email que certaines de leurs données personnelles avaient été compromises :

Cependant, un détail crucial semble avoir été omis dans la communication de Free : le hacker affirme également être en possession les IBAN de tous les clients Freebox.

Ces informations sont particulièrement sensibles et pourraient être utilisées pour des transactions frauduleuses ou des arnaques ciblées.

Par exemple, un cybercriminel pourrait utiliser les IBAN pour initier des prélèvements frauduleux ou usurper l'identité des victimes afin de souscrire à des services financiers non autorisés, causant ainsi des préjudices considérables aux clients.

La Preuve de l'Attaque

Pour prouver ses dires, le pirate a mis en accès libre ce week-end un fichier contenant 100 000 comptes d'abonnés Free accompagnés d'IBAN. Cette démonstration vise à prouver la véracité de son attaque et à susciter l’intérêt des acheteurs potentiels sur le Dark Web.

Cette démonstration publique n'est pas seulement un moyen de confirmer la légitimité de la menace, elle est aussi un moyen de mettre la pression sur Free pour obtenir une rançon potentielle.

Les entreprises hésitent souvent à céder au chantage, car cela pourrait encourager d'autres attaques similaires à l'avenir, tout en ne garantissant pas que les données volées ne seront pas diffusées malgré le paiement. De telles situations placent les entreprises dans une position délicate : céder au chantage ou risquer une diffusion encore plus large des données.

La Mise en Vente des Données

Les données personnelles de 100 000 clients Free sont désormais en libre circulation depuis ce samedi 26 octobre 2024. Le pirate semble mettre en vente l'ensemble des données volées sur le Dark Web au prix de 70 000 dollars.

Ce marché illicite alimente une économie souterraine basée sur la fraude et l'usurpation d'identité, mettant en danger la vie privée et les finances des clients de Free.

Les clients Free doivent rester très vigilants, surveiller leurs comptes bancaires quotidiennement et se tenir informés des actions prises par Free pour remédier à cette situation.

Si vos données font parti des 100 000 comptes en libre service, cela est très graves, vos données sont visibles de tous et peuvent être utilisés par de nombreuses personnes malveillantes. Si vous ne faites pas partie de ces 100 000 comptes, la diffusion de vos données sera probablement plus limitée et le risque plus faible.

Bref, tout cela donne froid dans le dos. J'espère que cette attaque aura qu'un très faible impact financier pour l'ensemble des clients Free, soyez très vigilant !

Chaque jour, un ordinateur est piraté quelque part. Mais parfois, nous pensons que quelque chose a été piraté alors que ce n'est pas le cas. Qu'est-ce que le piratage informatique ? Et comment pouvons-nous nous en protéger ? C'est ce que je vous explique dans cet épisode.

The Hacker Crackdown: https://en.wikipedia.org/wiki/The_Hacker_Crackdown

Sources

https://www.avg.com/en/signal/how-are-computers-hacked

https://en.wikipedia.org/wiki/The_Hacker_Crackdown

https://www.forbes.com/sites/stevemorgan/2016/02/18/microsoft-co-founder-bill-gates-was-caught-hacking-45-years-ago/#:~:text=Bill%20Gates%2C%20now%2060%2C%20is%20a%20reformed%20hacker.,hacker%2C%20programmer%2C%20co-founder%20of%20Microsoft%2C%20philanthropist%20and%20investor.

https://slate.com/technology/2013/02/steve-jobs-and-phone-hacking-exploding-the-phone-by-phil-lapsley-reviewed.html

https://www.thebulletin.be/hackers-target-belgiums-largest-digital-billboard

https://www.cybersecurityeducationguides.org/a-brief-history-of-hacker-culture/

https://en.wikipedia.org/wiki/Drive-by_download

https://account.microsoft.com

https://icloud.com/find

https://support.apple.com/nl-nl/guide/icloud/mmfc0f2442/icloud

https://support.apple.com/nl-nl/guide/findmy-mac/fmm0e3934777/4.0/mac/15.0

https://www.pcworld.com/article/624593/is-your-windows-11-pc-encrypted-the-answer-is-surprisingly-complex.html

