Outils du site

Menu du site

Piste: • Événements
evenements
, ,

Cette page permet d'annoncer quelques événements avec des détails pour lesquels la place manque sur les réseaux sociaux ou sur les autres pages de ce site.

Événements

Table des matières

Dernière mise à jour : 05/01/2019 00:46 (voir les différences)

14/06/2018: L'état français sensibilise le grand public à la sécurité numérique

Sur le site cybermalveillance.gouv.fr, l'état français viens de mettre en ligne des outils pédagogiques de sensibilisation à la sécurité numérique sous forme de 4 courtes vidéos et de plaquettes informatives (disponibles en fichiers PDF).

L'objectif de l'état français est de rattraper le retard culturel national en matière de cyber-sécurité, afin que la société française ait une meilleure résilience face aux grandes attaques informatiques à venir, propres à déstabiliser le bon fonctionnement de la vie en commun. C'est pourquoi, afin de relever le niveau minimal de connaissance en sécurité numérique, il est important que tout le monde consulte ces documents d'hygiène élémentaire, y compris ceux qui pensent déjà en connaître un rayon sur le sujet…

03/01/2018 : Failles de sécurité Meltdown et Spectre : jusqu'à 30% de ralentissement et nos ordinateurs moins sécurisés !!

Voir la page Failles de sécurité des microprocesseurs.

Conséquences des failles Meltdown et Spectre

  • En pratique :
    • Grâce à une mise à jour des noyaux des systèmes d'exploitation, un contournement logiciel empêche l'accès aux données et le contrôle de l'ordinateur via la faille matérielle Meltdown. Mais ce contournement peut théoriquement diminuer les performances des microprocesseurs Intel de 5% à 30% (ralentissement)
    • Grâce à la mise à jour des principaux navigateurs web qui altèrent provisoirement certaines fonctionnalités des navigateurs, une des vulnérabilités Spectre, ou bien les deux, deviennent plus difficiles et hasardeuses à exploiter depuis une page web
    • Grâce à la mise à jour des firmwares de microprocesseurs récents, Intel s'apprête à entraver l'exploitation d'une des vulnérabilités Spectre, ou bien des deux
  • En théorie :
    • Les failles Meltdown – concernant Intel – et Spectre – concernant Intel, AMD et ARM – autorisent l'accès à toutes les données chargées en mémoire, et autorisent incidemment le contrôle de l'ordinateur par des attaques plus ou moins difficiles à mettre en œuvre bien que systématisables
    • Ces attaques informatiques ne sont pas détectables car elles sont autorisées par le matériel électronique au plus bas niveau
    • Il est conseillé d'attendre quelques mois avant d'acquérir un nouvel ordinateur équipé d'un nouveau modèle de microprocesseur certifié indemne
  • À cause des possibilités de franchir tous les cloisonnements rendues possibles par la faille Spectre (et Meltdown) et de l'enjeu de l'exploitation des datamasses aux yeux des pirates, les centres de données civils n'offrent plus de garantie suffisante pour l'hébergement de données privées :
    • La fréquence – déjà élevée – de fuites de données de serveurs ne peut qu'augmenter à cause de ces failles dont l'exploitation ne sera pas préventivement entravée partout dans le monde
    • L'hébergement de données personnelles en mode cloud computing devient encore plus risqué si ces données ne sont pas chiffrées avant l'envoi sur ces plate-formes de service en ligne
    • Les entreprises et les services publiques qui ont un usage immodéré des services de cloud computing (à l'instar des particuliers) exposent d'autant plus les données personnelles des utilisateurs à des fuites de données…
    • Des logiciels 100% libres ne protègent pas plus contre ces failles s'ils sont hébergés dans des centres de données qui mutualisent les ressources mais également les risques d'accès aux zones mémoires protégées
    • Rappel : Un navigateur web devient considérablement plus sécurisé – y compris contre les failles Meltdown et Spectre – lorsque JavaScript est désactivé (cf. extension NoScript de Firefox). Mais cela suppose d'autant plus de sacrifices que la très grande majorité du web repose sur JavaScript

17/10/2017 : Failles de sécurité wifi: Mises à jour et VPN sont de mise

Un équipe de chercheurs de l'Université de Louvain vient de rendre public une série de vulnérabilités critiques1) qu'ils ont découvert dans l'implémentation du protocole WPA2 des réseaux wifi. De surcroît, ils ont mis en œuvre une méthode d'attaque des réseaux wifi sécurisés WPA2, baptisée KRACK (en) pour "Key Reinstallation Attack". La méthode "CRACK" démontre qu'à cause de ces dix vulnérabilités critiques et sous certaines conditions, les communications via wifi d'un grand nombre d'ordinateurs dans le monde peuvent être écoutées et manipulées (piratage de compte en ligne, modification des données programmes ou brutes téléchargées).

Les conditions d'attaque CRACK sont plus faciles à réunir sous GNU/Linux et Android que sous Windows. Un tableau affichant les systèmes affectés par ce problème peut être consulté ici. Le 16/10/2017, le centre de cyberdéfense français (CERT-FR) a publié https://www.cert.ssi.gouv.fr/alerte/CERTFR-2017-ALE-014/un bulletin d'alerte et le 17/10/2017, des bulletins de sécurité concernant notamment Windows, GNU/Linux Debian et GNU/Linux Ubuntu.

