cddb.ch/bulletin Cybersécurité et Menaces Internet # février 2012

Dimension: px
Commencer à balayer dès la page:

Download "cddb.ch/bulletin Cybersécurité et Menaces Internet #006 17 février 2012"

Transcription

1 cddb.ch/bulletin Cybersécurité et Menaces Internet # février 2012 Sommaire 1. En bref (et non pas "en vrac!") Twitter, et ces autres applications mobiles qui s'emparent de nos listes de contacts Interception dynamique des flux SSL dans les organisations: le cas Trustwave En bref (et non pas "en vrac!") Iran - On rassure: les systèmes sont protégés contre les attaques informatiques Le responsable de l'unité miliaire en charge de lutter contre le sabotage des infrastructures a rassuré lundi dernier en annonçant que les systèmes d'information des infrastructures sensibles du pays étaient efficacement protégées contre les attaques informatiques qu'elles subissent quotidiennement. L'officier précise également que les attaques observées visent en priorité les centrales nucléaires et les plateformes de commerce en ligne du pays. -- Malaisie - Déni de service sur le site web de la bourse Malaisienne Le site web de la bourse de Malaisie (Bursa Malaysia) a été paralysé mardi dernier suite à une attaque de déni de service distribué. -- [ndlr: L'attaque était dirigée contre la vitrine web de l'institution, totalement différenciée des systèmes destinés au traitement des transactions. L'activité boursière n'a pas été freinée. On repense à l'attaque de déni de service qui avait visé la plateforme en ligne Postfinance en décembre 2010, qui avait empêché tout accès légitime aux utilisateurs de la plateforme. Dès lors, deux réflexions possibles: premièrement, l'attaque sur Bursa Malaysia est-elle une démonstration des moyens pouvant être mis en œuvre contre la plateforme transactionnelle? Deuxièmement, le manque apparent de stratégie dans le choix de la cible pourrait-il laisser supposer que les attaquants ne comprennent pas encore avec précision sur quels objectifs diriger leurs attaques, et par extension, vont-elles évoluer vers des cibles plus exposées?] Genève: vandalisme organisé sur les distributeurs de tickets des transports publics Le cas ne s'apparente pas directement à une attaque informatique et pourtant l'analogie avec le fonctionnement d'une attaque par déni de service et ses conséquences est on ne peut plus appropriée: plus de 20% des automates à tickets des transports publics genevois, majoritairement ceux placés sur les lignes de trams, ont été vandalisés durant la nuit de dimanche à lundi dernier. Le coût de l'opération et sa structure organisationnelle sont encore inconnus (ou pas révélés). Toutefois, l'on sait déjà qu'ils ont déclenché pour 5'000 francs de frais de fournitures, 70 heures d'intervention et que le dommage peut déjà être chiffré à environ 40'000 francs suisses de manque à gagner, par jour, jusqu'au rétablissement des appareils Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 1 / 12

2 Faillite de Nortel: probablement due à dix années de vols de données Un ancien conseiller à la sécurité pour Nortel Networks, fournisseur de services et produits de télécommunications, a confirmé lors d'un récent entretien sur la chaîne télévisée CBC sa conviction du rôle clé qu'aurait joué le piratage de ses systèmes informatiques dans la faillite de l'entreprise centenaire. L'intrusion est aujourd'hui imputée à des pirates chinois et aurait débuté en l'an Pendant près de dix ans, les pirates auraient eu accès aux éléments confidentiels et stratégiques de l'entreprise grâce à divers comptes de la Direction, maintenus sous contrôle. Les dirigeants auraient été alertés d'un possible piratage des systèmes en 2004, mais n'y auraient pas donné suite. -- Google est désormais le plus important fournisseur de services DNS au monde 70 milliards, c'est le nombre d'interrogations que reçoit chaque jour le service DNS (service responsable de fournir aux machines l'adresse IP correspondant à une URL) que Google a mis à disposition du public en décembre Nombreuses sont ceux qui ont entré la séquence " " dans leurs configurations réseau, ne réalisant pas forcément qu'ils offrent aujourd'hui à la célèbre agence de publicité contextuelle plus de 810'000 intentions de navigation sur Internet, chaque seconde. Lorsque l'on sait que l'adresse IP d'un accès internet domestique ADSL ne change plus qu'à de rares occasions, quelles informations Google peut-il ainsi construire et monétiser sur le long terme? -- Facebook: photos d'adolescentes détournées et publiées sur des sites pour adultes Les photos et données des profils Facebook d'une quinzaine d'adolescentes ont été volées puis publiées dans un site à caractère pornographique. Pendant plus d'un mois, le site a affiché des profils reconstruits des jeunes étudiantes, informations personnelles et photos retouchées à l'appui. La police dénonce des réglages de confidentialité peu robustes dans les profils visés par l'opération. Le rôle des parents n'est pas abordé dans le reportage /2012/02/15/gIQAd8wBGR_video.html La NSA met en œuvre une approche bon marché pour se prémunir contre les malware Les efforts de la National Security Agency pour la mise en place d'un dispositif bon marché lui permettant de se prémunir contre les programmes malveillants ont été relayés par la presse américaine vendredi dernier. Le dispositif repose essentiellement sur l'utilisation des stratégies de restriction logicielle (software restriction policy) et, selon l'agence de sécurité nationale, lui permet de contrer des tentatives d'injection de programmes malveillants dans ses systèmes, alors même que les antivirus ne les reconnaissent pas encore. -- [ndlr: le lecteur attentif notera que cette fonctionnalité, qualifiée par la presse d'évolution majeure (breakthrough), est présente dans tous les systèmes d'exploitation Windows depuis l'édition XP, sortie en août Son efficacité redoutable (restriction d'exécution de tout binaire non approuvé au préalable par la politique de sécurité du domaine), on le devinera aisément, est peut-être la raison pour laquelle de nombreuses sociétés éditrices de logiciels de sécurité n'ont pas forcément envie que leur clients s'y intéressent de près...] - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 2 / 12

3 2. Twitter, et ces autres applications mobiles qui s'emparent de nos listes de contacts Lorsque un utilisateur installe l'application Twitter sur son téléphone portable, l'application lui demande s'il désire effectuer une "recherche d'amis". En choisissant cette option, l'utilisateur consent sans s'en rendre compte à ce que l'intégralité des contacts enregistrés dans le téléphone soit déposée sur les serveurs de Twitter, et conservée pour une durée de 18 mois. Un semblant de déjà-vu L'affaire survient en février alors que l'attention se porte sur une autre application mobile tout aussi controversée: Path. La polémique a été déclenchée suite à la publication d'un article de blog[1] le 8 février par un développeur d'applications mobiles basé à Singapour. En explorant les données transmises par l'application, il a constaté que l'intégralité de ses contacts était transmise à l'éditeur de l'application lorsqu'elle lui proposait de "trouver ses amis". Son consentement explicite n'avait pas été fourni au préalable. Les détails transmis à l'éditeur incluent les noms et prénoms, numéros de téléphone et adresses de chaque contact enregistré dans le téléphone de l'utilisateur. Quelques minutes seulement après la publication de l'article, l'information est couverte par les réseaux sociaux et la presse informatique[2], ainsi que par l'éditeur lui-même qui s'empresse de répondre par voie officielle et d'annoncer[3]: - L'admission de la faute: collecte de données peu documentée (finalité) sans consentement explicite de l'utilisateur (licéité) et dans une étendue supérieure aux attentes légitimes (proportionnalité). - Des excuses, précisons-le. - La suppression totale des données de contact enregistrées sur les serveurs de l'éditeur. - Le déploiement immédiat d'une nouvelle version de l'application, demandant explicitement à l'utilisateur d'autoriser l'envoi des données. Twitter? Pas mieux. Constatant la présence d'une option similaire dans Twitter, un journaliste du Los Angeles Times a contacté l'éditeur éponyme afin de savoir comment était conçue la fonctionnalité de recherche d'amis. L'éditeur confirme: la version mobile de Twitter, installée et activement utilisée par plus de 55 millions de personnes[4], récupère elle aussi l'intégralité des contacts de chaque téléphone. Mais attention: les données originales ne sont conservées que pour une durée de 18 mois! L'éditeur confirme qu'il s'agit d'une erreur de formulation dans les conditions générales d'utilisation et dans l'application elle-même, il privilégiera des termes plus explicites dans une future version du produit[5]. En attendant, les utilisateurs mécontents ont l'opportunité de demander un effacement de la base de leurs contacts sur la page dédiée à cet effet[6]. Des utilisateurs pris en otage et des éditeurs se dégageant de toute responsabilité Dans les deux cas mentionnés, les éditeurs ont réagi par un mea culpa sur un blog, suivi de la mise à jour des termes d'utilisation (l'utilisateur accepte ainsi explicitement l'envoi des données de contact) et dans le cas de Twitter, la reformulation du texte des boutons activant la fonctionnalité de recherche. Ce cas de déresponsabilisation est exemplaire d'une vague sur laquelle les éditeurs de logiciels peuvent se permettre de surfer aujourd'hui: des logiciels, souvent utilisés par plusieurs milliers - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 3 / 12