https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df

https://www.intego.com/mac-security-blog/understanding-user-accounts-in-macos/

https://en.wikipedia.org/wiki/IOS_jailbreaking

https://en.wikipedia.org/wiki/Rooting_(Android)

https://support.apple.com/guide/disk-utility/encrypt-protect-a-storage-device-password-dskutl35612/mac

https://support.apple.com/en-us/118277#:~:text=Mac%20computers%20that%20have%20the%20Apple%20T2%20Security%20Chip%20integrate

Avec Internet, les fraudes se multiplient avec toujours plus d’ingéniosité. Pour vous protéger, il est crucial de rester vigilant, surtout pour accéder à votre banque en ligne et pour vos paiements… Ce guide vous propose des réflexes simples de cybersécurité à appliquer au quotidien.

Si vous pensez être victime, des conseils pratiques sont disponibles sur www.cybermalveillance.gouv.fr le site national d’assistance et de prévention du risque numérique.

Pour porter plainte ou signaler une fraude (faux site, piratage de messagerie électronique, chantage, demande de rançon, etc.), utilisez la plateforme THESEE sur service-public.fr.

Pour plus de réflexes sécurité, par moyen de paiement notamment, consultez notre collection de guides « sécurité » sur lesclesdelabanque.com.

Je ne réponds pas aux sollicitations

Un courriel (phishing) ou SMS (smishing), peut vous conduire sur un faux site où vos informations de connexion bancaire ou de paiement, pourraient être récupérées et utilisées à votre insu.

Pour vous protéger :

• Ne cliquez pas sur les liens ni sur les pièces jointes d’un message que vous n’attendiez pas.
• Prenez votre temps pour faire les vérifications nécessaires, surtout si le message est alarmiste et demande une action urgente (paiement, envoi d’informations personnelles…).
• Ne donnez pas suite à un SMS vous incitant à un appel ou une connexion depuis votre téléphone. En cas de doute, transférez le SMS au 33700 ou sur www.33700.fr.

Réagir rapidement en cas d’escroquerie :

• Faites opposition au plus vite si vous avez divulgué des informations de paiement.
• Prévenez votre banque, aux coordonnées habituelles, si vous avez fourni vos codes d’accès de banque à distance.
• Changez vos mots de passe ou codes si vous les avez communiqués à un tiers.
• Informez l’organisme dont semble provenir le message pour lui signaler la tentative de fraude utilisant son identité afin de stopper toute escroquerie en cours.
• Surveillez vos comptes pour détecter et contester toute opération frauduleuse.

Je protège mes données personnelles

Sur Internet, sites e-commerce, sites de rencontre ou réseaux sociaux par exemple, vos données personnelles peuvent être volées et ensuite utilisées à votre insu. Un escroc pourrait même tenter de vous séduire à seule fin de les récupérer. L’usurpation d’identité est en forte hausse.

Pour vous protéger :

• Maîtrisez les données que vous partagez et avec qui. Vos données, c’est vous. Soyez aussi vigilant qu’avec vos papiers d’identité ou vos clés.
• Sauvegardez régulièrement vos fichiers ou autres documents importants sur un support externe (disque dur ou coffre-fort électronique) et sécurisé.
• Mettez à jour vos systèmes et anti-virus sur tous vos appareils… et verrouillez-les par des mots de passe ou codes.
• Variez et changez régulièrement vos mots de passe, choisissez-les avec soin. Privilégiez des phrases de passe sans informations personnelles (date de naissance). Ne les notez pas. Si besoin, enregistrez-les dans un gestionnaire de mots de passe sécurisé.
• Utilisez des adresses e-mail différentes selon l’usage (professionnel, personnel, achats, etc.).
• Paramétrez avec soin votre compte sur les réseaux sociaux et réservez l’accès aux amis ou relations proches.
• Effacez régulièrement votre historique de navigation et supprimez les cookies.
• Limitez au nécessaire les autorisations demandées par les applications que vous installez.

