La CNIL publie sa cartographie des entrepôts de données de santé en France, avec pour objectif de rendre compte de la diffusion et de l’implémentation de ces nouvelles bases de données, ainsi que des acteurs qui en ont la responsabilité. Pour accompagner la cartographie, cet article vise à apporter un éclairage sur les dynamiques – temporelles et spatiales – à l’œuvre.

Vous êtes développeur et vous contribuez à des dépôts Git publics ? Une erreur de commit est vite arrivée, et vos données sensibles peuvent se retrouver publiées par inadvertance...

En 2021, Gitgardian annonçait détecter 5000 secrets par jour sur Github, 85% seraient liées à des repository personnels et 15% à des repository d'entreprise.

Pour éviter ce genre de scénario, par exemple la publication accidentelle d'une clé d'API sur un dépôt public, Gitleaks est un outil indispensable. Il permet de sécuriser vos dépôts Git et de vérifier que chaque commit ne contient aucune information sensible. Cela vous protège contre des fuites qui pourraient conduire jusqu'à un piratage ou un vol de données sensibles de votre infrastructure.

Comment fonctionne Gitleaks ?

Gitleaks agit au niveau du pre-commit, c'est-à-dire que l'outil est exécuté avant que le commit ne soit ajouté à votre repository Git. Pour cela, vous avez deux options pour mettre l'outil en place :

1. Utiliser Pre-commit : Vous pouvez passer par la solution Pre-commit et ajouter Gitleaks comme commande à lancer avant chaque commit.
2. Utiliser un hook Git : Vous pouvez aussi utiliser la fonctionnalité native des hooks de Git en copiant le fichier "pre-commit.py" de Gitleaks dans le répertoire .git/hooks/ de votre repository.

Ces méthodes garantissent une vérification systématique des commits.

Si vous êtes débutant en Git, le livre Git PRO est gratuit sur Kindle, je vous invite à le lire. Ce livre constitue une référence :

Vous pouvez aussi réaliser des contrôles automatisés avec Gitleaks-Actions pour vérifier le contenu de repository automatiquement au travers d'une action Github automatisée.
Gitleaks Action est malheureusement plus sous licence MIT, celui-ci est payant pour les organisations, mais gratuit d'utilisation pour les projets personnels. Une demande de clef gratuite est possible depuis le site Gitleaks.io.

Comment ignorer des fichiers ?

Si Gitleaks détecte de faux positifs, vous pouvez créer un fichier ".gitleaksignore" à la racine de votre repository pour spécifier les fichiers ou motifs à ne pas analyser. Cela peut être très pratique pour des fichiers qui contiennent des données non sensibles, mais qui pourraient être identifiés par erreur.

Gitleaks, un projet open source solide

Gitleaks est un projet open source distribué sous licence MIT. Le code source est disponible sur GitHub. Avec plus de 17 000 stars et environ 180 contributeurs, c'est un projet mature et fiable. Vous pouvez donc l'intégrer sereinement à votre workflow Git.

En intégrant Gitleaks, vous prenez des mesures concrètes pour protéger vos dépôts et vos données sensibles, tout en renforçant la qualité et la sécurité de votre code.

Vous souhaitez discuter code et cybersécurité, le serveur Discord Geeek est disponible pour tous les lecteurs du blog.
Si les sujets autour de la cybersécurité vous intéressent, je vous recommande mes autres articles dédiés sur le sujet.

Si vous suivez l'actualité, vous avez très probablement entendu parlé du pirage des données de Free cette semaine par un Hacker au nom de Drusselx ?

Cette attaque a suscité de vives inquiétudes parmi les abonnées de Free. La sécurité de leurs données personnelles est désormais remise en question.

Cette attaque tombe juste après la publication du libre de Xavier Niel "Une sacrée envie de foutre le bordel". La question que l'on peut se poser: est-ce un hasard ou une revanche ? Seul le hacker pourrait en témoigner.

La Revendication du Pirate

Le hacker Drusselx affirme depuis lundi 21 octobre être en possession de 19,2 millions de données Free Mobile et Freebox ainsi que de 5,11 millions d'IBAN. Ces chiffres sont impressionnants et semble démontrer la gravité de l'intrusion.

La Communication de Free

Ce week-end, Free a informé ses clients Freebox et Free Mobile par email que certaines de leurs données personnelles avaient été compromises :

Cependant, un détail crucial semble avoir été omis dans la communication de Free : le hacker affirme également être en possession les IBAN de tous les clients Freebox.