4 ou millions de personnes, sont ancrés dans des habitudes de consommation dont il est devenu difficile pour certains de se priver, parfois, par crainte de voir un positionnement social s'effriter. L'anonymat de l'utilisateur: envolé, parfois à cause de ses contacts, moins prudents... Autre problématique: l'abandon de toute forme de pseudo-anonymat. De nombreux utilisateurs d'applications mobiles n'ont probablement jamais renseigné des données les identifiant explicitement dans leur compte. En récupérant la liste de leurs contacts et leurs numéros de téléphones, les éditeurs de ces applications mobiles disposent généralement de suffisamment de données pour corréler les différentes bases et ainsi identifier l'identité réelle d'une personne qui aurait souhaité conserver son anonymat. Son réseau de connaissances professionnel et social, ainsi qu'une éventuelle estimation du niveau de relation avec chacun des contacts peut ainsi être extrapolée au moyen de simples inférences sur les données collectées. Méconnaissance des enjeux de tous côtés La vraie question n'est pas posée dans le débat: pourquoi cette fonctionnalité est-elle conçue de cette façon? L'envoi des données des contacts est-il nécessaire pour identifier les "amis"? Ou exprimé dans un autre langage: l'ampleur de la collecte de données est-elle proportionnelle à la finalité recherchée par l'éditeur? La question trouve en tous cas réponse à de maintes reprises dans la cryptographie. En 1992 tout particulièrement, lorsque les premières spécifications de fonctions de hachage à valeur cryptographique ont été rendues publiques[7]. Pour le néophyte, l'analogie des fonctions de hachage dans ce contexte correspondrait à la création d'une base de données d'empreintes digitales de personnes condamnées pour un crime, sans que l'on enregistre pour autant leur nom dans le fichier. Dans le cas où un criminel serait à nouveau interpellé pour un autre crime, la base de données des empreintes digitales serait interrogée et retrouverait la condamnation associée à l'empreinte. Cela, même sans que le nom ou la photo de la personne ne soit enregistrée en clair dans la base[oui, il y a matière à réflexion ici...] Le cas est ainsi révélateur d'une incompréhension des mécanismes techniques et technologiques soulevés dans de telles controverses. Les deux éditeurs, dans l'exemple cité, ont fait part de leur bonne volonté en opérant les changements annoncés. Ces changements ont été accueillis par l'opinion publique, au travers des médias, comme un gage de bonne foi. L'état de la connaissance en matière d'ingénierie logicielle propose pourtant de nombreuses solutions pour que les éditeurs ne collectent pas ces données personnelles et privilégient un procédé permettant à la fois de maintenir la couverture fonctionnelle souhaitée tout en respectant des principes de sécurité et de protection des données historiquement exigés par les lois. Mais encore faut-il que ces principes soient connus, compris et, peut-être, contrôlés... 1: 2: 3: 4: shtml 5: ,0, story 6: https://twitter.com/#!/who_to_follow/import 7: - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 4 / 12

5 3. Interception dynamique des flux SSL dans les organisations: le cas Trustwave L entreprise Trustwave spécialisée dans la sécurité de l'information est aussi une autorité de certification pour les organisations souhaitant mettre en œuvre des communications sécurisées via le web. Elle se trouve sous les projecteurs depuis qu elle est accusée d avoir vendu un dispositif d interception transparente des communications via SSL. Suite à cette annonce, la fondation Mozilla (éditeur entre autres du navigateur web Firefox) a considéré une révocation complète de Trustwave en qualité d autorité de certification dans toute sa gamme de produits. Contexte La gamme de services et produits «DLP», pour data-loss prevention, a pour objectif d aider les organisations à se prémunir contre l exfiltration non autorisée de données confidentielles. Trois menaces sont principalement visées par ces produits : l exfiltration opportuniste par des collaborateurs (travail à domicile) ou malveillante (vol ou vente de données), l exfiltration par des programmes malveillants (cas des ordinateurs infectés) et l exfiltration involontaire (erreur de manipulation, distraction, dissémination au sein du réseau). Tout comme les détecteurs d intrusion (IPS/IDS), les dispositifs DLP sont déployés soit sur des hôtes (stations de travail ou serveurs de données), soit sur le réseau en effectuant de l interception de trafic. Le positionnement en réseau est une approche préférable dans un environnement hétérogène, tout comme l'on privilégie l'installation sur hôte pour contrôler l'éventuelle fuite de documents par des clés USB par exemple. La première difficulté à laquelle les solutions DLP sont confrontées est la reconnaissance dudit contenu à caractère confidentiel. Un effort amont doit généralement être consenti afin d'habituer les collaborateurs à caractériser les documents à valeur confidentielle. Des solutions proposent également la reconnaissance systématique basée sur la présence de termes spécifiques dans un document: des extensions type, des codes de projet, des noms d'auteurs, des noms de clients ou partenaires stratégiques, etc. Les différenciateurs principaux d'une solution DLP sont généralement la diversité des scénarios d'infrastructure proposés, le type de flux pouvant être analysé en temps réel ou non, la performance lors d'une montée en charge et la facilité avec laquelle le système peut être administré. La seconde contrainte majeure des solutions DLP repose dans les communications chiffrées. Heureusement (ou malheureusement, dans ce contexte..), de plus en plus de plateformes web permettent l établissement d une communication sécurisée par SSL/TLS à leurs utilisateurs. Lorsque les choses sont bien faites, il devient ainsi impossible pour le dispositif DLP d analyser le contenu des flux sortants dans un délai raisonnable: en d'autres termes, il devient inutile. Les connexions «sécurisées» vers les sites web Pour ne pas contraindre chaque utilisateur à procéder lui-même à la vérification de l'identité d'un serveur web lorsqu'il s'y connecte, l'infrastructure des certificats SSL sur le web repose sur un réseau de tiers de confiance déployé à l échelle mondiale et préinstallé dans la majorité des systèmes d exploitation. Cinq tiers de confiance majeurs (Verisign, Entrust, Comodo, Globalsign, CACert) sous-traitent aujourd'hui la compétence de signataire à un peu plus de 600 entités[1]. Ces tiers de confiance, ou autorités de certification, nourrissent la confiance que chacun peut avoir aujourd'hui lorsqu'il transmet par exemple les données de sa carte de crédit pour effectuer un achat en ligne ou discute tout simplement avec un ami à travers un réseau social. - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 5 / 12

6 Grâce à cette architecture en délégation, les navigateurs peuvent par exemple vérifier que le certificat présenté pour le serveur web a été approuvé par un tiers de confiance, et cela, de manière totalement transparente pour l'utilisateur. L internaute et l entreprise sont assurés que le certificat opérant une connexion réputée "sécurisée" et "valide" selon un navigateur web a été préalablement vérifiée par un tiers de confiance. En d'autres termes: "je ne te connais pas, mais si mes amis te font confiance alors je peux moi aussi te faire confiance!" Les télécommunications privées Le modèle de sécurité des tiers de confiance répond également à un autre besoin, en pleine croissance lui aussi, de l individu: celui de pouvoir interagir avec d'autres individus en toute confidentialité, au moyen de services proposés sur le web. Messagerie instantanée, webmail, réseaux sociaux et professionnels, coffres-forts numériques et recherches sur Internet: tous ces services tendent aujourd hui à identifier formellement un individu dans chacune des requêtes qui leur sont adressées. La confidentialité des échanges est primordiale, tout comme la nonrépudiation d'un contenu s'il se retrouve cité devant un tribunal: l interception du contenu de ne serait-ce que une seule requête par un tiers malveillant peut généralement lui permettre d usurper l identité d un individu par la suite. Quels sont les engagements d'un tiers de confiance? En choisissant de certifier les communications électroniques sur Internet, un tiers de confiance s engage nécessairement à atteindre trois objectifs en tout temps: 1) L'organisation protège son dispositif de certification contre tout accès non autorisé 2) L'organisation vérifie l identité de tout acteur demandant la signature d'un certificat (et s'assure qu'un seul certificat lui est délivré pour une utilisation donnée en un temps donné) 3) L'organisation ne transfère pas son pouvoir de certification à un tiers. Comme nous le verrons ci-après, ces trois objectifs ne sont pas atteints dans tous les cas. La protection du dispositif de certification Les internautes et les entreprises oublient parfois que les tiers de confiance mentionnés plus haut sont contrôlés pour la bonne tenue de leur comptabilité mais pas nécessairement pour la sécurité de leur réseau informatique. Ainsi a-t-on pu par exemple apprendre que les autorités de certification Comodo, Diginotar, et tout récemment Verisign, avaient été compromises en 2010 et Les attaques n'ont malheureusement pas encore pu être imputées au spectre ultrasophistiqué de la «menace APT», certaines sont revendiquées par un pirate isolé[2]. Dans d'autres cas, les systèmes présentaient des défaillances majeures en matière de sécurisation[3]. Obtenir la signature d'un certificat SSL suite à un contrôle d'identité Les autorités de certification proposent divers niveau de reconnaissance d un certificat, allant du simple formulaire envoyé par à la vérification de pièces d identité notariées combinée à l examen des registres de commerce de l entité concernée. Ainsi, une communication «sécurisée SSL» sous-entend déjà aujourd hui différents niveaux de contrôle allant du simple certificat de service signé sans vérification approfondie à la vérification étendue (EV SSL certificate), en passant par les certificats multiservices. - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 6 / 12