Réagir rapidement en cas d’escroquerie :

• Portez plainte auprès de la police ou de la gendarmerie et signalez l’usurpation d’identité.
• Demandez, au site concerné, à récupérer/effacer vos données, et opposez-vous à leur utilisation.
• Vous pouvez contacter la CNIL (Commission nationale de l’informatique et des libertés) pour faire valoir vos droits : accès, rectification, etc.
• En cas de chantage à la webcam (menace de diffusion de photos/vidéos soi disant compromettantes), ne répondez pas et ne payez pas la rançon réclamée. En effet, il est très peu probable que les escrocs détiennent des choses sur vous.

J’utilise des sites sûrs pour mes achats en ligne

De faux sites imitent les grands sites marchands pour voler vos données personnelles, dont vos identifiants de connexion bancaire ou informations de paiement.

Pour vous protéger :

• Vérifiez que l’adresse du site est correcte surtout si quelque chose vous semble inhabituel (page d’accueil, modalités de fonctionnement…). Différez vos achats en cas de doute.
• Tapez vous-même l’adresse du site et vérifiez les signes de sécurité (https, cadenas ou clé dans le navigateur). Cela garantit le cryptage des données échangées. Attention cependant, ça ne garantit pas que le site est officiel.
• Vérifiez les informations du marchand : nom, adresse, service clients, les garanties de livraison, les modalités de paiement, de retour, de contact, les CGV, les avis...
• N’effectuez pas de paiement si le site est hébergé en dehors de l’Union européenne. L’absence de fenêtre d’authentification forte doit vous alerter, sauf en cas de faible montant ou d’opération récurrente.
• N’enregistrez pas vos données de paiement sur le site.
• Ne divulguez à personne votre identifiant et mot de passe de portefeuille électronique.
• Ignorez les courriels douteux imitant des sites marchands.

Réagir rapidement en cas d’escroquerie :

• Si vous pensez avoir communiqué vos données bancaires à un faux commerçant, contactez votre banque pour lui signaler.
• En cas de fraude avérée, faites opposition, déposez plainte et contestez l’opération auprès de votre banque.
• Signalez la fraude sur le site du service public (Perceval) pour aider les enquêteurs.
• Vérifiez régulièrement votre compte bancaire. Pour une opération que vous considérez ne pas avoir faite, vous avez, à compter du débit en compte : 13 mois pour contester un paiement dans l’Espace Économique Européen (EEE) ; 70 jours (ou 120 jours selon le contrat), pour un paiement hors de l’EEE.

Lire la suite du guide "Cybersécurité au quotidien - 9 réflexes clés" :

• Je suis vigilant quand je me connecte à ma banque
• J'ignore les remboursements inattendus/offres trop exceptionnelles
• Offre rentable et sans risque ? Je passe
• Je vérifie l’identité de mes interlocuteurs
• Je protège mon matériel
• Je protège mes connexions

Vous êtes travailleur social ? Nous vous proposons ce flyer (à imprimer par vos soins) pour remettre aux publics que vous accompagnez. Il présente rapidement le sujet et contient un QR code permettant d'aller consulter le guide en ligne.

Voir les actions

• Aimer cet article
• Enregistrer cet article
• Partager cet article

6 Min

La sécurité

French Days : les bons plans sans les arnaques

Voir les actions

• Aimer cet article
• Enregistrer cet article
• Partager cet article

4 Min

La sécurité

Arnaques : dernières tendances et prévention

Voir les actions

• Aimer cet article
• Enregistrer cet article
• Partager cet article

9 Min

Travaux et rénovation

Travaux de rénovation énergétique : attention aux arnaques

Voir les actions

• Aimer cet article
• Enregistrer cet article
• Partager cet article

7 Min

Garantie et sécurité

J'ai donné mes coordonnées bancaires : que faire pour réagir vite ?

