Hack



[Direction Informatique - Jean-François Ferland - 25/03/2014]

Une vulnérabilité dans le logiciel de traitement de texte de Microsoft, découverte par Google, pourrait entraîner l’exécution de code à distance. Le fournisseur technologique Microsoft a émis un avis de sécurité afin de mettre en garde les utilisateurs du logiciel de traitement de texte Word à propos d’une vulnérabilité qui met en cause des fichiers en format RTF (Rich Text Format anglais).

« Ce problème survient lorsque Microsoft Word traite des données RTF spécialement conçues [qui sont] susceptibles de corrompre la mémoire système et de permettre ainsi à un attaquant d’exécuter du code arbitraire », indique Microsoft dans son avis de sécurité.

Un utilisateur risque d’être affecté s’il ouvre un fichier RTF malveillant à l’aide de Word. Également, une infection de système peut survenir si un utilisateur prévisualise ou ouvre un message électronique malveillant en format RTF dans le gestionnaire de messagerie Outlook si Word est utilisé à titre d’éditeur de messages électroniques. Word est l’éditeur par défaut sous Outlook 2007, 2010 et 2013.

« Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l’utilisateur actuel. Les clients dont les comptes sont configurés avec des privilèges moins élevés sur le système peuvent subir un impact inférieur à ceux possédant des privilèges d’administrateur », indique Microsoft.

« Dans le cas d’une attaque Web, l’attaquant pourrait héberger un site Web contenant une page Web intégrant un fichier RTF spécialement conçu pour exploiter cette vulnérabilité [...] », ajoute l’éditeur.

Versions touchées et solutions temporaires

Bien que seuls des cas d’attaques ciblées envers Word 2010 lui aient été rapportés, Microsoft émet son avis de sécurité pour toutes les versions client et serveur de Word qu’elle soutient présentement. Ces versions incluent Word 2003, 2007, 2010, 2013 et 2013 RT, Office pour Mac 2011, Office Web Apps 2010 et Web Apps Server 2013, Word Automation Services sur SharePoint Server 2010 et 2013 et Word Viewer.

Microsoft indique qu’elle prendra les mesures appropriées pour remédier à la situation. La résolution de la vulnérabilité pourrait éventuellement être offert par le biais d’un cycle mensuel de mises à jour de sécurité ou par la publication « exceptionnelle » d’une rustine.

Entre-temps, Microsoft recommande l’application d’une solution automatisée de résolution du problème qui empêchera la lecture des fichiers en format RTF jusqu’à ce qu’une solution permanente soit trouvée. Également, Microsoft suggère aux utilisateurs de lire leurs courriels en format texte brut dans Outlook. L’avis de sécurité de Microsoft contient d’autres solutions de contournement du problème qui sont destinées aux administrateurs de systèmes.

Dans son avis de sécurité, Microsoft remercie Drew Hintz, Shane Huntley et Matty Pellegrino de l’équipe de sécurité de l’éditeur technologique Google. Rappelons qu’il y a quelques jours, un chercheur de Microsoft et des chercheurs d’une université américaine ont fait état d’une vulnérabilité de sécurité dans le système d’exploitation mobile Android de Google.

http://www.directioninformatique.com/une-mise-en-garde-de-microsoft-contre-une-vulnerabilite-dans-word/25552


DOCUMENTS TÉLÉCHARGÉS SUR « EXTRANET » : INTERNAUTE CONDAMNÉ
[Arrêts Sur Images - David Medioni -  06/02/2014]

Condamné pour avoir trouvé des documents en accès libre sur Google.  C’est la décision que vient de prendre la Cour d’appel de Paris à l’encontre d’Olivier Laurelli, alias Bluetouf, co-fondateur de Reflets.info. Sa faute : être tombé au hasard du surf sur des documents de l’Anses (Agence nationale de sécurité sanitaire, de l’alimentation, de l’environnement et du travail) en accès libre. En première instance, Laurelli a été relaxé. C’était sans compter sur le parquet qui a décidé de poursuivre « coûte que coûte » ce qu’il considére comme un piratage et sur la Cour d’appel qui considère que Laurelli est de « mauvaise foi ».