7 Le transfert du pouvoir de certification Les protocoles SSL/TLS, combinés au modèle des tiers de confiance ont pour but historique de rendre difficile une interception de données en circulation grâce à la combinaison de trois mesures: les données circulent de façon chiffrée (confidentialité), les données atteignent leur destination dans le même état qu à leur envoi (intégrité) et l'identité d'au moins l une des deux parties est vérifiée par un tiers de confiance (authentification). Considérant cela, le tiers de confiance doit ainsi s assurer qu aucun acteur n aura la possibilité de générer des certificats électroniques en son nom. En d'autres termes: il doit s assurer que sa PKI (infrastructure de clés publiques) ne puisse ni être imitée ni volée. Finalement, il ne doit tout simplement pas la mettre à disposition d'un tiers qui lui-même ne se sera pas engagé à atteindre les trois objectifs mentionnés précédemment. Le cas Trustwave et son outil DLP En plus de fournir des prestations de service et des produits de sécurité informatique, Trustwave fait également office d'autorité de certification (les certificat racines sont visibles dans nos systèmes sous le nom "SecureTrust"). Il a été reproché à Trustwave d avoir vendu un dispositif d interception dynamique des télécommunications chiffrées via SSL. Traduction: ce dispositif peut générer des certificats signés par un tiers de confiance (donc, réputés valables aux yeux d'un navigateur web) à la volée, au fil des échanges initiés par les utilisateurs. Sous une telle configuration, un utilisateur accédant par exemple au site via un lien "https" croira, à tort, qu'un échange confidentiel est en cours, alors que toute la transaction est observée en clair par le dispositif. On le devine: l'outil est présenté commercialement pour la vocation louable d'accompagner les organisations à se prémunir contre les tentatives de vol et les fuites accidentelles de documents. Accessoirement, l'outil offre surtout la possibilité d'ausculter le contenu de toute communication établie entre deux parties quelconques au moyen du protocole SSL, y compris les échanges privés. En plaçant un tel produit sur le marché, l'entreprise Trustwave aurait ainsi contrevenu à son obligation de ne pas transférer le pouvoir de signature à un tiers (dont l'identité n'a d'ailleurs pas été révélée au public au moment de la rédaction). Mesures envisagées Constatant la croissance du nombre de mentions du cas sur Twitter, Trustwave a rapidement pris position le 4 février dernier. L'entreprise précise dans son communiqué qu'en raison des griefs qui lui sont reprochés, elle ne produira plus de dispositifs de ce type à l'avenir[4]. Trois jours plus tard (7 février), l'information est relayée dans le système de gestion des changements de la fondation Mozilla, éditeur entre autres du navigateur web Firefox. La demande de correction préconise le retrait immédiat du certificat racine de Trustwave de tous les produits de la fondation[5]. Le changement ne sera finalement pas effectué, non pas sans débats... Une telle action aurait eu pour effet de déclencher l'affichage d'un écran d'avertissement aux utilisateurs d'un navigateur Firefox à jour lorsqu'ils tentent d'interagir avec un serveur web dont le certificat est signé par Trustwave. La proposition a un but clairement disciplinaire: faire du cas Trustwave un exemple pour les autres autorités de certification qui songeraient à mettre en vente des produits similaires. A défaut d'être appliquée, elle s'est muée en un avertissement particulièrement clair[6] à l'attention des autorités de certification qui auraient dans l'idée éventuelle de se lancer dans ce type d'activité. - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 7 / 12

8 Cela n'aurait pas été la première fois qu'un éditeur majeur profite de sa position centrale pour effectuer une révocation autrement que par le procédé initialement prévu par l'infrastructure (contrôle OCSP). En août dernier, les éditeurs Mozilla, Apple, Microsoft et Google avaient tous les quatre révoqué les certificats de l'autorité de certification Diginotar suite à l'annonce de la compromission de ses systèmes et de sa PKI[7]. Un mois plus tard, Diginotar déposait son bilan et annonçait sa faillite[8] au registre de commerce... Quels enjeux? L'exploitation commerciale des technologies d'analyse dynamique de flux SSL met en exergue de multiples problématiques, tant pour les organisations que les individus et la sécurité sur le web en général: - Que deviennent les certificats générés par ces dispositifs? Qui y a accès? Qui conserve une trace des connexions dont les entités ont été usurpés? - Les contenus analysés ont-ils été enregistrés? Si oui, à quelles contraintes d'accès sont-il soumis? Sont-ils corrélés avec d'autres bases de données? - Quelles sont les implications lorsqu'une organisation soumise à de fortes contraintes réglementaires imposées par la branche sait désormais que les flux établis avec ses clients ou partenaires ne sont plus confidentiels? - Idem pour les contraintes imposées par les lois sur la protection des données personnelles? - L'organisation acquérant un tel dispositif est-elle prête à gérer le dommage collatéral éventuel sur sa réputation ou sa relation avec les autorités? [cas actuel: l'éditeur Apple doit actuellement justifier devant le Sénat américain pourquoi les développeurs d'applications mobiles n'ont pas été contraints d'annoncer aux utilisateurs que leurs listes de contacts étaient transmises à l'éditeur.] - Quelle gouvernance est-elle proposée par les Etats pour éviter des dérives? - etc. L'enjeu majeur: économique, politique et civique La présence de technologies d'analyse dynamique de flux SSL sur le marché créé des tensions entre quatre acteurs mués par des intérêts parfois divergents. En premier lieu, les organisations, gouvernementales ou privées, petites ou grandes, qui souhaitent pouvoir s'offrir le luxe de briser la confidentialité des communications de leurs citoyens, ou collaborateurs, sans qu'ils ne s'en aperçoivent. Ces outils sont une aubaine: ils permettent ainsi aux entreprises d'analyser toute forme de communication établie par leurs collaborateurs, même privée, et de détecter la présence éventuelle de contenus perçus comme des menaces pour l'avenir de l'activité. Les gouvernements sont eux aussi particulièrement demandeurs de cette technologie, en particulier les Etats dans lesquels les libertés d'expression, d'opinion, d'accès à l'information et de la presse sont perçues comme des composantes hostiles à la bonne continuité du gouvernement au pouvoir... N'oublions pas toutefois que l'utilisation de ces technologies reste légitimement envisageable dans d'autres contextes: rechercher des criminels, lutter contre les vols de données d'entreprises, se prémunir des actes de vengeance et des erreurs ou distractions humaines, détecter des complots contre des personnalités, la préparation d'actes terroristes, lutter contre le trafic d'informations stratégiques, démanteler les réseaux d'échange de documents illégaux et - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 8 / 12

