Et si Gmail vous protégeait contre les expéditeurs potentiellement malveillants ?

Google ajoute de nouvelles fonctionnalités à Gmail pour protéger toujours plus ses utilisateurs des dangers du Net. Dans les prochaines semaines, le webmail se verra doté d’un système alertant son utilisateur quand il reçoit un e-mail en provenance d’un expéditeur non authentifié. Un point d’interrogation s’affichera alors en lieu et place de l’image correspondant au profil de l’expéditeur, à côté de son nom (voir l’image ci-dessous), indique le service de mise à jour des applications de l’entreprise de Mountain View.

Une façon d’inviter le destinataire à la plus grande prudence face à un e-mail douteux, surtout si le message contient des pièces jointes. Même si tous les expéditeurs non authentifiés ne sont pas nécessairement des pourvoyeurs de spam ou d’autres contenus à caractères frauduleux. « Il peut arriver que l’authentification ne fonctionne pas lorsqu’une organisation envoie des messages à de grands groupes d’utilisateurs, via des listes de diffusion, par exemple », rappelle Google dans l’aide de Gmail.

Pour authentifier les expéditeurs, Google s’appuie sur les protocoles SPF et DKIM. Le premier (Sender Policy Framework) se charge de vérifier le nom de domaine de l’expéditeur d’un courriel. Ce protocole est normalisé dans la RFC 7208 dans l’objectif de réduire les envois de spams. Le second, DomainKeys Identified Mail, permet à l’expéditeur de signer électroniquement son message afin de garantir à la fois l’authenticité du domaine ainsi que l’intégrité du contenu.

Deuxième niveau d’alerte

Au cas où un expéditeur malintentionné aurait réussi à contourner (ou exploiter) ces normes d’authentification, Gmail s’enrichit d’un deuxième niveau de protection. Lorsque l’utilisateur cliquera sur un lien considéré comme frauduleux (pointant vers un site de phishing, pourvoyeur de malwares, voire de logiciels indésirables), il sera averti par le système des risques qu’il encourt à poursuivre sa navigation. Une fonction héritée du Safe Browsing, un système lancé en 2006 chargé de référencer les sites frauduleux, et qui équipe le navigateur Chrome mais aussi Firefox et Safari (via une API).

Signalons que Safe Browsing est en évolution constante, notamment grâce à la participation des internautes. Le mois dernier, Google a annoncé renforcer cette protection. « Dans les prochaines semaines, ces améliorations de détection deviendront plus visibles dans Chrome : les utilisateurs verront plus d’avertissements que jamais sur les logiciels indésirables », indiquait alors l’éditeur.

Article original de Christophe Lagane

Réagissez à cet article

Les logiciels indésirables sont 3 fois plus répandus que les malwares

Disponible pour Google Chrome, Mozilla Firefox et Apple Safari, la fonction Navigation sécurisée de Google analyse des milliards d’URL. Chaque semaine, elle génère plus de 60 millions d’alertes aux logiciels indésirables, selon Google. C’est trois fois plus que le nombre d’avertissements concernant des programmes malveillants (malwares), tels que les virus, les vers et les chevaux de Troie.

Paiement à l’installation (PPI)

La plupart des alertes aux logiciels non sollicités apparaissent lorsque les utilisateurs téléchargent involontairement un pack de logiciels (software bundles) bardé d’applications additionnelles. Ce modèle peut rapporter au diffuseur jusqu’à 1,50 dollar par installation effective (pay-per-install, PPI).

Outre la cible (les internautes), de nombreux acteurs sont impliqués : annonceurs, réseaux d’affiliation, développeurs, éditeurs et distributeurs des logiciels. Toutes les offres groupées de logiciels ne cachent pas une tentative d’installation de programmes non sollicités. Mais il suffit d’un acteur peu scrupuleux dans la chaîne de distribution pour inverser la tendance.