Chercher des documents sur Google peut s’avérer dangereux. Le blogueur, journaliste, hacktiviste Olivier Laurelli, alias Bluetouff, co-fondateur de Reflets.info, vient d’en faire les frais. Laurelli a été condamné, mercredi 5 février, par la Cour d’appel de Paris à payer 3 000 euros d’amende pour avoir téléchargé des documents de l’Agence nationale de sécurité sanitaire, de l’alimentation, de l’environnement et du travail (Anses). La Cour d’appel a ainsi considéré que mettre en accès libre des données jugées « confidentielles » par leur propriétaire (mais non sécurisées) relevait du piratage. En langage juridique, cela donne « accès frauduleux dans un système de traitement automatisé de données« , et « vol » de documents.

L’histoire démarre les 27 et 28 août 2012, lorsque Laurelli lors d’un long surf sur internet pour trouver des documents sur la Syrie, tombe sur des documents de travail de l’Anses. Il poursuit sa recherche dans ce sens, étonné de les trouver en accès libre. Il les télécharge et les conserve. Quelque mois plus tard, l’un de ses collègues utilise l’un des fichiers pour illustrer un article sur les nanos-argents. C’est alors que l’Anses se rend compte du problème et contacte la police. L’enquête tombe entre les mains de la DCRI qui remonte très vite à Laurelli puisque ce dernier ne s’était pas masqué, ne considérant pas cette recherche comme du piratage.

Il passe 30 heures en garde à vue et est finalement mis en examen. En première instance, le tribunal de Créteil considère qu’il n’y a pas lieu à le condamner. Motif: il n’est pas possible de sanctionner le fait d’accéder librement à des données non sécurisées. Le tribunal relaxe donc Bluetouff au motif que c’est l’Anses qui a, sur ce dossier, manqué de vigilance. En clair, si les données étaient archivées sur Google, elles n’étaient pas sécurisées et donc l’Anses ne pouvait pas se prévaloir d’un piratage. (@si vous en parlait ici).

RELAXÉ EN PREMIÈRE INSTANCE, LE PARQUET A POURSUIVI « COÛTE QUE COÛTE »

De fait, Bluetouff a trouvé ces données sur l’extranet de l’Anses. Un extranet n’est ni l’internet, ni l’intranet, c’est une extension du système d’information d’une entreprise ou d’une institution accessible pour des partenaires déterminés sur mots de passe et login. Exemple : lorsque l’on se connecte à son espace personnel de banque grâce à un login et un mot de passe, on est sur l’extranet de la banque. Problème: le jour du surf de Laurelli, l’extranet de l’Anses est disponible sur Google, sans sécurité.

D’ailleurs, l’Anses, elle-même avait choisi de ne pas se porter partie civile, penaude qu’elle était de cette faille de sécurité. C’est le parquet qui a décidé de « poursuivre coûte que coûte », ainsi que le note Numérama. Et nos confrères d’ajouter: « le parquet, dont le représentant a confirmé à l’audience qu’il n’a « pas compris la moitié des termes que j’ai entendus aujourd’hui », avait choisi de poursuivre coûte que coûte. Au nom de la mauvaise foi : « Vous saviez que cet extranet était normalement protégé. »

Ainsi, si l’on en croit les attendus de la Cour d’appel, Laurelli – fin connaisseur du net – aurait dû s’abstenir de télécharger des documents laissés en accès libre car il savait pertinemment que ceux-ci auraient dû être protégés. Raisonnement pour le moins étrange, mais qui dénote, comme le soulève Mediapart dans un papier détaillé, une réelle déconnexion de la justice avec les choses de l’internet.

Plus largement, cette décision interroge sur ses conséquences. Est-ce à dire que toute personne qui trouvera des documents -non sécurisés – en ligne devra présumer qu’ils auraient pu ou du être protégés et qu’il ne doit, pour le coup, pas les utiliser ? C’est ce que craint l’avocat de Laurelli, Maître Olivier Itéanu, cité par PCINpact« C’est un avertissement à tous ceux qui sont dans l’investigation, dans la recherche d’informations sur Internet. C’est quelque part un appel à l’auto-censure. Si on est poursuivi parce qu’on a trouvé une information et qu’on est condamné, je trouve que c’est grave », alerte ainsi Itéanu dans PCINpact.

http://www.arretsurimages.net/breves/2014-02-06/Documents-telecharges-sur-extranet-internaute-condamne-id16871


[L'Expansion.com - publié le 20/01/2014]

Quel est le mot de passe le plus commun en 2013? Selon le classement de Slashdata, la combinaison qui revient le plus souvent est « 123456 ». Elle détrône le traditionnel « password » (« motdepasse » en anglais) qui arrive en deuxième position.