9 lutter contre la criminalité organisée sont toutes des activités bénéficiant aujourd'hui de la démocratisation des outils proposant des télécommunications chiffrées. En second lieu, les éditeurs de solutions de sécurité, attirés par des perspectives financières évidentes. La technologie d'interception dynamique de flux SSL est d'une haute simplicité et ne requiert aucune innovation particulière: la simplicité était l'un des objectifs attendus du modèle de chiffrement à clés publiques et les tiers de confiance. La barrière à l'entrée est très contraignante pour tout autre acteur que les tiers de confiance: ces derniers sont reconnus par tous les systèmes informatiques et peuvent ainsi pénétrer ce marché en position avantagée. Finalement, les perspectives financières sont motivantes: les organisations intéressées par ces technologies sont en général prêtes à débourser plusieurs centaines de milliers, voire millions, de francs pour y accéder [voir le bulletin #002 abordant les salons d'exposition où ces solutions d'interception sont présentées à des gouvernements et des grandes organisations]. Deux autres acteurs font pression eux aussi, dans l'autre direction cette fois. Tout d'abord, les éditeurs Microsoft, Google, Mozilla et Apple, dont les produits dominent largement l'accès à des contenus sur Internet. Ces éditeurs sont en position de force sur le poste de travail tant professionnel que personnel, fixe ou mobile, car leurs outils contrôlent la liste exacte des autorités de certification que les navigateurs considèrent comme fiables. Cette configuration leur donne le pouvoir de révoquer à tout moment, à l'échelle mondiale, un certificat signataire qui aurait été déployé dans l'un des boîtiers mentionnés plus haut. [C'est ce que l'on appelle plus communément un kill-switch, et le sujet sera prochainement abordé en détail.] Finalement, nous avons les utilisateurs, qui ont tendance à porter la double casquette de citoyen et de collaborateur. Si la grande majorité des utilisateurs de terminaux informatiques ne s'inquiète aucunement de savoir si ses libertés sont bafouées par leur employeur ou leur pays, une minorité de personnes voit tout cela d'un autre œil. Le contexte menaçant a été accentué par la démocratisation du cyberactivisme et des réseaux sociaux: cette minorité de personnes peut aujourd'hui accéder à des informations confidentielles et aussitôt activer des outils à effet de levier permettant d'alerter l'opinion publique très rapidement et à l'échelle mondiale. Tout cela en étant bien entendu appuyés par des réglementations et lois sur la protection des données personnelles de plus en plus contraignantes pour les organisations. Le cas Trustwave est ainsi exemplaire: l'organisation aurait pu il y a encore peu d'années déployer sa solution dans des organisations sans que quiconque ne réagisse ou ne soit entendu. Aujourd'hui, c'est plutôt la vitesse à laquelle Trustwave a réagi pour confronter les internautes (et ses investisseurs) qui lui a probablement permis d'éviter le bannissement des autorités de certification admises. La configuration actuelle de ces quatre acteurs offre un certain répit aux individus souhaitant conserver un minimum de confidentialité dans leurs communications. Il est évident que les éditeurs des navigateurs web jouent aujourd'hui un rôle central dans la protection des échanges entre fournisseurs, consommateurs, collaborateurs, personnes ou citoyens. Cette dynamique pourrait toutefois vaciller si l'un de ces éditeurs était amené à changer sa position, en réponse à des perspectives financières motivantes ou, plus probablement, sous la contrainte de lois plusieurs sénats et parlements tentent aujourd'hui de ratifier... Faut-il vraiment acquérir ce dispositif pour intercepter les flux SSL? - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 9 / 12

10 Contrairement à ce que l'on pourrait penser: l'interception dynamique de flux SSL ne nécessite pas l'acquisition d'un tel outil[9]. Le cas Trustwave n'a fait que révéler une dérive vers laquelle un tiers de confiance peut être amené à se diriger à des fins commerciales. Il a accessoirement permis de porter l'attention sur un problème identifié depuis longtemps: personne ne les surveille vraiment. Un cas d'école est le dispositif Active Directory que l'on voit déployé dans la majorité des organisations exploitant des postes de travail sur le système Windows. L'adhésion d'un poste de travail à un réseau Active Directory déclenche l'installation du certificat de l'entreprise au sein de la liste des tiers de confiance du poste de travail. Cette démarche préalable est une composante essentielle de la sécurité des réseaux Active Directory pour l'obtention de flux confidentiels et l'authentification des tickets d'accès à des ressources protégées dans une organisation. Par extension, cette machinerie permet à l'entreprise d'intercepter n'importe quel flux web sécurisé grâce à la génération et la signature dynamiques d'un certificat qui ne fera pas apparaître une alerte à l'écran de l'utilisateur. L'incompréhension générale des fondamentaux techniques et technologiques autour des communications chiffrées est probablement la seule raison pour laquelle ce mécanisme n'est encore que très rarement utilisé par les organisations... Une approche bien plus compliquée si l'on ne dispose d'aucun contrôle du poste de travail de l'utilisateur est de forger le certificat présenté à l'utilisateur. Heureusement, c'est réputé impossible dans un délai acceptable, pour autant que l'interlocuteur a correctement configuré SSL sur ses serveurs[10]. L'on pourrait être amené à penser le contraire lorsque des chercheurs du laboratoire de cryptologie algorithmique de l'epfl nous annoncent que quatre certificats SSL sur dix mille n'offrent quasiment aucune sécurité[11] et que la presse appuie droit derrière en affirmant haut et fort que le protocole SSL a été cassé[12][13]. Il reste finalement, et bien entendu, la technique "iranienne", qui consiste tout simplement à empêcher l'établissement de flux SSL à l'échelle nationale. Les utilisateurs se retrouvent dès lors contraints d'utiliser des canaux de communication en clair, remettant ainsi leur panoplie de mots de passes ultra complexes à leur gouvernement...[14] Quelles mesures pour empêcher l'interception? La défense est essentiellement motivée à deux niveaux: l'individu, en premier lieu, qui cherchera à protéger ses communications contre des abus de surveillance par leur employeur ou leur gouvernement. En second lieu, les entreprises, qui chercheront à se prémunir contre des interceptions par des acteurs disposant de moyens bien plus importants, tels que les gouvernements soutenant l'activité économique interne par des actions assimilables à de la guerre d'information ou économique. Du côté de l'individu, le seul moyen potentiellement fiable à ce jour pour se prémunir contre cette catégorie de menaces est de procéder lui-même à la validation des certificats SSL. L'approche quelque peu extrême est de retirer tous les certificats des tiers de confiance et ne conserver que ceux spécifiques aux éditeurs du système et des logiciels de sécurité (pour l'installation de binaires et les mises à jours), ainsi que les certificats de chaque serveur web avec lequel il souhaite interagir confidentiellement. Il est ainsi préférable de récupérer les certificats présentés par les services régulièrement consultés: banque, réseau social, messagerie en ligne, etc. et de les installer manuellement dans le poste de travail. En cas d'un attaque man- - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 10 / 12

11 in-the-middle soutenue par un certificat apparemment valide, le client sera toujours en mesure de déceler une tentative d'usurpation. Du point de vue des entreprises, la contremesure repose essentiellement sur des réseaux de confiance (des entreprises signent mutuellement les certificats des services utilisés en commun), une tendance nouvelle, mais porteuse. Le protocole DNS renforcé, DNSSEC, offre lui la possibilité pour l'organisation d'inscrire les empreintes numériques des certificats de ses serveurs au sein de ses enregistrements DNS[15]. Une option intéressante, mais qui ne déploie ses bénéfices que si les organisations l'adoptent collectivement. Pour conclure Aussi inquiétante que puisse sembler l'affaire Trustwave, le cas traité dans un contexte plus global est plutôt rassurant. En particulier car il révèle la présence de garde-fous à plusieurs échelons du système de confiance dans les télécommunications. En premier lieu, les auditeurs, qui ont alerté la Direction de l'organisation après avoir constaté le problème dans ses systèmes et les enjeux qu'il comportait. Des collaborateurs impliqués, qui ont fini par relayer l'information au public, tout en protégeant, à ce jour, l'identité de leur employeur. La fondation Mozilla, dont l'avertissement aux autorités de certification joue actuellement le rôle de garant de confidentialité pour les individus (plus de 360 millions d'utilisateurs actifs). Finalement, l'entreprise Trustwave qui, si l'on peut en croire la bonne foi dans son communiqué officiel, s'est engagée à invalider le certificat signataire placé dans le dispositif et à se retirer de ce marché. 1: 2: 3: 4: 5: https://bugzilla.mozilla.org/show_bug.cgi?id= : Issuing-MITM-SSL-Certs / 7: 8: 9: 10: 11: 12: 13: tem?taxonomyid=85 14: 15: FIN/# Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 11 / 12

12 Conditions et tarifs: - Inscription : envoyer un avec sujet "inscription texte" ou "inscription PDF" à - Désinscription: envoyer un avec sujet "désinscription" à - Le bulletin est publié sur deux semaines après sa diffusion par - Tarif: gratuit Données sur les abonnements et abonnés: - Mesures de confidentialité: best effort, liste d'abonnés stockée sur conteneur chiffré, envois en copie carbone - Eléments conservés: uniquement adresse et date d'inscription/désinscription - Diffusion: aucune (sauf cas de force majeure ou distraction exceptionnelle) - Suppression: sur demande, par à - Tiers identifiés: fournisseurs d'accès (envoi des bulletins en clair, par courrier électronique) - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 12 / 12

SÉCURISEZ LE TRAITEMENT DES PAIEMENTS AVEC KASPERSKY FRAUD PREVENTION. #EnterpriseSec http://www.kaspersky.com/fr/entreprise-securite-it/

SÉCURISEZ LE TRAITEMENT DES PAIEMENTS AVEC KASPERSKY FRAUD PREVENTION. #EnterpriseSec http://www.kaspersky.com/fr/entreprise-securite-it/ SÉCURISEZ LE TRAITEMENT DES PAIEMENTS AVEC KASPERSKY FRAUD PREVENTION #EnterpriseSec http://www.kaspersky.com/fr/entreprise-securite-it/ Aujourd'hui, les clients des banques peuvent effectuer la plupart

Plus en détail

Kaspersky Fraud Prevention for Endpoints

Kaspersky Fraud Prevention for Endpoints Kaspersky Fraud Prevention for Endpoints www.kaspersky.fr KASPERSKY FRAUD PREVENTION 1. Techniques d attaque du système bancaire en ligne L'appât du gain constitue la principale motivation de la cyber-criminalité.