Attitude à adopter

Cet événement conforte l'attitude sécuritaire déjà adoptée vis-à-vis du wifi, et qui doit être la suivante :

  • Mettre à jour tous les systèmes informatiques concernés dès que cela est possible :
    • Si un point d'accès wifi ou une box Internet n'est plus mis à jour, désactiver sa fonction wifi
    • Si un micro-ordinateur n'est plus mis à jour (Windows XP, Vista, Windows 8.0, etc.), il ne doit pas utiliser une connexion wifi. Je rappelle par ailleurs que les systèmes obsolètes ne doivent jamais servir à la navigation web. Une connexion internet par câble peut éventuellement continuer à servir à synchroniser l'horloge ou pour d'autres services annexes
    • Si un nano-ordinateur (smartphone, tablette) n'est plus mis à jour, il faut éviter au maximum d'utiliser une connexion wifi. Je rappelle par ailleurs qu'il ne faut jamais accéder à des comptes bancaires sur un smartphone ou une tablette, et qu'il faut utiliser une adresse email dédiée à cet appareil (car les données de ces appareils sont systématiquement collectées)
  • Utiliser une connexion VPN (canal chiffré) le plus souvent possible si la machine est connectée en wifi :

Références sur la "Key Reinstallation Attack" (KRACK)

Les chercheurs ayant découvert ces vulnérabilités sont Mathy Vanhoef et Frank Piessens de l'Université de Louvain.

Référence dans la presse à propos de la "Key Reinstallation Attack"

23/09/2017 : C'est avéré : des FAI inoculent le virus FinFisher dans les ordinateurs de leurs clients

Dans une publication du 21 septembre 20172), la société de sécurité Eset affirme avoir la certitude que des fournisseurs d'accès à Internet (FAI) infectent les ordinateurs de leurs clients par un logiciel d'interception de la gamme FinFisher développé par la société Gamma Group.

La méthode utilisée – de type attaque de l'homme du milieu – consiste à rediriger les requêtes de téléchargement de certains logiciels vers un paquet comportant en plus du logiciel désiré, une variante du logiciel d'interception FinFisher. Parmi les logiciels concernés se trouvent WhatsApp, Skype, WinRAR, VLC media player, Avast Antivirus, TrueCrypt et Threema (en). Cette liste de logiciels détournés couvrent un très large éventail de types d'utilisateurs informatiques. Autant dire qu'il s'agit d'une infection de masse pour surveiller toute une population, ses données et son comportement.

Rappelons d'abord que d'une manière générale, il faut toujours télécharger un programme depuis son site officiel et jamais depuis un site de téléchargement.

Pour se prémunir de ce genre d'infection par redirection de téléchargement, il faut bannir tout téléchargement de programme via une URL commençant par http:// au lieu de https://

Mais à cause de cette attaque de l'homme du milieu par certains fournisseurs d'accès sous l'égide des services de renseignement des états, cette précaution n'est pas une garantie totale si votre fournisseur d'accès n'est pas éthique, c'est-à-dire pour la France, s'il n'est pas membre de la Fédération French Data Network.

Ainsi et puisque la FDN est minoritaire, la majorité des internautes français devraient systématiquement se connecter à un canal chiffré de type VPN leur octroyant une adresse IP publique partagée, par la prestation de service d'une société spécialisée indépendante de leurs fournisseur d'accès à Internet (service payant).

Les personnes qui n'ont pas un niveau expérimenté en informatique peuvent s'initier aux connexions internet via VPN grâce au logiciel libre et gratuit Psiphon (site officiel). Signalons que certains antivirus privateurs comme Kaspersky Internet Security intègrent par défaut un sous-programme de connexion VPN. Cela fait longtemps en effet que les connexions chiffrées via VPN sont très fortement recommandées dés qu'un ordinateur est connecté à un réseau Wi-Fi public3).

De surcroît, il faut prendre l'habitude de vérifier l'empreinte SHA ou MD5 du fichier téléchargé avant de le charger en mémoire en tant que programme. Malheureusement, la culture générale numérique de l'immense majorité des utilisateurs est tellement faible (et entretenue par Apple et Microsoft), que cette pratique de précaution est souvent ressentie comme une gageure.

Références :

18/09/2017 : Le logiciel privateur CCleaner a été un cheval de Troie

EDIT du 21/09/2017 :
Cisco Talos Intelligence révèle qu'une deuxième charge utile malveillante infectait les PC sous CCleaner4).
Comme je le suggérais précédemment, Cisco Talos Intelligence recommande de réinstaller les machines Microsoft Windows sur lequel CCleaner 5.33 était installées.

Donnant suite aux alertes de sécurité émises simultanément par les deux sociétés Cisco Talos Intelligence et Morphisec, la société Piriform qui a récemment été rachetée par la société Avast Software et qui édite le logiciel CCleaner vient d'annoncer qu'elle a détecté que la version 32 bits classique 5.33.6162 et la version Cloud 1.07.3191 de son logiciel CCleaner publiées le 15 août 2017 étaient des chevaux de Troie. En informatique, un cheval de Troie, est un programme qui d'une part, effectue ou donne l'impression d'effectuer une action légitime visible, d'autre part introduit silencieusement un programme malveillant à l'intérieur du système d'exploitation. Piriform indique que la nouvelle version CCleaner 5.34 publiée le 12 septembre 2017 remplace et corrige la mauvaise version précédente.

Concrètement, ces versions incorporaient un code malveillant de type "dropper", c'est à dire un petit sous-programme téléchargeant un nouveau programme complet depuis un serveur web non officiel puis chargeant ce dernier programme en mémoire pour lui donner le contrôle total sur la machine : contrôle à distance silencieux depuis un serveur distant de Commande et de Contrôle (C&C) comme n'importe quel logiciel d'interception ordinaire. La justice a été saisie et la police enquête sur toutes les pistes possibles (Pénétration dans le système informatique de Piriform depuis l'extérieur, acte de malveillance interne, complicité interne avec des réseaux cybercriminels, etc.)