Voir plus sur la gaucheVoir plus sur la droite

The post Cybersécurité au quotidien - 9 réflexes clés appeared first on Les clés de la banque - Particulier.

La presse et la télévision nous inquiètent à propos des intelligences artificielles qui aident les fraudeurs et les cybercriminels à nous voler. Que font-ils avec ? Et doit-on avoir peur ? Je réponse à cette question dans cette vidéo.

Selon le Procureur général du Nouveau-Mexique, les employés de SnapChat ont signalé plus de 10 000 cas de harcèlement sexuel en 1 mois sans que la plateforme bouge le petit doigt.

L’article Prédateur d’enfants et vente d’armes sur SnapChat : un procès révèle que les employés étaient au courant est apparu en premier sur Toms Guide.

Votre site Web se fait régulièrement aspirer son contenu par des robots spécialisés dans la production de modèles LLM (Large Language Model) tels que OpenAI, Perplexity, Claude, etc.

Ce phénomène peut entraîner une consommation importante de ressources sur votre hébergement et vous pourriez ne pas souhaiter que votre contenu soit exploité pour produire des LLM commerciaux sans votre consentement.

D'après l'étude réalisée par Cloudflare, ce traffic illégitime est en pleine croissance sur ces derniers mois. Les deux bots les plus verbeux étant Bytespider de la firme chinoise gérant TikTok et GPTBot d'OpenAI :

Heureusement, il existe des solutions pour protéger votre site contre ces robots.

Présentation du projet ai.robots.txt

ai.robots.txt est un projet open-source disponible sur GitHub qui a comme objectif d'identifier et de lister l'ensemble des user-agents des robots associés aux sociétés qui produisent des LLM.

En utilisant cette liste, vous pouvez informer ces robots de ne pas accéder à votre site.

Méthode 1 : Bloquer l'Indexation via le Fichier robots.txt

Le fichier robots.txt permet de donner des directives aux robots d'indexation sur les pages qu'ils peuvent ou ne peuvent pas explorer.

Étapes :

1. Téléchargez le contenu du fichier robots.txt depuis le projet ai.robots.txt.
2. Ajoutez ou fusionnez ce contenu avec le fichier robots.txt de votre site Web.

Cela n'effacera pas les contenus déjà récupérés par ces robots, mais cela les informera de ne pas indexer de nouveaux contenus.

Exemple de contenu à ajouter :

User-agent: AI2Bot
User-agent: Ai2Bot-Dolma
User-agent: Amazonbot
User-agent: Applebot
User-agent: Applebot-Extended
User-agent: Bytespider
User-agent: CCBot
User-agent: ChatGPT-User
User-agent: Claude-Web
User-agent: ClaudeBot
User-agent: Diffbot
User-agent: FacebookBot
User-agent: FriendlyCrawler
User-agent: GPTBot
User-agent: Google-Extended
User-agent: GoogleOther
User-agent: GoogleOther-Image
User-agent: GoogleOther-Video
User-agent: ICC-Crawler
User-agent: ImagesiftBot
User-agent: Kangaroo Bot
User-agent: Meta-ExternalAgent
User-agent: Meta-ExternalFetcher
User-agent: OAI-SearchBot
User-agent: PerplexityBot
User-agent: PetalBot
User-agent: Scrapy
User-agent: Sidetrade indexer bot
User-agent: Timpibot
User-agent: VelenPublicWebCrawler
User-agent: Webzio-Extended
User-agent: YouBot
User-agent: anthropic-ai
User-agent: cohere-ai
User-agent: facebookexternalhit
User-agent: iaskspider/2.0
User-agent: img2dataset
User-agent: omgili
User-agent: omgilibot
Disallow: /

Note : Le fichier robots.txt est basé sur une norme volontaire, et certains robots malveillants peuvent choisir de l'ignorer. Il est donc recommandé de combiner cette méthode avec d'autres approches.

Méthode 2 : Bloquer le Trafic depuis Votre Serveur Web

Pour une solution plus efficace, vous pouvez bloquer le trafic de ces robots au niveau du serveur Web en ajoutant des règles d'exclusion dans la configuration.