Plus en détail

Exigences de contrôle pour les fournisseurs externes

Exigences de contrôle pour les fournisseurs externes Exigences de contrôle pour les fournisseurs externes Cybersécurité Pour les fournisseurs à cyber-risque faible Exigences de cybersécurité 1. Protection des actifs et configuration des systèmes Les données

Plus en détail

Le rôle Serveur NPS et Protection d accès réseau

Le rôle Serveur NPS et Protection d accès réseau Le rôle Serveur NPS et Protection d accès réseau 1 Vue d'ensemble du module Installation et configuration d'un serveur NPS Configuration de clients et de serveurs RADIUS Méthodes d'authentification NPS

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI. Dernière version en date du 07/11/2013

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI. Dernière version en date du 07/11/2013 CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI ARTICLE 1 : OBJET Dernière version en date du 07/11/2013 Les présentes conditions particulières, complétant les conditions générales de services

Plus en détail

Microsoft Windows 7 / Vista / XP / 2000 / Home Server. Guide de démarrage rapide

Microsoft Windows 7 / Vista / XP / 2000 / Home Server. Guide de démarrage rapide Microsoft Windows 7 / Vista / XP / 2000 / Home Server Guide de démarrage rapide ESET Smart Security apporte à votre ordinateur une excellente protection contre les codes malveillants. Fondé sur la technologie

Plus en détail

Installation et utilisation d'un certificat

Installation et utilisation d'un certificat 1 IceWarp Merak Mail Server Installation et utilisation d'un certificat Icewarp France octobre 2007 2 Icewarp Merak Mail Serveur : Guide de mises à jour à la version 9 Sommaire Introduction...3 Situation

Plus en détail

PCI (Payment Card Industry) DSS (Data Security Standard )

PCI (Payment Card Industry) DSS (Data Security Standard ) PCI (Payment Card Industry) DSS (Data Security Standard ) Jean-Marc Robert Génie logiciel et des TI PCI-DSS La norme PCI (Payment Card Industry) DSS (Data Security Standard) a été développée dans le but

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE Version en date du 22/04/2014 RCS Chartres 807 381 157 Code APE 6202B Page 1 sur 6 ARTICLE 1 : OBJET DU DOCUMENT Les présentes conditions particulières,

Plus en détail

Comment votre PC peut-il être piraté sur Internet?

Comment votre PC peut-il être piraté sur Internet? Edited By BIANCHI Lorenzo A.C.S2013SERVICES INFORMATIQUE 2014 Comment votre PC peut-il être piraté sur Internet? Comment votre PC peut-il être piraté sur Internet? Toujours le fait de personnes malveillantes,

Plus en détail

SAUTER novapro Open Application pharmaceutique

SAUTER novapro Open Application pharmaceutique SAUTER novapro Open Application pharmaceutique Table des matières 1. FDA Validation 2. Authentification 2.1 Active Directory Support 2.2 Architecture 2.3 Smart Card 2.4 Biométrie 2.5 Authentification à

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE OFFRE CORPORATE

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE OFFRE CORPORATE CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE OFFRE CORPORATE Définitions : Dernière version en date du 21 Avril 2011 Activation du Service : L activation du Service intervient à compter

Plus en détail

Code Signing THAWTE EST UN FOURNISSEUR MONDIAL MAJEUR DE CERTIFICATS DE CODE SIGNING

Code Signing THAWTE EST UN FOURNISSEUR MONDIAL MAJEUR DE CERTIFICATS DE CODE SIGNING Code Signing THAWTE EST UN FOURNISSEUR MONDIAL MAJEUR DE CERTIFICATS DE CODE SIGNING code signing...1 Qu est-ce que le Code Signing?...1 À quoi sert le Code Signing?...1 Ce que le Code Signing ne fait

Plus en détail

Les salariés, dans l'exercice de leurs fonctions, sont conduits à accéder aux moyens de communication mis à leur disposition et à les utiliser.

Les salariés, dans l'exercice de leurs fonctions, sont conduits à accéder aux moyens de communication mis à leur disposition et à les utiliser. Charte informatique Préambule L'entreprise < NOM > met en œuvre un système d'information et de communication nécessaire à son activité, comprenant notamment un réseau informatique et téléphonique. Les

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE Définitions : Dernière version en date du 11 avril 2011 Activation du Service : L activation du Service intervient à compter de la validation

Plus en détail

F-Secure Anti-Virus for Mac 2015

F-Secure Anti-Virus for Mac 2015 F-Secure Anti-Virus for Mac 2015 2 Sommaire F-Secure Anti-Virus for Mac 2015 Sommaire Chapitre 1: Prise en main...3 1.1 Gestion des abonnements...4 1.2 Comment m'assurer que mon ordinateur est protégé...4

Plus en détail

La société. Service professionnel, flexible et sécurisé. Notre positionnement : une sécurité assurée et une offre sur-mesure

La société. Service professionnel, flexible et sécurisé. Notre positionnement : une sécurité assurée et une offre sur-mesure La société Service professionnel, flexible et sécurisé NetExplorer accompagne de nombreux clients au travers d une solution SaaS clé en main développée en interne depuis 2007. NetExplorer est devenu le

Plus en détail

Cible de sécurité CSPN

Cible de sécurité CSPN Cible de sécurité CSPN ClearBUS Application cliente pour la communication sécurisée Version 1.12 Le 25/11/2011 Identifiant : CBUS-CS-1.12-20111125 contact@clearbus.fr tel : +33(0)485.029.634 Version 1.12

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE SO YOU START

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE SO YOU START CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE SO YOU START ARTICLE 1 : OBJET Dernière version en date du 06/12/2013 Les présentes conditions particulières, complétant les conditions générales

Plus en détail

CONDITIONS PARTICULIERES COMPTE INDIVIDUEL DE MESSAGERIE COLLABORATIVE

CONDITIONS PARTICULIERES COMPTE INDIVIDUEL DE MESSAGERIE COLLABORATIVE CONDITIONS PARTICULIERES COMPTE INDIVIDUEL DE MESSAGERIE COLLABORATIVE Définitions : Dernière version en date du 13 Juin 2011 Activation du Service : L activation du Service intervient à compter de la

Plus en détail

Réseaux virtuels Applications possibles :

Réseaux virtuels Applications possibles : Réseaux virtuels La mise en place d'un réseau privé virtuel permet de connecter de façon sécurisée des ordinateurs distants au travers d'une liaison non fiable (Internet), comme s'ils étaient sur le même

Plus en détail

CONDITIONS PARTICULIERES COMPTE INDIVIDUEL DE MESSAGERIE COLLABORATIVE

CONDITIONS PARTICULIERES COMPTE INDIVIDUEL DE MESSAGERIE COLLABORATIVE CONDITIONS PARTICULIERES COMPTE INDIVIDUEL DE MESSAGERIE COLLABORATIVE Définitions : Dernière version en date du 21 Avril 2011 Activation du Service : L activation du Service intervient à compter de la

Plus en détail

THEGREENBOW FIREWALL DISTRIBUE TGB::BOB! Pro. Spécifications techniques

THEGREENBOW FIREWALL DISTRIBUE TGB::BOB! Pro. Spécifications techniques THEGREENBOW FIREWALL DISTRIBUE TGB::! Pro Spécifications techniques SISTECH SA THEGREENBOW 28 rue de Caumartin 75009 Paris Tel.: 01.43.12.39.37 Fax.:01.43.12.55.44 E-mail: info@thegreenbow.fr Web: www.thegreenbow.fr