À propos de CCleaner :
Célèbre dans le monde entier et très utilisé en France, CCleaner est un logiciel privateur de "nettoyage" du système d'exploitation privateur Microsoft Windows. Depuis très longtemps, l'imposture du nettoyage tous azimuts de Windows constitue un marché informatique colossal, convoité par un aréopage de mouchards publicitaires hypocritement dénommés "logiciels potentiellement indésirables" (LPI), avec la complaisance de l'entreprise Microsoft et de son soit-disant anti-malware Windows Defender.

Selon le spécialiste Pierre Pinard qui tient l'excellent site assiste.com, CCleaner constitue le moins pire de ces logiciels de "nettoyage" à condition de s'en tenir à sa fonctionnalité de suppression des fichiers temporaires5). Il recommande cependant de bien configurer ce logiciel avant de s'en servir6), comme je le préconise autour de moi, car les paramètres par défaut de CCleaner effacent des données qui peuvent servir au diagnostic ultérieur de problèmes (journaux divers)

Conséquences de cette affaire :

  1. Les utilisateurs concernés par les versions malveillantes de CCleaner n'ont aucune garantie que leur PC est sain :
    • Pas de symptôme ne signifie pas qu'un programme d'interception n'existe pas sur la machine, surtout quand celle-ci a été exposée de manière automatisée à une source externe et active d'infection
    • Les utilisateurs expérimentés peuvent télécharger le programme PowerShell find-ccleanermalware.ps1 pour savoir si la base de registre Windows contient une trace du passage du programme malveillant sur leur machine
    • À défaut de reformater et réinstaller Windows – ou encore mieux d'installer GNU/Linux –, l'utilisateur peut effectuer des scans complémentaires complets par des logiciels antivirus compatibles avec leur logiciel antivirus actuel7)
  2. Les utilisateurs Windows et Android doivent éviter d'utiliser les produits de la société Piriform :
    Comme précisé par le centre de cyberdéfense français, le vol de la clé numérique secrète de la société Piriform "indique une probable compromission interne impactant leur chaîne de publication". Dès lors et en l'absence d'informations précise, le principe de précaution implique de ne plus faire confiance aux produits de la société Piriform (CCleaner, Defraggler, Recuva, Speccy).
    • Pour supprimer les fichiers temporaires, les utilisateurs Windows doivent préférer l'une des méthode suivantes :
    • À défaut de ne plus utiliser CCleaner, préférer sa version portable :
      Les versions portables des gratuiciels privateurs étant souvent moins nocives que leurs versions installables dans Windows, il vaut mieux désinstaller votre version normale de CCleaner et utiliser sa version portable téléchargée depuis le site officiel8). Attention cependant : moins de probabilités de nocivité ne signifie pas absence de danger pour la sécurité et la confidentialité
  3. Les utilisateurs du numérique ne doivent pas faire confiance aux logiciels privateurs :

Sources :

08/07/2017 : Synthèse mi-2017 sur la prévention malwares+ransomwares pour les particuliers

Copie d'écran du site intel.malwaretech.com montrant les attaques en cours au niveau mondial, un samedi à 6h heure de Paris

EDIT du 30/01/2018 : Ma synthèse mi-2017 étant obsolète, voir ma page "Pratiquer > Logiciels antivirus" qui sera maintenue à jour.

En cette fin de premier semestre 2017, il m'est apparu utile de faire le point sur les logiciels de sécurité efficaces en terme de prévention anti-malware + anti-ransomware pour le grand public utilisant Microsoft Windows.

Les ransomwares sont une forme de malwares. On pourrait donc croire qu'écrire prévention anti-malware + anti-ransomware est un pléonasme. Techniquement, cela est malheureusement faux, car beaucoup de logiciels de sécurité gratuits (Avast, AVG, Avira, etc.) et même payants n'offrent aucune protection préventive contre les ransomwares.

Je présente ma synthèse "mi-2017 sur la prévention malwares+ransomwares pour les particuliers" sous la forme d'une carte de référence rapide (une "quick ref card") afin qu'elle tienne sur une page A4. J'en déconseille la lecture aux utilisateurs débutants en informatique. Mais je la recommande à tous les utilisateurs qui ne souhaitent pas (encore) quitter Windows pour GNU/Linux.

Le fichier PDF de cette page de synthèse peut-être visualisé ou téléchargé depuis le lien ci-dessous :
quickrefcard.2017.07.protection-anti-malware.pdf

Pourquoi je partage ma synthèse

Actuellement, le grand public des pays riches se désintéresse – à tord – du fait qu'il est espionné, mais la perspective de perdre ses propres données personnelles à cause d'un ransomware est un sujet de préoccupation (rappel : sauvegarder ses données est la base quand on utilise un ordinateur).

En très forte croissance depuis 2015, les ransomwares touchaient surtout les entreprises et les collectivités. Il arrive désormais que des particuliers perdent toutes leurs données parce qu'ils ont eu l'idée malheureuse d'adhérer à une association.

