cddb.ch/bulletin Cybersécurité et Menaces Internet # février 2012

Dimension: px
Commencer à balayer dès la page:

Download "cddb.ch/bulletin Cybersécurité et Menaces Internet #006 17 février 2012"

Transcription

1 cddb.ch/bulletin Cybersécurité et Menaces Internet # février 2012 Sommaire 1. En bref (et non pas "en vrac!") Twitter, et ces autres applications mobiles qui s'emparent de nos listes de contacts Interception dynamique des flux SSL dans les organisations: le cas Trustwave En bref (et non pas "en vrac!") Iran - On rassure: les systèmes sont protégés contre les attaques informatiques Le responsable de l'unité miliaire en charge de lutter contre le sabotage des infrastructures a rassuré lundi dernier en annonçant que les systèmes d'information des infrastructures sensibles du pays étaient efficacement protégées contre les attaques informatiques qu'elles subissent quotidiennement. L'officier précise également que les attaques observées visent en priorité les centrales nucléaires et les plateformes de commerce en ligne du pays. -- Malaisie - Déni de service sur le site web de la bourse Malaisienne Le site web de la bourse de Malaisie (Bursa Malaysia) a été paralysé mardi dernier suite à une attaque de déni de service distribué. -- [ndlr: L'attaque était dirigée contre la vitrine web de l'institution, totalement différenciée des systèmes destinés au traitement des transactions. L'activité boursière n'a pas été freinée. On repense à l'attaque de déni de service qui avait visé la plateforme en ligne Postfinance en décembre 2010, qui avait empêché tout accès légitime aux utilisateurs de la plateforme. Dès lors, deux réflexions possibles: premièrement, l'attaque sur Bursa Malaysia est-elle une démonstration des moyens pouvant être mis en œuvre contre la plateforme transactionnelle? Deuxièmement, le manque apparent de stratégie dans le choix de la cible pourrait-il laisser supposer que les attaquants ne comprennent pas encore avec précision sur quels objectifs diriger leurs attaques, et par extension, vont-elles évoluer vers des cibles plus exposées?] Genève: vandalisme organisé sur les distributeurs de tickets des transports publics Le cas ne s'apparente pas directement à une attaque informatique et pourtant l'analogie avec le fonctionnement d'une attaque par déni de service et ses conséquences est on ne peut plus appropriée: plus de 20% des automates à tickets des transports publics genevois, majoritairement ceux placés sur les lignes de trams, ont été vandalisés durant la nuit de dimanche à lundi dernier. Le coût de l'opération et sa structure organisationnelle sont encore inconnus (ou pas révélés). Toutefois, l'on sait déjà qu'ils ont déclenché pour 5'000 francs de frais de fournitures, 70 heures d'intervention et que le dommage peut déjà être chiffré à environ 40'000 francs suisses de manque à gagner, par jour, jusqu'au rétablissement des appareils Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 1 / 12

2 Faillite de Nortel: probablement due à dix années de vols de données Un ancien conseiller à la sécurité pour Nortel Networks, fournisseur de services et produits de télécommunications, a confirmé lors d'un récent entretien sur la chaîne télévisée CBC sa conviction du rôle clé qu'aurait joué le piratage de ses systèmes informatiques dans la faillite de l'entreprise centenaire. L'intrusion est aujourd'hui imputée à des pirates chinois et aurait débuté en l'an Pendant près de dix ans, les pirates auraient eu accès aux éléments confidentiels et stratégiques de l'entreprise grâce à divers comptes de la Direction, maintenus sous contrôle. Les dirigeants auraient été alertés d'un possible piratage des systèmes en 2004, mais n'y auraient pas donné suite. -- Google est désormais le plus important fournisseur de services DNS au monde 70 milliards, c'est le nombre d'interrogations que reçoit chaque jour le service DNS (service responsable de fournir aux machines l'adresse IP correspondant à une URL) que Google a mis à disposition du public en décembre Nombreuses sont ceux qui ont entré la séquence " " dans leurs configurations réseau, ne réalisant pas forcément qu'ils offrent aujourd'hui à la célèbre agence de publicité contextuelle plus de 810'000 intentions de navigation sur Internet, chaque seconde. Lorsque l'on sait que l'adresse IP d'un accès internet domestique ADSL ne change plus qu'à de rares occasions, quelles informations Google peut-il ainsi construire et monétiser sur le long terme? -- Facebook: photos d'adolescentes détournées et publiées sur des sites pour adultes Les photos et données des profils Facebook d'une quinzaine d'adolescentes ont été volées puis publiées dans un site à caractère pornographique. Pendant plus d'un mois, le site a affiché des profils reconstruits des jeunes étudiantes, informations personnelles et photos retouchées à l'appui. La police dénonce des réglages de confidentialité peu robustes dans les profils visés par l'opération. Le rôle des parents n'est pas abordé dans le reportage /2012/02/15/gIQAd8wBGR_video.html La NSA met en œuvre une approche bon marché pour se prémunir contre les malware Les efforts de la National Security Agency pour la mise en place d'un dispositif bon marché lui permettant de se prémunir contre les programmes malveillants ont été relayés par la presse américaine vendredi dernier. Le dispositif repose essentiellement sur l'utilisation des stratégies de restriction logicielle (software restriction policy) et, selon l'agence de sécurité nationale, lui permet de contrer des tentatives d'injection de programmes malveillants dans ses systèmes, alors même que les antivirus ne les reconnaissent pas encore. -- [ndlr: le lecteur attentif notera que cette fonctionnalité, qualifiée par la presse d'évolution majeure (breakthrough), est présente dans tous les systèmes d'exploitation Windows depuis l'édition XP, sortie en août Son efficacité redoutable (restriction d'exécution de tout binaire non approuvé au préalable par la politique de sécurité du domaine), on le devinera aisément, est peut-être la raison pour laquelle de nombreuses sociétés éditrices de logiciels de sécurité n'ont pas forcément envie que leur clients s'y intéressent de près...] - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 2 / 12

3 2. Twitter, et ces autres applications mobiles qui s'emparent de nos listes de contacts Lorsque un utilisateur installe l'application Twitter sur son téléphone portable, l'application lui demande s'il désire effectuer une "recherche d'amis". En choisissant cette option, l'utilisateur consent sans s'en rendre compte à ce que l'intégralité des contacts enregistrés dans le téléphone soit déposée sur les serveurs de Twitter, et conservée pour une durée de 18 mois. Un semblant de déjà-vu L'affaire survient en février alors que l'attention se porte sur une autre application mobile tout aussi controversée: Path. La polémique a été déclenchée suite à la publication d'un article de blog[1] le 8 février par un développeur d'applications mobiles basé à Singapour. En explorant les données transmises par l'application, il a constaté que l'intégralité de ses contacts était transmise à l'éditeur de l'application lorsqu'elle lui proposait de "trouver ses amis". Son consentement explicite n'avait pas été fourni au préalable. Les détails transmis à l'éditeur incluent les noms et prénoms, numéros de téléphone et adresses de chaque contact enregistré dans le téléphone de l'utilisateur. Quelques minutes seulement après la publication de l'article, l'information est couverte par les réseaux sociaux et la presse informatique[2], ainsi que par l'éditeur lui-même qui s'empresse de répondre par voie officielle et d'annoncer[3]: - L'admission de la faute: collecte de données peu documentée (finalité) sans consentement explicite de l'utilisateur (licéité) et dans une étendue supérieure aux attentes légitimes (proportionnalité). - Des excuses, précisons-le. - La suppression totale des données de contact enregistrées sur les serveurs de l'éditeur. - Le déploiement immédiat d'une nouvelle version de l'application, demandant explicitement à l'utilisateur d'autoriser l'envoi des données. Twitter? Pas mieux. Constatant la présence d'une option similaire dans Twitter, un journaliste du Los Angeles Times a contacté l'éditeur éponyme afin de savoir comment était conçue la fonctionnalité de recherche d'amis. L'éditeur confirme: la version mobile de Twitter, installée et activement utilisée par plus de 55 millions de personnes[4], récupère elle aussi l'intégralité des contacts de chaque téléphone. Mais attention: les données originales ne sont conservées que pour une durée de 18 mois! L'éditeur confirme qu'il s'agit d'une erreur de formulation dans les conditions générales d'utilisation et dans l'application elle-même, il privilégiera des termes plus explicites dans une future version du produit[5]. En attendant, les utilisateurs mécontents ont l'opportunité de demander un effacement de la base de leurs contacts sur la page dédiée à cet effet[6]. Des utilisateurs pris en otage et des éditeurs se dégageant de toute responsabilité Dans les deux cas mentionnés, les éditeurs ont réagi par un mea culpa sur un blog, suivi de la mise à jour des termes d'utilisation (l'utilisateur accepte ainsi explicitement l'envoi des données de contact) et dans le cas de Twitter, la reformulation du texte des boutons activant la fonctionnalité de recherche. Ce cas de déresponsabilisation est exemplaire d'une vague sur laquelle les éditeurs de logiciels peuvent se permettre de surfer aujourd'hui: des logiciels, souvent utilisés par plusieurs milliers - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 3 / 12