Injecteurs de publicités

Une étude menée par des chercheurs de Google, de NYU et de l’ICSI de Berkeley, montre que les réseaux PPI fleurissent (une cinquantaine a été analysée). Quatre des réseaux les plus étendus distribuaient régulièrement des injecteurs de publicités, des détourneurs de navigateur et des rogues ou scarewares. Ces derniers sont de faux logiciels de sécurité. Ils prennent la forme de fenêtres d’alerte et prétendent que les fichiers du système utilisé par l’internaute sont infectés…

Par ailleurs, 59 % des offres des réseaux d’affiliation PPI ont été signalées comme étant indésirables par au moins un antivirus. Pour détecter la présence de ces antivirus, les programmes indésirables vont le plus souvent marquer d’une empreinte (fingerprinting) la machine de l’utilisateur. Ils ont aussi recours à d’autres techniques pour contourner les mesures de protection.

Autorégulation

« Ces packs de logiciels sont promus à travers de fausses mises à jour, des contenus bidons et du détournement de marques », explique Google dans un billet de blog. « Ces techniques sont ouvertement présentées sur des forums souterrains comme des moyens destinés à tromper les utilisateurs pour qu’ils téléchargent involontairement des logiciels et acceptent les termes d’installation proposés ».

« Ce modèle décentralisé incite les annonceurs à se concentrer uniquement sur la monétisation, et les éditeurs à maximiser la conversion sans tenir compte de l’expérience utilisateur final », regrettent les chercheurs de Google Kurt Thomas et Juan Elices Crespo.

L’industrie travaille à l’encadrement de ces pratiques. C’est l’objectif affiché de la Clean Software Alliance, regroupement d’acteurs de la distribution de logiciels et d’éditeurs d’antivirus. Impliqué, Google détaillera ses plans cette semaine lors du USENIX Security Symposium d’Austin, Texas.

Article original de Ariane Beky

Réagissez à cet article

Usages et attentes des Français à l’égard du digital en matière d’information sur leur santé

Article original de Ipsos

Réagissez à cet article

Cyberattaques terroristes déjouées au Maroc

Selon un communiqué du ministère de l’Intérieur cité par des médias locaux, dont le Matin.ma, ainsi que le quotidien ivoirien Fraternité Matin, cette opération antiterroriste a été menée sous la houlette du parquet général et visait 343 individus.

Outre des projets terroristes ciblant des centres de loisir, des festivals, des établissements sécuritaires du Royaume, des cyberattaques à un niveau de préparation bien avancée devaient être dirigées contre les institutions marocaines. Objectif? Bloquer le fonctionnement des structures étatiques et paralyser l’économie.

D’autres personnes arrêtées par les forces de police marocaine sont soupçonnées de recruter des combattants mineurs via les réseaux sociaux.

Article original de Alselme AKEKO

Réagissez à cet article

Quelques domaines d’application du Big Data

« Les données sont le nouveau pétrole : les villes, notamment, prennent conscience de leur valeur et du bénéfice qu’elles peuvent en tirer pour améliorer l’usage de leurs infrastructures et la qualité des services dispensés à leurs citoyens. ». C’est ce qu’a déclaré récemment Arvind Satyam, chargé du développement des affaires internationales pour le projet Internet of Everything de CISCO Systems. Cependant, « si la plupart des villes ont conscience de leur valeur, beaucoup ignorent comment les valoriser. » Une étude sur le numérique aux Etats-Unis réalisée par le cabinet McKinsey classe le gouvernement à la 18e place, sur un total de 22 acteurs, en ce qui concerne l’adoption des technologies numériques. Un retard technologique qui se traduit directement en monnaie sonnante et trébuchante. Toujours selon cette étude, l’usage du Big Data par les autorités publiques permettrait d’épargner 460 milliards de dollars d’ici 2020.

Et plus qu’un enjeu économique, comme le note dans un billet de blog, Shaina Doar, du Sidewalk Labs, filière de Google aidant les communes à passer à l’ère de la smart city, ce chiffre « représente une immense opportunité ratée de révolutionner l’accès à la santé, l’éducation, la sécurité et autres services de base, et par conséquent, d’améliorer grandement la qualité de vie des Américains.» Les choses sont pourtant en train d’évoluer. Un nombre croissant d’états américains se dotent de data scientists et plusieurs rapports mettent en exergue le potentiel d’une utilisation avisée des données, pour une meilleure qualité des services publics.