Depuis que les pirates des Shadow Brokers ont dérobés non seulement les documents décrivant les failles de sécurités, mais surtout les outils de piratage mis au point par les services secrets états-uniens, nous assistons à une vague de sophistication des malwares, qui devient préoccupante pour tous les utilisateurs de Microsoft Windows, quand bien même le système d'exploitation est maintenu à jour. En effet, Microsoft ne peut corriger que les failles dont il a connaissance : début 2017, la NSA lui a communiqué certaines failles qui selon elle, risquaient d'être exploitées de manière imminente. Pris de court et pour la première fois dans l'histoire de Windows, Microsoft a renoncé à la publication mensuelle des mises à jour de février afin de mieux intégrer les nouveaux correctifs en mars9). La première attaque massive par les outils dérobés de la NSA arriva dés le 12 mai sous la forme du malware WannaCry.

Sans entrer dans les détails techniques, en plus d'intégrer les sous-programmes d'attaque et de diffusion furtives de la NSA, Wanacry est le premier virus à intégrer les fonctions de ransomware.
Wanacry inaugure donc une nouvelle tendance (1) et en confirme une autre (2) :

  1. Les ransomwares – outils brutaux d'extorsion de fond – qui étaient jusqu'à présent envoyés sous forme de Spam, peuvent désormais se propager de manière autonome en tant que virus
  2. Les programmes malveillants extrêmement furtifs qui nécessitaient jusqu'à présent des moyens colossaux en développement que seuls les états riches pouvaient s'offrir, sont aujourd'hui à la porté de n'importe quel programmeur motivé. Depuis quelques mois, les fuites se multiplient sur des serveurs informatiques pourtant réputés ultra-sécurisés10). Le piratage de l'agence de renseignement la plus puissante de la planète est du même ordre qu'un vol de souches virales dans un centre de référence de l'institut Pasteur.

Étant donné que GNU/Linux existe et qu'il est gratuit, faire dépendre l'informatique mondiale de Microsoft Windows et des comportements peu sécuritaires de son interface utilisateur est une absurdité qui confine à la folie. Mais si les lobbies tiennent les sociétés privées et l'état français11) en dépit des recommandations des experts en sécurité, les particuliers eux, peuvent faire d'autres choix.

Étant donné, la croissance anarchique des menaces informatiques, le grand public qui n'est pas (encore) prêt à migrer sous GNU/Linux devra probablement réfléchir ces prochains mois à investir dans des logiciels de sécurité efficaces. C'est ce à quoi ma synthèse peut aider.

Pour voir en direct la carte mondiale des attaques informatiques comme le montre la photo ci-dessus, il suffit de visiter la page https://intel.malwaretech.com/pewpew.html puis de cliquer sur le bouton "Connect".

22/04/2017 : Marche pour les sciences

Affiche de la marche pour la science 2017 (Crédit: marchepourlessciences.fr) En dépit du développement considérable des moyens de communication numérique, l'ignorance scientifique dans les pays riches n'a jamais été aussi prononcée, et les discours obscurantistes n'ont jamais été autant banalisés et propagés dans les mass médias, au point que le sociologue Gérald Bronner a qualifié nos sociétés modernes de "démocraties des crédules"12).

En 2016, un milliardaire illettré13) a été élu à la présidence des États-Unis d'Amériques et a propagé l'idée que des opinions communes minoritaires dans les médias, opinions qu'il appelle "faits alternatifs" dans le sens de "contre-faits", seraient plus véridiques que les faits officiels constatés par des personnes qualifiées. Cette pensée irrationnelle qui adapte la vision de la réalité à ses propres intérêts personnels, rejoint la doctrine climato-sceptique avancée par lui, ainsi que le mouvement créationniste très puissant aux USA, et en plein développement sur le continent Européen.

Devant la monté des préjugés obscurantistes et de la défiance vis-à-vis des sciences, les scientifiques états-uniens, rapidement relayés par les scientifiques de nombreux pays, ont décidé d'organiser une manifestation internationale le 22 avril sous le nom de Marche pour les sciences afin de promouvoir la culture scientifique, de revaloriser les investissements publics, et de réaffirmer l'indépendance de la méthode scientifique vis-à-vis du politique au même titre que la justice et que les journalistes.

La France n'est pas épargnée par l'obscurantisme et la défiance vis à vis des sciences. Rappelons par exemple le fait que la France est le pays du monde où le principe de la vaccination est le plus contesté. Cela est grave car ce comportement individualiste réduit la couverture vaccinale, c'est à dire que cette attitude met dangereusement en péril la santé publique. De surcroît depuis des années, les politiques publiques désinvestissent la formation scientifique et la recherche fondamentale au profit de la recherche appliquée, au point qu'un nombre croissant de jeune chercheurs français en post-doctorat abandonnent leur métier. Pour couronner le tout, un certain nombre de responsables politiques français acoquinés avec des lobbies industriels manifestent un intérêt scientifique sélectif voire inexistant pour la science, pour l'intérêt public et pour celui des générations futures, comme le révèle les positionnements opportunistes vis-à-vis de l'exploitation des gaz de schiste14).

Cette marche du samedi 22 avril 2017 sera organisée dans de nombreuses villes de France.

Liens :

  • Site web officiel de la Marche des sciences : marchepourlessciences.fr
  • Le 22 avril marchons pour les sciences (Tribune des scientifiques français publiée dans Le Monde le 15/02/2017)
  • La Méthode scientifique du 17/04/2017 sur France Culture : Trump et les sciences : comment s’organise la lutte ?
    C’est une semaine spéciale, pour la science et pour la Méthode Scientifique. Samedi aura lieu dans 54 pays à travers le monde La Marche pour les Sciences, une marche initiée par les scientifiques américains suite aux menaces que fait peser l’administration TRUMP sur l’ensemble des disciplines de recherche et d’éducation scientifique. Mais une menace qui ne se limite pas au territoire américain. C’est pourquoi tout au long de la semaine, nous allons réfléchir à la place de sciences dans nos sociétés en 2017 et aux raisons qui ont abouti à ce qu’on pourrait qualifier de fracture. Avec aujourd’hui pour commencer les racines de ce mouvement, le rapport entre le nouveau président américain et les sciences.