Plus en détail

CONDITIONS PARTICULIÈRES HÉBERGEMENT BLUE MIND

CONDITIONS PARTICULIÈRES HÉBERGEMENT BLUE MIND CONDITIONS PARTICULIÈRES HÉBERGEMENT BLUE MIND Version en date du 1/06/2015 ARTICLE 1 : OBJET Les présentes conditions particulières, complétant les conditions générales de service de PHOSPHORE SI, ont

Plus en détail

Faille dans Internet Explorer 7

Faille dans Internet Explorer 7 Janvier Faille dans Internet Explorer 7 Une faille a été découverte dans le nouveau navigateur, celle-ci permettrait à un pirate d'insérer du code malicieux. Lorsque le navigateur est lancé, des DLL sont

Plus en détail

Tableau Online Sécurité dans le cloud

Tableau Online Sécurité dans le cloud Tableau Online Sécurité dans le cloud Auteur : Ellie Fields Ellie Fields, directrice principale du marketing produits, Tableau Software Juin 2013 p.2 Tableau est conscient que les données font partie des

Plus en détail

KASPERSKY SECURITY FOR BUSINESS

KASPERSKY SECURITY FOR BUSINESS KASPERSKY SECURITY FOR BUSINESS IDENTIFIER. CONTRÔLER. PROTÉGER. Guide de migration RENOUVELLEMENTS ET MISES À NIVEAU DES LICENCES : Guide de migration PRÉSENTATION DE LA NOUVELLE GAMME ENDPOINT SECURITY

Plus en détail

Guide des bonnes pratiques pour réussir la dématérialisation des marchés publics dans l'entreprise

Guide des bonnes pratiques pour réussir la dématérialisation des marchés publics dans l'entreprise Entreprises Guide des bonnes pratiques pour réussir la dématérialisation des marchés publics dans l'entreprise Editeur du Progiciel MARCO, le spécialiste de la gestion des achats et marchés publics Parc

Plus en détail

Microsoft Windows 7 / Vista / XP / 2000 / Home Server / NT4 (SP6) Guide de démarrage rapide

Microsoft Windows 7 / Vista / XP / 2000 / Home Server / NT4 (SP6) Guide de démarrage rapide Microsoft Windows 7 / Vista / XP / 2000 / Home Server / NT4 (SP6) Guide de démarrage rapide ESET NOD32 Antivirus apport à votre ordinateur une excellente protection contre les codes malveillants. Fondé

Plus en détail

Charte informatique. Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités.

Charte informatique. Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités. Charte informatique Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités. Préambule L'entreprise < NOM > met en œuvre un système d'information et

Plus en détail

Chiffrement : Échanger et transporter ses données en toute sécurité

Chiffrement : Échanger et transporter ses données en toute sécurité Chiffrement : Échanger et transporter ses données en toute sécurité Septembre 2014 Chiffrement : Confidentialité des données Malgré les déclarations de Google et autres acteurs du Net sur les questions

Plus en détail

PORTAIL INTERNET DE LA GESTION PUBLIQUE Guide d'utilisation du Portail Internet de la Gestion Publique

PORTAIL INTERNET DE LA GESTION PUBLIQUE Guide d'utilisation du Portail Internet de la Gestion Publique PORTAIL INTERNET DE LA GESTION PUBLIQUE Guide d'utilisation du Portail Internet de la Gestion Publique Cette documentation s'adresse aux utilisateurs travaillant avec le navigateur Internet Explorer et

Plus en détail

CONSEIL DE L'EUROPE COMITÉ DES MINISTRES RECOMMANDATION N R (90) 19 DU COMITÉ DES MINISTRES AUX ÉTATS MEMBRES

CONSEIL DE L'EUROPE COMITÉ DES MINISTRES RECOMMANDATION N R (90) 19 DU COMITÉ DES MINISTRES AUX ÉTATS MEMBRES CONSEIL DE L'EUROPE COMITÉ DES MINISTRES RECOMMANDATION N R (90) 19 DU COMITÉ DES MINISTRES AUX ÉTATS MEMBRES SUR LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL UTILISÉES À DES FINS DE PAIEMENT ET AUTRES

Plus en détail

cddb.ch/bulletin Cybersécurité et Menaces Internet #008 25 avril 2012

cddb.ch/bulletin Cybersécurité et Menaces Internet #008 25 avril 2012 cddb.ch/bulletin Cybersécurité et Menaces Internet #008 25 avril 2012 Sommaire 1. En bref... 1 2. Apple conserverait une copie des clés de chiffrement des données hébergées sur icloud... 3 3. Flashback:

Plus en détail

Présentation du référentiel PCI-DSS

Présentation du référentiel PCI-DSS Présentation du référentiel PCI-DSS Hervé Hosy herve.hosy@oppida.fr 06.03.51.96.66 Page 1 Agenda Référentiel PCI-DSS Contexte Structure du référentiel Lien avec les normes ISO 270xx 2 Contexte Page 3 Contexte

Plus en détail

FileMaker Pro 14. Utilisation d'une Connexion Bureau à distance avec FileMaker Pro 14

FileMaker Pro 14. Utilisation d'une Connexion Bureau à distance avec FileMaker Pro 14 FileMaker Pro 14 Utilisation d'une Connexion Bureau à distance avec FileMaker Pro 14 2007-2015 FileMaker, Inc. Tous droits réservés. FileMaker, Inc. 5201 Patrick Henry Drive Santa Clara, Californie 95054

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI)

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI) CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI) Dernière version du 02 Septembre 2014 ARTICLE 1 : OBJET Les présentes conditions particulières, complétant les conditions générales

Plus en détail

Guide d'inscription pour obtenir un certificat ssl thawte

Guide d'inscription pour obtenir un certificat ssl thawte Guide d'inscription pour obtenir un certificat ssl thawte Sommaire Guide d inscription pour obtenir un certificat SSL Thawte 1 7 étapes simples 1 Avant de commencer 1 Soumettre votre demande d'inscription

Plus en détail

Microsoft Windows 7 / Vista / XP / 2000 / Home Server. Guide de démarrage rapide

Microsoft Windows 7 / Vista / XP / 2000 / Home Server. Guide de démarrage rapide Microsoft Windows 7 / Vista / XP / 2000 / Home Server Guide de démarrage rapide ESET Smart Security assure une protection de pointe de votre ordinateur contre les codes malveillants. Basé sur le moteur

Plus en détail

Symantec Protection Suite Enterprise Edition for Gateway Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité

Symantec Protection Suite Enterprise Edition for Gateway Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité Fiche technique: Sécurité de la messagerie Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité Présentation protège les données confidentielles et garantit la productivité

Plus en détail

ESET SMART SECURITY 7

ESET SMART SECURITY 7 ESET SMART SECURITY 7 Microsoft Windows 8.1 / 8 / 7 / Vista / XP / Home Server 2003 / Home Server 2011 Guide de démarrage rapide Cliquez ici pour télécharger la dernière version de ce document. ESET Smart

Plus en détail

La prévention contre la perte de données (DLP) de Websense offre à votre entreprise les outils dont elle a besoin. Websense TRITON AP-DATA

La prévention contre la perte de données (DLP) de Websense offre à votre entreprise les outils dont elle a besoin. Websense TRITON AP-DATA TRITON AP-DATA Mettez un terme au vol et à la perte de données, respectez les exigences de conformité et préservez votre marque, votre réputation et votre propriété intellectuelle. Entre une réputation

Plus en détail

ICP/PKI: Infrastructures à Clés Publiques

ICP/PKI: Infrastructures à Clés Publiques ICP/PKI: Infrastructures à Clés Publiques Aspects Techniques et organisationnels Dr. Y. Challal Maître de conférences Université de Technologie de Compiègne Heudiasyc UMR CNRS 6599 France Plan Rappels

Plus en détail

Symantec Protection Suite Enterprise Edition Protection éprouvée pour les terminaux, la messagerie et les environnements Web

Symantec Protection Suite Enterprise Edition Protection éprouvée pour les terminaux, la messagerie et les environnements Web Fiche technique: Sécurité des terminaux Protection éprouvée pour les terminaux, la messagerie et les environnements Web Présentation permet de créer un environnement (terminaux, messagerie et Web) protégé

Plus en détail

[ Sécurisation des canaux de communication

[ Sécurisation des canaux de communication 2014 ISTA HAY RIAD FORMATRICE BENSAJJAY FATIHA OFPPT [ Sécurisation des canaux de communication Protocole IPsec] Table des matières 1. Utilisation du protocole IPsec... 2 2. Modes IPsec... 3 3. Stratégies

Plus en détail

Un serveur FTP chez soi Tutoriel pour Filezilla FTP server

Un serveur FTP chez soi Tutoriel pour Filezilla FTP server Space-OperaRécitsLogicielsCréationsBlogForum Un serveur FTP chez soi Tutoriel pour Filezilla FTP server DynDNS : Pourquoi et comment? Téléchargement et installation de Filezilla Server Configuration réseau

Plus en détail

Ces pré-requis techniques sont valables au jour de la souscription et sont susceptibles d évolution.

