Archives par mot-clé : travailler

L’Open Source Security Foundation : mieux vaut tard que jamais

Il a plusieurs fois été mis sur la table la difficulté de pouvoir travailler de sorte à optimiser la recherche de bug dans le domaine de l’Open Source.

L’idée de création d’une Open Source Security Foundation est la plus attendu de tous car cela permettra d’organiser au mieux le travail de recherche de bug sur les logiciels Open Source.

Cet article va aussi vous intéresser : Open Source : ces failles de sécurité qui passent inaperçues au détriment de la communauté

L’arrivée de l’initiative de la Fondation pour la sécurité de l’Open Source mets au cœur de tous les projets la cybersécurité. Si le projet a été établi depuis longtemps, on a du mal à comprendre pour quelle raison il a fallu autant de temps pour le réaliser. Malheureusement, cette durée de la tendance a facilité le fait que les attaquants puissent exploiter les bugs dans les applications Open Source, dans OpenSSL, Apache Struts et plusieurs autres projets du même genre, dont la sécurité a été négligée.

D’où le regret que l’initiative de la création de la Fondation ait pris autant de temps. L’heure est de combiner les efforts pour protéger le logiciel libre. Et cela relève de la responsabilité de chaque entreprise.

Si l’initiative prend vie en 2020, il faudrait alors l’encourager. La construction fragmentée de l’Open Source a beaucoup plus crée sa vulnérabilité. Selon qui Kim Lewandowski, chef de produit sur Google, par ailleurs un membre du conseil d’administration de l’OpenSSF : « nous dépendons tous de l’open source, et il n’y a aucune raison que chacun essaye de résoudre ce problème individuellement ou selon des modalités en silo ». S’il est clair que sa vision est totalement juste, l’on se pose la question de savoir pourquoi avoir autant attendu.

On le rappelle, le principal problème de l’Open Source c’est sa sécurité qui n’est pas limitée à une seule entreprise. Par exemple, si une banque utilise un logiciel Open Source, il est clair qu’elle est en droit de demander que ce logiciel soit sécurisé. Cependant, il est clair que la sécurisation coûtera le paiement d’une certaine somme. Ce qui est totalement contraire aux principes même de l’Open Source, payer pour utiliser une application. Le problème se pose pour presque toutes les entreprises et compris le géant américain Google qui le même contribue généralement la production de logiciel Open Source et les utilisent beaucoup. « Google ne va pas réécrire tous les logiciels open source disponibles aujourd’hui sur Internet, et que nous et nos clients utilisons », explique l’agent de Google, Kim Lewandowski.

Même si Google se donnait les moyens, il ne pourra pas véritablement atteindre l’objectif de ce genre en cas l’univers de l’Open Source est très vaste et continue malgré tout de suite tendres encore plus. Au mieux, il pourra faire son mieux pour corriger la vulnérabilité de OpenSSL ou Apache Struts. Bref, une seule entreprise, peu importe sa force ne peux pas résoudre ce problème seul. Trop de diversité, trop de besoins différents, trop de projets différents. Ce qui rend la résolution d’un problème assez complexe et même avec les moyens financiers disponibles, cela reste quand même une gageure. « Il s’est trouvé des cas où certaines personnes chargées de la maintenance d’un projet refusaient soit d’être payées, soit simplement de s’impliquer dans des modifications dont nous avions besoin ».

Pour les outils de sécurité plusieurs projets du secteur de l’Open Source ont besoin d’être épaulé. Cet aspect censé être prise en charge par la Fondation pour la sécurité de l’Open Source, Histoire d’aider des fondations qui sont déjà en charge, De ce genre de contrôle tel que la Cloud Native Computing Foundation (CNCF) ou d’autres organisations. « Certains audits sont excellents et ont permis de découvrir beaucoup de choses, mais si l’auditeur ne va pas au bout de l’audit, les projets peuvent se retrouver bloqués avec une montagne de corrections en suspens », note Kim Lewandowski. Elle ajoute par ailleurs qu’il arrive parfois que « les gens se contentent aussi de corriger des bogues, juste pour réussir l’audit ou en quête de solution rapide, mais sans résoudre le problème de sécurité sous-jacent ».