Améliorer la mobilité…

De manière très concrète, les autorités peuvent se targuer, grâce au Big Data d’améliorer la qualité des services fournis aux citoyens. Le potentiel pour une meilleure gestion des flux de mobilité urbaine est particulièrement évident. Un bon usage des données aide par exemple à repérer les places de parking disponibles, à les communiquer aux automobilistes pour favoriser un stationnement plus rapide et réduire ainsi le trafic. Des feux tricolores intelligents, servis par les données, offrent dans certains territoires une meilleure régulation de la circulation. La conception d’applications de navigation holiste rassemblant l’ensemble des données issues des différents moyens de transport disponibles, du vélo à la voiture individuelle en passant par le tramway et l’autopartage, optimise les déplacements des individus. La start-up Placemeter propose de son côté de communiquer l’ensemble des données, ayant trait aux flux de population urbaine aux municipalités, pour permettre à ces dernières d’optimiser la gestion de l’espace public. « Nous pouvons désormais savoir où les individus passent le temps dans la ville, et à quel moment. Ainsi, si telle place publique connaît un pic d’affluence chaque jour entre 17 et 19h, la municipalité peut adapter ses services, renforcer la sécurité ou réaménager l’espace public pour prendre en compte cette réalité. » explique Arvind Satyam. Cisco et Placemeter travaillent ainsi en collaboration avec la Mairie de Paris pour analyser les flux de population sur la Place de la Nation, dans le cadre du projet de rénovation de cette place, porté par la Mairie.

A Chicago, le Big Data permet de détecter les infractions sanitaires dans les restaurants.

…et les services publics

Outre l’amélioration de la mobilité, l’usage du Big Data permet aux gouvernements d’optimiser leurs services dans de nombreux domaines. Prenons la salubrité publique, par exemple. A Chicago, le Department of Innovation and Technology a récemment mis au point un algorithme permettant de prédire les infractions au code sanitaire dans les restaurants. Prenant en compte neuf variables, dont l’historique des infractions commises par les restaurants, la durée depuis la dernière inspection ou encore la dangerosité et la propreté de la zone géographique, l’algorithme détecte les infractions graves, en moyenne sept jours plus tôt que le système traditionnel. La ville de Chicago comptant trois millions d’habitants et 15 000 restaurants pour seulement une trentaine d’inspecteurs sanitaires, une allocation optimale des ressources est capitale pour garantir une meilleure protection des citoyens. Les mégadonnées peuvent également venir en aide aux plus démunis : ainsi, à New-York, l’entreprise SumAll a recours à l’analyse de données pour repérer les ménages risquant d’être évincés de leur logement et les aider à s’en sortir.

New-York a recours aux données pour aider les plus démunis.

Vers des services personnalisés

Le Big Data permet également aux pouvoirs publics de personnaliser leurs services, fournissant des prestations adaptées à chaque situation individuelle plutôt que des offres standards taillées pour un profil-type inexistant. Ainsi, plusieurs villes américaines ont adopté un outil baptisé the Public Safety Assessment, qui utilise les mégadonnées pour aider les juges à déterminer si un suspect doit être détenu avant son procès ou s’il peut être laissé en liberté. L’outil repose sur des données recueillies parmi un million et demi de cas différents recueillis auprès de 300 juridictions américaines. Il prend en compte les antécédents judiciaires de l’accusé, les faits lui étant reprochés et son âge. The Public Safety Assessment  permet ainsi de réduire à la fois le taux d’incarcération et le nombre de crimes commis par des individus en attente d’un procès. Dans un autre registre, à Singapour, l’application Beeline offre aux citoyens de remonter leurs requêtes, pour des routes plus adaptées à leurs besoins.