Pour NGINX :

1. Ouvrez le fichier de configuration de votre site (généralement situé dans /etc/nginx/sites-available/).
2. Ajoutez le code suivant dans le bloc server :

if ($http_user_agent ~* (AI2Bot|Ai2Bot-Dolma|Amazonbot|Applebot|Applebot-Extended|Bytespider|CCBot|ChatGPT-User|Claude-Web|ClaudeBot|Diffbot|FacebookBot|FriendlyCrawler|GPTBot|Google-Extended|GoogleOther|GoogleOther-Image|GoogleOther-Video|ICC-Crawler|ImagesiftBot|Kangaroo Bot|Meta-ExternalAgent|Meta-ExternalFetcher|OAI-SearchBot|PerplexityBot|PetalBot|Scrapy|Sidetrade indexer bot|Timpibot|VelenPublicWebCrawler|Webzio-Extended|YouBot|anthropic-ai|cohere-ai|facebookexternalhit|iaskspider/2.0|img2dataset|omgili|omgilibot)) {
    return 403;
}

3. Redémarrez NGINX pour appliquer les modifications :

sudo systemctl restart nginx

Méthode 3 : Utiliser un CDN/WAF comme Cloudflare

La plateforme Cloudflare offre une fonctionnalité intéressante permettant de bloquer les robots AI qui aspirent votre site. Celle-ci s'active en un seul clique depuis l'interface Web d'administration de Cloudflare.

Étapes :

1. Connectez-vous à votre compte Cloudflare et sélectionnez votre site.
2. Allez dans la section "Sécurité" puis "Bots".
3. Activez l'option "Bloquer les robots AI".

Cette option est disponible sur toutes les offres Cloudflare, y compris l'offre gratuite.

Conclusion

Bien que ces méthodes puissent réduire l'accès des robots à votre site, il est important de comprendre qu'elles ne garantissent pas une protection totale. Certains robots peuvent masquer leur identité ou utiliser des techniques pour contourner ces blocages.

Vous en avez assez des appels / SMS indésirables ou frauduleux qui perturbent votre quotidien ? Notre seule arme actuelle est d'utiliser un logiciel de blacklist de numéro de téléphone pour bloquer les numéros indésirables. Cependant l'usurpation de numéro est de plus en plus fréquente ...

Le Mécanisme d'Authentification des Numéros (MAN) est une solution mise en place pour vous protéger contre ces désagréments, la bonne nouvelle est que cette solution sera active en France dès le 1er Octobre si les opérateurs respectent le calendrier de déploiement du MAN. A partir de cette date, tous les appels téléphoniques non authentifiés seront bloqués en France.

Mais qu'est-ce que le MAN exactement ? À quoi sert-il et comment fonctionne-t-il ? Dans cet article, nous allons tenter de vous expliquer tout cela de manière simple et accessible.

Pourquoi le MAN a-t-il été créé ?

Ces dernières années, les appels frauduleux et le démarchage téléphonique non sollicité se sont multipliés. Pour lutter contre ce fléau, la loi du 24 juillet 2020 a introduit de nouvelles mesures visant à encadrer le démarchage téléphonique et à combattre les appels frauduleux en France. Le MAN est né dans ce contexte pour renforcer la confiance des consommateurs.

L'objectif principal est de s'assurer que lorsque vous recevez un appel ou un message, vous puissiez avoir confiance en l'identité de l'émetteur. Le MAN est un outil supplémentaire pour vous protéger, en s'appuyant sur des mécanismes techniques solides partagés par tous les opérateurs téléphoniques.

Comment le MAN nous protège-t-il ?

Le MAN authentifie les numéros de téléphone utilisés lors des appels et des messages. Cela signifie que, lorsque vous recevez un appel, le MAN garantit que le numéro affiché est bien celui de la personne qui vous appelle, ou qu'il est utilisé avec l'accord du propriétaire légitime du numéro. Le but est de vous redonner confiance en sachant que les appels entrants sont authentiques.

