BRIC -BRAQUE

Le Sénat veut installer un spyware sur tous les ordinateurs

Le projet de loi Création et Internet prévoit que l'abonnement d'un internaute puisse être suspendu s'il n'a pas été sécurisé pour empêcher le piratage. La question de la preuve est centrale dans l'application du projet de loi, puisqu'elle suppose de prouver la négligence. Confronté au problème, la Commission des affaires culturelles du Sénat propose d'imposer un logiciel espion sur l'ensemble des ordinateurs de tous les internautes français.

Pour peu que l'on puisse admettre le bienfondé théorique de la riposte graduée, sa mise en oeuvre reste un véritable casse-tête au regard des droits civiques. Le projet de loi Création et Internet prévoit en effet d'avertir puis de sanctionner les internautes dont l'accès à Internet est utilisé pour télécharger ou mettre à disposition sans autorisation des oeuvres protégées par le droit d'auteur. Dans l'esprit du gouvernement, le texte doit inciter les internautes à protéger leur accès pour empêcher le piratage. C'est d'ailleurs le défaut de surveillance et de protection qui est condamné, et non pas l'acte de piratage en tant que tel. Dès lors, le projet de loi prévoit trois cas d'exonération de responsabilité :

• Le fait d'avoir mis en oeuvre des moyens de sécurisation pour prévenir les manquements à l'obligation de surveillance ;
• Le fait d'avoir été victime d'une intrusion frauduleuse d'un tiers, autre qu'une personne "placée sous l'autorité ou la surveillance du titulaire de l'accès". Concrètement, si l'accès WiFi est piraté par un voisin malgré la présence des outils de sécurisation, l'abonné ne sera pas sanctionné par l'Hadopi ;
• Les cas de force majeure.

Mais pour actionner le premier cas d'exonération, encore faut-il pouvoir prouver que l'on avait bien protégé son accès à Internet si l'on est condamné à tort par la Haute Autorité chargée de mettre en oeuvre la riposte graduée, l'Hadopi.

Questionné sur ce point, le ministère de la Culture avait dans un premier temps réagi en indiquant qu'il serait possible de fournir son disque dur comme preuve de bonne foi à la Haute Autorité. S'il n'y avait pas trace des fichiers contrefaits, alors l'internaute serait blanchi. L'idée était évidemment absurde, puisqu'il est très simple de substituer un disque dur par un autre, ou d'effacer les traces. Elle posait aussi son lot de problèmes pratiques et de respect de la vie privée. Cette proposition a été rapidement enterrée, mais le problème de la preuve de la bonne foi reste entier.

La Commission des affaires culturelles du Sénat s'est donc saisie de la question. La rapporteur Michel Thiollière propose par une série d'amendements du Sénat que les logiciels de sécurisation de l'accès à Internet soient d'abord agréés par l'Hadopi. Si l'internaute utilise un moyen non agréé, il n'est pas protégé par le cas d'exonération. Or l'un des critères d'obtention de l'agrément serait que puisse être établi une communication régulière entre l'internaute et l'éditeur du logiciel de sécurisation, pour savoir si le système est activé ou non. Les données d'activation ou de désactivation seraient alors conservées pendant 12 mois.

"Certaines licences d’utilisation de ces logiciels (de sécurisation) prévoient un dialogue à distance automatique et régulier entre le logiciel et le serveur de l’éditeur, pour vérifier l’état des mises à jour. Cela comprend l’envoi, par l’ordinateur de l’utilisateur, de données précisant son identifiant et son état de fonctionnement", écrit le rapporteur.

"Dans le cas présent, le serveur de l’éditeur du logiciel vérifierait, à chaque connexion, que les dernières mises à jour ont été installées. Les informations recueillies, conservées douze mois, attesteraient de l’activité du logiciel. Le titulaire de l’accès invoquant la cause d’exonération pourrait ainsi, dans l’hypothèse où l’HADOPI lui adresserait une demande de justificatifs, produire le fichier de « logs » qu’il aurait alors demandé à l’éditeur de son logiciel."

Si l'internaute refuse une mise à jour ou choisit de désactiver l'outil de surveillance, il devra d'abord suivre "une étape dans le processus de désactivation où il serait demandé à l’utilisateur de certifier qu’il a bien pris connaissance des risques encourus en cas de désactivation".

C'est alors un dilème du prisonnier pour le Parlement. Soit il refuse les amendements proposés par la Commission des affaires culturelles et il supprime toute possibilité de prouver sa bonne foi (ou de la contester), soit il les accepte et il institutionnalise la mise en place d'un spyware chez tous les citoyens français, ce qui serait sans doute contraire à la Constitution.

Reste une troisième voie possible : rejeter purement et simplement le projet de loi.

********************

Outils Recherche Web Divers - Outils Veille

J'ai testé pas mal de moteurs de recherche de personnes plutôt bien faits, de Wink à Spock en passant par Zoominfo ou Zabasearch, mais je dois dire que ce moteur autrichien lancé début 2008 est celui qui m'a le plus impressionné. Cette efficacité ne vient pas tant des résultats qu'il propose (quoique) que de la manière dont il les présente, ce qui démontre une fois de plus la nécessité de mettre en scène l'information.
123people structure en effet ce qu'il sait d'une personne de manière très claire, distinguant :

• photos,
• numéros de téléphone
• adresses emails
• compte de messagerie instantanée
• hyperliens (sites web, blogs)
• documents (ppt, pdf; doc,...)
• vidéos
• actualités
• ouvrages s'il y en a
• éléments de biographie tirées de Linkedin ou autres
• services de social networking sur lesquels la personne a créé un profil

Il propose aussi un nuage de tags créés à partir des mots-clés les plus fréquemment associés à la personne dans le contenu indexé. Chaque tag est cliquable et vient affiner la requête initiale.