4 ou millions de personnes, sont ancrés dans des habitudes de consommation dont il est devenu difficile pour certains de se priver, parfois, par crainte de voir un positionnement social s'effriter. L'anonymat de l'utilisateur: envolé, parfois à cause de ses contacts, moins prudents... Autre problématique: l'abandon de toute forme de pseudo-anonymat. De nombreux utilisateurs d'applications mobiles n'ont probablement jamais renseigné des données les identifiant explicitement dans leur compte. En récupérant la liste de leurs contacts et leurs numéros de téléphones, les éditeurs de ces applications mobiles disposent généralement de suffisamment de données pour corréler les différentes bases et ainsi identifier l'identité réelle d'une personne qui aurait souhaité conserver son anonymat. Son réseau de connaissances professionnel et social, ainsi qu'une éventuelle estimation du niveau de relation avec chacun des contacts peut ainsi être extrapolée au moyen de simples inférences sur les données collectées. Méconnaissance des enjeux de tous côtés La vraie question n'est pas posée dans le débat: pourquoi cette fonctionnalité est-elle conçue de cette façon? L'envoi des données des contacts est-il nécessaire pour identifier les "amis"? Ou exprimé dans un autre langage: l'ampleur de la collecte de données est-elle proportionnelle à la finalité recherchée par l'éditeur? La question trouve en tous cas réponse à de maintes reprises dans la cryptographie. En 1992 tout particulièrement, lorsque les premières spécifications de fonctions de hachage à valeur cryptographique ont été rendues publiques[7]. Pour le néophyte, l'analogie des fonctions de hachage dans ce contexte correspondrait à la création d'une base de données d'empreintes digitales de personnes condamnées pour un crime, sans que l'on enregistre pour autant leur nom dans le fichier. Dans le cas où un criminel serait à nouveau interpellé pour un autre crime, la base de données des empreintes digitales serait interrogée et retrouverait la condamnation associée à l'empreinte. Cela, même sans que le nom ou la photo de la personne ne soit enregistrée en clair dans la base[oui, il y a matière à réflexion ici...] Le cas est ainsi révélateur d'une incompréhension des mécanismes techniques et technologiques soulevés dans de telles controverses. Les deux éditeurs, dans l'exemple cité, ont fait part de leur bonne volonté en opérant les changements annoncés. Ces changements ont été accueillis par l'opinion publique, au travers des médias, comme un gage de bonne foi. L'état de la connaissance en matière d'ingénierie logicielle propose pourtant de nombreuses solutions pour que les éditeurs ne collectent pas ces données personnelles et privilégient un procédé permettant à la fois de maintenir la couverture fonctionnelle souhaitée tout en respectant des principes de sécurité et de protection des données historiquement exigés par les lois. Mais encore faut-il que ces principes soient connus, compris et, peut-être, contrôlés... 1: 2: 3: 4: shtml 5: ,0, story 6: https://twitter.com/#!/who_to_follow/import 7: - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 4 / 12

5 3. Interception dynamique des flux SSL dans les organisations: le cas Trustwave L entreprise Trustwave spécialisée dans la sécurité de l'information est aussi une autorité de certification pour les organisations souhaitant mettre en œuvre des communications sécurisées via le web. Elle se trouve sous les projecteurs depuis qu elle est accusée d avoir vendu un dispositif d interception transparente des communications via SSL. Suite à cette annonce, la fondation Mozilla (éditeur entre autres du navigateur web Firefox) a considéré une révocation complète de Trustwave en qualité d autorité de certification dans toute sa gamme de produits. Contexte La gamme de services et produits «DLP», pour data-loss prevention, a pour objectif d aider les organisations à se prémunir contre l exfiltration non autorisée de données confidentielles. Trois menaces sont principalement visées par ces produits : l exfiltration opportuniste par des collaborateurs (travail à domicile) ou malveillante (vol ou vente de données), l exfiltration par des programmes malveillants (cas des ordinateurs infectés) et l exfiltration involontaire (erreur de manipulation, distraction, dissémination au sein du réseau). Tout comme les détecteurs d intrusion (IPS/IDS), les dispositifs DLP sont déployés soit sur des hôtes (stations de travail ou serveurs de données), soit sur le réseau en effectuant de l interception de trafic. Le positionnement en réseau est une approche préférable dans un environnement hétérogène, tout comme l'on privilégie l'installation sur hôte pour contrôler l'éventuelle fuite de documents par des clés USB par exemple. La première difficulté à laquelle les solutions DLP sont confrontées est la reconnaissance dudit contenu à caractère confidentiel. Un effort amont doit généralement être consenti afin d'habituer les collaborateurs à caractériser les documents à valeur confidentielle. Des solutions proposent également la reconnaissance systématique basée sur la présence de termes spécifiques dans un document: des extensions type, des codes de projet, des noms d'auteurs, des noms de clients ou partenaires stratégiques, etc. Les différenciateurs principaux d'une solution DLP sont généralement la diversité des scénarios d'infrastructure proposés, le type de flux pouvant être analysé en temps réel ou non, la performance lors d'une montée en charge et la facilité avec laquelle le système peut être administré. La seconde contrainte majeure des solutions DLP repose dans les communications chiffrées. Heureusement (ou malheureusement, dans ce contexte..), de plus en plus de plateformes web permettent l établissement d une communication sécurisée par SSL/TLS à leurs utilisateurs. Lorsque les choses sont bien faites, il devient ainsi impossible pour le dispositif DLP d analyser le contenu des flux sortants dans un délai raisonnable: en d'autres termes, il devient inutile. Les connexions «sécurisées» vers les sites web Pour ne pas contraindre chaque utilisateur à procéder lui-même à la vérification de l'identité d'un serveur web lorsqu'il s'y connecte, l'infrastructure des certificats SSL sur le web repose sur un réseau de tiers de confiance déployé à l échelle mondiale et préinstallé dans la majorité des systèmes d exploitation. Cinq tiers de confiance majeurs (Verisign, Entrust, Comodo, Globalsign, CACert) sous-traitent aujourd'hui la compétence de signataire à un peu plus de 600 entités[1]. Ces tiers de confiance, ou autorités de certification, nourrissent la confiance que chacun peut avoir aujourd'hui lorsqu'il transmet par exemple les données de sa carte de crédit pour effectuer un achat en ligne ou discute tout simplement avec un ami à travers un réseau social. - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 5 / 12

6 Grâce à cette architecture en délégation, les navigateurs peuvent par exemple vérifier que le certificat présenté pour le serveur web a été approuvé par un tiers de confiance, et cela, de manière totalement transparente pour l'utilisateur. L internaute et l entreprise sont assurés que le certificat opérant une connexion réputée "sécurisée" et "valide" selon un navigateur web a été préalablement vérifiée par un tiers de confiance. En d'autres termes: "je ne te connais pas, mais si mes amis te font confiance alors je peux moi aussi te faire confiance!" Les télécommunications privées Le modèle de sécurité des tiers de confiance répond également à un autre besoin, en pleine croissance lui aussi, de l individu: celui de pouvoir interagir avec d'autres individus en toute confidentialité, au moyen de services proposés sur le web. Messagerie instantanée, webmail, réseaux sociaux et professionnels, coffres-forts numériques et recherches sur Internet: tous ces services tendent aujourd hui à identifier formellement un individu dans chacune des requêtes qui leur sont adressées. La confidentialité des échanges est primordiale, tout comme la nonrépudiation d'un contenu s'il se retrouve cité devant un tribunal: l interception du contenu de ne serait-ce que une seule requête par un tiers malveillant peut généralement lui permettre d usurper l identité d un individu par la suite. Quels sont les engagements d'un tiers de confiance? En choisissant de certifier les communications électroniques sur Internet, un tiers de confiance s engage nécessairement à atteindre trois objectifs en tout temps: 1) L'organisation protège son dispositif de certification contre tout accès non autorisé 2) L'organisation vérifie l identité de tout acteur demandant la signature d'un certificat (et s'assure qu'un seul certificat lui est délivré pour une utilisation donnée en un temps donné) 3) L'organisation ne transfère pas son pouvoir de certification à un tiers. Comme nous le verrons ci-après, ces trois objectifs ne sont pas atteints dans tous les cas. La protection du dispositif de certification Les internautes et les entreprises oublient parfois que les tiers de confiance mentionnés plus haut sont contrôlés pour la bonne tenue de leur comptabilité mais pas nécessairement pour la sécurité de leur réseau informatique. Ainsi a-t-on pu par exemple apprendre que les autorités de certification Comodo, Diginotar, et tout récemment Verisign, avaient été compromises en 2010 et Les attaques n'ont malheureusement pas encore pu être imputées au spectre ultrasophistiqué de la «menace APT», certaines sont revendiquées par un pirate isolé[2]. Dans d'autres cas, les systèmes présentaient des défaillances majeures en matière de sécurisation[3]. Obtenir la signature d'un certificat SSL suite à un contrôle d'identité Les autorités de certification proposent divers niveau de reconnaissance d un certificat, allant du simple formulaire envoyé par à la vérification de pièces d identité notariées combinée à l examen des registres de commerce de l entité concernée. Ainsi, une communication «sécurisée SSL» sous-entend déjà aujourd hui différents niveaux de contrôle allant du simple certificat de service signé sans vérification approfondie à la vérification étendue (EV SSL certificate), en passant par les certificats multiservices. - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 6 / 12