Vidéo Marche pour les sciences : interview de Bassem Hassan, chef d'équipe à l'ICM
Date : 11/04/2017 – Durée : 2'43" – Réalisation : ICM (Institut du Cerveau et de la Moelle épinière) Marche pour les sciences : interview de Bassem Hassan, chef d'équipe à l'ICM

Vidéo Alice au pays des étoiles : De Trump à la marche pour les sciences
Date : 01/04/2017 – Durée : 6'35" – Réalisation : Alice au pays des étoiles Alice au pays des étoiles : De Trump à la marche pour les sciences

03/11/2016 : Éducation numérique : Non au harcèlement - Liker, c'est déjà harceler

Non au harcèlement - Liker, c'est déjà harcelerLa vie sociale des écoliers dans un monde envahi par le numérique n'est pas aussi simple que bien des adultes le supposent.

L'importance démesurée des "réseaux sociaux" dans la vie ordinaire offre aux mineurs une expression communautaire à l'écart de toute régulation par les adultes. Cette liberté d'expression est néanmoins scrutée de très près par les entreprises fournissant ces "réseaux sociaux", à grand renfort d'algorithmes d'intelligence artificielle capables de prédire de plus en plus finement les comportements pour mieux revendre les données personnelles de ces futurs adultes en devenir.

Ainsi, en plus de favoriser un hyper-conformisme – signe patent d'un déficit de démocratie –, une certaine utilisation du numérique promue par le marketing à la mode démultiplie les modalités et l'ampleur du harcèlement à l'école. Le harcèlement sur les "réseaux sociaux" est un révélateur de l'hypocrisie des sociétés qui développent ces plateformes de bavardage, avec la complaisance des états qui ne trouvent rien à y redire, bien qu'ils sachent exercer quelques pressions quand il s'agit de terrorisme ou de racisme.

Le résultat de ces pratiques numériques en matière de santé publique devient préoccupant puisqu'en France, 6% des collégiens sont actuellement victimes du harcèlement numérique15). C'est pourquoi le ministère de l’Éducation nationale est obligé depuis quelques années d'organiser des campagnes de sensibilisation contre le harcèlement.

Depuis novembre 2015, ces campagnes de sensibilisation sont plus ciblées sur les moyens numériques et les tranches d'âges concernées grâce au partenariat passé avec l'équipe de youtubers Rose Carpet du Groupe M6 Télévision. Ainsi, la campagne 2016-2017 stimule la conscience des enfants et des adolescents en faisant valoir le fait que cliquer sur le bouton "j'aime" (= "liker") d'un message collectif de dénigrement dans un "réseau social" revient à augmenter la stigmatisation de la personne visée qui devient victime de ce clic individuel malveillant.

Clip officiel de la campagne 2016-2017 :
Date : 26/10/2016 – Durée : 30" – Réalisation : Rose Carpet
Non au harcèlement - Liker, c'est déjà harceler (campagne audiovisuelle)

Clip de la campagne 2015-2016 :
On (nous) lit nos méchants commentaires – Rose Carpet contre le Cyber-harcèlement
Date : 05/11/2015 – Durée : 5'29" – Réalisation : Rose Carpet
On (nous) lit nos méchants commentaires – Rose Carpet contre le Cyber-harcèlement (campagne audiovisuelle 2015-2016)

Conseils pratiques :

Liens relatifs à la campagne contre le harcèlement

02/08/2016 : Fuite de données massive : comptes yahoo exposés

Suite à une fuite massive de données sur des serveurs, il est conseillé de changer son mot de passe d'accès au compte Yahoo même si cela a déjà été fait récemment.

Explications dans l'article suivant :

Conseils :

  • Comme pour les autres comptes accessibles depuis internet, il est fortement conseillé de choisir un mot de passe de 40 caractères, ne contenant aucun mot de dictionnaire, aucun caractère répétitif, et combinant lettres en majuscules, lettres en minuscules, chiffres et caractères spéciaux sans espace.
    Exemple : /oVrD)sX'$hKcM7Kui_C8v7LhV?`.L?JtM-Wi:{G
  • Je conseille l'utilisation du gestionnaire de mot de passe KeePass (logiciel libre). Pour en savoir plus, voir la page "Mots de passe".
  • Il existe des fournisseurs d'email plus éthiques que Yahoo. Par exemple l'association "La Mère Zaclys". Pour en savoir plus, voir la page Reprendre le contrôle de ses emails

Accès à la gestion de compte Yahoo :

Accès aux pages d'aide Yahoo relatives aux connexions clients-serveurs (pour utilisateurs de niveau familier à expérimenté) :

Comme alternative, il existe heureusement des services plus éthiques que ceux des grands fournisseurs d'email. Pour en savoir plus, voir la page Reprendre le contrôle de ses emails.

Pour aller plus loin sur le sujet :

15/05/2016 Science - André Brahic : décès d'un vulgarisateur de talent

André Brahic vient de décéder. Il était astrophysicien au CEA, professeur à l'université de Paris VII et directeur du laboratoire Gamma-gravitation rattaché à l'UFR de physique. Il a beaucoup contribué aux avancées récentes de l'astrophysique et était reconnu au niveau international.