Renforcer la confiance dans le gouvernement

Le Big Data est aussi un outil efficace pour renforcer la confiance des citoyens dans le gouvernement, en oeuvrant pour la transparence. « Je pense que l’ouverture des données peut contribuer à plus de transparence, à éclairer les citoyens sur les actions du gouvernement, afin qu’ils sachent où vont leurs impôts, qu’ils voient l’intérêt de participer au processus démocratique. » confiait Libby Schaaf, maire d’Oakland, à L’Atelier l’an passé. Dans cette optique, la ville d’Oakland s’est doté d’un site internet baptisé Open budget Oakland. Il offre une visualisation exhaustive et intelligible du budget de la ville, afin que les citoyens puissent savoir où vont leurs impôts. Cette infographie a été conçue par les jeunes bénévoles d’Open Oakland qui mettent les nouvelles technologies au service de la collectivité, et travaillent notamment sur l’ouverture et l’exploitation des données. La mairie de la ville met de son côté des locaux à leur disposition. Lors de la dernière élection municipale, les jeunes volontaires ont également conçu une infographie mettant en évidence les sources de financement des différents candidats. De quoi rendre le processus électoral moins opaque et plus digne de confiance.

« Les gouvernements peuvent accroître leur capital confiance en donnant aux citoyens accès aux données, et en leur offrant ainsi une meilleure visibilité sur le monde qui les entoure. », affirme Arvind Satyam. Car telle la matière noire bien connue des scientifiques, les données sont invisibles mais agissent sur notre environnement.

Oakland compte parmi les villes pionnières en matière d’Open Data.

Donner plus de pouvoir aux citoyens

Promouvoir l’usage des données sert aussi à renforcer les échanges entre citoyens et gouvernements, participant à l’établissement de ce lien de confiance qui fait aujourd’hui souvent défaut. La start-up NextRequest propose ainsi une plate-forme intuitive permettant de demander l’accès à n’importe quel document public. Mis en place par la municipalité d’Asheville, le site SimpliCity communique de son côté n’importe quelles données concernant la ville, qu’il s’agisse des chiffres de la criminalité, du montant des taxes ou encore des projets immobiliers. L’application NYC311 autorise les New-Yorkais à alerter les autorités en cas de problème concernant un bien ou service public, qu’il s’agisse d’une absence de collection des déchets, d’un parcmètre défectueux ou encore d’une école vandalisée. Lors de l’hiver 2015, qui fut particulièrement rigoureux dans l’est des Etats-Unis, plusieurs villes, dont Boston et Chicago, se sont dotées d’applications permettant aux citoyens de signaler les tronçons de route enneigés ou verglacés. Chaque fois, la même volonté de rapprocher le citoyen des pouvoirs publics et de rendre la démocratie plus transparente et efficace.

A Montréal, l’application Ubifood permet de lutter contre le gaspillage alimentaire.

Renforcer les liens communautaires

Enfin, le Big Data est un moyen de renforcer l’engagement civique des individus, de souder la communauté et d’améliorer son fonctionnement. A Jakarta, où la collecte des déchets pose un véritable défi aux pouvoirs publics, grâce à une application, les citoyens indiquent les zones géographiques où collecter les déchets. Et les habitants peuvent s’improviser éboueurs en échange d’une somme d’argent. A Montréal, l’application Ubifood rend possible pour les magasins ayant des stocks de nourriture proche de la date de péremption de publier des offres promotionnelles sur ces produits. Les utilisateurs de l’app voient alors d’un clic les offres situées dans leur zone géographique, paient via l’application et passent récupérer leurs achats au magasin. Citons finalement l’application MyResponder, développée à Singapour, qui avertit les citoyens disposant d’une formation en secourisme lorsqu’une personne fait un malaise dans la rue à proximité. Aussi abstraites qu’elles puissent paraître, les données peuvent ainsi sauver des vies.

Article original de Guillaume Renouard

Réagissez à cet article

Hack de la Jeep Cherokee, le retour, malgré les mises à jour…

En 2015, la Black Hat avait vu deux spécialistes en sécurité, Charlie Miller et Chris Valasek, prendre le contrôle à distance d’une Jeep Cherokee de 2014. Un exploit qui a obligé Chrysler, propriétaire de Jeep, à procéder à un rappel de près de 1,4 million de véhicules. Une opération de mise à jour coûteuse pour le constructeur automobile. Il en a profité aussi pour lancer un Bug Bounty, avec des primes allant de 150 à 1500 dollars.