Le véritable problème actuellement et de pouvoir rassembler toute une communauté autour d’un but commun. L’identification et la résolution des problèmes de sécurité. Comme l’explique le chef de produit de Google : « l’OpenSSF envisageait actuellement différentes modalités pour inciter les contributeurs à résoudre les vulnérabilités de sécurité, même s’il est probable que cela ne sera pas forcément plus simple. Par exemple, certaines entreprises sont prêtes à apporter l’expertise de leurs ingénieurs pour aider à corriger les bogues, ce qui est une bonne chose. Mais l’OpenSSF peut-elle les tenir responsables de ces modifications ? Par exemple, si un certain nombre d’entreprises, membres de l’OpenSSF, engagent chacune cinq ingénieurs, comment faire preuve de responsabilité pour que tous ces ingénieurs fassent exactement ce que nous attendons qu’ils fassent au sein de la Fondation ? Ce sont des problèmes difficiles, et nous avons besoin d’une aide supplémentaire pour cela ».

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Télétravail : quels sont les risques dont doivent faire face les entreprises ?

Aujourd’hui plusieurs outils informatiques facilitent le travail à distance.

Dans une situation où tout le monde est obligé de rester chez lui, le télétravail est devenu une exigence. L’on ne sait pas jusqu’à quand cette situation perdura, mais tant que la situation sanitaire ne s’améliore pas, les gens auront toujours du mal à travailler comme avant. Mais qui parle de télétravail doit aussi mettre en évidence les risques encourus. L’usage intensif Internet et d’autres solutions numériques présente aussi des inconvénients.

Cet article va aussi vous intéresser : Télétravail et cybersécurité

La cybercriminalité est l’un de ses problèmes. C’est pour cette raison qu’il est recommandé aux entreprises depuis le début de cette crise, de mettre en place une ensemble de système pour se protéger. « Les entreprises doivent évaluer leur environnement pour éviter tout problème. » disais à propos l’analyste en cybersécurité chez Bitdefender, Liviu Arsene. Ce dernier cite 3 menaces auxquelles s’exposent les entreprises, et dont elle doivent s’en méfier.

1- La surcharge de connexion

Dans certains contextes, les entreprises sont dans la difficulté de pouvoir supporter un trop grand nombre de connexions au niveau de leur serveur VPN de façon simultanée. Cela arrive lorsque la structure n’est pas préparée pour supporter ce genre de masse de travail. Cela peut-être un véritable problème pour ceux qui travaillent à distance surtout lorsqu’ils ont besoin des certaines ressources internes. Les conséquences immédiates pourront être « des perturbations du flux de travail et potentiellement ajouter une pression supplémentaire au service informatique déjà surchargé qui essaie de résoudre le problème. »

2- Une gestion peu professionnelle des politiques d’accès

C’est l’un des aspects les plus probables à prendre en compte. Toutes entreprises qui s’engagent sur la voie du télétravail s’exposent au risque que les politiques d’accès ne soit pas très bien gérées. Cela pourrait s’expliquer par le fait que les mesures de contrôle ne seront pas avec discipline. Liviu Arsene écrivait à ce propos : « L’entreprise s’expose au risque d’une mauvaise gestion des politiques d’accès, d’autorisation et d’authentification au réseau de l’entreprise. Ce qui pourrait amener les employés à accéder à des ressources auxquelles ils ne devraient pas avoir accès. »

3- Les outils non homologués

On le sait pourtant, il est très important pour un accès fiable à un système informatique d’une entreprise, les outils utilisés devraient être homologués pour cela. Par conséquent, accéder à une infrastructure professionnelle avec un terminal qui n’est pas habilité pourrait être appréhendé comme une menace à ne pas prendre à la légère. L’attitude en face à ce genre de situation serait immédiatement de stopper la connexion lorsqu’un tel terminal est détecté. « Toute tentative d’accès à l’infrastructure interne avec des outils non homologués doit être traitée comme un risque potentiel pour la sécurité du réseau et bloquée immédiatement. Pour minimiser ce risque, les équipes informatiques doivent définir des règles strictes et indiquer clairement les clients, services et applications VPN pris en charge par l’entreprise. » note l’expert en sécurité.