Passionné par son métier, André Brahic était un formidable pédagogue : déplorant le très faible niveau de la culture générale scientifique française, il avait à coeur de participer à la transmission du savoir et était passé maître dans l'art de la vulgarisation scientifique. Avec son franc-parler volubile, son humour, sa personnalité résolument optimiste et attachante, il savait raconter n'importe quel sujet d'astrophysique en un récit narratif jubilatoire et haletant.

Je recommande vivement l'écoute des 6 exposés de la série "Dernières nouvelles de l'univers" qu'André Brahic a réalisé pour France Culture durant l'été 2013.

Conférence d'André Brahic du 17/03/2016 : Sommes nous seuls dans l'Univers ?

Voici la conférence "Sommes nous seuls dans l'Univers ?" qu'André Brahic à donné quelques jours avant sa mort à l'Université Libre de Bruxelles, le 17/03/2016 :

Nous sommes en train de vivre une période exceptionnelle dans l'histoire de l'humanité. Cela a des répercussions culturelles majeures qui nous rappellent que la science est le meilleur moyen de lutter contre la violence, l'obscurantisme et le chômage. Son développement devrait être la grande priorité de l'Europe. Sans cela, le progrès et la connaissance seraient condamnés. Par robots interposés, les hommes sont en train de sortir de leur berceau, la Terre. L'exploration des planètes de notre système solaire et la capture des rayonnements invisibles à nos yeux nous ont révélé des astres et un Univers bien différents de ce qu'avaient imaginé nos ancêtres. Parmi les grandes questions millénaires, celles de nos origines et de la recherche d'une vie extraterrestre sont en train de connaître d'impressionnantes avancées avec la découverte d'endroits favorables à la vie des confins du système solaire aux exoplanètes.

Sommes-nous seuls dans l'Univers ? (André Brahic le 17/03/2016 à l'Université Libre de Bruxelles)

Liens sur André Brahic

18/04/2016 Richard Stallman à Angers

EDIT du 21/06/2016 : Accès à la conférence en ligne et à son plan (voir ci-dessous)

Conférence de Richard Stallman : les logiciels libres et vos libertés (en français)
Date : Lundi 18 avril 2016 de 15h30 à 17h30 – Affiche de la conférence au format PDF
Lieu : Faculté de Lettres de l'Université d'Angers (amphi A diffusé en direct dans l'amphi H), 11 Bd Lavoisier 49000 Angers

Cette conférence tout public, à l'origine organisée à destination des élèves du cycle préparatoire de l'ISTIA, des étudiants en Génie Électrique et Informatique Industrielle de l'IUT et des étudiants en informatique de la Faculté des Sciences de l'Université d'Angers, est ouverte à tous les utilisateurs d'ordinateurs qui s'intéressent aux questions éthiques et politiques que soulève l'informatique…

Richard Stallman, fondateur de la Free Software Foundation, expliquera en quoi l’utilisation de logiciels non-libres menace notre liberté numérique. Il présentera les missions et la philosophie du mouvement du logiciel libre.

Richard StallmanPeut-être croyez-vous que l'histoire de l'informatique, c'est surtout Apple et Microsoft… Si vous ne connaissez pas Richard Stallman, sachez que sans être devenu milliardaire, il a probablement plus contribué à l'histoire de l'informatique que Bill Gates et Steve Jobs réunis16).

Ingénieur informatique au Massachusetts Institute of Technology (MIT), Richard Stallman est en effet à l'origine du système d'exploitation GNU (par copie du système d'exploitation privateur Unix), de la Licence Publique Générale GNU GPL, et des logiciels libres. Avec d'autres hackers (non, un hacker n'est ni un pirate ni un cybercriminel), Richard Stallman est le co-créateur de tous les systèmes d'exploitation GNU/Linux existants ou dérivés. Parmi les systèmes d'exploitation dérivés, certains sont connus comme Google Android, Apple Mac OS, les systèmes d'exploitation de nombreuses box Internet, etc.

Si vous pensez que les logiciels privateurs (logiciels sous copyright également appelés "logiciels propriétaires") comme ceux de Apple ou Microsoft respectent votre vie privée parce que vous les avez achetés et avez coché leur contrat de licence, alors vous vous trompez lourdement.

Avec son association la Free Software Foundation dont la devise est "logiciel libre, société libre", Richard Stallman a définit à partir de 1986 la notion juridique de logiciel libre, selon des règles simples qui offrent un cadre éthique minimal pour les utilisateurs de ces programmes.

À la différence des logiciels privateurs, le code source d'un logiciel libre est non seulement ouvert – c'est à dire public (logiciel "Open source") –, mais de surcroît, il est soumis à la gauche d'auteur (ou Copyleft) selon les 4 conditions nécessaires et suffisantes du logiciel libre définies par la Free Software Foundation :

  1. Liberté 0 : Liberté d'exécuter le programme, pour tous les usages
  2. Liberté 1 : Liberté d'étudier le fonctionnement du programme, et de l'adapter à ses besoins
  3. Liberté 2 : Liberté de redistribuer des copies, donc d'aider son voisin
  4. Liberté 3 : Liberté d'améliorer le programme et de publier des améliorations, pour en faire profiter toute la communauté

Contenu et plan de la conférence "Les logiciels libres et vos libertés" du 18/04/2016

Voir la conférence en ligne (lien direct vers le fichier video.ogg (757,9 Mo))

Voici un plan de cette conférence "Les logiciels libres et vos libertés" donnée en français le 18/04/2016 à Angers par Richard Stallman :