Un programme auquel les deux experts ne pourront pas concourir. Car ils démontrent à la Black Hat 2016 que la sécurité des voitures connectées n’est toujours pas optimale, malgré les récentes mises à jour. Dans une présentation, ils présentent une attaque contre la même Jeep Cherokee de 2014. A la différence de l’année dernière, cette attaque n’est pas menée à distance, mais avec un accès physique à la voiture. Néanmoins, le duo précise qu’avec du temps elle pourrait être réalisée via un terminal embarqué ou à distance via une liaison sans fil.

Blocage des freins et coup de volant intempestif

Une fois dans la voiture, Charlie Miller a branché son ordinateur sur le réseau du véhicule, nommé bus CAN, via un port situé sous le tableau de bord. Ce réseau envoie des instructions aux différents capteurs (consommation, confort, détection de panne, etc). L’accès à ce réseau est normalement sécurisé avec le patch de sécurité élaboré l’année dernière à la suite du premier piratage de la Jeep. Il semble que des failles subsistent et les deux spécialistes ont pu contourner certains garde-fous.

Parmi les actions réalisées, ils ont bloqué les freins. Charlie Miller s’est servi du mode maintenance pour rendre inopérant le freinage. D’habitude ce blocage des freins ne peut s’opérer qu’à une faible vitesse soit 5 miles par heure. Dans une vidéo, le duo roule sur une route de campagne et d’un coup (après un compte à rebours) le volant se met à tourner à 90 degrés plantant la Jeep dans le fossé. Pour se faire, Charlie Miller s’est servi de la fonction tourner le volant dans la fonction parking automatique (qui se fait habituellement en marche arrière et à faible vitesse). Concrètement pour réaliser leur piratage, les deux experts se sont attaqués à la fois aux bus CAN, mais surtout en ciblant directement les ECU (electronic control units) dont un a été placé en mode maintenance et un autre utilisé pour envoyer des commandes malveillantes.

Interrogé par nos confrères de Wired, Chrysler ne considère pas cette attaque comme un danger pour la sécurité des véhicules. En premier lieu, elle nécessite un accès physique à la voiture. De plus, les experts ont utilisé une Jeep Cherokee ne disposant pas de la dernière version du logiciel embarqué d’infotainment (vecteur de leur première attaque en 2015). Les experts précisent que même avec la dernière version, cette attaque est toujours possible.

Article original de Jacques Cheminat

Réagissez à cet article

Si le E-commerce était retranscrit dans la réalité

Je pense qu’énormément  de personnes vont se reconnaitre dans cette vidéo si vous achetez régulièrement sur la toile. Vous le savez quand vous souhaitez acheter un produit, le « tunnel d’achat » est souvent long et fastidieux. Entre la première visite et la réception de l’email de confirmation de commande, il se peux que vous passiez un certain nombre de minutes. Surement trop long j’en suis sûr. Trop d’informations à donner, création de compte, j’en passe et des meilleurs. Je suis sur que vous avez déjà été confronté aux « Kapcha » indécodable ou encore à l’expiration de la session…

Voila ce que résume cette vidéo. Une caricature de ce qu’il nous arrive en ligne. J’ai trouvé cela très drôle et très bien monté.

Je pense que pour ceux qui réalise des sites web, c’est souvent la problématique principale. Comment ne pas perdre de clients potentiels dans un processus de vente fastidieux et trop complexe.

[youtube https://www.youtube.com/watch?v=4gaIIQ72SdA]

Article original de David Gaborit

Réagissez à cet article

Les conséquences inatendues des changements trop fréquents de mots de passe

Fraîchement nommée chef des technologies de la Federal Trade Commission (FTC), Lorrie Cranor (également professeur à l’université Carnegie Mellon), avait été surprise par un tweet officiel mis en ligne en janvier. Le régulateur américain du commerce préconisait alors un changement fréquent de mots de passe. La spécialiste s’y est opposée. Depuis, elle fait évoluer la politique interne sur le sujet.

« Je suis allée voir les personnes en charge des médias sociaux et leur ai demandé pourquoi [la FTC dit à tout le monde de changer de mots de passe] », a commenté Cranor lors de la conférence Passwords de BSidesLV 2016, dont Ars Technica s’est fait l’écho. « Elles m’ont répondu ceci : ‘C’est probablement un bon conseil, car à la FTC nous changeons nos mots de passe tous les 60 jours’ ».