Face à ses risques, il sera recommandé aux entreprises certaines pratiques qui leur permettra d’assurer un minimum de sécurité de base. L’expert de Bitdefender propose : « En tête des pratiques de sécurité à adopter, celle d’augmenter le nombre de connexions VPN simultanées, pour permettre à tous les télétravailleurs de poursuivre leur activité sans coupures de connexion. Ensuite, Mettre en place des logiciels de conférence garantissant à la fois une connexion vocale et vidéo fiable, est une priorité pour le bon déroulement des réunions à distances.

S’assurer que tous les employés disposent d’identifiants valides qui n’expirent pas dans moins de 30 jours, car la modification d’identifiants Active Directory expirés peut être plus difficile à distance. Même si de nombreux employés doivent changer leur mot de passe avant de quitter le bureau, il vaut mieux aborder cette procédure de manière proactive que réactive. ». Il mettra ensuite en avant le déploiement des mises à jour de manière progressive. Cela a le mérite de pouvoir combler les failles de sécurité qui se présenteraient. Les mises à jour doivent être distribuées même aux employés utilisant le réseau VPN. Et troisièmement, les entreprises ne doivent jamais oublier de crypter le contenu de leurs disques durs. En effet « Mettre en place un chiffrement des disques durs devrait être une priorité. Le chiffrement minimise le risque d’accès aux données sensibles ou de compromission des données lors de vols de périphériques. » mettait en évidence Liviu Arsene.

En outre, il est essentiel que les employés soient informés règles qui seront prises et aussi concernant les applications des plateformes qui seront utilisées dans le cadre de la collaboration à distance. « Les employés doivent être informés de ce qui est sanctionné et ce qui ne l’est pas. ». Quant à la dernière disposition, elle portera sur le déploiement d’outils de sécurité et surveillance. Le tout permettant aux équipes de sécurité informatique d’être constamment informées et aussi de pouvoir prendre les mesures idoines en cas de problème.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Comment travailler à distance en toute sécurité et protéger son entreprise ?

La question est d’actualité car nous savons aujourd’hui que le travail à distance est devenu un standard.

L’épidémie du coronavirus qui a frappé le monde depuis maintenant 3 mois oblige la plupart des entreprises a opté pour le télétravail pour ne pas cesser toute activité. Cependant, personne ne peut nier qu’un tel le contexte est très favorable par la propagation d’un autre virus : celui de l’informatique.

Cet article va aussi vous intéresser : La cybersécurité à l’épreuve du télétravail en période de coronavirus

La cybercriminalité prend de plus en plus des galons ces derniers temps et cela est plus qu’inquiétant. Toutefois, l’on ne peut pour autant cesser de d’activité. C’est d’ailleurs pour cette raison, qu’il est recommandé aux entreprises et aux particuliers de faire de plus en plus attention.

Comme nous le signifions plus haut, le télétravail permet aux pirates informatiques d’avoir plus de champs de manœuvres. De ce fait, il est facile pour un cyber malveillant d’usurper l’identité d’un employé ou d’un quelconque collaborateur dans le but d’induire en erreur une équipe professionnelle par exemple. Et ces genres de cas de figure ne sont pas seulement du fait de la théorie, cela se produit véritablement. Et cela est facilité aujourd’hui par le fait, que le travail se fait à distance entre plusieurs collaborateurs et souvent à travers des systèmes d’information qui ne sont pas véritablement bien protégés. « La France n’a fait qu’amorcer sa transformation digitale et n’est pas préparée au télétravail massif des salariés », prévenait Alexandre Lazarègue, un avocat spécialisé en droit du numérique. Par ailleurs David Grout, CTO EMEA de l’entreprise de sécurité informatique, FireEye, notait ceci : « De nombreuses entreprises voient le nombre d’attaques par phishing utilisant le COVID19 comme argument, augmenter et la sensibilisation des utilisateurs est clef ».