  1. Logiciels privateurs, logiciels libres, éthique et principes du logiciel libre, portes dérobées (backdoors), malveillance intrinsèque des programmes privateurs, licences libres faibles et licences libres fortes
  2. GNU (1984), Linux (libéré en 1992). Les licences libres et la licence GNU GPL. Les systèmes d'exploitation GNU/Linux
  3. Service As A Software substitute (Software As A Service, SaaS), les service en ligne privateurs et les programmes web contenant du code JavaScript privateur
  4. Pédagogie :
    1. Les écoles ont le devoir d'utiliser et de promouvoir les logiciels libres
    2. Les tentatives de faire oublier les logiciels libres par la promotion du mouvement "Open source" (créé en 1998)
    3. La liberté est plus importante que l'innovation
    4. Dans tous les domaines, enseigner l'ingénierie inverse est nécessaire pour le progrès d'une société libre car cela libère les esprits
    5. Un programme privateur est l'ennemi de l'esprit éducatif
  5. Politique publique et citoyenneté :
    1. Il est impossible de promouvoir les droits de l'Homme en faisant impasse sur un seul des droits humains
    2. L'utilisation des logiciels libres est un nouveau droit humain aux cotés des libertés d'expression, d'association, de la presse, de manifestation, et de vie privée
    3. La liberté nécessite de faire de petits sacrifices, notamment en consentant à utiliser un programme moins performant qu'un programme privateur. Par exemple : refuser d'utiliser Skype, Uber ou un autre système d'espionnage
    4. Tout système informatique qui accumule des données personnelles rend ces données disponibles à leur exploitation abusive inexorable
    5. Les écoles doivent accumuler le moins possible de données personnelles
    6. Les limites de la démocratie sont mises en évidence par les lanceurs d'alerte
    7. La surveillance généralisée assassine la vie privée et par l'auto-censure, diminue la dissidence en augmentant le conformisme
  6. Comment aider le mouvement des logiciels libres
    1. Les programmeurs peuvent participer à l'amélioration des logiciels libres. Ceux qui sont expérimentés dans ce domaine peuvent créer de nouveaux projets collectifs de logiciels libres
    2. Rejoindre des associations de promotion des logiciels libres (en tant qu'administrateurs, conférenciers(manque), etc.)
    3. Convaincre des entreprises, des écoles et des collectivités locales d'utiliser les logiciels libres et d'utiliser des services en ligne qui ne violent pas la vie privée des individus
    4. Les utilisateurs "experts" peuvent aider autrui à utiliser GNU/Linux (GUL, etc.)
    5. Adhérer à la Free Software Foundation ou faire un don
  7. "Mon autre identité" : sketch d'auto-parodie en tant que gourou créateur du logiciel libre Emacs

Pages web en rapport avec Richard Stallman

14/04/2016 Obsolète, QuickTime pour Windows doit être désinstallé

Dans un bulletin du 14/04/2016, le centre de cyberdéfense américain invite fortement les utilisateurs Windows à désinstaller le logiciel QuickTime pour Windows qui n'est plus supporté par Apple. En effet, la plateforme Zero Day Initiative (en) de l'entreprise de cybersécurité Trend Micro a révélé deux vulnérabilités critiques de la dernière et ultime version du logiciel QuickTime pour Windows.

Le logiciel de lecture multimedia QuickTime faisait partie du pack d'installation officiel de iTunes pour Windows. Si ce dernier logiciel est installé sur votre PC, il est fort probable que QuickTime le soit également. Dans la plupart des cas, QuickTime pour Windows n'est pas le logiciel multimedia par défaut et c'est Windows Media Player ou encore mieux, le logiciel libre VLC media player, qui est démarré lors d'un clic sur un fichier multimedia.

Sources :

Un exemple supplémentaire de la désinvolture Apple

En ne communiquant pas clairement et franchement sur l'obsolescence de son logiciel QuickTime pour Windows, la société Apple ne déroge pas à son laxisme habituel en matière de sécurité17).

En 2012 déjà, la multinationale avait été vivement critiquée à cause d'un retard de publication des mises à jour du logiciel Java de la société Oracle (jusqu'à 3 mois pour la vulnérabilité CVE-2012-0507) qui ont exposé les utilisateurs Mac à toute une génération de logiciels malveillants dont le plus célèbre, le cheval de Troie FlashBack, a infecté plus de 550 000 ordinateurs Macintosh dont 56% aux États-Unis et 0,6% en France. Dans le même temps, les utilisateurs Windows et GNU/Linux étaient protégés de ces vulnérabilités par les mises à jour Java.

Au 16/04/2016, la page de téléchargement de QuickTime propose toujours, pour un navigateur sous Windows Vista ou Seven, le téléchargement de la version 7.7.9 publiée le 13/01/2016, sans aucun avertissement d'obsolescence du logiciel.

La page "Mises à jour de sécurité Apple" indique que la version 7.7.9 de QuickTime pour Windows 7 et Windows Vista en date du 7 janvier 2016 est la mise à jour de sécurité la plus récente et justifie sa tradition de rétention d'information par le message lapidaire suivant :

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles.

Pourtant, la page "Désinstallation de QuickTime 7 pour Windows" en date du 12 mars 2016 indique clairement mais sans dire que le logiciel est périmé :

La plupart des programmes de lecture de fichiers multimédias pour Windows, notamment iTunes 10.5 ou version ultérieure, n’utilisent plus QuickTime pour lire des fichiers multimédias aux formats modernes. Ces programmes lisent directement le fichier multimédia ou le lisent en utilisant la prise en charge multimédia intégrée à Windows.
[…]
Désinstallez QuickTime 7 depuis le panneau de configuration, comme vous le feriez pour d’autres programmes de votre PC. Lorsque vous suivez les instructions de Microsoft relatives à la désinstallation de programme, sélectionnez QuickTime 7 comme programme à désinstaller.