Ces pré-requis techniques sont valables au jour de la souscription et sont susceptibles d évolution. Fiches version 3.2 au 1 er mars 05 GUIDE DE SOUSCRIPTION Pour souscrire le service, le Client doit disposer des logiciels pré-requis indiqués ci-dessous (I) et remplir les Fiches Clients détaillées ci-après

Plus en détail

Fiche de l'awt Plate-formes d'intermédiation

Fiche de l'awt Plate-formes d'intermédiation Fiche de l'awt Plate-formes d'intermédiation Présentation de solutions techniques mises en oeuvre dans le cadre des plate-formes d'intermédiation, notamment sur base du standard XML Créée le 14/05/01 Modifiée

Plus en détail

Conditions d'utilisation

Conditions d'utilisation Conditions d'utilisation Article 1. Définitions Le site www.aude.fr/covoiturage, est désigné ci-après "le Site". Toute personne inscrite sur le site est appelée " l'utilisateur ". Les services d'intermédiation

Plus en détail

Comment utiliser mon compte alumni?

Comment utiliser mon compte alumni? Ce document dispose d une version PDF sur le site public du CI Comment utiliser mon compte alumni? Elena Fascilla, le 23/06/2010 Sommaire 1. Introduction... 2 2. Avant de commencer... 2 2.1 Connexion...

Plus en détail

CONVENTION D'UTILISATION FAS

CONVENTION D'UTILISATION FAS CONVENTION D'UTILISATION Objectif du document : Une convention d'utilisation est un contrat spécifique à un service qui stipule les conditions liées à l'utilisation d'un service spécifique de Fedict. Il

Plus en détail

CONDITIONS PARTICULIERES D'HEBERGEMENT MUTUALISE

CONDITIONS PARTICULIERES D'HEBERGEMENT MUTUALISE CONDITIONS PARTICULIERES D'HEBERGEMENT MUTUALISE Dernière version en date du 20 décembre 2008 ARTICLE 1 : OBJET Les présentes conditions particulières ont pour objet de définir les conditions techniques

Plus en détail

Contrat d'hébergement application ERP/CRM - Dolihosting

Contrat d'hébergement application ERP/CRM - Dolihosting Date 30/10/13 Page 1/6 Contrat d'hébergement application ERP/CRM - Dolihosting Le présent contrat est conclu entre vous, personne physique ou morale désignée ci-après le client et ATERNATIK dont le numéro

Plus en détail

Configurer son courrier électrique avec votre compte Abicom

Configurer son courrier électrique avec votre compte Abicom Configurer son courrier électrique avec votre compte Abicom De tous les services Internet, l'échange de courrier électronique est probablement le plus populaire et plus vieil outil de communication encore

Plus en détail

Dématérialisation Guide d'utilisation Pas à pas

Dématérialisation Guide d'utilisation Pas à pas ANNEXE Au règlement de la consultation Dématérialisation Guide d'utilisation Pas à pas A l usage des Utilisateurs Opérateurs Economiques - 1 - SOMMAIRE 1 PRESENTATION DU GUIDE D'UTILISATION...3 1.1 Introduction...

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE - PRIVATE EXCHANGE 2013

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE - PRIVATE EXCHANGE 2013 CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE - PRIVATE EXCHANGE 2013 Dernière version en date du 05 Septembre 2013 ARTICLE 1 : OBJET Les présentes conditions particulières, complétant

Plus en détail

Chapitre 2 Rôles et fonctionnalités

Chapitre 2 Rôles et fonctionnalités 19 Chapitre 2 Rôles et fonctionnalités 1. Introduction Rôles et fonctionnalités Les rôles et fonctionnalités ci-dessous ne sont qu'une petite liste de ceux présents dans Windows Server 2012 R2. 2. Les

Plus en détail

Fiche pratique. Présentation du problème. Pourquoi Rapport? Comment çà marche?

Fiche pratique. Présentation du problème. Pourquoi Rapport? Comment çà marche? Présentation du problème La banque Boursorama propose un logiciel de protection supplémentaire pour les transactions sur Internet. Ce logiciel est téléchargeable à l adresse suivante : http://www.trusteer.com/webform/download-rapport

Plus en détail

Sage CRM. 7.2 Guide de Portail Client

Sage CRM. 7.2 Guide de Portail Client Sage CRM 7.2 Guide de Portail Client Copyright 2013 Sage Technologies Limited, éditeur de ce produit. Tous droits réservés. Il est interdit de copier, photocopier, reproduire, traduire, copier sur microfilm,

Plus en détail

Le système eregistrations

Le système eregistrations NATIONS UNIES CNUCED Le système eregistrations Guichets uniques en ligne pour des administrations efficaces eregistrations est un système de gouvernement électronique configurable, conçu pour automatiser

Plus en détail

Sécurisation des accès Internet dans les écoles primaires. de l'académie de LIMOGES. Solution académique de filtrage des accès aux contenus du web

Sécurisation des accès Internet dans les écoles primaires. de l'académie de LIMOGES. Solution académique de filtrage des accès aux contenus du web Sécurisation des accès Internet dans les écoles primaires de l'académie de LIMOGES Solution académique de filtrage des accès aux contenus du web Paramétrage du Proxy Ecole Académique sur les stations de

Plus en détail

Vu la demande du Fonds Commun de Garantie Automobile reçue le 09/03/2012;

Vu la demande du Fonds Commun de Garantie Automobile reçue le 09/03/2012; 1/10 Comité sectoriel du Registre national Délibération RN n 59/2012 du 18 juillet 2012 Objet: demande d'autorisation émanant du Fonds Commun de Garantie Automobile pour accéder au Registre national et

Plus en détail

FileMaker Pro 11. Exécution de FileMaker Pro 11 sur Citrix XenApp

FileMaker Pro 11. Exécution de FileMaker Pro 11 sur Citrix XenApp FileMaker Pro 11 Exécution de FileMaker Pro 11 sur Citrix XenApp 2007-2010 FileMaker, Inc. Tous droits réservés. FileMaker, Inc. 5201 Patrick Henry Drive Santa Clara, California 95054 FileMaker est une

Plus en détail

Fiche Technique. Cisco Security Agent

Fiche Technique. Cisco Security Agent Fiche Technique Cisco Security Agent Avec le logiciel de sécurité de point d extrémité Cisco Security Agent (CSA), Cisco offre à ses clients la gamme de solutions de protection la plus complète qui soit

Plus en détail

C branché Petit lexique du vocabulaire informatique

C branché Petit lexique du vocabulaire informatique Vous informer clairement et simplement C branché Petit lexique du vocabulaire informatique L univers de l informatique et d Internet est riche en termes plus ou moins techniques. Pour vous aider à vous

Plus en détail

Fiche méthodologique Rédiger un cahier des charges

Fiche méthodologique Rédiger un cahier des charges Fiche méthodologique Rédiger un cahier des charges Plan de la fiche : 1 : Présentation de la fiche 2 : Introduction : les grands principes 3 : Contenu, 1 : positionnement et objectifs du projet 4 : Contenu,

Plus en détail

Charte pour l usage de ressources informatiques et de services Internet

Charte pour l usage de ressources informatiques et de services Internet Prénom Nom : Signature : Date : Service : Charte pour l usage de ressources informatiques et de services Internet Ce texte, associé au règlement intérieur des entités, a pour objet de préciser la responsabilité

Plus en détail

Manuel d'utilisation de Phone Link

Manuel d'utilisation de Phone Link Manuel d'utilisation de Phone Link Copyright 2003 Palm, Inc. Tous droits réservés. Le logo Palm et HotSync sont des marques déposées de Palm, Inc. Le logo HotSync et Palm sont des marques commerciales

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS CLOUD. API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services.

CONDITIONS PARTICULIERES SOLUTIONS CLOUD. API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services. CONDITIONS PARTICULIERES SOLUTIONS CLOUD VERSION GAMMA Dernière version en date du 06/12/2011 Définitions : API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services.