Lorrie Cranor s’est alors entretenue avec le #DSI et le RSSI de la FTC. Elle a souligné, rapport d’experts à l’appui, que les changements fréquents n’améliorent pas la sécurité, mais encouragent au contraire l’utilisation de mots de passe plus susceptibles d’être découverts et détournés.

Un modèle, des mots de passe

Lorsque des utilisateurs doivent changer de mots de passe tous les 90 jours, par exemple, ils ont tendance à utiliser un même modèle. C’est ce qui ressort d’une étude publiée en 2010 par des chercheurs de l’université de Caroline du Nord (UNC) à Chapel Hill.

« Les utilisateurs prennent leurs anciens mots de passe, puis ils les changent légèrement [d’une lettre, d’un chiffre ou d’un symbole] pour obtenir un nouveau mot de passe », a expliqué Cranor. Or la capacité de ces mots de passe à résister aux attaques par force brute est faible. 17 % des mots de passe testés par les chercheurs de l’UNC auraient ainsi été découverts en moins de cinq tentatives.

Il est donc préférable, selon eux, d’utiliser des mots de passe forts, plutôt que d’en changer souvent. La double authentification est également recommandée, notamment pour les applications sensibles.

Article original de Ariane Beky

Réagissez à cet article

Qui sont vraiment les Anonymous, ces justiciers du web ?

Les Anonymous se sont faits connaître plus que jamais du grand public à la suite des attentats contre Charlie Hebdo. Dans une vidéo publiée quelques heures après le drame, ils promettaient aux terroristes une guerre sans merci. Le 18 Janvier 2015, ils attaquaient le site web de l’agence de l’informatique de l’Etat Sénégalais sur lequel on pouvait lire :

Vous avez voulu interdire la caricature de la Une de Charlie Hebdo ? Mauvais choix.

Plus tard, à la place de la page d’accueil du site institutionnel on pouvait voir la caricature du prophète Mahomet du journal ainsi qu’un hommage aux 17 victimes des attentats.

Cette action figure parmi beaucoup d’autres. Comptes Twitter révélés ou supprimés, sites islamistes bloqués, piratés ou rayés du web. Néanmoins, l’efficacité des Anonymous depuis maintenant plusieurs mois peut interroger. Certains ne prennent plus vraiment ces justiciers du web au sérieux, les accusant de n’être que des adolescents ayant quelques connaissances techniques. Pour en avoir le coeur net, nous avons mené l’enquête.

Origine des Anonymous

Aujourd’hui, les Anonymous font partie du paysage numérique à part entière. Mais sait-on vraiment d’où est né ce mouvement ? Les Anonymous sont-ils des hackers, des informaticiens, des révolutionnaires ou de simples passionnés ? Les mythes sont nombreux mais il convient de rétablir la vérité.

Au départ, le mouvement Anonymous n’a absolument rien à voir avec le hacking. A l’origine, le berceau d’Anonymous était un simple site d’images. En 2003, Christopher Poole, un new-yorkais de tout juste 15 ans ouvre un forum dédié aux mangas. Il s’inspire d’un site japonais baptisé 2chan et nomme son propre forum 4chan.

L’originalité de 4chan, c’est que les utilisateurs n’ont aucune limite dans les contenus qu’ils partagent. En effet, sur chaque fichier partagé avec la communauté, en lieu et place du nom de l’internaute, le serveur inscrit par défaut la signature « Anonymous ». 4chan connaissant un succès monstrueux, des milliers d’internautes ont alors été baptisés « Anonymous ». Le mouvement était né.

Qui sont vraiment les Anonymous ?

Comment passe-t-on de site d’image à une communauté de hackers ? Pour bien comprendre, il faut oublier toute idée reçue. La plupart des Anonymous ne sont pas des hackers.

Dans les débuts de 4chan, les « Anons » sont avant tout des adeptes du troll, des amateurs de blagues un peu débiles. C’est ce que l’on appelle le mouvement « Lulz » (pluriel déformé de « LOL ») qui consiste à tourner en dérision un peu tout et n’importe quoi. Parfois, les intervenants n’hésitent pas à y glisser une pointe de méchanceté.