En ouvrant un compte il est possible de :

• aider à désambiguïser les homonymes (pour peu que vous les connaissiez un peu)
• recevoir des alertes lorsqu'un élément nouveau est ajouté au profil de quelqu'un

Cependant je ne sais pas si je dois vous encourager à vous y inscrire et ce faisant à donner un peu plus de grain à moudre à cet impressionant service. La solution du pseudo est sans doute ici la meilleure. Ce qui est amusant d'ailleurs c'est qu'ils font de la pub pour Reputation Defender...
http://www.outilsfroids.net/news/123people-le-moteur-de-recherche-de-personnes-qui-fait-p
************

Pirater un compte bancaire en ligne en 7 étapes...

Comme promis précédemment, voici l’article expliquant comment pirater un compte en banque en ligne uniquement à partir d’informations ouvertes.

Dans son article tiré du Scientific American, l’américain Herbert H. Thompson nous offre un exemple parfait de social hack ou ingénierie sociale.

Nous tenons à souligner que, comme vous vous en doutez, cet article n’est qu’un exemple des possibilités de l’ingénierie sociale. Notre intention n’est pas de permettre à tout un chacun de devenir un hacker potentiel mais bien de sensibiliser nos visiteurs à ces techniques, et également, de s’en prémunir.

Dans cet exemple, Thompson va s’évertuer à pirater le compte d’une des connaissances  de sa femme, qu’il appelle « Kim », en 7 étapes très simples. Au départ il ne connaît que peu d’informations à son sujet : son nom, état de naissance, emploi, âge et également sa banque.

- En faisant une recherche sur Google, il découvre le blog de “Kim”, la victime. Le blog s’avère être une vraie mine d’or avec des informations sur ses grands-parents, ses animaux domestiques, sa ville, son adresse email à l’université et son email chez Gmail

- 1^ère tentative pour récupérer le mot de passe de l’accès au compte en banque de sa cible. 1^er échec car Thompson n’a pas accès à son compte mail : prochain objectif donc, récupérer les accès email de Kim.

- 2^ème tentative pour récupérer les codes d’accès du compte Gmail par un essai de réinitialisation du mot de passe ; 2^nd échec. Cependant en tentant de réinitialiser le mot de passe, Google indique que le mot de passe est envoyé sur une adresse xxxx.edu. A partir des informations récupérées sur le blog, Thompson sait alors qu’il s’agit de l’adresse étudiante de sa cible.

- Thompson essaye donc de récupérer le mot de passe du compte mail de l’université de Kim. On lui demande un certain nombre d’informations “personnelles” pour réinitialiser le mot de passe. Grâce au blog il les possède toutes, sauf sa date de naissance.

- Thompson tente alors de trouver de la date de naissance de Kim par une recherche des infractions sur un site public du Département des véhicules motorisés ; perte de temps et donc tentative par un autre moyen.

- Recherche fructueuse sur le blog : Kim a posté un billet où elle parle de son anniversaire.

- Thompson récupère un accès au compte mail de l’université, le change et peut donc récupérer un mot de passe pour le compte Gmail de Kim. Or c’est sur ce compte que la banque envoyait ses mails de changement de mot de passe. Thompson peut alors accéder en toute facilité au compte bancaire de sa proie, et ce uniquement à partir d’information blanche…

Cet exemple frappant témoigne de la vulnérabilité des informations que nous mettons à disposition sur Internet, même au travers d’un modeste blog. Comme le suggère l’auteur, tous les utilisateurs d’Internet devraient suivre la règle suivante : Réfléchir d’abord/poster ensuite, de manière à se prémunir contre de telles fraudes.

A bientôt !

http://taistoiquandtuparles.over-blog.com/

****************

Le social engineering ou la soumission librement consentie

Puisque ce blog va régulièrement faire mention du social engineering, il est de bon ton de consacrer un article à la définition de ce concept :

Qu’est ce que le Social Engineering ?

C’est une méthode qui part du principe que le maillon le plus faible dans tout système de protection est l’Homme, et donc que c’est l’élément prioritaire à attaquer.

Lorsque ce concept est évoqué, il est souvent fait référence à Kevin Mitnick qui l'a théorisé dans son ouvrage L’art de la supercherie.

Mitnick est probablement le hacker le plus célèbre de la planète, le premier à avoir fait partie de la liste des individus les plus recherchés par le FBI.

Il montre dans son ouvrage qu’au-delà du fait d’être un génie en informatique, il a généralement eu accès aux systèmes informatiques grâce à la persuasion et à la manipulation des personnes.

Le social engineering repose donc sur l’interaction humaine.

L’objectif est d’amener la victime à « une soumission librement consentie », c'est-à-dire faire adopter à la personne un comportement lui laissant le sentiment qu’elle a eu ce comportement en toute liberté.

Ceci est possible en utilisant :

-          La crédulité

-          Le manque de connaissance

-          Le manque d’attention

-          Le sentiment d’insécurité (la peur)

Le social engineering peut passer par différents canaux comme le coup de téléphone, la lettre, internet ou le contact direct.

La personne usant de cette méthode s’attaquera souvent au personnel le moins sensibilisé (les nouveaux, la femme de ménage, la secrétaire,…)

Face au social engineering, deux parades :

-          La sensibilisation de l’ensemble du personnel aux questions relatives

           à la sécurité.

-          La paranoïa

Illustrons cette définition par un exemple ludique :

Le social engineering peut vous aider à rentrer en boîte de nuit, comment ?
Réponse:

par JTC publié dans : Un glossaire pour mettre les choses au clair !