7 Le transfert du pouvoir de certification Les protocoles SSL/TLS, combinés au modèle des tiers de confiance ont pour but historique de rendre difficile une interception de données en circulation grâce à la combinaison de trois mesures: les données circulent de façon chiffrée (confidentialité), les données atteignent leur destination dans le même état qu à leur envoi (intégrité) et l'identité d'au moins l une des deux parties est vérifiée par un tiers de confiance (authentification). Considérant cela, le tiers de confiance doit ainsi s assurer qu aucun acteur n aura la possibilité de générer des certificats électroniques en son nom. En d'autres termes: il doit s assurer que sa PKI (infrastructure de clés publiques) ne puisse ni être imitée ni volée. Finalement, il ne doit tout simplement pas la mettre à disposition d'un tiers qui lui-même ne se sera pas engagé à atteindre les trois objectifs mentionnés précédemment. Le cas Trustwave et son outil DLP En plus de fournir des prestations de service et des produits de sécurité informatique, Trustwave fait également office d'autorité de certification (les certificat racines sont visibles dans nos systèmes sous le nom "SecureTrust"). Il a été reproché à Trustwave d avoir vendu un dispositif d interception dynamique des télécommunications chiffrées via SSL. Traduction: ce dispositif peut générer des certificats signés par un tiers de confiance (donc, réputés valables aux yeux d'un navigateur web) à la volée, au fil des échanges initiés par les utilisateurs. Sous une telle configuration, un utilisateur accédant par exemple au site via un lien "https" croira, à tort, qu'un échange confidentiel est en cours, alors que toute la transaction est observée en clair par le dispositif. On le devine: l'outil est présenté commercialement pour la vocation louable d'accompagner les organisations à se prémunir contre les tentatives de vol et les fuites accidentelles de documents. Accessoirement, l'outil offre surtout la possibilité d'ausculter le contenu de toute communication établie entre deux parties quelconques au moyen du protocole SSL, y compris les échanges privés. En plaçant un tel produit sur le marché, l'entreprise Trustwave aurait ainsi contrevenu à son obligation de ne pas transférer le pouvoir de signature à un tiers (dont l'identité n'a d'ailleurs pas été révélée au public au moment de la rédaction). Mesures envisagées Constatant la croissance du nombre de mentions du cas sur Twitter, Trustwave a rapidement pris position le 4 février dernier. L'entreprise précise dans son communiqué qu'en raison des griefs qui lui sont reprochés, elle ne produira plus de dispositifs de ce type à l'avenir[4]. Trois jours plus tard (7 février), l'information est relayée dans le système de gestion des changements de la fondation Mozilla, éditeur entre autres du navigateur web Firefox. La demande de correction préconise le retrait immédiat du certificat racine de Trustwave de tous les produits de la fondation[5]. Le changement ne sera finalement pas effectué, non pas sans débats... Une telle action aurait eu pour effet de déclencher l'affichage d'un écran d'avertissement aux utilisateurs d'un navigateur Firefox à jour lorsqu'ils tentent d'interagir avec un serveur web dont le certificat est signé par Trustwave. La proposition a un but clairement disciplinaire: faire du cas Trustwave un exemple pour les autres autorités de certification qui songeraient à mettre en vente des produits similaires. A défaut d'être appliquée, elle s'est muée en un avertissement particulièrement clair[6] à l'attention des autorités de certification qui auraient dans l'idée éventuelle de se lancer dans ce type d'activité. - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 7 / 12

8 Cela n'aurait pas été la première fois qu'un éditeur majeur profite de sa position centrale pour effectuer une révocation autrement que par le procédé initialement prévu par l'infrastructure (contrôle OCSP). En août dernier, les éditeurs Mozilla, Apple, Microsoft et Google avaient tous les quatre révoqué les certificats de l'autorité de certification Diginotar suite à l'annonce de la compromission de ses systèmes et de sa PKI[7]. Un mois plus tard, Diginotar déposait son bilan et annonçait sa faillite[8] au registre de commerce... Quels enjeux? L'exploitation commerciale des technologies d'analyse dynamique de flux SSL met en exergue de multiples problématiques, tant pour les organisations que les individus et la sécurité sur le web en général: - Que deviennent les certificats générés par ces dispositifs? Qui y a accès? Qui conserve une trace des connexions dont les entités ont été usurpés? - Les contenus analysés ont-ils été enregistrés? Si oui, à quelles contraintes d'accès sont-il soumis? Sont-ils corrélés avec d'autres bases de données? - Quelles sont les implications lorsqu'une organisation soumise à de fortes contraintes réglementaires imposées par la branche sait désormais que les flux établis avec ses clients ou partenaires ne sont plus confidentiels? - Idem pour les contraintes imposées par les lois sur la protection des données personnelles? - L'organisation acquérant un tel dispositif est-elle prête à gérer le dommage collatéral éventuel sur sa réputation ou sa relation avec les autorités? [cas actuel: l'éditeur Apple doit actuellement justifier devant le Sénat américain pourquoi les développeurs d'applications mobiles n'ont pas été contraints d'annoncer aux utilisateurs que leurs listes de contacts étaient transmises à l'éditeur.] - Quelle gouvernance est-elle proposée par les Etats pour éviter des dérives? - etc. L'enjeu majeur: économique, politique et civique La présence de technologies d'analyse dynamique de flux SSL sur le marché créé des tensions entre quatre acteurs mués par des intérêts parfois divergents. En premier lieu, les organisations, gouvernementales ou privées, petites ou grandes, qui souhaitent pouvoir s'offrir le luxe de briser la confidentialité des communications de leurs citoyens, ou collaborateurs, sans qu'ils ne s'en aperçoivent. Ces outils sont une aubaine: ils permettent ainsi aux entreprises d'analyser toute forme de communication établie par leurs collaborateurs, même privée, et de détecter la présence éventuelle de contenus perçus comme des menaces pour l'avenir de l'activité. Les gouvernements sont eux aussi particulièrement demandeurs de cette technologie, en particulier les Etats dans lesquels les libertés d'expression, d'opinion, d'accès à l'information et de la presse sont perçues comme des composantes hostiles à la bonne continuité du gouvernement au pouvoir... N'oublions pas toutefois que l'utilisation de ces technologies reste légitimement envisageable dans d'autres contextes: rechercher des criminels, lutter contre les vols de données d'entreprises, se prémunir des actes de vengeance et des erreurs ou distractions humaines, détecter des complots contre des personnalités, la préparation d'actes terroristes, lutter contre le trafic d'informations stratégiques, démanteler les réseaux d'échange de documents illégaux et - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 8 / 12

9 lutter contre la criminalité organisée sont toutes des activités bénéficiant aujourd'hui de la démocratisation des outils proposant des télécommunications chiffrées. En second lieu, les éditeurs de solutions de sécurité, attirés par des perspectives financières évidentes. La technologie d'interception dynamique de flux SSL est d'une haute simplicité et ne requiert aucune innovation particulière: la simplicité était l'un des objectifs attendus du modèle de chiffrement à clés publiques et les tiers de confiance. La barrière à l'entrée est très contraignante pour tout autre acteur que les tiers de confiance: ces derniers sont reconnus par tous les systèmes informatiques et peuvent ainsi pénétrer ce marché en position avantagée. Finalement, les perspectives financières sont motivantes: les organisations intéressées par ces technologies sont en général prêtes à débourser plusieurs centaines de milliers, voire millions, de francs pour y accéder [voir le bulletin #002 abordant les salons d'exposition où ces solutions d'interception sont présentées à des gouvernements et des grandes organisations]. Deux autres acteurs font pression eux aussi, dans l'autre direction cette fois. Tout d'abord, les éditeurs Microsoft, Google, Mozilla et Apple, dont les produits dominent largement l'accès à des contenus sur Internet. Ces éditeurs sont en position de force sur le poste de travail tant professionnel que personnel, fixe ou mobile, car leurs outils contrôlent la liste exacte des autorités de certification que les navigateurs considèrent comme fiables. Cette configuration leur donne le pouvoir de révoquer à tout moment, à l'échelle mondiale, un certificat signataire qui aurait été déployé dans l'un des boîtiers mentionnés plus haut. [C'est ce que l'on appelle plus communément un kill-switch, et le sujet sera prochainement abordé en détail.] Finalement, nous avons les utilisateurs, qui ont tendance à porter la double casquette de citoyen et de collaborateur. Si la grande majorité des utilisateurs de terminaux informatiques ne s'inquiète aucunement de savoir si ses libertés sont bafouées par leur employeur ou leur pays, une minorité de personnes voit tout cela d'un autre œil. Le contexte menaçant a été accentué par la démocratisation du cyberactivisme et des réseaux sociaux: cette minorité de personnes peut aujourd'hui accéder à des informations confidentielles et aussitôt activer des outils à effet de levier permettant d'alerter l'opinion publique très rapidement et à l'échelle mondiale. Tout cela en étant bien entendu appuyés par des réglementations et lois sur la protection des données personnelles de plus en plus contraignantes pour les organisations. Le cas Trustwave est ainsi exemplaire: l'organisation aurait pu il y a encore peu d'années déployer sa solution dans des organisations sans que quiconque ne réagisse ou ne soit entendu. Aujourd'hui, c'est plutôt la vitesse à laquelle Trustwave a réagi pour confronter les internautes (et ses investisseurs) qui lui a probablement permis d'éviter le bannissement des autorités de certification admises. La configuration actuelle de ces quatre acteurs offre un certain répit aux individus souhaitant conserver un minimum de confidentialité dans leurs communications. Il est évident que les éditeurs des navigateurs web jouent aujourd'hui un rôle central dans la protection des échanges entre fournisseurs, consommateurs, collaborateurs, personnes ou citoyens. Cette dynamique pourrait toutefois vaciller si l'un de ces éditeurs était amené à changer sa position, en réponse à des perspectives financières motivantes ou, plus probablement, sous la contrainte de lois plusieurs sénats et parlements tentent aujourd'hui de ratifier... Faut-il vraiment acquérir ce dispositif pour intercepter les flux SSL? - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 9 / 12

10 Contrairement à ce que l'on pourrait penser: l'interception dynamique de flux SSL ne nécessite pas l'acquisition d'un tel outil[9]. Le cas Trustwave n'a fait que révéler une dérive vers laquelle un tiers de confiance peut être amené à se diriger à des fins commerciales. Il a accessoirement permis de porter l'attention sur un problème identifié depuis longtemps: personne ne les surveille vraiment. Un cas d'école est le dispositif Active Directory que l'on voit déployé dans la majorité des organisations exploitant des postes de travail sur le système Windows. L'adhésion d'un poste de travail à un réseau Active Directory déclenche l'installation du certificat de l'entreprise au sein de la liste des tiers de confiance du poste de travail. Cette démarche préalable est une composante essentielle de la sécurité des réseaux Active Directory pour l'obtention de flux confidentiels et l'authentification des tickets d'accès à des ressources protégées dans une organisation. Par extension, cette machinerie permet à l'entreprise d'intercepter n'importe quel flux web sécurisé grâce à la génération et la signature dynamiques d'un certificat qui ne fera pas apparaître une alerte à l'écran de l'utilisateur. L'incompréhension générale des fondamentaux techniques et technologiques autour des communications chiffrées est probablement la seule raison pour laquelle ce mécanisme n'est encore que très rarement utilisé par les organisations... Une approche bien plus compliquée si l'on ne dispose d'aucun contrôle du poste de travail de l'utilisateur est de forger le certificat présenté à l'utilisateur. Heureusement, c'est réputé impossible dans un délai acceptable, pour autant que l'interlocuteur a correctement configuré SSL sur ses serveurs[10]. L'on pourrait être amené à penser le contraire lorsque des chercheurs du laboratoire de cryptologie algorithmique de l'epfl nous annoncent que quatre certificats SSL sur dix mille n'offrent quasiment aucune sécurité[11] et que la presse appuie droit derrière en affirmant haut et fort que le protocole SSL a été cassé[12][13]. Il reste finalement, et bien entendu, la technique "iranienne", qui consiste tout simplement à empêcher l'établissement de flux SSL à l'échelle nationale. Les utilisateurs se retrouvent dès lors contraints d'utiliser des canaux de communication en clair, remettant ainsi leur panoplie de mots de passes ultra complexes à leur gouvernement...[14] Quelles mesures pour empêcher l'interception? La défense est essentiellement motivée à deux niveaux: l'individu, en premier lieu, qui cherchera à protéger ses communications contre des abus de surveillance par leur employeur ou leur gouvernement. En second lieu, les entreprises, qui chercheront à se prémunir contre des interceptions par des acteurs disposant de moyens bien plus importants, tels que les gouvernements soutenant l'activité économique interne par des actions assimilables à de la guerre d'information ou économique. Du côté de l'individu, le seul moyen potentiellement fiable à ce jour pour se prémunir contre cette catégorie de menaces est de procéder lui-même à la validation des certificats SSL. L'approche quelque peu extrême est de retirer tous les certificats des tiers de confiance et ne conserver que ceux spécifiques aux éditeurs du système et des logiciels de sécurité (pour l'installation de binaires et les mises à jours), ainsi que les certificats de chaque serveur web avec lequel il souhaite interagir confidentiellement. Il est ainsi préférable de récupérer les certificats présentés par les services régulièrement consultés: banque, réseau social, messagerie en ligne, etc. et de les installer manuellement dans le poste de travail. En cas d'un attaque man- - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 10 / 12

11 in-the-middle soutenue par un certificat apparemment valide, le client sera toujours en mesure de déceler une tentative d'usurpation. Du point de vue des entreprises, la contremesure repose essentiellement sur des réseaux de confiance (des entreprises signent mutuellement les certificats des services utilisés en commun), une tendance nouvelle, mais porteuse. Le protocole DNS renforcé, DNSSEC, offre lui la possibilité pour l'organisation d'inscrire les empreintes numériques des certificats de ses serveurs au sein de ses enregistrements DNS[15]. Une option intéressante, mais qui ne déploie ses bénéfices que si les organisations l'adoptent collectivement. Pour conclure Aussi inquiétante que puisse sembler l'affaire Trustwave, le cas traité dans un contexte plus global est plutôt rassurant. En particulier car il révèle la présence de garde-fous à plusieurs échelons du système de confiance dans les télécommunications. En premier lieu, les auditeurs, qui ont alerté la Direction de l'organisation après avoir constaté le problème dans ses systèmes et les enjeux qu'il comportait. Des collaborateurs impliqués, qui ont fini par relayer l'information au public, tout en protégeant, à ce jour, l'identité de leur employeur. La fondation Mozilla, dont l'avertissement aux autorités de certification joue actuellement le rôle de garant de confidentialité pour les individus (plus de 360 millions d'utilisateurs actifs). Finalement, l'entreprise Trustwave qui, si l'on peut en croire la bonne foi dans son communiqué officiel, s'est engagée à invalider le certificat signataire placé dans le dispositif et à se retirer de ce marché. 1: 2: 3: 4: 5: https://bugzilla.mozilla.org/show_bug.cgi?id= : Issuing-MITM-SSL-Certs / 7: 8: 9: 10: 11: 12: 13: tem?taxonomyid=85 14: 15: FIN/# Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 11 / 12

12 Conditions et tarifs: - Inscription : envoyer un avec sujet "inscription texte" ou "inscription PDF" à - Désinscription: envoyer un avec sujet "désinscription" à - Le bulletin est publié sur deux semaines après sa diffusion par - Tarif: gratuit Données sur les abonnements et abonnés: - Mesures de confidentialité: best effort, liste d'abonnés stockée sur conteneur chiffré, envois en copie carbone - Eléments conservés: uniquement adresse et date d'inscription/désinscription - Diffusion: aucune (sauf cas de force majeure ou distraction exceptionnelle) - Suppression: sur demande, par à - Tiers identifiés: fournisseurs d'accès (envoi des bulletins en clair, par courrier électronique) - Ce document est diffusé sous licence Creative Commons CC-BY-NC-SA 12 / 12

SÉCURISEZ LE TRAITEMENT DES PAIEMENTS AVEC KASPERSKY FRAUD PREVENTION. #EnterpriseSec http://www.kaspersky.com/fr/entreprise-securite-it/

SÉCURISEZ LE TRAITEMENT DES PAIEMENTS AVEC KASPERSKY FRAUD PREVENTION. #EnterpriseSec http://www.kaspersky.com/fr/entreprise-securite-it/ SÉCURISEZ LE TRAITEMENT DES PAIEMENTS AVEC KASPERSKY FRAUD PREVENTION #EnterpriseSec http://www.kaspersky.com/fr/entreprise-securite-it/ Aujourd'hui, les clients des banques peuvent effectuer la plupart

Plus en détail

Comment votre PC peut-il être piraté sur Internet?

Comment votre PC peut-il être piraté sur Internet? Edited By BIANCHI Lorenzo A.C.S2013SERVICES INFORMATIQUE 2014 Comment votre PC peut-il être piraté sur Internet? Comment votre PC peut-il être piraté sur Internet? Toujours le fait de personnes malveillantes,

Plus en détail

Exigences de contrôle pour les fournisseurs externes

Exigences de contrôle pour les fournisseurs externes Exigences de contrôle pour les fournisseurs externes Cybersécurité Pour les fournisseurs à cyber-risque faible Exigences de cybersécurité 1. Protection des actifs et configuration des systèmes Les données

Plus en détail

Installation et utilisation d'un certificat

Installation et utilisation d'un certificat 1 IceWarp Merak Mail Server Installation et utilisation d'un certificat Icewarp France octobre 2007 2 Icewarp Merak Mail Serveur : Guide de mises à jour à la version 9 Sommaire Introduction...3 Situation

Plus en détail

Le rôle Serveur NPS et Protection d accès réseau

Le rôle Serveur NPS et Protection d accès réseau Le rôle Serveur NPS et Protection d accès réseau 1 Vue d'ensemble du module Installation et configuration d'un serveur NPS Configuration de clients et de serveurs RADIUS Méthodes d'authentification NPS

Plus en détail

Kaspersky Fraud Prevention for Endpoints

Kaspersky Fraud Prevention for Endpoints Kaspersky Fraud Prevention for Endpoints www.kaspersky.fr KASPERSKY FRAUD PREVENTION 1. Techniques d attaque du système bancaire en ligne L'appât du gain constitue la principale motivation de la cyber-criminalité.

Plus en détail

PCI (Payment Card Industry) DSS (Data Security Standard )

PCI (Payment Card Industry) DSS (Data Security Standard ) PCI (Payment Card Industry) DSS (Data Security Standard ) Jean-Marc Robert Génie logiciel et des TI PCI-DSS La norme PCI (Payment Card Industry) DSS (Data Security Standard) a été développée dans le but

Plus en détail

Charte informatique. Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités.

Charte informatique. Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités. Charte informatique Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités. Préambule L'entreprise < NOM > met en œuvre un système d'information et

Plus en détail

Faille dans Internet Explorer 7

Faille dans Internet Explorer 7 Janvier Faille dans Internet Explorer 7 Une faille a été découverte dans le nouveau navigateur, celle-ci permettrait à un pirate d'insérer du code malicieux. Lorsque le navigateur est lancé, des DLL sont

Plus en détail

Tableau Online Sécurité dans le cloud

Tableau Online Sécurité dans le cloud Tableau Online Sécurité dans le cloud Auteur : Ellie Fields Ellie Fields, directrice principale du marketing produits, Tableau Software Juin 2013 p.2 Tableau est conscient que les données font partie des

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE Définitions : Dernière version en date du 11 avril 2011 Activation du Service : L activation du Service intervient à compter de la validation

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI. Dernière version en date du 07/11/2013

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI. Dernière version en date du 07/11/2013 CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI ARTICLE 1 : OBJET Dernière version en date du 07/11/2013 Les présentes conditions particulières, complétant les conditions générales de services

Plus en détail

Code Signing THAWTE EST UN FOURNISSEUR MONDIAL MAJEUR DE CERTIFICATS DE CODE SIGNING

Code Signing THAWTE EST UN FOURNISSEUR MONDIAL MAJEUR DE CERTIFICATS DE CODE SIGNING Code Signing THAWTE EST UN FOURNISSEUR MONDIAL MAJEUR DE CERTIFICATS DE CODE SIGNING code signing...1 Qu est-ce que le Code Signing?...1 À quoi sert le Code Signing?...1 Ce que le Code Signing ne fait

Plus en détail

Contrat d'hébergement application ERP/CRM - Dolihosting

Contrat d'hébergement application ERP/CRM - Dolihosting Date 30/10/13 Page 1/6 Contrat d'hébergement application ERP/CRM - Dolihosting Le présent contrat est conclu entre vous, personne physique ou morale désignée ci-après le client et ATERNATIK dont le numéro

Plus en détail

F-Secure Anti-Virus for Mac 2015

F-Secure Anti-Virus for Mac 2015 F-Secure Anti-Virus for Mac 2015 2 Sommaire F-Secure Anti-Virus for Mac 2015 Sommaire Chapitre 1: Prise en main...3 1.1 Gestion des abonnements...4 1.2 Comment m'assurer que mon ordinateur est protégé...4

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE OFFRE CORPORATE

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE OFFRE CORPORATE CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE OFFRE CORPORATE Définitions : Dernière version en date du 21 Avril 2011 Activation du Service : L activation du Service intervient à compter

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS CLOUD. API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services.

CONDITIONS PARTICULIERES SOLUTIONS CLOUD. API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services. CONDITIONS PARTICULIERES SOLUTIONS CLOUD VERSION GAMMA Dernière version en date du 06/12/2011 Définitions : API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services.

Plus en détail

THEGREENBOW FIREWALL DISTRIBUE TGB::BOB! Pro. Spécifications techniques

THEGREENBOW FIREWALL DISTRIBUE TGB::BOB! Pro. Spécifications techniques THEGREENBOW FIREWALL DISTRIBUE TGB::! Pro Spécifications techniques SISTECH SA THEGREENBOW 28 rue de Caumartin 75009 Paris Tel.: 01.43.12.39.37 Fax.:01.43.12.55.44 E-mail: info@thegreenbow.fr Web: www.thegreenbow.fr

Plus en détail

Guide d'inscription pour obtenir un certificat ssl thawte

Guide d'inscription pour obtenir un certificat ssl thawte Guide d'inscription pour obtenir un certificat ssl thawte Sommaire Guide d inscription pour obtenir un certificat SSL Thawte 1 7 étapes simples 1 Avant de commencer 1 Soumettre votre demande d'inscription

Plus en détail

cddb.ch/bulletin Cybersécurité et Menaces sur Internet #002 16 novembre 2011

cddb.ch/bulletin Cybersécurité et Menaces sur Internet #002 16 novembre 2011 cddb.ch/bulletin Cybersécurité et Menaces sur Internet #002 16 novembre 2011 Sommaire 1. Chevaux de Troie: à disposition de la police cantonale vaudoise?... 1 2. Sécurité logicielle: regards tournés sur

Plus en détail

C.III. LA CYBERADMINISTRATION MOBILE : RAPPORT D EXPERIENCE DE L OPERATION SMS-GEVOTE : EXPERIENCE. C.III.1. Cadre de l opération :

C.III. LA CYBERADMINISTRATION MOBILE : RAPPORT D EXPERIENCE DE L OPERATION SMS-GEVOTE : EXPERIENCE. C.III.1. Cadre de l opération : C.III. LA CYBERADMINISTRATION MOBILE : RAPPORT D EXPERIENCE DE L OPERATION SMS-GEVOTE : EXPERIENCE PILOTE D INFORMATION PAR SMS C.III.1. Cadre de l opération : Cette première expérience a été réalisée

Plus en détail

Symantec Protection Suite Enterprise Edition Protection éprouvée pour les terminaux, la messagerie et les environnements Web

Symantec Protection Suite Enterprise Edition Protection éprouvée pour les terminaux, la messagerie et les environnements Web Fiche technique: Sécurité des terminaux Protection éprouvée pour les terminaux, la messagerie et les environnements Web Présentation permet de créer un environnement (terminaux, messagerie et Web) protégé

Plus en détail

CONDITIONS PARTICULIÈRES HÉBERGEMENT BLUE MIND

CONDITIONS PARTICULIÈRES HÉBERGEMENT BLUE MIND CONDITIONS PARTICULIÈRES HÉBERGEMENT BLUE MIND Version en date du 1/06/2015 ARTICLE 1 : OBJET Les présentes conditions particulières, complétant les conditions générales de service de PHOSPHORE SI, ont

Plus en détail

Présentation du référentiel PCI-DSS

Présentation du référentiel PCI-DSS Présentation du référentiel PCI-DSS Hervé Hosy herve.hosy@oppida.fr 06.03.51.96.66 Page 1 Agenda Référentiel PCI-DSS Contexte Structure du référentiel Lien avec les normes ISO 270xx 2 Contexte Page 3 Contexte

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE Version en date du 22/04/2014 RCS Chartres 807 381 157 Code APE 6202B Page 1 sur 6 ARTICLE 1 : OBJET DU DOCUMENT Les présentes conditions particulières,

Plus en détail

Les stratégies de restrictions Logicielles

Les stratégies de restrictions Logicielles Les stratégies de restrictions Logicielles Guillaume DESFARGES Laboratoire Supinfo des Technologies Microsoft The Moderator Présentation Dans un environnement d'entreprise, les utilisateurs sont rarement

Plus en détail

Guide d'initiation aux. certificats SSL. Faire le bon choix parmi les options qui s'offrent à vous en matière de sécurité en ligne. Document technique

Guide d'initiation aux. certificats SSL. Faire le bon choix parmi les options qui s'offrent à vous en matière de sécurité en ligne. Document technique Document technique : Guide d'initiation aux certificats ssl Document technique Guide d'initiation aux certificats SSL Faire le bon choix parmi les options qui s'offrent à vous en matière de sécurité en

Plus en détail

Enseignement à l'initiative de l'établissement. Classe de Seconde Professionnelle

Enseignement à l'initiative de l'établissement. Classe de Seconde Professionnelle Enseignement à l'initiative de l'établissement Classe de Seconde Professionnelle ----------------------------------------------------------------------- Sensibilisation à l'usage Citoyen des Nouvelles

Plus en détail

Middleware eid v2.6 pour Windows

Middleware eid v2.6 pour Windows Manuel d'utilisation Middleware eid v2.6 page 1 de 19 Table des matières Introduction...3 Installation...4 Les éléments du logiciel eid...6 Module pour la zone de notification dans la barre des tâches...7

Plus en détail

KASPERSKY SECURITY FOR BUSINESS

KASPERSKY SECURITY FOR BUSINESS KASPERSKY SECURITY FOR BUSINESS IDENTIFIER. CONTRÔLER. PROTÉGER. Guide de migration RENOUVELLEMENTS ET MISES À NIVEAU DES LICENCES : Guide de migration PRÉSENTATION DE LA NOUVELLE GAMME ENDPOINT SECURITY

Plus en détail

Chiffrement : Échanger et transporter ses données en toute sécurité

Chiffrement : Échanger et transporter ses données en toute sécurité Chiffrement : Échanger et transporter ses données en toute sécurité Septembre 2014 Chiffrement : Confidentialité des données Malgré les déclarations de Google et autres acteurs du Net sur les questions

Plus en détail

La prévention contre la perte de données (DLP) de Websense offre à votre entreprise les outils dont elle a besoin. Websense TRITON AP-DATA

La prévention contre la perte de données (DLP) de Websense offre à votre entreprise les outils dont elle a besoin. Websense TRITON AP-DATA TRITON AP-DATA Mettez un terme au vol et à la perte de données, respectez les exigences de conformité et préservez votre marque, votre réputation et votre propriété intellectuelle. Entre une réputation

Plus en détail

Aide en ligne du portail

Aide en ligne du portail Connectivity 3SKey Aide en ligne du portail Ce fichier d'aide décrit les fonctions du portail 3SKey (clé de signature sécurisée SWIFT). 11 juin 2011 3SKey Table des matières 1 Portail 3SKey... 3 1.1 Fonctions

Plus en détail

Chapitre 1 : Introduction aux bases de données

Chapitre 1 : Introduction aux bases de données Chapitre 1 : Introduction aux bases de données Les Bases de Données occupent aujourd'hui une place de plus en plus importante dans les systèmes informatiques. Les Systèmes de Gestion de Bases de Données

Plus en détail

Les principes de la sécurité

Les principes de la sécurité Les principes de la sécurité Critères fondamentaux Master 2 Professionnel Informatique 1 Introduction La sécurité informatique est un domaine vaste qui peut appréhender dans plusieurs domaines Les systèmes

Plus en détail

[ Sécurisation des canaux de communication

[ Sécurisation des canaux de communication 2014 ISTA HAY RIAD FORMATRICE BENSAJJAY FATIHA OFPPT [ Sécurisation des canaux de communication Protocole IPsec] Table des matières 1. Utilisation du protocole IPsec... 2 2. Modes IPsec... 3 3. Stratégies

Plus en détail

Configurer son courrier électrique avec votre compte Abicom

Configurer son courrier électrique avec votre compte Abicom Configurer son courrier électrique avec votre compte Abicom De tous les services Internet, l'échange de courrier électronique est probablement le plus populaire et plus vieil outil de communication encore

Plus en détail

Sécurité et «Cloud computing»

Sécurité et «Cloud computing» Sécurité et «Cloud computing» Roger Halbheer, conseiller en chef pour la sécurité, secteur public, EMEA Doug Cavit, conseiller principal pour la stratégie de sécurité, Trustworthy Computing, États-Unis

Plus en détail

PMI PLACE DE MARCHE INTERMINISTERIELLE GUIDE D'UTILISATION UTILISATEUR OPERATEUR ECONOMIQUE

PMI PLACE DE MARCHE INTERMINISTERIELLE GUIDE D'UTILISATION UTILISATEUR OPERATEUR ECONOMIQUE PMI PLACE DE MARCHE INTERMINISTERIELLE GUIDE D'UTILISATION UTILISATEUR OPERATEUR ECONOMIQUE ETAT tous droits réservés Page 1 sur 30 Table des matières 1 PRESENTATION DU GUIDE D'UTILISATION...4 1.1 Introduction...4

Plus en détail

portnox pour un contrôle amélioré des accès réseau Copyright 2008 Access Layers. Tous droits réservés.

portnox pour un contrôle amélioré des accès réseau Copyright 2008 Access Layers. Tous droits réservés. portnox Livre blanc réseau Janvier 2008 Access Layers portnox pour un contrôle amélioré des accès access layers Copyright 2008 Access Layers. Tous droits réservés. Table des matières Introduction 2 Contrôle

Plus en détail

Fiche conseils sur la cybersécurité destinée aux consommateurs Navigation sécuritaire

Fiche conseils sur la cybersécurité destinée aux consommateurs Navigation sécuritaire Fiche conseils sur la cybersécurité destinée aux consommateurs Navigation sécuritaire Visiter des sites Web est l activité la plus élémentaire sur Internet. Ce faisant, selon qu'on soit prudent et bien

Plus en détail

Guide de l'utilisateur de l'application mobile

Guide de l'utilisateur de l'application mobile Guide de l'utilisateur de l'application mobile Avis de droit d'auteur Copyright Acronis International GmbH, 2002-2012. Tous droits réservés. «Acronis», «Acronis Compute with Confidence», «Acronis Recovery

Plus en détail

Bee Ware. Cible de Sécurité CSPN. Validation Fonctionnelle Validation Fonctionnelle Bon pour application AMOA BEEWARE BEEWARE

Bee Ware. Cible de Sécurité CSPN. Validation Fonctionnelle Validation Fonctionnelle Bon pour application AMOA BEEWARE BEEWARE Référence : BNX_Cible-de-sécurité_CSPN Version : 1.3 Etat : A valider Date : Affaire/projet : Client : BEE WARE Classification : Diffusion projet Bee Ware i-suite Cible de Sécurité CSPN Validation Fonctionnelle

Plus en détail

Manuel de l'utilisateur d'intego VirusBarrier Express et VirusBarrier Plus

Manuel de l'utilisateur d'intego VirusBarrier Express et VirusBarrier Plus Manuel de l'utilisateur d'intego VirusBarrier Express et VirusBarrier Plus Bienvenue dans le manuel de l'utilisateur d'intego VirusBarrier Express et VirusBarrier Plus. VirusBarrier Express est un outil

Plus en détail

CODE DE CONDUITE HEBERGEMENT (CCH) Procédure de notification et de retrait de contenu illicite

CODE DE CONDUITE HEBERGEMENT (CCH) Procédure de notification et de retrait de contenu illicite CODE DE CONDUITE HEBERGEMENT (CCH) Procédure de notification et de retrait de contenu illicite PREAMBULE La simsa swiss internet industry association a élaboré le présent Code de conduite Hébergement (ci-après

Plus en détail

Protection exhaustive de réseau corporate, optimisation de trafic Internet, administration flexible

Protection exhaustive de réseau corporate, optimisation de trafic Internet, administration flexible Protection exhaustive de réseau corporate, optimisation de trafic Internet, administration flexible ÉVENTAIL DES UTILISATIONS Internet représente une part significative des affaires aujourd'hui. L'utilisation

Plus en détail

Surveillance stratégique des programmes malveillants avec Nessus, PVS et LCE

Surveillance stratégique des programmes malveillants avec Nessus, PVS et LCE Surveillance stratégique des programmes malveillants avec Nessus, PVS et LCE 19 mars 2013 (Révision 3) Sommaire Présentation 3 Nessus 3 Détection des programmes malveillants... 3 Détection des réseaux

Plus en détail

Tutoriel d'introduction à TOR. v 1.0

Tutoriel d'introduction à TOR. v 1.0 Tutoriel d'introduction à TOR. v 1.0 1. Qu'est-ce que TOR 2. Quel est le principe de fonctionnement de TOR? 3. Comment utiliser TOR pour naviguer anonymement? 4. Comment aider (en seulement quelques clics)

Plus en détail

Sécurisation des accès Internet dans les écoles primaires. de l'académie de LIMOGES. Solution académique de filtrage des accès aux contenus du web

Sécurisation des accès Internet dans les écoles primaires. de l'académie de LIMOGES. Solution académique de filtrage des accès aux contenus du web Sécurisation des accès Internet dans les écoles primaires de l'académie de LIMOGES Solution académique de filtrage des accès aux contenus du web Paramétrage du Proxy Ecole Académique sur les stations de

Plus en détail

PORTAIL INTERNET DE LA GESTION PUBLIQUE Guide d'utilisation du Portail Internet de la Gestion Publique

PORTAIL INTERNET DE LA GESTION PUBLIQUE Guide d'utilisation du Portail Internet de la Gestion Publique PORTAIL INTERNET DE LA GESTION PUBLIQUE Guide d'utilisation du Portail Internet de la Gestion Publique Cette documentation s'adresse aux utilisateurs travaillant avec le navigateur Internet Explorer et

Plus en détail

Conformité PCI DSS. Réduire les risques en gérant les identités et les accès. white paper

Conformité PCI DSS. Réduire les risques en gérant les identités et les accès. white paper Conformité PCI DSS Réduire les risques en gérant les identités et les accès Ce livre blanc explique comment la suite IAM d Evidian peut vous aider à vous conformer aux exigences PCI DSS. white paper 39

Plus en détail

Un point de vue technique sur la loi Internet et création

Un point de vue technique sur la loi Internet et création Un point de vue technique sur la loi Internet et création Fabrice Le Fessant Expert des systèmes distribués et des réseaux pair-à-pair Chercheur à l INRIA Saclay - Île-de-France (Institut National de Recherche

Plus en détail

Sécurisez des Transferts de Données en Ligne avec SSL Un guide pour comprendre les certificats SSL, comment ils fonctionnent et leur application 1. Aperçu 2. Qu'est-ce que le SSL? 3. Comment savoir si

Plus en détail

Sage CRM. 7.2 Guide de Portail Client

Sage CRM. 7.2 Guide de Portail Client Sage CRM 7.2 Guide de Portail Client Copyright 2013 Sage Technologies Limited, éditeur de ce produit. Tous droits réservés. Il est interdit de copier, photocopier, reproduire, traduire, copier sur microfilm,

Plus en détail

USERGATE PROXY & FIREWALL. Protection exhaustive de réseau corporate, optimisation de trafic Internet, administration flexible

USERGATE PROXY & FIREWALL. Protection exhaustive de réseau corporate, optimisation de trafic Internet, administration flexible USERGATE PROXY & FIREWALL Protection exhaustive de réseau corporate, optimisation de trafic Internet, administration flexible ÉVENTAIL DES UTILISATIONS Internet représente une part significative des affaires

Plus en détail

CONDITIONS PARTICULIERES MINICL0UD

CONDITIONS PARTICULIERES MINICL0UD O V H CONDITIONS PARTICULIERES MINICL0UD Dernière version en date du 27 Mai 2010 Définitions : Cloud : Technologie visant à l'utilisation à distance de ressources d'exécution et de stockage. Manager minicloud

Plus en détail

Fiche de l'awt La sécurité informatique

Fiche de l'awt La sécurité informatique Fiche de l'awt La sécurité informatique La sécurité informatique est essentielle pour l'entreprise, particulièrement dans le contexte de l'ebusiness: définition, dangers, coûts, outils disponibles Créée

Plus en détail

Manuel d'utilisation de Phone Link

Manuel d'utilisation de Phone Link Manuel d'utilisation de Phone Link Copyright 2003 Palm, Inc. Tous droits réservés. Le logo Palm et HotSync sont des marques déposées de Palm, Inc. Le logo HotSync et Palm sont des marques commerciales

Plus en détail

Pour révoquer un Gestionnaire des Certificats : le Représentant Légal utilise la fiche n 2A en cochant la case appropriée.

Pour révoquer un Gestionnaire des Certificats : le Représentant Légal utilise la fiche n 2A en cochant la case appropriée. Fiches version 3.2 au 1 er mars 05 FICHES CLIENT CA CERTIFICAT GUIDE D UTILISATION Les fiches opérationnelles : Les fiches opérationnelles CA Certificat ci-après sont au nombre de 6 : 1. fiche d identification

Plus en détail

Vu la demande de l'agentschap Binnenlands Bestuur, reçue le 24/02/2012 ;

Vu la demande de l'agentschap Binnenlands Bestuur, reçue le 24/02/2012 ; 1/7 Comité sectoriel du Registre national Délibération RN n 39/2012 du 9 mai 2012 Objet : demande d'autorisation formulée par l'agentschap voor Binnenlands Bestuur (Agence des Affaires intérieures) de

Plus en détail

Guide d'administration. BlackBerry Professional Software pour IBM Lotus Domino. Version: 4.1 Service Pack: 4

Guide d'administration. BlackBerry Professional Software pour IBM Lotus Domino. Version: 4.1 Service Pack: 4 BlackBerry Professional Software pour IBM Lotus Domino Version: 4.1 Service Pack: 4 SWD-311541-0911043520-002 Table des matières 1 Gestion des comptes d'utilisateur... 7 Ajouter un compte utilisateur...

Plus en détail

Fiche Technique. Cisco Security Agent

Fiche Technique. Cisco Security Agent Fiche Technique Cisco Security Agent Avec le logiciel de sécurité de point d extrémité Cisco Security Agent (CSA), Cisco offre à ses clients la gamme de solutions de protection la plus complète qui soit

Plus en détail

Introduction aux Systèmes Distribués. Introduction générale

Introduction aux Systèmes Distribués. Introduction générale Introduction aux Systèmes Distribués Licence Informatique 3 ème année Introduction générale Eric Cariou Université de Pau et des Pays de l'adour Département Informatique Eric.Cariou@univ-pau.fr 1 Plan

Plus en détail

Comment utiliser mon compte alumni?

Comment utiliser mon compte alumni? Ce document dispose d une version PDF sur le site public du CI Comment utiliser mon compte alumni? Elena Fascilla, le 23/06/2010 Sommaire 1. Introduction... 2 2. Avant de commencer... 2 2.1 Connexion...

Plus en détail

Gestion et contrôle des accès informatiques

Gestion et contrôle des accès informatiques Gestion et contrôle des accès informatiques Un livre blanc de Bull Evidian Mot de passe unique et gestion centralisée des accès pour les établissements publics et les collectivités territoriales Par Cathy

Plus en détail

Conseil économique et social

Conseil économique et social NATIONS UNIES E Conseil économique et social Distr. GÉNÉRALE ECE/TRANS/WP.30/AC.2/2008/2 21 novembre 2007 FRANÇAIS Original: ANGLAIS COMMISSION ÉCONOMIQUE POUR L EUROPE Comité de gestion de la Convention

Plus en détail

A V I S N 1.680 ---------------------- Séance du mercredi 1er avril 2009 -------------------------------------------

A V I S N 1.680 ---------------------- Séance du mercredi 1er avril 2009 ------------------------------------------- A V I S N 1.680 ---------------------- Séance du mercredi 1er avril 2009 ------------------------------------------- Utilisation de titres-repas électroniques : projet d'arrêté royal adapté modifiant l'article

Plus en détail

Signer électroniquement un document

Signer électroniquement un document Signer électroniquement un document Signer électroniquement un document.doc 1 / 20 Table des matières Introduction 3 Signer un document Microsoft Office 4 Signer un document Office 2003. 4 Signer un document

Plus en détail

AccessMaster PortalXpert

AccessMaster PortalXpert AccessMaster PortalXpert Sommaire 1. Historique du document.....3 2. Sécuriser les ressources web...4 3. Description du produit PortalXpert.....7 Instant Secure Single Sign-on 4. Scénarios de déploiement

Plus en détail

Marques de confiance sur Internet :

Marques de confiance sur Internet : DOCUMENT TECHNIQUE :MarQUEs DE CONfiaNCE sur INTErNET : rassurer pour mieux vendre Document technique Marques de confiance sur Internet : rassurer pour mieux vendre Marques de confiance sur Internet :

Plus en détail

Certificats SSL Extended Validation : un gage de confiance absolue THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE

Certificats SSL Extended Validation : un gage de confiance absolue THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE Certificats SSL Extended Validation : un gage de confiance absolue THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE CERTIFICATS SSL EXTENDED VALIDATION : UN GAGE DE CONFIANCE

Plus en détail

Janvier 2014 - BIG DATA : Affaires privées, données publiques

Janvier 2014 - BIG DATA : Affaires privées, données publiques Janvier 2014 - BIG DATA : Affaires privées, données publiques METHODOLOGIE Etude qualitative Social Panel réalisée par Treize articles - Web Lab Une vingtaine de femmes très connectées issues de la communauté

Plus en détail

CAS IT-Interceptor. Formation «Certificate of Advanced Studies»

CAS IT-Interceptor. Formation «Certificate of Advanced Studies» CAS IT-Interceptor Formation «Certificate of Advanced Studies» Description détaillée des contenus de la formation. Structure, objectifs et contenu de la formation La formation est structurée en 3 modules

Plus en détail

Fiche méthodologique Rédiger un cahier des charges

Fiche méthodologique Rédiger un cahier des charges Fiche méthodologique Rédiger un cahier des charges Plan de la fiche : 1 : Présentation de la fiche 2 : Introduction : les grands principes 3 : Contenu, 1 : positionnement et objectifs du projet 4 : Contenu,

Plus en détail

Politique de Référencement Intersectorielle de Sécurité (PRIS)

Politique de Référencement Intersectorielle de Sécurité (PRIS) PREMIER MINISTRE ADAE PREMIER MINISTRE SGDN - DCSSI =========== Politique de Référencement Intersectorielle de Sécurité (PRIS) Service de confiance "Authentification" =========== VERSION 2.0 1.2.250.1.137.2.2.1.2.1.5

Plus en détail

Comité sectoriel de la sécurité sociale et de la santé Section «Sécurité sociale»

Comité sectoriel de la sécurité sociale et de la santé Section «Sécurité sociale» Comité sectoriel de la sécurité sociale et de la santé Section «Sécurité sociale» CSSS/10/101 AVIS N 10/21 DU 7 SEPTEMBRE 2010 CONCERNANT LA DEMANDE DU MINISTRE DES AFFAIRES SOCIALES RELATIVE AU PROTOCOLE,

Plus en détail

Desktop Firewall ASaP

Desktop Firewall ASaP Desktop Firewall ASaP Service complet de sécurisation par firewall il surveille, contrôle et tient l'historique de l'activité réseau de votre PC La plupart des utilisateurs d'ordinateurs personnels (PC)

Plus en détail

Fiche de l'awt Le modèle peer to peer

Fiche de l'awt Le modèle peer to peer Fiche de l'awt Le modèle peer to peer L'arrivée du peer to peer (point à point) bouleverse le modèle traditionnel client-serveur. Dorénavant, toute application peut être à la fois client et serveur. Quels

Plus en détail

IGC Infrastructure de gestion de la confiance. Serge.Aumont@cru.fr florent.guilleux@cru.fr. JTO décembre 2002

IGC Infrastructure de gestion de la confiance. Serge.Aumont@cru.fr florent.guilleux@cru.fr. JTO décembre 2002 IGC Infrastructure de gestion de la confiance. Serge.Aumont@cru.fr florent.guilleux@cru.fr JTO décembre 2002 Chiffrement asymétrique Confidentialité d un message : le chiffrer avec la clé publique du destinataire.

Plus en détail

CONDITIONS PARTICULIERES D'HÉBERGEMENT WEB

CONDITIONS PARTICULIERES D'HÉBERGEMENT WEB CONDITIONS PARTICULIERES D'HÉBERGEMENT WEB Version en date du 10 octobre 2013 ARTICLE 1 : OBJET Les présentes conditions particulières ont pour objet de définir les conditions techniques et financières

Plus en détail

Courrier électronique

Courrier électronique Être efficace avec son ordinateur Courrier DOMINIQUE LACHIVER Paternité - Pas d'utilisation Commerciale - Partage des Conditions Initiales à l'identique : http://creativecommons.org/licenses/by-nc-sa/2.0/fr/

Plus en détail

Mieux comprendre les certificats SSL THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE

Mieux comprendre les certificats SSL THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE Mieux comprendre les certificats SSL THAWTE EST L UN DES PRINCIPAUX FOURNISSEURS DE CERTIFICATS SSL DANS LE MONDE sommaire MIEUX COMPRENDRE LES CERTIFICATS SSL...1 SSL et certificats SSL : définition...1

Plus en détail

10 bonnes pratiques de sécurité dans Microsoft SharePoint

10 bonnes pratiques de sécurité dans Microsoft SharePoint 10 bonnes pratiques de sécurité dans Microsoft SharePoint SharePoint constitue certes un outil collaboratif précieux. Mais gare aux risques pour votre entreprise. 10 bonnes pratiques de sécurité dans Microsoft

Plus en détail

A. Sécuriser les informations sensibles contre la disparition

A. Sécuriser les informations sensibles contre la disparition Compétence D1.2 II - : Sécuriser son espace de travail local et distant II Sécuriser les informations sensibles contre la disparition 23 Assurer la protection contre les virus 24 A. Sécuriser les informations

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE - PRIVATE EXCHANGE 2013

CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE - PRIVATE EXCHANGE 2013 CONDITIONS PARTICULIERES SOLUTIONS DE MESSAGERIE COLLABORATIVE - PRIVATE EXCHANGE 2013 Dernière version en date du 05 Septembre 2013 ARTICLE 1 : OBJET Les présentes conditions particulières, complétant

Plus en détail

RÈGLEMENT NUMÉRO 12 RÈGLEMENT SUR L UTILISATION DES TECHNOLOGIES INFORMATIQUES ET INTERNET

RÈGLEMENT NUMÉRO 12 RÈGLEMENT SUR L UTILISATION DES TECHNOLOGIES INFORMATIQUES ET INTERNET RÈGLEMENT NUMÉRO 12 RÈGLEMENT SUR L UTILISATION DES TECHNOLOGIES INFORMATIQUES ET INTERNET Adoption et entrée en vigueur : 28 janvier 1999 Premier amendement : 25 septembre 2014 RÈGLEMENT NUMÉRO 12 RÈGLEMENT

Plus en détail

Guide d'intégration à ConnectWise

Guide d'intégration à ConnectWise Guide d'intégration à ConnectWise INTÉGRATION DE CONNECTWISE À BITDEFENDER CONTROL CENTER Guide d'intégration à ConnectWise Intégration de ConnectWise à Bitdefender Control Center Date de publication 2015.05.14

Plus en détail

RENDEZ VOS CLEFS OU L AUTHENTIFICATION FORTE SANS SUPPORT PHYSIQUE

RENDEZ VOS CLEFS OU L AUTHENTIFICATION FORTE SANS SUPPORT PHYSIQUE 12/02/2013 RENDEZ VOS CLEFS OU L AUTHENTIFICATION FORTE SANS SUPPORT PHYSIQUE LE 12 FEVRIER 2013 SOMMAIRE PREAMBULE_VOTRE VISION DE LA SECURITE INTRODUCTION_QU EST-CE QUE LA SECURITE LA SECURITE FAIT PENSER

Plus en détail

Charte de déontologie SMS+ applicable au 01/10/2013

Charte de déontologie SMS+ applicable au 01/10/2013 Charte de déontologie SMS+ applicable au 01/10/2013 Principales évolutions : Les principales évolutions par rapport aux versions précédentes ont été surlignées en jaune. Article modifié Charte de déontologie

Plus en détail

Fiche de l'awt Rédiger un cahier des charges

Fiche de l'awt Rédiger un cahier des charges Fiche de l'awt Rédiger un cahier des charges Quels sont les éléments principaux dont il faut tenir compte pour la rédaction d'un cahier des charges dans le cadre d'un projet lié aux TIC (technologies de

Plus en détail

Spécifications de l'offre Surveillance d'infrastructure à distance

Spécifications de l'offre Surveillance d'infrastructure à distance Aperçu du service Spécifications de l'offre Surveillance d'infrastructure à distance Ce service comprend les services Dell de surveillance d'infrastructure à distance (RIM, le «service» ou les «services»)

Plus en détail

NETTOYER ET SECURISER SON PC

NETTOYER ET SECURISER SON PC NETTOYER ET SECURISER SON PC NETTOYER Pourquoi nettoyer son PC? Pour gagner de la place sur votre disque dur Pour accélérer son fonctionnement Pour supprimer tous les logiciels et fichiers inutiles ou

Plus en détail

d'administration Guide BlackBerry Internet Service Version: 4.5.1

d'administration Guide BlackBerry Internet Service Version: 4.5.1 BlackBerry Internet Service Version: 4.5.1 Guide d'administration Publié : 2014-01-14 SWD-20140114161813410 Table des matières 1 Mise en route...6 Disponibilité des fonctionnalités d'administration...

Plus en détail

Serveur Web - IIS 7. IIS 7 sous Windows 2008

Serveur Web - IIS 7. IIS 7 sous Windows 2008 Serveur Web - IIS 7 Le livre de référence de ce chapitre est «Windows Server 2008 - Installation, configuration, gestion et dépannage» des éditions ENI, disponible sur egreta. Le site de référence pour

Plus en détail

Conditions Générales d Utilisation wifi partagé

Conditions Générales d Utilisation wifi partagé ARTICLE 1. DEFINITIONS Conditions Générales d Utilisation wifi partagé Quelques définitions pour faciliter la lecture des présentes : - Le «wifi partagé» ou la Fonctionnalité : service qui permet à un

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI)

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI) CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI) Dernière version du 02 Septembre 2014 ARTICLE 1 : OBJET Les présentes conditions particulières, complétant les conditions générales

Plus en détail

BDMA LEGAL DAY 19/06/2013

BDMA LEGAL DAY 19/06/2013 BDMA LEGAL DAY 19/06/2013 Cookies & Do-Not-Track «Where do we stand? Where do we go?» Benjamin Docquir Partner @ SimontBraun (www.simontbraun.eu) PLAN 1. COOKIES = LA PARTIE VISIBLE DE L ICEBERG 2. RÉGLEMENTATION

Plus en détail

Pcounter. Pour une gestion efficace des impressions. *La passion de l innovation

Pcounter. Pour une gestion efficace des impressions. *La passion de l innovation Pour une gestion efficace des impressions *La passion de l innovation , introduction La stratégie d'impression centralisée est un logiciel de suivi et de comptabilisation d'impressions qui permet aux entreprises

Plus en détail