C’est en 2007 que les Anonymous commencent à s’attaquer à des institutions. L’un des membres de la communauté tombe sur une vidéo de Tom Cruise faisant l’apologie de la scientologie. Toujours dans l’esprit « Lulz » ils la diffusent sur le web.

Les scientologues, piqués au vif précisent que la vidéo est soumise à des copyrights, et que toute personne l’exploitant serait traînée en justice. Mal leur en a pris. Les « Anons » ont alors vu dans cette censure comme une atteinte à leur liberté. Ils décident de lancer une opération baptisée « Opération Chanology ». Il s’agira de la toute première opération des « Anons ».

Cette première tentative repose sur un procédé que l’on verra se répéter par la suite. « Opération Chanology » consistait à pirater les sites de l’Eglise scientologue en y publiant des affiches et des vidéos parodiques. En parallèle, les Anons ont organisé des manifestations sur le web. Ils se mettent alors en scène dans des vidéos devenues désormais célèbres.

Pour conserver leur anonymat, ils portent le masque de Guy Fawkes. Cet anglais avait tenté en 1605 de faire sauter le Parlement de Londres. Dans le Blockbuster hollywoodien « V pour Vendetta », le justicier porte également ce masque. De plus, pour camoufler leurs voix, ils utilisent un logiciel de synthèse vocale qui énonce un texte écrit avec une voix robotique.

Jusqu’en 2011, les Anonymous poursuivent leur lutte en gardant le même esprit de liberté, de partage du savoir, des connaissances, des logiciels, des contenus. La seule condition est de ne pas les utiliser à des fins pécuniaires. N’importe qui peut devenir Anonymous, une simple recherche sur le web suffit. Tous les accès aux sites sont libres.

A l’époque, la plupart des « Anons » ne sont absolument pas des experts du hacking. Il s’agit simplement de geeks. Ils communiquent sur les forums, sur Facebook, Twitter et autres réseaux sociaux. Les contenus partagés sont des images et des vidéos dont on connaît maintenant la teneur. L’objectif des Anonymous à cette période est de créer une mouvance conduisant à la révolte du peuple face à des pratiques considérées comme liberticides. Leur devise officielle, un tantinet pompeuse, est la suivante :

Nous sommes Anonymous. Nous sommes légion. Nous ne pardonnons pas. Nous n’oublions pas. Préparez-vous à notre arrivée.

En 2011, le mouvement prend une toute autre ampleur. Des experts en hacking rejoignent les équipes des Anonymous. Mais ces derniers radicalisent le mouvement suite aux propos de HB Gary, un site expert en sécurité, qui affirme avoir identifié une trentaine de membres des Anonymous et qu’il va les dénoncer au FBI. Il ajoute par ailleurs qu’il existe une hiérarchie au sein du mouvement.

C’est cette ultime accusation qui a provoqué la colère des membres. Car les « Anons » tiennent à leur modèle de fonctionnement reposant sur le « Hive Mind » (Esprit de ruche). Comme le font les abeilles, les Anonymous sauraient chacun instinctivement quel rôle ils ont à jouer dans une opération.

Il n’y a aucune leader, aucune hiérarchie même si certains membres sont plus actifs, plus créatifs ou plus techniques que d’autres. L’image de hacker qui colle à la peau des Anonymous est totalement erronée. La plupart sont des geeks experts en graphisme, en montage vidéo ou en réseaux sociaux. D’autres n’ont même aucune expertise mais contribuent comme ils le peuvent au mouvement.

Il y a bien des hackers, mais ils ne sont pas majoritaires. Il s’agit pour la plupart d’entre eux de programmeurs de génie, de chercheurs en sécurité ou encore d’administrateurs système. Le problème aujourd’hui c’est que le mouvement a une telle notoriété que certains petits malins s’en prennent à certains sites sans aucune raison en s’auto-proclamant Anonymous.

Comment les Anonymous opèrent-ils ?