En terme de pratique le plus usité dans le secteur de la cybercriminalité, l’hameçonnage (le phishing) est bien loin devant. Il a été détecté par les spécialistes de la sécurité plusieurs milliers de courriers électronique destinés à ce genre de pratique. Sur cet aspect, l’objectif des cybercriminels demeure les mêmes : voler des informations importantes que des identifiants de connexion ( tel que des noms d’utilisateur et mots de passe) des informations financières, etc. Le plus souvent les pièces jointes sont censées être des programmes malveillants qui s’installeront dès que vous les ouvrez. Le second risque majeur pouvant provenir des pirates informatiques après le phishing n’est nul autre que le célèbre rançongiciel.

Les logiciels de rançonnage sont les pires ennemis des entreprises. Du moins, depuis maintenant 5 ans. les rançons exigées par les pirates informatiques ne vont pas cesser pour autant quand bien même que vous traversez un période trouble. Ces cybercriminels estiment que c’est le moment pour en profiter. Ils ne manquent même pas de son prendre au institutions sanitaires et aux petites et moyennes entreprises qui pendant un moment se sont crues à l’abri de ces cybermalveillants. À ce niveau, la négligence a peut-être causé un vrai déficit. Avoir une bonne hygiène numérique et les bonnes pratiques sont essentielles. et cela peu importe le statut de l’entreprise.

Les pratiques pour avoir une bonne hygiène et se protéger des cyberattaques

Juriste spécialiste en droit de numérique, Alexandre Lazarègue conseille 5 pratiques essentielles, pour s’assurer une bonne hygiène numérique.

1 – S’assurer d’avoir tous ses terminaux à jour

« Procéder aux mises à jour des logiciels et des systèmes d’exploitation dès lors qu’elles sont proposées. Celles-ci n’apportent pas seulement de nouvelles fonctionnalités, elles corrigent les vulnérabilités. » explique l’avocat

2- Faire des sauvegardes

Alexandre Lazarègue souligne : « Sauvegarder régulièrement ses données sur des supports non connectés aux machines (disque dur externe, clé usb). »

3- Les accès doivent être protégés par les mots de passe solides

«Les mots de passe doivent être robustes et différenciés selon les usages. Il faut aussi restreindre les accès, gérer les droits, cloisonner les usages. »

4- Utiliser un VPN pour ses accès la distance

« La connexion du salarié au système d’information de son entreprise doit être sécurisée. Il est préconisé d’utiliser un logiciel VPN qui crée un tunnel de connexion Internet qui rend ce qui transite à l’intérieur incompréhensible pour des personnes extérieures et rend anonyme Il ne faut pas se connecter aux réseaux wifis publics. » note Alexandre Lazarègue.

5- Définir un protocole de vérification dans le traitement des correspondances électroniques

A ce propos : « Il faut être vigilant dans le traitement de ses courriels (souvent utilisés par les pirates pour infecter une machine). Il ne faut jamais ouvrir des mails dont la provenance ou la forme est suspecte (expéditeur inconnu, style très impersonnel, texte visiblement traduit en français de manière automatique…). Lorsqu’un fournisseur, par exemple soumet un nouveau numéro IBAN pour un virement, il convient de déclencher un protocole rigoureux de vérification au-delà d’un simple échange de mail. ».

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Covid-19 : La santé numérique en danger au même titre que la santé physique

Travailler à distance est devenu un standard aujourd’hui.