Plus en détail

Guide des bons usages

Guide des bons usages Guide des bons usages pour réussir la dématérialisation des marchés publics dans l entreprise https://marches.e-megalisbretagne.org Entreprises Guide des bons usages pour réussir la dématérialisation des

Plus en détail

Sécurité des Postes Clients

Sécurité des Postes Clients HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet Sécurité des Postes Clients Table ronde CFSSI Jeudi 29 mars 2007 Benjamin

Plus en détail

Découvrez Kaspersky. Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE

Découvrez Kaspersky. Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE Découvrez Kaspersky Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE Sommaire Pourquoi est-il important pour une TPE/PME d acquérir une protection efficace? Pages 04-05 10 idées reçues à

Plus en détail

Aide en ligne du portail

Aide en ligne du portail Connectivity 3SKey Aide en ligne du portail Ce fichier d'aide décrit les fonctions du portail 3SKey (clé de signature sécurisée SWIFT). 11 juin 2011 3SKey Table des matières 1 Portail 3SKey... 3 1.1 Fonctions

Plus en détail

Projet de Veille Technologique : la sécurité informatique - Chaînes de Confiance sur Internet -

Projet de Veille Technologique : la sécurité informatique - Chaînes de Confiance sur Internet - Projet de Veille Technologique : la sécurité informatique - Chaînes de Confiance sur Internet - Marc Tremsal Alexandre Languillat Table des matières INTRODUCTION... 3 DEFI-REPONSE... 4 CRYPTOGRAPHIE SYMETRIQUE...

Plus en détail

Activer ou désactiver le contrôle parental

Activer ou désactiver le contrôle parental Contrôle Parental dans WINDOWS 7 SEVEN Windows 7 comme son prédécesseur Windows Vista propose un système de contrôle parental directement inclus dans la système. Il permet de définir des limites horaires

Plus en détail

NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET

NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET Introduction aux solutions de Mobile Device Management NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET QUELQUES CHIFFRES Mi 2011, 77% de la population mondiale

Plus en détail

Middleware eid v2.6 pour Windows

Middleware eid v2.6 pour Windows Manuel d'utilisation Middleware eid v2.6 page 1 de 19 Table des matières Introduction...3 Installation...4 Les éléments du logiciel eid...6 Module pour la zone de notification dans la barre des tâches...7

Plus en détail

Service de certificat

Service de certificat Service de certificat Table des matières 1 Introduction...2 2 Mise en place d une autorité de certification...3 2.1 Introduction...3 2.2 Installer le service de certificat...4 3 Sécuriser un site web avec

Plus en détail

La maison connectée grâce au courant porteur en ligne (CPL)

La maison connectée grâce au courant porteur en ligne (CPL) La maison connectée grâce au courant porteur en ligne (CPL) Introduction au réseau informatique Quel est l'intérêt de créer un réseau informatique? Partager les photos de son PC sur sa TV, imprimer depuis

Plus en détail

Mieux comprendre les certificats SSL THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE

Mieux comprendre les certificats SSL THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE Mieux comprendre les certificats SSL THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE sommaire MIEUX COMPRENDRE LES CERTIFICATS SSL...1 SSL et certificats SSL : définition...1

Plus en détail

Gestion des utilisateurs et Entreprise Etendue

Gestion des utilisateurs et Entreprise Etendue Gestion des utilisateurs et Entreprise Etendue Laurent Ruyssen 6 rue Beaubourg - 75004 PARIS T 1 44 59 93 00 F 1 44 59 93 09 yphise@yphise.com - http://yphise.fr GUEE0009-1 Agenda Entreprise Etendue Mission

Plus en détail

Stratégie de groupe dans Active Directory

Stratégie de groupe dans Active Directory Stratégie de groupe dans Active Directory 16 novembre 2012 Dans ce document vous trouverez des informations fondamentales sur les fonctionnements de Active Directory, et de ses fonctionnalités, peut être

Plus en détail

RECOMMANDATIONS SECURITE INTERNET BANKING TRANSACTIONNEL

RECOMMANDATIONS SECURITE INTERNET BANKING TRANSACTIONNEL RECOMMANDATIONS SECURITE INTERNET BANKING TRANSACTIONNEL Cette page doit fournir aux clients toutes les informations concernant la sécurité du site d internet banking transactionnel, en particulier les

Plus en détail

DataTraveler 410. Manuel d'utilisation de SecureTraveler

DataTraveler 410. Manuel d'utilisation de SecureTraveler Manuel d'utilisation de SecureTraveler SecureTraveler est l'utilitaire de configuration DataTraveler permettant aux utilisateurs en entreprise et aux utilisateurs privés d'établir des zones publiques et

Plus en détail

Hosted Email Security Outil de synchronisation Active Directory Guide de l'utilisateur

Hosted Email Security Outil de synchronisation Active Directory Guide de l'utilisateur TREND MICRO Hosted Email Security Outil de synchronisation Active Directory Guide de l'utilisateur Intégrer la protection contre les menaces électroniques dans un service hébergé m s Sécurité des messages

Plus en détail

HTTPS. Sommaire : Définition A quoi sert-il? Son but Différences HTTP/HTTPS SSL Fonctionnement Le cryptage Avantage/Inconcénient Mise en oeuvre

HTTPS. Sommaire : Définition A quoi sert-il? Son but Différences HTTP/HTTPS SSL Fonctionnement Le cryptage Avantage/Inconcénient Mise en oeuvre HTTPS Sommaire : Définition A quoi sert-il? Son but Différences HTTP/HTTPS SSL Fonctionnement Le cryptage Avantage/Inconcénient Mise en oeuvre Définition HTTPS (HyperText Transfer Protocol Secure) C'est

Plus en détail

Présentation générale

Présentation générale SHERLOCK'S Office Server Présentation générale Version 01/2009 1/8 1 OBJET DE SHERLOCK S OFFICE SERVER 3 2 PRÉ REQUIS TECHNIQUE 3 3 LA SÉCURITÉ DES ÉCHANGES ENTRE LE COMMERÇANT ET SHERLOCK S 4 4 LE FONCTIONNEMENT

Plus en détail

Informations Sécurité

Informations Sécurité Bonnes pratiques Informations Sécurité La sécurité informatique désigne un ensemble de techniques et de bonnes pratiques pour protéger vos ordinateurs et vos intérêts dans l usage des moyens informatiques,

Plus en détail

Active Directory Sommaire :

Active Directory Sommaire : Active Directory Sommaire : Définition Ce qu'il permet A quoi sert-il? Principe de fonctionnement Structure Hiérarchie Schéma Qu'est ce qu'un service d'annuaire? Qu'elle est son intérêt? L'installation

Plus en détail

Guide d'administration. BlackBerry Professional Software pour IBM Lotus Domino. Version: 4.1 Service Pack: 4

Guide d'administration. BlackBerry Professional Software pour IBM Lotus Domino. Version: 4.1 Service Pack: 4 BlackBerry Professional Software pour IBM Lotus Domino Version: 4.1 Service Pack: 4 SWD-311541-0911043520-002 Table des matières 1 Gestion des comptes d'utilisateur... 7 Ajouter un compte utilisateur...

Plus en détail

Guide d'intégration à ConnectWise

Guide d'intégration à ConnectWise Guide d'intégration à ConnectWise INTÉGRATION DE CONNECTWISE À BITDEFENDER CONTROL CENTER Guide d'intégration à ConnectWise Intégration de ConnectWise à Bitdefender Control Center Date de publication 2015.05.14

Plus en détail

Les principes de la sécurité

Les principes de la sécurité Les principes de la sécurité Critères fondamentaux Master 2 Professionnel Informatique 1 Introduction La sécurité informatique est un domaine vaste qui peut appréhender dans plusieurs domaines Les systèmes

Plus en détail

Guide de l'utilisateur de l'application mobile

Guide de l'utilisateur de l'application mobile Guide de l'utilisateur de l'application mobile Avis de droit d'auteur Copyright Acronis International GmbH, 2002-2012. Tous droits réservés. «Acronis», «Acronis Compute with Confidence», «Acronis Recovery

Plus en détail

DÉCOUVRIR INTERNET DOCUMENTS PÉDAGOGIQUES. version 0.1 - janvier 2016 - Copyright Net-C

DÉCOUVRIR INTERNET DOCUMENTS PÉDAGOGIQUES. version 0.1 - janvier 2016 - Copyright Net-C DÉCOUVRIR INTERNET DOCUMENTS PÉDAGOGIQUES version 0.1 - janvier 2016 - Copyright Net-C QUI SOMMES-NOUS? Net-C est un service de messagerie Internet depuis 1998, permettant de communiquer entre adresses

Plus en détail

Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès )

Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès ) Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès ) Sommaire 1. Protection de son matériel et de ses données Création d'un utilisateur avec mot de passe compliqué

Plus en détail

Loi sur le guichet sécurisé unique (LGSU)

Loi sur le guichet sécurisé unique (LGSU) 28 septembre 2004 Loi sur le guichet sécurisé unique (LGSU) Etat au 1 er janvier 2011 Le Grand Conseil de la République et Canton de Neuchâtel, sur la proposition du Conseil d'etat, du 11 août 2004, décrète:

Plus en détail