FUTUR TECHNOLOGIE

Le laboratoire de recherche en sécurité FireEye a détecté une nouvelle faille de sécurité pour Internet Explorer. Classée critique et zero-day (déjà exploitée), cette vulnérabilité permet la prise de contrôle à distance d’une machine et touche toute les versions d’IE depuis la 6. La faille sera prochainement corrigée, mais les versions XP ne seront cependant pas supportées. Immatriculée CVE-2014-1776 par l’éditeur, la faille réside dans une erreur de gestion de certains objets en mémoire (liée selon toute vraisemblance au fichier vgx.dll, chargé de définir un format compatible pour les objets vectoriels), permettant l’exécution de code à distance. Elle est déclenchée par l’ouverture d’une page web piégée. De type Zero-day, elle a d’ores et déjà été exploitée. FireEye mentionne une campagne d’attaques nommée « Clandestine Fox », sans en préciser les détails.  Les hackers ont utilisé une technique d'exploitation de Flash bien connue. Le site compromis charge un fichier Flas...

La faille informatique baptisée Heartbleed est maintenant réparée. Mais les entreprises ont beaucoup à apprendre de ce malheureux épisode. La confidentialité des données de leurs clients a été mise en danger. L’hémorragie est arrêtée. Entre mars 2012 et le 7 avril 2014, la faille informatique Heartbleed (« coeur qui saigne », en anglais) a concerné un très grand nombre de sites Internet, des réseaux sociaux en passant par les banques en ligne et les plates-formes de e-commerce. Le comble est que le danger provient justement du système chargé de sécuriser l’accès aux services sensibles comme le paiement en ligne... L’alerte n’intervient que dans les premiers jours d’avril 2014 . Jusqu’ici personne n’avaient constaté de péril. Le risque : des cyber-criminels pouvaient facilement retrouver les informations personnelles d’internautes utilisateurs de ces sites, dans la mémoire des serveurs informatiques. Noms et mots de passe en premier lieu. Quelques jours après la découverte du p...

La cyber-menace est en voie de prendre des dimensions systémiques pour l'économie mondiale. L'inquiétude des acteurs monte, au point que l'on peut craindre une réaction globale contre la numérisation, avec un énorme impact économique. Pourtant, les avancées en matière de cloud computing et de Big data pourraient, selon McKinsey, créer entre 9600 et 21600 milliards de dollars de valeur pour l'économie mondiale. Si la sophistication des attaques submerge les capacités défensives des États et des organisations, on peut redouter des règlementations et des politiques qui ralentiraient l'innovation et la croissance. ParisTech Review – La cyber-menace est-elle différente pour les Etats et pour les entreprises ? Hervé Guillou – Pas vraiment. Dans le cybermonde, les frontières entre administration et industrie ne se déterminent ni par les chaînes actionnariales ni par les organigrammes. Elles sont poreuses, par le truchement des services. Les individus reçoivent d...

Le chiffre est percutant et il est le fruit d'une recherche de l'Université de l'Indiana et de Microsoft. Les chercheurs ont découvert des failles dans la mise à jour d'Android autorisant l'élévation des privilèges. Toutes les versions de l'OS sont touchées. Plusieurs chercheurs de l'Université de l'Indiana, Luyi Xing, Xiaorui Pan, Kan Yuan et Wang Xiaofeng , ainsi que Rui Wang de Microsoft Research ont publié un document sur la découverte de vulnérabilités dans la mise à jour d'Android. En effet, l'OS mobile évolue régulièrement et a besoin de processus automatisés pour gérer la compatibilité des anciennes applications et des données. Ils doivent prendre notamment en considération les droits et autorisations d'une application à utiliser certaines fonctions du terminal. Dans un de ces mécanismes nommé PMS (Packet Management System), les scientifiques ont trouvé des failles spécifiques, baptisées « Pileup flaws », susceptibles d'...

Un groupe de chercheurs du MIT a élaboré une plateforme, baptisée Mylar, pour développer des sites web sécurisés. L'idée est de chiffrer les données dans le navigateur avant de les envoyer au serveur pour éviter le vol et les fuites. L'actualité regorge d'exemples de vols de données sur des sites web par des cybercriminels, mais aussi par des gouvernements comme dans l'affaire Prism. Le point faible est le serveur, selon Raluca Popa, spécialiste du chiffrement au MIT. « On ne peut pas avoir confiance dans le serveur », souligne-t-elle. La chercheuse n'est pas une inconnue, car elle a participé à l'élaboration de la solution de base de données chiffrée CryptoDB, utilisée par SAP et Google. Raluca Popa a monté une équipe pour créer une plateforme, baptisée Mylar, conçue pour développer des sites web sécurisés. Concrètement, l'idée est de chiffrer les données dans le navigateur avant de les envoyer au serveur. De la même façon, le déchiffrement n...

Selon une étude du Ponemon Institute, les entreprises ne font pas grand-chose pour empêcher les attaques par injection de commandes SQL. Dans une étude réalisée par le Ponemon Institute pour le compte de DB Networks, 65 % des entreprises interrogées reconnaissent avoir subi une ou plusieurs attaques par injection de commandes SQL au cours des 12 derniers mois. De plus, en moyenne, l'incident a été découvert au bout de 140 jours, et il a fallu 68 jours pour résoudre le problème. « On sait que les entreprises doivent lutter contre les failles par injection SQL, et près de la moitié de celles qui ont répondu à notre enquête ont déclaré que le risque était très important pour leur entreprise. Mais l'étude examine la question de manière beaucoup plus approfondie », a commenté le Dr Larry Ponemon. Ainsi, quand l'étude pose la question de la prévention des attaques par injections SQL, les mêmes entreprises répondent que les mesures prises pour se protéger sont insuffisa...

Cybercriminalité — Un jeune hacker canadien a été interpellé pour avoir volé la semaine dernière des numéros d’assurance sociale grâce à la faille de sécurité Heartbleed.  A 19 ans, Stephen Arturo Solis-Reyes devient la première personne arrêtée pour avoir dérobé des données grâce à Heartbleed. La faille informatique, dont l’existence n’est connue que depuis une dizaine de jours, est qualifiée par certains experts comme «le pire cauchemar du Net». Une enquête avait été diligentée après la révélation de l’intrusion dans le système informatique de l’Agence du revenu du Canada (ARC). Celui-ci utilise comme de nombreux sites le protocole de sécurité OpenSSL, vulnérable à Heartbleed, et donc au vol de données. Arrêté mardi Le prévenu a été arrêté mardi à son domicile de London (Ontario), a indiqué la Gendarmerie royale du Canada dans un communiqué paru mercredi. Ce jeune Canadien devait être formellement inculpé jeudi à Ottawa de deux chefs d’accusation pour...