Pour y parvenir, une technologie appelée STIR/SHAKEN est utilisée pour les appels vocaux passant par Internet (protocole SIP). Sans entrer dans les détails techniques, cette technologie permet de certifier que l'appel provient bien de l'émetteur annoncé et que le numéro n'a pas été usurpé. Les opérateurs téléphoniques jouent un rôle essentiel en signant et en vérifiant les appels selon des normes établies.

Les principes clés du MAN

Le fonctionnement du MAN repose sur plusieurs principes fondamentaux :

1. Authentification de l'appelant : Chaque appel est signé par l'opérateur d'origine pour garantir l'authenticité du numéro.

2. Signature sécurisée des appels : L'opérateur d'origine est responsable des informations transmises et les signe de manière sécurisée.

3. Vérification des appels : Les opérateurs qui transmettent l'appel et celui qui vous le livre vérifient la signature pour s'assurer qu'elle est valide.

4. Blocage des appels non conformes : Les appels qui ne respectent pas les règles du MAN peuvent être bloqués pour vous protéger contre les fraudes.

Qui sont les acteurs du MAN ?

Plusieurs types d'opérateurs interviennent dans le fonctionnement du MAN :

• Opérateur Signataire : Celui qui signe les appels émis et qui possède le certificat d'authenticité.

• Opérateur d'Origine : L'opérateur qui fournit le service téléphonique à la personne qui émet l'appel.

• Opérateur de Transit : Celui par lequel l'appel transite. Il vérifie la présence et la validité de la signature.

• Opérateur de Terminaison : Votre opérateur téléphonique, qui reçoit l'appel et vous le transmet. Il vérifie également la signature et peut bloquer les appels non conformes.

• OPTS (Opérateur Technique de Signature) : Un spécialiste mandaté pour signer les appels au nom d'un autre opérateur.

• OPTV (Opérateur Technique de Vérification) : Un spécialiste mandaté pour vérifier les appels pour le compte d'un opérateur de terminaison.

La cinématique d'un appel téléphonique sécurisé par le MAN

Le Mécanisme d'Authentification des Numéros (MAN) s'implémente sur une trame SIP en utilisant le protocole STIR/SHAKEN, qui ajoute des informations d'authentification aux messages SIP pour vérifier l'identité de l'appelant. Voici comment cela fonctionne en détail :

1. Génération du jeton PASSporT

• Création du PASSporT : Lorsqu'un appel est initié, l'opérateur d'origine génère un jeton appelé PASSporT (Personal Assertion Token).

Ce jeton contient des informations clés telles que :

• Le numéro de téléphone de l'appelant (Origine).
• Le numéro de téléphone du destinataire (Destination).
• L'horodatage de l'appel.
• Le niveau d'attestation (A, B ou C) indiquant le degré de confiance.

2. Signature numérique du jeton

• Signature : Le jeton PASSporT est signé numériquement à l'aide du certificat privé de l'opérateur d'origine. Cette signature assure l'authenticité et l'intégrité des données, empêchant toute modification non autorisée.

3. Insertion dans l'en-tête SIP

• En-tête Identity : Le jeton PASSporT signé est encodé en Base64 et inséré dans l'en-tête SIP nommé "Identity".
• Message SIP modifié : La trame SIP INVITE, qui initie l'appel, inclut désormais cet en-tête supplémentaire.

Exemple d'en-tête SIP avec l'en-tête Identity :

INVITE sip:destinataire@operateur-destination.com SIP/2.0
Via: SIP/2.0/...
From: <sip:appelant@operateur-origine.com>;tag=123456
To: <sip:destinataire@operateur-destination.com>
Call-ID: abcdefghijklmnop
CSeq: 1 INVITE
Identity: eyJhbGciOiJFUzI1NiIsInR5cCI6...   (PASSporT encodé)
Contact: <sip:appelant@operateur-origine.com>
Content-Type: application/sdp
Content-Length: ...