S’en suivent « 12345678 », « qwerty » (début de la première ligne des claviers américains) ou encore « abc123″ et « iloveyou » qui arrive en neuvième position.

Autant de mots de passe vulnérables et faciles à deviner.

>> Retrouvez le classement complet sur le site de Splashdata

http://lexpansion.lexpress.fr/high-tech/les-pires-mots-de-passe-de-2013_424556.html

 

 

Affaire Target : 11 Go de données envoyées vers un serveur russe

[Jean Elyan - Le Monde Informatique - 19/01/2014]

Les données piratées sur les terminaux de paiement de Target ont tranquillement transité par le réseau de la chaine de distribution avant d’être dirigées vers un serveur basé aux États-Unis, puis vers la Russie.

Les numéros de cartes de crédit volées aux millions de clients du distributeur Target ont beaucoup voyagé : après une première étape aux États-Unis, les données ont atterri sur un serveur basé en Russie. Des chercheurs de deux entreprises de sécurité chargés d’enquêter sur l’une des violations de données les plus dévastatrices de l’histoire d’Internet, ont analysé le malware qui a infecté les caisses enregistreuses de Target. Ceux-ci ont trouvé quelques éléments qui permettent de mieux cerner la méthode d’attaque utilisée par les pirates. Selon leurs premiers résultats, les attaquants ont réussi à s’introduire dans le réseau de Target. Pendant plus de deux semaines, ils ont pu pirater des données sans se faire repérer. « Selon les indicateurs d’intrusion, la méthode utilisée témoigne d’un haut niveau de compétence et d’innovation dans le mode opératoire », indique dans son rapport du 14 janvier l’entreprise de sécurité iSight Partners, basée à Dallas.

« Pendant plus de deux semaines, le malware a permis aux pirates de détourner plus de 11 Go de données des caisses enregistreuses de Target », a déclaré Aviv Raff, CTO de la société de sécurité Seculert dans une interview réalisée hier par messagerie instantanée avec nos confrères d’IDG (auquel Le Monde Informatique est toujours affilié). Seculert a analysé un échantillon du malware (il circule parmi les chercheurs en sécurité). Comme le détaille Seculert sur son blog, dans un premier temps, les données ont été discrètement déplacées vers un autre serveur situé sur le réseau de Target. « Ensuite, elles ont été transmises en paquets vers un serveur basé aux États-Unis, lui-même détourné par les pirates », a écrit le CTO de Seculert. Selon les logs de ce serveur, à partir du 2 décembre, les données ont été à nouveau déplacées, direction cette fois, un serveur situé en Russie. Selon Aviv Raff, il est difficile de dire si les attaquants sont eux-mêmes en Russie. « Personne ne sait qui est vraiment derrière tout ça », a-t-il déclaré. (suite…)


[iShen - MacPlus  31/12/2013]

Voilà qui devrait faire du bruit, même si l’on est plus vraiment surpris par la teneur des propos du hacker/chercheur Jacob Applebaum : La NSA se serait intéressée à l’iPhone et aux moyens de contourner sa sécurité dés l’année 2008, et pourrait aujourd’hui injecter à distance des logiciels espions qui rapporteraient tout, absolument tout ce qui transite par le biais du smartphone d’Apple. Des preuves de logiciels espions sur smartphones Android avaient déjà été fournies il y a quelques mois mais c’est la première fois que l’iPhone est nommément pointé dans un document officiel.

s3222_dropoutjeep-640x828Applebaum assoit ses déclarations sur un document de la NSA (classifié top secret) publié dans Der Spiegel, document décrivant de façon précise les modes de fonctionnement du logiciel DROPOUT JEEP, celui-là même qui casse toutes les clefs de cryptage dans l’iPhone et permet d’accéder à l’intégralité des données par des portes dérobées. En 2008 néanmoins, rien ne dit que le projet était effectif puisqu’il demandait l’accès physique à l’appareil et qu’Apple n’avait pas, selon les documents de Snowden concernant le projet PRISM, de liens particuliers avec la NSA, que ces liens soient contraints ou forcés. Mais les choses semblent avoir changé depuis la mort de Steve Jobs (qui est donc celui qui a dit « non » à la NSA de son vivant, aucun autre patron d’une grande firme technologique américaine ne peut en dire autant) et la NSA indique de façon troublante qu’elle peut implémenter quand elle le souhaite et sans aucune difficulté DROPOUT JEEP dans n’importe quel iPhone, des propos qui selon Applebaum pourraient indiquer une participation active de la part d’Apple à partir du début 2012, même si aucune preuve tangible ne vient étayer ce soupçon. (suite…)


Vous ne voulez pas que la NSA vienne fouiner dans votre ordinateur et espionne vos données ? Ne vous connectez pas à Internet.