Si depuis longtemps le monde professionnel a toujours craint les cyberattaques, cette crainte s’est accrue très certainement. En effet, beaucoup de personnes sont obligés de travailler aujourd’hui depuis leur chez soi, et comme nous le savons cela n’est pas fait pour arranger les systèmes d’information, surtout quand on sait que les pirates informatiques sont toujours à l’affût. Autant leur servir sur leur plateau d’argent une porte d’entrée dans votre système.

Cet article va aussi vous intéresser : Le COVID-19 et le Télétravail : une question de sécurité pour les experts

Les pratiques de sécurité longtemps conseiller avant même la pandémie sont toujours d’actualité. Mais le problème majeur reste la discipline les utilisateurs des services numériques. Les particuliers continuent d’utiliser leurs outils personnels dans le cadre du travail quand bien même que cela a été plusieurs fois mentionné comme étant dangereux et peut responsable. Alors comment pourrons nous sortir de cette crise sanitaire sans pour autant laisser des plumes sur l’aspect de la cybersécurité.

En dehors des utilisateurs eux-mêmes, les outils numériques utilisés pour faciliter les échanges à distance dans le cadre professionnel ont aussi montré  ces derniers temps leurs insuffisances. Cela est clair, la sécurité sans faille n’existe pas, mais le problème demeure toujours et semble pratiquement impossible à gérer. l’Internet étant utiliser deux fois plus qu’avant, faudrait-il s’attendre au pire ? « Des millions d’employés dans le monde travaillent actuellement à distance. Ces derniers se tournent alors vers les outils de vidéoconférence pour satisfaire leurs engagements commerciaux mais aussi sociaux.  Mais un tel afflux d’utilisateurs attirera toujours l’attention des chercheurs en sécurité tout comme celle des acteurs malveillants qui cherchent et découvrent ainsi des vulnérabilités sur les plateformes à fort trafic, bien qu’à des fins très différentes. » expliquait Chris Hodson,  le responsable des systèmes d’informations chez Tanium, une plate-forme de service de sécurité. « Ce télétravail généralisé étant apparu de manière non-anticipée, certains employés utilisent alors leurs appareils personnels pour réaliser leur travail. Et c’est là l’un des plus grandes vulnérabilités du réseau d’entreprise. En effet, les entreprises ont agi rapidement pour s’adapter au télétravail, mais peu d’entre elles ont intégré les ordinateurs portables, les tablettes et les mobiles des employés dans leurs programmes de gestion des mises à jour, ce qui pourrait laisser les données de l’entreprise exposées. Même l’attaque la moins sophistiquée peut tirer parti de ces appareils non sécurisés », met-il en évidence.

Pour lutter au mieux contre la cybercriminalité galopante, il va donner quelques recommandations nécessaires pour permettre aux entreprises de limiter le mieux possible en se référant aux problèmes de base que rencontre celle-ci : « Pour que les entreprises puissent opérer en toute sécurité, elles ont besoin d’une parfaite vision de l’ensemble des appareils connectés sur leurs réseaux. Cependant, ces dernières peinent à obtenir une visibilité totale de leurs actifs informatiques.

Notre dernière étude montre que plus de 70 % des responsables informatiques découvrent chaque semaine des postes clients ou des serveurs inconnus. Or, il est impossible de protéger ce que l’on ne peut pas voir. (…) Les responsables de la sécurité et des opérations informatiques doivent s’unir pour réduire les risques. Seule une vision d’ensemble de tous les ordinateurs, applications et données – y compris les machines qui ne sont pas patchées et donc vulnérables, ainsi que leur emplacement, permet d’établir des priorités et d’accorder une attention immédiate aux postes clients exposés.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

La mise en garde des télétravailleurs en ce moment de crise

Ils sont des milliers de personnes voire des millions à dorénavant rester à la maison et travailler.