4. Transmission de l'appel

• Opérateurs intermédiaires : L'appel, avec la trame SIP modifiée, est transmis à travers les opérateurs de transit jusqu'à l'opérateur de terminaison.
• Conservation de l'en-tête : Les opérateurs de transit doivent conserver l'en-tête "Identity" pour permettre la vérification ultérieure.

5. Vérification par l'opérateur de terminaison

• Extraction du jeton : L'opérateur de terminaison extrait le jeton PASSporT de l'en-tête "Identity".
• Validation de la signature : En utilisant le certificat public de l'opérateur d'origine, l'opérateur de terminaison vérifie la signature numérique pour s'assurer que le jeton n'a pas été altéré.
• Validation des informations : Il compare les informations du jeton avec celles de la trame SIP (numéros, horodatage) pour détecter toute incohérence.

6. Prise de décision

En fonction des résultats de la vérification :

• Appel approuvé : Si la signature est valide et les informations cohérentes, l'appel est acheminé normalement vers le destinataire.
• Appel suspect : Si la signature est invalide ou les informations incohérentes, l'opérateur peut :
  • Marquer l'appel comme suspect.
  • Afficher une alerte au destinataire.
  • Bloquer l'appel conformément à ses politiques internes ou aux réglementations.

7. Gestion des niveaux d'attestation

• Attestation A (Complète) : Haut niveau de confiance. L'opérateur d'origine confirme que l'appelant est autorisé à utiliser le numéro affiché.
• Attestation B (Partielle) : Confiance moyenne. L'opérateur connaît l'appelant mais ne peut pas confirmer le droit d'utiliser le numéro affiché.
• Attestation C (Passerelle) : Faible confiance. L'opérateur n'a pas de relation directe avec l'appelant (par exemple, appels internationaux).

Le niveau d'attestation influence la décision de l'opérateur de terminaison concernant le traitement de l'appel.

8. Infrastructure de certificats

• Autorités de Certification : Les opérateurs doivent obtenir des certificats numériques auprès d'une Autorité de Certification approuvée dans le cadre du MAN.
• Chaîne de confiance : Cette infrastructure garantit que seuls les opérateurs autorisés peuvent signer les appels, assurant ainsi la fiabilité du système.

Conclusion

Le MAN s'implémente sur une trame SIP en ajoutant un en-tête "Identity" contenant un jeton PASSporT signé numériquement. Ce mécanisme permet aux opérateurs de vérifier l'authenticité des appels à chaque étape du transit, renforçant ainsi la confiance dans les communications téléphoniques et luttant efficacement contre les appels frauduleux et l'usurpation de numéros.

Grâce à la collaboration de tous les opérateurs téléphoniques et à des technologies innovantes, vous pourrez d'ici quelques jours répondre à vos appels téléphoniques en toute sérénité. Il reste cependant à voir comment cette transition s'operera entre les différents acteurs français d'ici les prochains jours et si cette technologie permettra de réellement avoir un impact positif sur le nombre d'appels journaliers indésirables.

Si les fabricants d’appareils électroniques connectés sont désormais obligés de proposer des options de contrôle parental en France, les outils qu’ils mettent à disposition des utilisateurs ne sont pas toujours des plus pertinents.

L’article Protection des enfants sur internet : les solutions de contrôle parental par défaut souvent inefficaces est apparu en premier sur Toms Guide.

L’article Quel est le prix à payer pour la sécurité de nos données ? est apparu en premier sur Interstices.

rPGP c’est un bibliothèque Rust qui va vous permettre de jouer avec OpenPGP comme des grands ! Plus besoin de vous taper des kilomètres de C pour avoir un bout de code qui chiffre trois mails bourrés de fautes. Maintenant, on a le droit à une implémentation 100% Rust, avec une API minimaliste mais qui fait le taf. Et en plus, c’est sous licence libre, donc on peut en faire ce qu’on veut !