[Bruce Schneier - WIRED - 7 Octobre 2013 - Traduction: Gregor Seither - IES News Service]

Note: Bruce Schneier est un auteur spécialisé dans les questions de technologies de sécurité. Son dernier livre est paru chez O’Reilly  : « Liars and Outliers: Enabling the Trust Society Needs to Survive ».

Depuis que j’ai commencé à travailler avec les documents révélés par Edward Snowden, j’ai utilisé un certain nombre d’outils pour essayer de me mettre à l’abri des regards indiscrets de la NSA. Parmi les choses que je recommande jusqu’ici est l’utilisation de Tor, (https://www.torproject.org/) de préférer certaines méthodes cryptographiques à d’autres et d’utiliser autant que possible le cryptage du domaine public. (NdT: Tor est une des cibles prioritaires de la NSA, qui attaque directement ses nodes) 

J’ai également recommandé d’utiliser un espace tampon (« air gap« ) qui isole physiquement un ordinateur ou un réseau local d’ordinateurs du réseau Internet. (Le concept du « air gap » est antérieur à l’époque des réseaux sans-fil, il fait référence à l’espace vide qui sépare physiquement l’ordinateur du réseau Internet).

Mais un tel dispositif est plus compliqué à mettre en oeuvre qu’il n’y parait. Alors laissez moi vous expliquer. (suite…)


[Jacques Cheminat - Le Monde Informatique - 10/09/2013]

Si la NSA dépense des milliards de dollars pour casser les technologies de cryptage, des experts en sécurité estiment que, correctement mis en oeuvre, le chiffrement est encore le meilleur moyen pour garantir la confidentialité sur le web.

Le journal The Guardian et d’autres médias ont publié la semaine dernière des documents issus de l’informateur Edward Snowden montrant que la NSA travaille à casser les technologies de chiffrement par différents moyens : backdoor, attaques par force brute, interceptions légales et partenariats avec des acteurs IT. A la lecture de ces documents, il semble que l’agence de renseignement et son homologue britannique GHCQ soit capable de venir à bout de nombreux algorithmes de chiffrement utilisés pour sécuriser les communications en ligne, les services bancaires et les secrets industriels.

Steve Weis, directeur technique chez PrivateCore et titulaire d’un doctorat en cryptographie du MIT a expliqué que malgré les activités de la NSA, les mathématiques utilisées pour le chiffrement sont très difficiles à casser. Il suggère que l’agence a réussi à briser des technologies dépassées ou peu fiables. Ainsi, dans les documents publiés, il y en a un qui suggère que la NSA aurait implanté un backdoor dans une norme de chiffrement approuvée par le NIST et nommée Dual EC DRBG. Cette dernière a pour vocation de générer des nombres aléatoires. « Elle date de 6 ans et a rarement été utilisée depuis que deux ingénieurs de Microsoft ont découvert le backdoor de la NSA », explique Steve Weis. Il s’interroge sur le fait que les experts de la NSA disposent de la capacité de fracturer des technologies de cryptage plus robustes. « Jusqu’à présent, je n’ai pas constaté que l’algorithme AES (Advanced Encryption Standard) a été cassé », confie le spécialiste.

Une mise en oeuvre correcte et une saine gestion des clés

De son côté Dave Anderson, directeur de Voltage Security, société spécialisée dans le chiffrement, indique « s’il est appliqué correctement, le cryptage assure une sécurité inviolable » et d’ajouter qu’« il s’agit normalement d’une sécurité qui prendrait des millions d’années à des supercalculateurs à casser ». Il émet cependant des limites, « si la mise en oeuvre a été négligée et que le processus de gestion des clés n’est pas bon, alors le niveau de sécurité peut être mis en défaut en quelques heures par un pirate avec un PC moyen de gamme ». (suite…)

« Page précédentePage suivante »

Suivre

Recevez les nouvelles publications par mail.

Rejoignez 131 autres abonnés