Vous pouvez également utiliser Windows Search pour trouver « Désinstaller QuickTime » et démarrer le processus de désinstallation de cette manière.

La société Apple ne possède pas de blog officiel, et sa page "Communiqués de presse" au 16/04/2016 ne mentionne pas QuickTime pour Windows. Est-ce à dire qu'Apple considère que les utilisateurs de QuickTime sous Windows vont naturellement visiter sa page "Désinstallation de QuickTime 7 pour Windows" et l'interpréter comme une recommandation de sécurité ? Ce laxisme conduisant à exposer ses clients Windows aux cybercriminels, n'est peut-être pas dénué d'arrière-pensées commerciales aux dépends des clients de Microsoft Windows…

06/04/2016 Vulnérabilité Firefox non corrigée, la vigilance s'impose

L'architecture système des extensions Firefox présente actuellement une vulnérabilité qui permettrait à une extension malveillante programmée dans ce sens, de dissimuler son activité en utilisant les fonctions des extensions légitimes déjà installées.

Ce problème sera résolu par un nouveau support des extensions Firefox actuellement en développement (WebExtension), et qui permettra d'isoler en mémoire les extensions les unes des autres18). En attendant la publication de cette fonctionnalité dans Firefox 57 le 14 novembre 2017, il convient d'être d'autant plus prudent avant d'installer une nouvelle extension, que la preuve de concept d'attaque a été rendue publique pour cette vulnérabilité.

Les utilisateurs compétents qui voudraient anticiper tout risque d'intrusion par le web peuvent toujours envisager le recours à une sandbox. Sous Windows, les utilisateurs expérimentés peuvent installer Sandboxie (en) (version gratuite disponible pour un démarrage manuel, site officiel, tutoriel). Sous GNU/Linux, les utilisateurs qui ont les compétences d'un administrateur système peuvent par exemple installer AppArmor.

Quant-à se rabattre sur l'utilisation de Google Chrome, cela reste une très mauvaise idée19).

Sources :

1)
CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, CVE-2017-13088
2)
New FinFisher surveillance campaigns: Internet providers involved? (archive.org).
3)
lenetexpert.fr > Comment se connecter de manière sécurisée à un wifi public ? (26/09/2017).
4)
blog.talosintelligence.com > CCleaner Command and Control Causes Concern
5)
assite.com > Guerre des nettoyeurs et défragmenteurs du registre Windows
6)
assiste.com > CCleaner
7)
Scan complémentaire antivirus : dans l'idéal depuis un Live Boot CD "Kaspersky Rescue Disk" ou "Bitdefender Rescue Disk" (utilisateurs expérimentés) ou à défaut, en téléchargeant et démarrant à tour de rôle les programmes scanners antivirus "Kaspersky Virus Removal Tool (KVRT)" et "Sophos Virus Removal Tool (SVRT)".
8)
Télécharger CCleaner portable depuis le site officiel : piriform.com/ccleaner/builds
9)
Article "Craignant la fuite de ses exploits par les Shadow Brokers, la NSA a indiqué à Microsoft une faille critique que l'éditeur s'est empressé de corriger". Stéphane le calme sur developpez.com le 18/05/2017, d'après un article de Ellen Nakashima et Craig Timberg sur le Washington Post
10)
Voir la page Collecte de données et déclin de la vie privée > Fuites de données de serveurs informatiques (data leaks).
11)
Cette enquête en 2016 du magazine TV Cash Investigation "Marchés publics, le grand dérapage" montre clairement que les contrats entre Microsoft et l'armée française pour Windows 7 reposent sur du lobbying. Dans le reportage, le hacker réseau lieutenant-colonel Éric Filiol préfère parler de l'incompétence du général d'armée spécialisé dans l'informatique plutôt que d'influence. Précisons que la gendarmerie nationale française quant-à elle a fait un autre choix puisqu'elle tourne sous GNU/Linux GendBuntu.
12)
13)
14)
Rappelons au passage qu'en plus de polluer les nappes phréatiques, la fracturation hydraulique diminue irrémédiablement l'élasticité de la roche et conduit mécaniquement à augmenter la conductivité et donc l'impact des ondes sismiques sur de très longues distances, et qu'en France métropolitaine il se produit souvent plusieurs séismes par jour.
15)
Source : gouvernement.fr > 5 choses que vous devez savoir sur le harcèlement à l’école
16)
L'homme d'affaire Steve Jobs serait totalement inconnu si son copain hacker Steve Wozniak n'avait pas créé le premier ordinateur Apple.
17)
Articles sur le laxisme sécuritaire d'Apple :
18)
developer.mozilla.org > Les APIs JavaScript
19)
Article Attention : de nombreuses extensions pour Google Chrome peuvent vous épier, Gilbert Kallenborn, 23/11/2015, 01net.com.
evenements.txt · Dernière modification: 05/01/2019 00:46 (modification externe)

Outils de la page

Sauf mention contraire, le contenu de ce wiki est placé sous les termes de la licence suivante : CC Attribution 4.0 International
CC Attribution 4.0 International Donate Powered by PHP Valid HTML5 Valid CSS Driven by DokuWiki
Aide Ordi 49 - 2019