Le top du top, c’est que rPGP gère tout ce qu’il faut pour être compatible avec Autocrypt 1.1. Si vous ne connaissez pas, c’est une spécification pour chiffrer les mails qui est censée être facile à utiliser pour monsieur et madame tout-le-monde.

Côté technique, rPGP est mis à jour régulièrement en tant que crate pgp (oui, ils ont pensé à nous, les flemmards qui ne veulent pas taper plus de trois lettres). Et pour la partie RSA, ça vit tranquillou sous le parapluie collectif RustCrypto. Et pour les petits malins qui voudraient se la jouer elliptique, pas de panique : le support ECC est assuré par la crate Curve25519-dalek. J’adore le nom 🙂

Bon, après, faut avouer que la doc de l’API est encore un peu légère mais si vraiment vous séchez, vous pouvez toujours ouvrir une issue sur GitHub. Les devs sont sympas, ils répondent (des fois).

D’ailleurs, rPGP s’est payé un petit audit de sécurité indépendant en 2019, réalisé par les gars d’IncludeSecurity et pas de failles critiques ! Bon, quelques trucs à corriger par ci par là, mais globalement, c’est du solide. Si vous voulez jeter un œil au rapport, c’est par ici.

Notez que rPGP est utilisé en prod par Delta Chat, l’app de messagerie basée sur les mails et ça tourne nickel sur Windows, Linux, macOS, Android et iOS, en 32 et 64 bits. Que demande le peuple ?

Et si vous êtes du genre à tout vouloir faire tourner dans votre navigateur (ou dans Node.js, on ne juge pas), rPGP a même pensé à vous avec une feature wasm ! Par contre, les bindings sont encore expérimentaux, mais tout se trouve dans le repo rpgp/rpgp-js.

Allez, je vous laisse, j’ai des messages secrets à chiffrer moi !

Les autorités attirent l'attention des travailleurs sur une arnaque très insidieuse. Des escrocs parviennent à détourner les salaires en usurpant leur identité auprès de leur employeur. Si cette escroquerie existe depuis belle lurette, elle est devenue plus fréquente depuis l'avènement du télétravail.

L’article Attention télétravailleurs, cette arnaque peut vous faire perdre votre salaire est apparu en premier sur Toms Guide.

La fraude au Linky explose en France. Une fois le compteur d'Enedis installé dans leur foyer, certains n'hésitent pas à raboter leur facture d'électricité en faisant appel à des professionnels qui modifient le compteur. Cette pratique est pourtant dangereuse.

L’article Linky : explosion de la fraude, des dizaines de milliers de Français se mettent en danger est apparu en premier sur Toms Guide.

Et une cyberattaque de plus contre la France. Cette fois-ci, plusieurs sites du gouvernement sont paralysés, notamment celui du ministère de la justice ou de l'Arcep. Cette attaque par déni de service n'est pour l'instant revendiquée par aucun acteur de la menace connu.

L’article Panique totale : plusieurs sites du gouvernement sont paralysés, une énorme cyberattaque est en cours est apparu en premier sur Toms Guide.

Alors que les pirates lancent de nouvelles menaces tous les jours (malware, ransomware, etc.), une question se pose : comment protéger efficacement son PC ? La réponse est simple, il suffit de vous procurer un bon antivirus. Voici notre comparatif des meilleures suites pour ordinateurs.

L’article Meilleurs antivirus : quel logiciel choisir en 2024 ?  est apparu en premier sur Toms Guide.

La directive NIS2 à travers les lois d'application nationales offre un canevas détaillé pour toutes entreprises dans la mise en place de leurs protections cyber.

Il faut maintenant redoubler de méfiance sur Whatsapp. Les données de 3,2 millions d'utilisateurs de l'application en Belgique sont en vente sur le dark web. Son achat par des cybercriminels pourrait signifier la multiplication des tentatives d'attaques par phishing.

L’article « Cette fuite me fait peur » : 3,2 millions d’utilisateurs de WhatsApp compromis sur le dark web est apparu en premier sur Toms Guide.