Ces informations sont particulièrement sensibles et pourraient être utilisées pour des transactions frauduleuses ou des arnaques ciblées.

Par exemple, un cybercriminel pourrait utiliser les IBAN pour initier des prélèvements frauduleux ou usurper l'identité des victimes afin de souscrire à des services financiers non autorisés, causant ainsi des préjudices considérables aux clients.

La Preuve de l'Attaque

Pour prouver ses dires, le pirate a mis en accès libre ce week-end un fichier contenant 100 000 comptes d'abonnés Free accompagnés d'IBAN. Cette démonstration vise à prouver la véracité de son attaque et à susciter l’intérêt des acheteurs potentiels sur le Dark Web.

Cette démonstration publique n'est pas seulement un moyen de confirmer la légitimité de la menace, elle est aussi un moyen de mettre la pression sur Free pour obtenir une rançon potentielle.

Les entreprises hésitent souvent à céder au chantage, car cela pourrait encourager d'autres attaques similaires à l'avenir, tout en ne garantissant pas que les données volées ne seront pas diffusées malgré le paiement. De telles situations placent les entreprises dans une position délicate : céder au chantage ou risquer une diffusion encore plus large des données.

La Mise en Vente des Données

Les données personnelles de 100 000 clients Free sont désormais en libre circulation depuis ce samedi 26 octobre 2024. Le pirate semble mettre en vente l'ensemble des données volées sur le Dark Web au prix de 70 000 dollars.

Ce marché illicite alimente une économie souterraine basée sur la fraude et l'usurpation d'identité, mettant en danger la vie privée et les finances des clients de Free.

Les clients Free doivent rester très vigilants, surveiller leurs comptes bancaires quotidiennement et se tenir informés des actions prises par Free pour remédier à cette situation.

Si vos données font parti des 100 000 comptes en libre service, cela est très graves, vos données sont visibles de tous et peuvent être utilisés par de nombreuses personnes malveillantes. Si vous ne faites pas partie de ces 100 000 comptes, la diffusion de vos données sera probablement plus limitée et le risque plus faible.

Bref, tout cela donne froid dans le dos. J'espère que cette attaque aura qu'un très faible impact financier pour l'ensemble des clients Free, soyez très vigilant !

Chaque jour, un ordinateur est piraté quelque part. Mais parfois, nous pensons que quelque chose a été piraté alors que ce n'est pas le cas. Qu'est-ce que le piratage informatique ? Et comment pouvons-nous nous en protéger ? C'est ce que je vous explique dans cet épisode.

The Hacker Crackdown: https://en.wikipedia.org/wiki/The_Hacker_Crackdown

Sources

https://www.avg.com/en/signal/how-are-computers-hacked

https://en.wikipedia.org/wiki/The_Hacker_Crackdown

https://www.forbes.com/sites/stevemorgan/2016/02/18/microsoft-co-founder-bill-gates-was-caught-hacking-45-years-ago/#:~:text=Bill%20Gates%2C%20now%2060%2C%20is%20a%20reformed%20hacker.,hacker%2C%20programmer%2C%20co-founder%20of%20Microsoft%2C%20philanthropist%20and%20investor.

https://slate.com/technology/2013/02/steve-jobs-and-phone-hacking-exploding-the-phone-by-phil-lapsley-reviewed.html

https://www.thebulletin.be/hackers-target-belgiums-largest-digital-billboard

https://www.cybersecurityeducationguides.org/a-brief-history-of-hacker-culture/

https://en.wikipedia.org/wiki/Drive-by_download

https://account.microsoft.com

https://icloud.com/find

https://support.apple.com/nl-nl/guide/icloud/mmfc0f2442/icloud

https://support.apple.com/nl-nl/guide/findmy-mac/fmm0e3934777/4.0/mac/15.0

https://www.pcworld.com/article/624593/is-your-windows-11-pc-encrypted-the-answer-is-surprisingly-complex.html

https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df

https://www.intego.com/mac-security-blog/understanding-user-accounts-in-macos/

https://en.wikipedia.org/wiki/IOS_jailbreaking

https://en.wikipedia.org/wiki/Rooting_(Android)

https://support.apple.com/guide/disk-utility/encrypt-protect-a-storage-device-password-dskutl35612/mac

https://support.apple.com/en-us/118277#:~:text=Mac%20computers%20that%20have%20the%20Apple%20T2%20Security%20Chip%20integrate