Malgré tout, après 2011 les opérations se multiplient en utilisant toujours la même technique : des attaques DDoS combinées à une communication sur le web efficace. L’organisation est extrêmement simple.

Les Anons lancent une discussion sur un forum sur une opération à venir. Le jour J, les Anonymous du monde entier se retrouvent sur ce même forum pour programmer une saturation des serveurs d’un site ciblé. Pour faire simple, grâce à un logiciel spécifique, tous les membres envoient un nombre de données plus important que le serveur ne peut en supporter. Il « explose », offrant la possibilité aux hackers de prendre la main sur la page d’accueil du site.

Entre le 14 et le 18 janvier 2015, à la suite des attentats contre Charlie Hebdo, ce sont 20 000 sites web faisant l’apologie du terrorisme qui ont fait l’objet du même type d’attaque. Le but est de bloquer les moyens de communication des terroristes.

Ainsi, les Anons ont élargi leur champ de travail aux réseaux sociaux qui sont désormais majoritairement utilisés par les terroristes. Ils ont dévoilé par exemple des milliers de comptes appartenant à des djihadistes. Le problème, c’est que ces comptes sont créés plus vite qu’ils ne sont supprimés.

Article original de Romain Vitt

Réagissez à cet article

L’ANSSI alerte sur les risques liés à Pokémon Go

Devant l’ampleur du phénomène (près de 100 millions de téléchargements), l’application Pokémon Go pose quelques problèmes de sécurité. L’ANSSI  (en quelque sorte le Gardien de la sécurité des Systèmes d’Information des Organisme d’Importance Vitale, des Organes et Entreprise de l’état Français selon Denis JACOPINI expert Informatique assermenté spécialisé en cybercriminalité) ne pouvait pas rester sourde à cette question et vient de publier via le CERT-FR un bulletin de sécurité dédié aux « cyber-risques liés à l’installation et l’usage de l’application Pokémon Go ».

Applications malveillantes et collectes de données

Dans ce bulletin, il est rappelé qu’avec le succès, de nombreuses fausses applications se sont créées. Le CERT-FR en a recensé 215 au 15 juillet 2016. Elles sont surtout présentes dans les pays où le jeu n’est pas présent. Il recommande donc de ne pas télécharger cette application sur des sites tiers, et de n’installer que les versions originales disponibles sur Google Play ou l’Apple Store. Nous nous étions fait l’écho de la disponibilité d’APK Pokémon Go pour Android qui contenait des malwares. Le bulletin constate aussi que Niantic a résolu le problème de permission qui exigeait un accès complet au profil Google de l’utilisateur.

Sur les données personnelles, l’ANSSI observe comme beaucoup d’autres organisations que Pokémon Go collecte en permanence de nombreuses données personnelles. Informations d’identité liées à un compte Google, position du joueur par GPS, etc. L’UFC-Que Choisir avait récemment alerté sur cette question de la collecte des données. La semaine dernière la CNIL a publié un document concernant « jeux sur votre smartphone, quand c’est gratuit… » où elle constatait que ce type d’application était très gourmande en données. L’ANSSI préconise la désactivation du mode « réalité augmentée » lors de la phase de capture d’un Pokémon.

BYOD et Pokémon Go, le pouvoir de dire non

L’ANSSI répond sur le lien qu’il peut y avoir entre le BYOD (Bring Your Own Device), c’est-à-dire l’utilisation de son terminal personnel dans un cadre professionnel et Pokémon Go. Le CERT-FR constate qu’il est « tentant d’utiliser un ordiphone professionnel pour augmenter les chances de capturer un Ronflex (un Pokémon rare à trouver) ». Surtout quand la demande émane d’un VIP et qu’il est souvent difficile de refuser. Eh bien comme Patrick Pailloux (prédécesseur de Guillaume Poupard à la tête de l’ANSSI) l’avait dit en son temps, il faut avoir le pouvoir de dire non à l’installation de ce type d’application dans un environnement professionnel.

Toujours dans le cadre du travail, l’agence déconseille l’usage de l’application dans des lieux où le geo-tagging du joueur pourrait avoir des conséquences (lieu de travail, sites sensibles).

Article original de Jacques Cheminat

Réagissez à cet article