Il peut s’agir des étudiants où des professionnels qui sont contraints aujourd’hui d’exercer l’ensemble de l’activité via le réseau Internet. Tout ceci dans cette circonstance de pandémie mondiale. On veut éviter que le coronavirus ne se répandent. Alors on demande aux gens de rester chez eux. Mais cela n’est pas sans conséquence. En effet le trafic de internet augmente. Ce qui rend difficile les échanges, mais les expose aussi. Car derrière chaque ligne, chaque réseau, se cache potentiellement un pirate informatique prêt à détourner voir à porter atteinte à toutes les informations auquel il peut accéder voire tout système d’information.

Cet article va aussi vous intéresser : Coronavirus et cybersécurité : 6 conseils pour rendre plus sûr le télétravail

Dans ce contexte tout le monde devient une cible facile pour des pirates informatiques surtout ceux qui n’avaient pas l’habitude de se protéger. C’est pourquoi Gabriella Nicolescu, une professeure titulaire au Département de génie informatique et génie logiciel de de l’école Polytechnique de Montréal, déclare ceci : « C’est bien de dire aux travailleurs à la maison de faire attention ». En sa qualité de Présidente Directeur Générale de la société de sécurité informatique KyberSecurity, elle ajoutera ceci : « C’est important que chacun soit conscient de ces menaces. […] Ça devient plus important. (…) C’est sûr qu’avec le passage au télétravail, la quantité de données qui circulent est beaucoup plus grande ». Face à la surexposition de certaines données personnelles tels que des numéros de carte de crédit, des secrets d’entreprise, etc, « Il se peut que les attaques se multiplient parce que le contexte est plus favorable.» dit elle. En effet, contrairement à d’autres secteurs, celui du e-commerce est en plein boom. Les gens commandent de plus en plus sur les plateformes de livraison à domicile, qui généralement sont des sites internet ou autres programmes informatiques. Et ce faisant ils divulguent constamment certaines informations tel que le numéro de téléphone, leurs noms, leurs adresses, leurs courriels dans certaines conditions des informations de nature financière. Par ailleurs les entreprises très souvent des ouvertures pour permettre à leurs employés de travailler depuis le domicile. Une ouverture de plus pour les pirates informatiques.

« Ce qu’on ne sait pas, c’est combien de compagnies ont déjà des solutions [de surveillance du trafic et de détection des intrusions] en place. Et est-ce qu’elles sont efficaces. » déclarait la professeure. Cependant l’heure n’est pas à la panique. En effet c’était spécial il se recommande de garder le calme et s’organiser pour éviter le maximum de dégâts. A ce propos, Pierre Langlois, le directeur du département de génie informatique et génie logiciel de Polytechnique Montréal affirme : « Beaucoup d’entreprises avaient déjà des systèmes de sécurité en place (…) Vous pouvez être certains que chaque responsable de la sécurité dans les entreprises est en train de regarder quels effets ça cause d’avoir toutes ces personnes à la maison. ». Par ailleurs selon Steve Waterhouse, l’Internet est surveillé par plusieurs structures étatiques chargé de la sécurité informatique. Du côté du Canada, on peut observer certaines autorités tel que la gendarmerie royale, et le service canadien du renseignement de sécurité, sans oublier bien sur le centre de la sécurité des télécommunications.

En effet dans une publication du centre de sécurité des télécommunications au Canada, on pouvait lire ce rapport : « Les Canadiens demeurent vigilants pendant cette période difficile. Qu’il s’agisse de nous laver les mains, de garder nos distances ou de tousser dans un mouchoir ou dans le pli du coude, nous prenons tous les moyens nécessaires pour prévenir la saturation du système de santé (…) Mais ce n’est pas tout le monde qui tient à cœur l’intérêt public. Les auteurs de cybermenaces profitent des préoccupations grandissantes et de la peur légitime des gens à l’égard de la COVID-19 pour répandre la mésinformation et soutirer de l’argent ou des données privées à leurs victimes. […] Le Centre pour la cybersécurité a constaté que des auteurs malveillants se servent de plus en plus du coronavirus (COVID-19) pour mener des campagnes d’hameçonnage et d’escroquerie. »

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage