ARCSI
Association des Réservistes du Chiffre et de la Sécurité de l'Information

Actualités du domaine


02 avril2020
 New IP : la Chine propose un "nouvel internet" mais veut y intégrer la censure dans ses fondations
Avec l'objectif d'améliorer le fonctionnement d'Internet, le gouvernement chinois, en association avec Huawei et des opérateurs chinois, a proposé à l'Union internationale des télécommunications (UIT) un nouveau protocole pour remplacer le TCP/IP. Bien qu'intégrant de réelles avancées, la proposition faciliterait cependant la censure et l'identification des internautes, car elle contient un "kill switch". Il serait en effet possible d'isoler une adresse IP du réseau, afin qu'elle ne puisse plus envoyer ou recevoir de données.

Pour en savoir plus, lire l'article de futura-sciences.com.
32 mars2020
 Le gouvernement français a décidé de ne pas changer le mois du calendrier tant que durera le confinement
Décision dans la lignée de celle de prolongation du confinement lié au Coronavirus Covid-19, le Gouvernement a décidé de bloquer le calendrier sur le mois de "mars" tant que durera le confinement, pour que la population ne ressente pas trop l'effet de sa durée.

Pour toutes les personnes dont la montre ou l'horloge passe automatiquement au mois d'avril, nous leur conseillons vivement de revenir en arrière.
 
31 mars2020
 Une étude montre que les équipements de sécurité émettent trop de faux positifs et saturent les équipes sécurité
Le Monde rapporte qu'une étude menée par Neustar montre que 43% des entreprises sont victimes de faux positifs dans plus de 20% des cas. D'après 15% des sondés, ce taux peut atteindre 50% des alertes. La moyenne se situe à 26%, ce qui représente plus d’un quart des alertes reçues. "Les solutions de sécurité génèrent de grandes quantité de données à analyser, sans contextualiser les menaces potentielles, et contribuent à surcharger et à fatiguer les équipes sécurité", indique le président du NISC.

Pour lire l'article du Monde c'est ici.
30 mars2020
 L'appli de visioconférence Zoom utilisée sur les iPhone envoie des données à Facebook, même sans avoir de compte
L’adoption importante du télétravail lié au confinement a grandement développé l'usage des applications de réunion vidéo comme Zoom. Or, Motherboard vient de révéler que la version iOS de Zoom envoie des données statistiques de ses utilisateurs à Facebook, même lorsque ceux-ci ne possèdent pas de compte sur le réseau social. En cause, l'utilisation d'API (Interface de Programmation) du réseau social pour intégrer plus facilement certaines fonctionnalités à l'application. Parmi les données figurent des informations détaillées sur l’appareil, l’opérateur mobile utilisé, ainsi qu’un identifiant de publicité unique qui permet aux annonceurs de cibler les publicités qu’ils envoient.

Pour en savoir plus, voir l'article de 01net.com.
29 mars2020
 De nombreux fournisseurs de VPN suivent et enregistrent leurs utilisateurs
Les VPN sont utilisés pour leur capacité à contourner les restrictions de géolocalisation, ainsi que pour offrir aux utilisateurs un maximum de sécurité et de confidentialité. Mais les recherches du site de comparaison VPNpro montrent que sur 114 VPN analysés, 102 sites Web disposent de trackers, et 26 sites Web en ont 10 ou plus. Un grand nombre de ces trackers impliquent des tiers qui n'ont pas la meilleure réputation en matière de respect de la vie privée des utilisateurs. Et 45 parmi ceux analysés utilisent les trackers de Facebook.

Pour en savoir plus, voir l'article de securite.developpez.com.
29 mars2020
 Une nouvelle application open source stocke les clés SSH dans l'enclave sécurisée du MAC
En temps normal, les clés privées SSH permettant de se connecter à un serveur distant ne sont pas forcément sécurisées car stockées dans un dossier caché de l'ordinateur. "Secretive" est une app gratuite, open-source, et dont le code source est publié. Elle permet de stocker ses clés dans les Mac équipés d’une enclave sécurisée dans la puce T2 (portables avec Touch ID, iMac Pro, Mac Pro de 2019 et Mac Mini à partir de 2018). L’app propose également une interface de gestion pour ajouter et supprimer des clés.

Pour en savoir plus, voir macg.co.
27 mars2020
 Nos données téléphoniques pourraient (sous conditions) aider à freiner la propagation du coronavirus
Emmanuel Macron a mis en place un "Comité analyse recherche et expertise" (ou "CARE"), groupe de 12 chercheurs et médecins, pour solliciter leur avis sur l'intérêt d'utiliser la géolocalisation pour freiner la propagation du coronavirus. Dans le même temps, Orange s'allie avec l'Inserm pour mener une première étude des flux de population à l'échelle nationale. Deux initiatives qui font naître un débat aux nombreuses ramifications. Car les données de géolocalisation des téléphones sont collectées automatiquement par les opérateurs, et anonymisées avant d'avoir de nombreux usages...

Pour en savoir plus, lire l'article sur europe1.fr.
27 mars2020
 Sur ses nouveaux smartphones, Huawei choisit par défaut le moteur de recherche français "Qwant"
Conséquence de la guerre entre États-Unis et Chine, le constructeur chinois Huawei ne peut plus proposer les services Google sur ses nouveaux télééphones. Aussi, grâce à un partenariat que l’on attendait depuis quelques mois déjà, il a décidé de s’allier avec Qwant, le moteur de recherche made in France. Un partenariat qui vise à proposer "le meilleur de la technologie mobile associée à une technologie de recherche d’information en ligne respectueuse des données personnelles", d’après l’entreprise française.

Pour en savoir plus, lire l'article sur lesnumeriques.com.
25 mars2020
 Deux failles de sécurité critiques dites "zéro-jour" repérées dans toutes les versions de Windows
Ces failles "zéro-jour" se trouvent dans la bibliothèque Adope Type Manager (atmfd.dll) intégrée à Windows. Elle permettent une exécution de code à distance menant à une prise de contrôle de la machine visée. Toutes les versions des systèmes d’exploitation Windows et Windows Server sont vulnérables. Microsoft travaille à des corrections, mais ne mettrait pas à jour Windows 7 car il n'est plus supporté.

Pour en savoir plus, lire en anglais la note Microsoft.
24 mars2020
 Coronavirus : la France réfléchit à une "stratégie numérique d’identification des personnes"
Le gouvernement va-t-il envisager le pistage numérique de la population pour vérifier qu’elle respecte bien les règles du confinement et pour déterminer si des personnes a priori saines ont été en contact avec des individus contaminés par le coronavirus ? En tout cas, la réflexion va se poser concrètement à l’occasion de la mise en place du comité CARE.

Pour en savoir plus, lire l'article de numerama.com.
22 mars2020
 L'alliance IA et puissance de calcul permet d'identifier 77 molécules potentiellement efficaces contre le Covid-19
Un groupe de chercheurs du Département de l'Energie américain (DOE) a fait appel au superordinateur IBM Summit, le plus puissant du monde à ce jour avec une puissance de 200 pétaflops, et à un programme d'Intelligence Artificielle pour analyser pas moins de 8 000 molécules dans le but d'identifier une éventuelle efficacité dans le traitement et le combat contre le nouveau coronavirus Covid-19.  
Ce supercalculateur est parvenu à identifier 77 molécules potentiellement efficaces déclinables sous forme de médicament avec un délai relativement court.

Voir l'article de trustmyscience.com.
Voir également l'article original (en anglais) de olcf.ornl.gov.
20 mars2020
 Mozilla annonce abandonner la prise en charge du protocole FTP (File Transfer Protocol) dans son navigateur Firefox
Le protocole FTP est considéré depuis plusieurs années comme étant non sécurisé. Cette mesure de Mozilla devrait intervenir au cours de cette année, les utilisateurs ne pouvant plus alors télécharger de fichiers en utilisant si facilement ce protocole. "FTP est non sécurisé, il n'y a aucune raison de le préférer au HTTPS pour télécharger des ressources", indique Mozilla. Google a de son côté annoncé mettre fin à la prise en charge du support FTP dans la version 82 de Chrome, prévue pour le début de l'été 2020.

Voir l'article de clubic.com.
19 mars2020
 Intel construit un système de calcul neuromorphique à 100 millions de neurones
Combinant 768 exemplaires de sa puce neuromorphique Loihi dans un système unique, Intel franchit une nouvelle étape dans le calcul neuromorphique. Cette technique imite le fonctionnement biologique du cerveau en présentant l’avantage d’être beaucoup plus rapide que les systèmes traditionnels tout en consommant beaucoup moins d'énergie. Avec 100 millions de neurones, ce système augmente sa capacité neuronale à celle d'un petit cerveau de mammifère. Il sera mis à la disposition de l’écosystème de recherche d’Intel sur le calcul neuromorphique.

Voir l'article de usinenouvelle.com.
18 mars2020
 Thales, Telstra, Microsoft et Arduino lancent une solution de sécurité pour le déploiement des applications IoT
Le consortium déploie la solution "IoT SAFE" de la GSMA pour fournir une sécurité efficace et robuste au marché de l'Internet des Objets (IdO ou IoT), en permettant une authentification mutuelle, instantanée et standardisée entre un dispositif et une plateforme cloud via les réseaux cellulaires. Dès lors qu'un appareil équipé d'une SIM ou eSIM et utilisant l'application sera mis sous tension, il sera automatiquement sécurisé. La confidentialité et l'intégrité des données seraient assurées.

Voir l'article de zonebourse.com.
17 mars2020
 Une technologie révolutionnaire pour remplacer les capteurs d’empreinte digitale ou la reconnaissance faciale
Une startup belgo-américaine, Aerendir, a mis au point une technique biométrique d’un nouveau genre, fondée sur l’analyse des micro-tremblements de la main couplée à celle de l’activité électrique cérébrale. D'après son président, "la technique est fondée sur le signal électrique émis par le cerveau, transmis par les nerfs jusqu’aux mains, et qui peut être utilisé par les capteurs contenus dans un smartphone. Chaque signal cérébral est unique et il est impossible de le copier ou de le pirater".

Voir l'article de francetvinfo.fr.
17 mars2020
 Nubeva Technologies lance un service pour déchiffrer le trafic client et serveur n'importe où sur le réseau
Nubeva Technologies développe des logiciels SaaS de visibilité dans le cloud. Sa solution "TLS Decrypt" utilise une technologie d'interception de clés symétriques, ce qui décharge le déchiffrement des systèmes fondés sur des proxy. "Cette solution dissocie la découverte de clés symétriques de l'acte de déchiffrement", indique son dirigeant. Avec la possibilité de découvrir des clés de chiffrement symétriques sans participer à la négociation TLS, Nubeva améliore les performances de déchiffrement et déverrouille la capacité de déchiffrement hors bande qui n'était pas disponible auparavant.

Voir l'article (en anglais) de helpnetsecurity.com.
15 mars2020
 Le navigateur Firefox active par défaut le protocole DNS-over-HTTPS pour ses utilisateurs aux États-Unis
Le protocole DNS-over-HTTPS donne la possibilité aux navigateurs Web de masquer les requêtes et les réponses DNS dans le trafic HTTPS d’apparence normale, afin de rendre le trafic DNS d’un utilisateur invisible. Il empêche par la même occasion des observateurs tiers du réseau (tels que les Fournisseurs d'Accès, les FAI) de détecter et filtrer le trafic des internautes. La mise en oeuvre à grande échelle de cette technologie permettrait aussi de lutter plus efficacement contre les attaques de l’homme du milieu.

Voir l'article de developpez.com.
14 mars2020
 Les efforts déployés pour sécuriser les logiciels open source ont permis de découvrir plus de 6000 vulnérabilités en 2019
Les bugs sont recensés par la société de sécurité WhiteSource, dont le rapport (disponible ci-dessous) montre que les vulnérabilités de sécurité des logiciels open source ont considérablement augmenté depuis 2009 (1000 bugs recensés) à plus de 6000 l'année dernière. Une grande partie des bugs nouvellement découverts provient des outils de brouillage open source de Google. La plus grande part de code vulnérable a été écrite en C avec une part de 30 %, en PHP pour 27 %, et en Python pour 5 %.  

Pour en savoir plus, lire l'article de zdnet.fr.
Pour télécharger le rapport de Whitesource, c'est ici.
13 mars2020
 Microsoft coordonne le démantèlement du Botnet "Necurs", en réussissant à casser son algorithme de génération de domaines
Microsoft et ses partenaires dans 35 pays (FAI, éditeurs de cybersécurité, registrars, CERT, forces de l’ordre) ont pu créer une liste complète des futurs domaines de serveurs Necurs et les bloquer préventivement, après avoir réussi à casser l'algorithme de génération de domaines du botnet, le composant qui génère des noms de domaines aléatoires : “Nous avons alors pu prévoir avec précision plus de six millions de domaines uniques qui seraient créés au cours des 25 prochains mois".

Voir l'article (en anglais) de gbhackers.com.
12 mars2020
 Google annonce "TensorFlow Quantum", nouvelle technologie simplifiant l’apprentissage automatique quantique
"TensorFlow Quantum", ou TFQ, est un cadre open source fourni par Google, et qui doit permettre au monde entier de profiter de ses propres avancées en matière d’informatique quantique : "TQF fournit les outils nécessaires pour rassembler les communautés de recherche en informatique quantique et en apprentissage automatique pour contrôler et modéliser des systèmes quantiques naturels ou artificiels".

Voir l'article de siecledigital.fr.
Pour lire le billet de Google (an anglais), c'est ici.
11 mars2020
 L'Institut Montaigne publie un rapport sur les algorithmes intitulé "algorithmes : contrôle des biais S.V.P."
Dans un rapport qui vient de sortir, l'Institut Montaigne explique ce qu'est un algorithme et son fonctionnement, les enjeux des algorithmes, la façon de créer des algorithmes équitables. Il décrit également dans le détail un certain nombre de recommandations pour prévenir les biais en répandant des bonnes pratiques et des efforts de formation pour tous ceux qui produisent ou utilisent des algorithmes.

Voir l'article de présentation ici.
Pour télécharger le rapport, c'est là.
11 mars2020
 Un logiciel gratuit est désormais disponible pour déchiffrer les fichiers chiffrés par le rançongiciel PwndLocker
La société de cybersécurité "Emsisoft" a développé un logiciel de déchiffrement gratuit pour les rançongiciels PwndLocker. Cette souche de maliciels vise principalement les entreprises et les gouvernements. Elle comporte de nombreuses variantes qui chiffrent les fichiers et exigent une rançon en échange de la promesse d'un outil de déchiffrement. Pour celà, Emsisoft a récupéré l'exécutable du logiciel de rançon à l'aide d'outils spécifiques afin de contourner sa suppression automatique par le maliciel.

Pour voir l'article de Emsisoft (en anglais), c'est ici.
9 mars2020
 C'est au tour d'AMD de se voir reprocher des vulnérabilités dans tous ses processeurs produits entre 2011 et 2019
Les chercheurs des universités de Graz (Autriche) et de Rennes ont découvert deux vunérabilités affectant la fonctionnalité de prédiction de cache de données, leur exploitation permettant le vol d'informations sensibles. Ces attaques nécessitent l'implant d'un code malveillant sur la machine cible mais elles peuvent être menées à distance via du logiciel java-script malveillant chargé dans un navigateur. Ces vulnérabilités devraient également toucher les nouvelles puces de sa future gamme Ryzen 4000 qui sortira d'ici fin 2020. AMD n'a pour l'instant pas donné suite.

Pour télécharger l'étude (en anglais), ici.
9 mars2020
 Une vulnérabilité dans un circuit de chiffrement de Texas Instruments rend vulnérables les clés de plusieurs constructeurs automobiles
Deux universités (KU Leuven en Belgique et l'Université de Birmingham) ont publié une étude sur des failles de sécurité dans le processus de chiffrement du circuit Texas Instruments DST80. Ce dernier, datant de 1995, est utilisé dans les clés de voiture de nombreux modéles de Toyota, Kia et Hundai. Une vulnérabilité permet à un attaquant d'utiliser un outil de transmission se faisant passer pour la clé légitime afin de déverrouiller les voitures. Les clés de chiffrement ont pu être déterminées en faisant la rétro-ingénierie sur le microprogramme des clés.

Pour en savoir plus, lire l'étude (en anglais) ici.
8 mars2020
 La start-up "Deep Algo" extrait automatiquement les algorithmes du code pour faciliter le travail des développeurs
La start-up française Deep Algo veut rendre intelligible le code informatique. Elle a conçu un outil d'extraction automatique des algorithmes pour aider les développeurs à analyser du code qui n'est pas le leur. Il vise également à permettre aux métiers non techniques de facilement évaluer une application ou un logiciel en cours d'élaboration. Il fonctionne pour le moment avec le langage Java, mais l'entreprise lève des fonds pour en ajouter d'autres.

Pour en savoir plus, lire l'article usine-digitale.fr,
8 mars2020
 Affaire "Rubicon" : un journal suisse explique dans le détail la folle saga des chiffreurs espions
On y lira le passionnant détail de l’affaire Crypto AG, ou comment la CIA contrôlait le monde avec l’aide de la Suisse. Un scandale à retardement, qui remonte aux années 1950, et qui embarrasse aujourd’hui de nombreuses personnes… Le département de Guy Parmelin, qui dit tout ignorer de l’histoire, vient de déposer une plainte contre inconnu pour tricherie.

Voir ici l'article suisse de illustre.ch,
6 mars2020
 Une grave vulnérabilité affecte les processeurs Intel des cinq dernières années compromettant différentes fonctions de sécurité
Découverte par les chercheurs de Positive Technologies, cette faille de sécurité permet l'exécution de code arbitraire à un niveau de privilège zéro des puces Intel CSME, SPS, TXE, DAL et AMT, engendrant une fuite de données extrêmement difficile à repérer. L'attaque permettrait de déchiffrer les données stockées ou encore émettre de fausses attestations Enhanced Pricacy ID. Une mise à jour du microprogramme ne serait pas en mesure de corriger la vulnérabilité.

Pour en savoir plus, lire l'article (en anglais) de ptsecurity.com,
ou l'article de futura-sciences.com.
6 mars2020
 Un bogue dans un logiciel de "Let's Encrypt" oblige la société à révoquer plus de 3 millions de certificats TLS
"Let’s Encrypt" est une autorité de certification à but non lucratif qui fournit gratuitement des certificats X.509 pour le chiffrement TLS (Transport Layer Security), utilisés par les sites internet en "https" comme celui de l'ARCSI. En raison d’un bogue découvert dans son code, elle se trouve dans l’obligation de révoquer plus de 3 millions de certificats TLS, ceux dont il ne peut être certain qu'ils sont légitimes. Celà ne représente cependant que 2,6 % de ses 116 millions de certificats actifs.

Pour en savoir plus, lire l'article de developpez.com.
5 mars2020
 Affaire "Rubicon", Le gouvernement suisse dépose une plainte pénale contre Crypto AG
La publication récente d'une enquête du Washington Post, du ZDF et de la SRF sur la société suisse (voir notre actualité du 11 février dernier) a révélé que Crypto AG appartenait jusqu'à récemment aux agences de renseignement américaines et allemandes et que ces dernières avaient délibérément introduit des portes dérobées et des faiblesses dans les produits vendus par Crypto AG pour intercepter et écouter les utilisateurs dans plus de 100 pays. Le procureur général suisse a déclaré qu'une plainte avait été officiellement déposée et qu'un juge avait été nommé pour pour enquêter sur l'affaire.

Pour en savoir plus, lire l'article de zdnet.fr.
4 mars2020
 Si l’ordinateur quantique était disponible dès maintenant, que se passerait-il ? Comment le quantique transformerait les manières de chiffrer ?
"Il représente une menace pour la protection de secrets" indique Romain Alléaume, chercheur à Télécom Paris en information et cryptographie quantique, mais en rappelant qu’ "un tel ordinateur n’existe pas encore". Le système de distribution quantique de clés (QKD) permet d’échanger des secrets en codant l’information sur les propriétés de la lumière, comme la polarisation ou la phase de photons uniques. Mais "Il n’a pas voie à remplacer la cryptographie classique", précise-t'il, "leurs cas d’usage, mais aussi leurs contraintes d’usage, sont de nature très différentes".

Pour en savoir plus, lire l'intéressant article de blogrecherche.wp.imt.fr.
4 mars2020
 Le 16 mars, conférence "Sécurité by design, l’apport du bug bounty dans la culture du DevSecOps" organisée par le Cercle d'Intelligence économique du Medef Hauts-de-Seine

-----------------
SUITE AUX DIRECTIVES GOUVERNEMENTALES DU 14 MARS CONCERNANT LA CRISE DU COVID19, CETTE CONFERENCE SE FERA PAR WEBINAR LE MERCREDI 1ER AVRIL, AVEC L'OUTIL "LIVESTORM" DE YOGOSHA. Il suffira d’ouvrir la page web qui sera communiquée aux 100 premiers inscrits.
-----------------
Dans le cadre des ¨Lundi de la cybersécurité¨, qui se tiennent à l'Université de Paris, venez assister le 16 mars prochain à la conférence animée par Gérard Peliks, membre de l'ARCSI, et tenue par Yassir Kazar, membre de l'ARCSI et président de Yogosha, entreprise spécialisée dans le "Bug-Bounty".

Accueil à partir de 18H15. Participation gratuite mais inscription obligatoire.
Lieu : Université de Paris - 45 Rue des Saints-Pères, 75006 Paris / amphi Fourier (5e étage).

Pour en savoir plus, voir Lundi de la cybersécurité de mars
3 mars2020
 Orange, SFR et Bouygues Telecom lancent la plateforme "Mobile ID" de sécurisation des démarches et achats en ligne
C’est sous l'impulsion de l’AFMM, Association française pour le développement des services et usages multimédia multi-opérateurs, qu’Orange, Bouygues Telecom et SFR ont élaboré "Mobile ID", qui utilisera les données clients que détiennent les opérateurs pour accélérer une démarche ou pour ajouter une couche de sécurité lors d’une procédure d’authentification. l’AFMM indique que ces données amènent plus de garanties que celles fournies par les options "Se connecter avec Google" ou "Se connecter avec Facebook".

Pour en savoir plus, lire l'article de frandroid.com.
2 mars2020
 Vulnérabilités détectées sur plusieurs réseaux privés virtuels (VPN) disponibles gratuitement sur Android
La société VPN Pro a identifié plusieurs vulnérabilités sur des applications VPN comptant plusieurs milliers de téléchargements, comme "SuperVPN Free" ou "TapVPN Free". Ces dernières seraient faillibles à des attaques type "homme du milieu" et un attaquant pourrait exploiter ces vulnérabilités pour siphonner des noms d'utilisateur, mots de passe et documents des victimes. Les communications transiteraient en effet via un canal HTTP non sécurisé et contiendraient des clés de chiffrement en clair.

Pour en savoir plus, lire l'article (en anglais) de vpnpro.com.
29 février2020
 Dans son rapport 2019 sur la menace, Trend Micro indique avoir bloqué 52 milliards d'attaques
Trend Micro insiste sur la multiplication des moyens mis en oeuvre par les attaquants pour arriver à leurs fins. Le rançongiciel reste la menace la plus prégnante avec une augmentation de 10% des attaques, l'hameçonnage restant par ailleurs le vecteur de compromission le plus utilisé. Ce dernier est d'après Trend Micro le type d'attaques qu'elle a le plus bloqué, représentant 91% de celles-ci. Enfin, de plus en plus d'attaquants visent les bibliothèques java-script utilisées pour compromettre principalement les sites de commerce en ligne.

Pour en savoir plus, lire l'article (en anglais) de trendmicro.com.
29 février2020
 Une faille de sécurité dite "Krook" touche le Wi-Fi de près d’un milliard de smartphones
Lors de la conférence RSA 2020, les experts en sécurité d’ESET ont révélé avoir découvert une importante faille de sécurité sur les réseaux Wi-Fi avec chiffrement WPA2 CCMP, car concernant les puces de Broadcom et Cypress. La faille "Krook" touche de très nombreux appareils qui en sont équipés, autant les smartphones que les tablettes, ordinateurs portables et objets connectés des marques les plus connues, Samsung, Apple, Amazon, Google, Xiaomi ou encore Asus et Huawei.

Pour en savoir plus, lire l'article de silicon.fr.
28 février2020
 Le ministère des armées certifié "hébergeur de données de santé"
Cette démarche "s’inscrit dans la volonté du ministère de traiter de manière sécurisée les données de santé de ses ressortissants, par nature sensibles et opérationnelles", a-t-il expliqué. Elle "permettra au ministère des armées de développer sa connaissance de la population des patients militaires et des pathologies spécifiques" et constitue "un atout pour améliorer le conseil au commandement, la prévention et les traitements".

Pour en savoir plus, lire l'article de ticsante.com.
26 février2020
 La Commission européenne recommande à son personnel l’usage de la messagerie chiffrée "Signal"
Le personnel de la Commission est déjà censé utliser des e-mails chiffrés pour l’échange de données sensibles (hors éléments classifiés, soumis à un régime particulier). Le choix de "Signal" s’inscrit dans cette logique. Il intervient à l’heure où l’application concurrente "Telegram" est pointée du doigt pour un manque de transparence sur son chiffrement.

Pour en savoir plus, lire l'article de silicon.fr.
25 février2020
 L'"Open Cybersecurity Alliance" (OCA) lance le premier cadre de messagerie commun pour les outils de sécurité
"OpenDXL Ontology" a été conçu pour le partage de données et de commandes entre logiciels de cybersécurité. Il vise à créer un langage commun entre les outils et les systèmes de cybersécurité en supprimant le besoin d'intégrations personnalisées entre les produits. Disponible sur Github, il a été développé par OCA, un consortium de fournisseurs de cybersécurité créé en octobre 2019 et rassemblant plus de 25 entreprises, dont IBM, Crowdstrike et McAfee, et dont la devise est "integrate once, reuse everywhere".

Pour en savoir plus, lire l'article (en anglais) de zdnet.com.
21 février2020
 Stéphanie Delaume et Steve Kremer expliquent comment s’assurer que des protocoles cryptographiques n'ont pas de faille
Les auteurs du Livre blanc sur la cybersécurité qu’Inria a publié en 2019, Stéphanie Delaume (CNRS) et Steve Kremer (Inria) expliquent par l'exemple comment s’assurer qu’un protocole cryptographique n’a pas de faille. Retrouvez-les sur le Blog "Binaire, l'informatique : science et technique au coeur du numérique" du journal Le Monde.

Pour lire l'article, c'est ici.
21 février2020
 La fondation Linux publie la liste des vulnérabilités des composants en source ouverte les plus utilisés
Les FOSS ("Free and open source software"), logiciels en source ouverte, représentent en moyenne 80 à 90% du code de tous les logiciels. Ils constituent de fait le socle fondamental de développement de l'informatique. Aussi, la fondation Linux vient de publier le rapport (intitulé "The Census II") visant à informer les développeurs souhaitant gagner en productivité et éviter de coder en intégralité un programme, des vulnérabilités avérées et potentielles qui les menacent.

Pour lire le rapport en question, c'est ici.
20 février2020
 Bernard Barbier, membre de l'ARCSI, explique sur France 24 le concept de "la cybercoercition, un concept offensif de cyberdéfense"
La cybercoercition fait dorénavant partie du vocabulaire des guerriers numériques. Comme pour la menace nucléaire, elle consiste à montrer à vos adversaires que vous êtes capables de lui infliger de très lourdes pertes, une sorte de dissuasion numérique.

Pour en parler, Ali Laïdi reçoit sur France 24 l'un des auteurs de ce nouveau concept, Bernard Barbier, ancien directeur technique de la DGSE.
 

Pour regarder l'émission en vidéo, voir le site de France 24.
Pour écouter l'émission, c'est ici.
19 février2020
 Des hackers ont piraté des serveurs VPN pour installer des portes dérobées dans des entreprises du monde entier
Des pirates informatiques iraniens ont ciblé les réseaux de Pulse Secure, Fortinet, Palo Alto Networks et Citrix VPN afin de pirater de grandes entreprises. Selon un nouveau rapport de la société israélienne de cybersécurité ClearSky, ces pirates iraniens ont ciblé des entreprises "des secteurs de l'informatique, des télécommunications, du pétrole et du gaz, de l'aviation, du gouvernement et de la sécurité".

Pour en savoir plus, lire l'article de zdnet.fr.
Pour voir le rapport de ClearSky, lire ici.
19 février2020
 Les puces Bluetooth de sept fabricants sont vulnérables à des attaques par déni de services ou de contournement d’accès
Sept fabricants de puces Bluetooth sont mis en cause par des chercheurs de l'université de technologie de Singapour, à savoir : Cypress, NXP, Dialog, Texas Instruments, Microchip, Telink et ST Microelectronics. Ces puces défaillantes sont embarquées dans plus de 480 modèles différents d’appareils connectés, soit des millions d'équipements dans le monde. Et bien que certains fabricants publient des correctifs logiciels, les appareils ne peuvent pas forcément être mis à jour...

Pour en savoir plus, lire l'article de 01net.com.
Pour voir le rapport, lire ici.
18 février2020
 L'entreprise US Enveil, qui commercialise une solution de chiffrement homomorphique, lève 10 millions de dollars
"ZeroReveal", produit de chiffrement homomorphique que sa fondatrice a pu développer en travaillant au sein de la NSA, est commercialisé via la création de Enveil. La technologie mise en oeuvre permettrait de procéder à des recherches chiffrées sur des ensembles de données sans avoir à déchiffrer le contenu. La recherche en elle-même n'est jamais déchiffrée et les résultats sont envoyés tels quels. De plus si les données recherchées sont également chiffrées, l'utilisateur n'a pas besoin de les déchiffrer pour les obtenir.

Pour en savoir plus, lire l'article (en anglais) de securityweek.com.
17 février2020
 Le CIGREF publie son rapport "Informatique quantique : quels leviers pour la France ?"
Technologies, compétences, modèles économiques… Le Cigref capte des signaux plus ou moins positifs pour la France dans la bataille de l’informatique quantique. Quelque forme que vienne à prendre l’informatique quantique, qui la maîtrisera ? Le Cigref exprime ses inquiétudes en la matière. Ne serait-ce que vu la capacité de cette technologie à mettre en danger la sécurité des communications et du stockage de l’information...

Pour en savoir plus, lire l'article de silicon.fr.
Pour télécharger le rapport du CIGREF, c'est ici.
16 février2020
 Un malware sur les ordiphones Android est si persistant qu'il survit même aux restaurations d'usine
Connu sous le nom de xHelper, le malware fut découvert en 2019 par l'entreprise spécialiste de la cybersécurité "Malwarebytes". Et il est plutôt résistant, puisqu'il survit même à une réinitialisation complète du téléphone sous Android. Il fonctionne comme une porte dérobée capable de recevoir des commandes à distance et d'installer d'autres applications sur l'appareil infecté.

Pour en savoir plus, lire l'article de clubic.com.
11 février2020
 Opération "Rubicon", révélations stupéfiantes sur les complicités suisses avec l’espionnage international de la CIA et du BND
Le secret aura mis des décennies avant d’éclater au visage du monde. 280 pages de documents classifiés attestent que le renseignement allemand (BND) et la CIA ont scellé une alliance secrète pour espionner une centaine d’États dans le monde entre 1970 et 1993. Afin de mettre en oeuvre cette opération baptisée "Rubicon", les deux agences ont utilisé les technologies truquées de la firme zougoise Crypto AG. Le Conseil fédéral a ouvert une enquête.

Pour en savoir plus, lire l'article de letemps.ch.
Lire également l'article original (en anglais) du washingtonpost.com.
11 février2020
 Le FBI aurait réussi à casser le service d'anonymat du réseau TOR pour arrêter Eric Marques, un magnat du darknet
Le FBI a mis la main sur Eric Eoin Marques qui a dirigé pendant des années Freedom Hosting, une entreprise cybercriminelle promouvant la drogue et hébergeant des groupes de piratage. D’après des personnes proches du dossier, le FBI l'a trouvé en cassant le célèbre service d'anonymat TOR, mais l’agence n’a pas révélé si une vulnérabilité a été utilisée.

Pour en savoir plus, lire l'article de developpez.com.
10 février2020
 Les rapport moraux du Président de l'ARCSI sont désormais consultables en accès libre
Pour mieux faire connaître les activités de l'ARCSI, le rapport moral que le Président présente traditionnellement durant l'Assemblée Générale annuelle de l'Association est désormais consultable en accès libre sur la page "bulletin" de ce site.

Pour consulter les plus récents, voir la page correspondante.
9 février2020
 Les messageries chiffrées de Facebook inquiètent les ONG de protection de l'enfance
Plusieurs associations pour la protection de l'enfance ont demandé à Facebook de renoncer à chiffer l'ensemble de ses plateformes, craignant que la protection renforcée des échanges en ligne ne facilite le partage de contenus pédopornographiques. En cause, sa décision de chiffrer Messenger, comme l'est déjà sa messagerie WhatsApp, sans garantir d'accès aux autorités. De nombreux responsables politiques dans le monde craignent également que la justice de leur pays ne puisse récupérer des données essentielles dans le cadre d'enquêtes criminelles.

Pour en savoir plus, lire l'article de www.businessinsider.fr.
7 février2020
 Conférence "Quels moyens pour assurer la souveraineté numérique de l’UE ?" organisée le 17/2 par le Cercle d'Intelligence économique du Medef Hauts-de-Seine

Dans le cadre des ¨Lundi de la cybersécurité¨, qui se tiennent à l'Université de Paris, venez assister le 17 février prochain à la conférence animée par Gérard Peliks, membre de l'ARCSI, et tenue par madame la sénatrice Catherine Morin Desailly, autour du thème de la souveraineté numérique de notre pays et de notre continent.
 
Accueil à partir de 18H15. Participation gratuite mais inscription obligatoire.
Lieu : Université de Paris - 45 Rue des Saints-Pères, 75006 Paris / amphi FOURIER (5ème étage).

Pour en savoir plus, voir Lundi de la cybersécurité de février
7 février2020
 FIDO2, le nouveau standard pour l’authentification sans mot de passe
Fondée en 2012, FIDO (Fast IDentity Online) est une alliance technologique ouverte dont la mission centrale est de définir des standards d’authentification numérique qui réduisent la dépendance aux mots de passe. Officiellement ratifiée en mars 2019, FIDO2 est la deuxième version d'un nouveau standard d’authentification sans mot de passe, d’ores et déjà supporté par les plates-formes Windows 10 et Android, et les navigateurs web Chrome, FireFox, Edge et Safari.

Pour en savoir plus, lire l'article de www.globalsecuritymag.fr.
3 février2020
 Des chercheurs de l’Université de Liège présentent un algorithme fondé sur la "neuromodulation"
Trois chercheurs de l’Université de Liège (ULiège) ont présenté dans une publication dans PLOS ONE un nouvel algorithme fondé sur un mécanisme biologique appelé la neuromodulation. Il a été développé afin de créer des agents intelligents capables de réaliser des tâches non rencontrées pendant l’entraînement.

Pour en savoir plus, lire l'article dans www.actuia.com.
1er février2020
 la Commission européenne et la présidence croate du Conseil de l'Union européenne présentent conjointement la "boite à outils 5G"
Fruit des discussions menées entre les Etats membres, la Commission européenne et l’ENISA, la "boîte à outils 5G" identifie un ensemble de mesures clés, à la fois stratégiques et techniques, qui permettent de répondre aux risques identifiés conjointement au niveau européen dans cette technologie mobile de nouvelle génération. Fortement impliquée dans les discussions, la France se félicite de l’aboutissement de ce travail collectif destiné à proposer une approche européenne concertée.

Pour en savoir plus, consulter le communiqué de l'ANSSI.

Pour rappel, les risques liés à la technologie 5G avaient donné lieu à une intervention de Jean-Luc Moliner, directeur de la sécurité d'Orange, lors des dernières rencontres de l'ARCSI. On peut retrouver cette présentation ici.
31 janvier2020
 L'ARCSI était au Forum International de la Cybersécurité fin janvier 2020 à Lille
L'ARCSI était présente au FIC à Lille en janvier 2020 à travers un stand dans l'espace "Associations" de l'évènement. Pour la première fois, le FIC s'est déroulé sur 3 jours, du 28 au 30 janvier, avec une première journée exclusivement consacrée aux rencontres d'entreprises acheteurs-fournisseurs, pour permettre au client final (DSI, RSSI, etc…) d'approfondir ses projets de cybersécurité, découvrir les innovations et startups présentes et échanger avec les prestataires.


On reconnaîtra de gauche à droite les membres de l'ARCSI suivants : Francis Bruckmann (trésorier, webmestre), Jean-Jacques Quisquater, Renaud Lifchitz, Jean-Louis Desvignes (président), Matthieu Grall, Jérôme Chappe (webmestre), Gérard Péliks.

Une page dédiée à l'évènement est accessible ici.
30 janvier2020
 Guillaume Poupard au FIC à Lille : « Tous connectés, tous impliqués, tous responsables ! »
À l’occasion de la 11ème édition du Forum International de la Cybersécurité, Guillaume Poupard, Directeur général de l’ANSSI, a appelé à un engagement collectif pour stabiliser le cyberespace autour du leitmotiv : "Soyons tous connectés, tous impliqués, tous responsables !". Afin de renforcer et de garantir la stabilité et la confiance, tous les acteurs doivent identifier et assumer aussi leur part de responsabilité au plus tôt.

Pour en savoir plus, lire l'article de globalsecuritymag.fr.
Pour voir le discours de Guillaume Poupard au FIC, c'est ici.
29 janvier2020
 "Coercition, cybercoercition, contre-cybercoercition?" une tribune de Bernard Barbier, Jean-Louis Gergorin et l'Amiral Edouard Guillaud
Le Monde a publié une tribune sous la plume de MM. Bernard Barbier, membre du Conseil d'Administration de l'ARCSI et ancien directeur technique de la DGSE, Jean-Louis Gergorin, ancien chef du Centre d'analyse et de prévision du Quai d'Orsay, et l'Amiral Edouard Guillaud, ancien chef d'état-major des armées. Face à l'accélération de nouvelles menaces, elle considère que la France doit se doter d'une capacité de dissuasion autonome, à l'instar de celle constituée en matière nucléaire.

Pour lire la tribune c'est ici.
28 janvier2020
 Le Cyber Campus, futur coeur nucléaire du cyber français à Paris
Soutenu par Orange, Thales, Atos, Capgemini et l’ANSSI, ce futur campus de 700 à 800 experts en cybersécurité devrait voir le jour fin 2020-2021 à Paris. Il intègrera start-up, industriels, universitaires et acteurs publics. Pour Michel Van Den Berghe, chargé en juillet 2019 par le Premier ministre Edouard Philippe d’une mission de préfiguration du campus parisien, l’objectif est de créer de l’innovation en faisant se rencontrer les acteurs du cyber, mais aussi de donner envie aux jeunes de s’engager dans les métiers du cyber.

Pour en savoir plus, lire l'article de challenges.fr.
Pour lire ou télécharger le rapport "Campus Cyber, fédérer et faire rayonner l’écosystème de la cybersécurité", c'est ici.
26 janvier2020
 A l'aube du FIC, BFM Business organise une table ronde intitulée "Cybersécurité : les grands enjeux de l'année 2020"
Le samedi 18 janvier, Guillaume Tissier, président de CEIS et co-organisateur du FIC, Michel Van den Berghe, le directeur général d'Orange Cyberdéfense et Jean-Noël de Galzain, président de Wallix Group et de Hexatrust se sont penchés sur les enjeux de la cybersécurité en 2020 dans l'émission "01 Business Forum - L'Hebdo" présentée par Frédéric Simottel.

Pour écouter l'émission c'est ici.
26 janvier2020
 La théorie du chaos au secours des puces de chiffrement pour une "sécurité parfaite"
Des experts du Center for Unconventional Processes of Sciences (Californie) en collaboration avec l’Université St Andrews et l’Université des sciences et des technologies du Roi Abdullah (Arabie Saoudite) ont mis au point une puce de chiffrement dite de " sécurité parfaite " en s'appuyant sur la théorie du chaos. Les clés générées par le circuit et qui déverrouillent chaque message ne sont jamais stockées ou communiquées avec le message et ne peuvent être recréées, même par les utilisateurs eux-mêmes.

Pour plus d'information, lire l'article du mondeinformatique.fr.
24 janvier2020
 L'Identité Numérique La Poste devient la première identité électronique française déclarée conforme par l'ANSSI
Le 20 janvier 2020, l'Identité Numérique La Poste a été déclarée conforme aux exigences du règlement européen eIDAS. Gratuite pour les particuliers, la solution d'identification et d'authentification de La Poste devient une identité électronique de référence. Son objectif est de faciliter le développement de démarches en ligne comme la réception de la lettre recommandée électronique par exemple. La sécurité de l'Identité Numérique La Poste repose sur la combinaison d'un identifiant, d'un code secret et d'une application mobile qualifiée via un Visa de sécurité délivré par l'ANSSI.

Pour en savoir plus, lire le communiqué de La Poste.
23 janvier2020
 PANOCRIM 2019 : le Clusif livre son état des lieux annuel de la cybercriminalité
Ce 21 janvier, le Clusif a présenté la vingtième édition de son panorama du cybercrime. Il montre que les menaces ne faiblissent pas et restent diverses. Tromperies, ransomware, deep fake, attaques sur la supply chain, gestion de crise ont rythmé l'année 2019.

Pour en savoir plus, lire l'article de lemondeinformatique.fr.

Une synthèse du panocrim 2019 a été présentée au FIC 2020 et sa vidéo est disponible ICI.
22 janvier2020
 ProtonVPN met en ligne son code source pour permettre aux experts en cybersécurité d'inspecter son implémentation du chiffrement
La compagnie a décidé de mettre en ligne la totalité du code source de son application de VPN afin de laisser la possibilité aux experts en cybersécurité d'inspecter l'implémentation du chiffrement et la manière dont sont utilisées les données personnelles des utilisateurs. ProtonVPN a aussi annoncé travailler avec l'entreprise SEC Consult afin de réaliser un audit de sécurité complet des logiciels utilisés.

Pour en savoir plus, lire (en anglais) techradar.com.
21 janvier2020
 Le monde de l'Intelligence Économique bouge, Avisa Partners rachète le cabinet CEIS
Il s'agit de la quatrième opération de ce type pour Avisa Partners qui est également entré au capital de Raise, avec l'acquisition de IDA Group en Allemagne et celle de Gabara Strategies au Royaume-Uni. Avisa Partners se rapproche donc de l'entreprise de sécurité privée Anticip qui a conclu un partenariat commercial avec CEIS. Pour mémoire, CEIS est le cabinet mandaté par la Gendarmerie Nationale pour l'organisation du Forum International de la Cybersécurité (FIC) à Lille en Janvier.

Pour en savoir plus, lire Les Echos.
19 janvier2020
 Algorithmes éthiques en santé : un défi technologique et sociétal
Les possibilités offertes par les algorithmes et l’intelligence artificielle dans le domaine de la santé soulèvent de nombreuses questions. Quels sont les risques liés à leur utilisation ? Comment s’assurer qu’ils auront un impact positif pour le patient au plan individuel ? Quels garde-fous faut-il mettre en place pour garantir le respect des valeurs de notre système de santé ? Depuis l'engouement pour l'IA en santé créé par Watson d'IBM, de nombreuses questions sur les biais et les discriminations des algorithmes ont surgi.

Pour tout savoir, lire l'article de l'IMT.
18 janvier2020
 Faille cryptographique de Windows 10 : la NSA, nouveau cheval blanc de la cybersécurité ?
La NSA, plus connue pour taire les failles pour pouvoir les exploiter à son propre profit, a dévoilé publiquement le 14 janvier une faille majeure affectant Windows 10, le système d’exploitation de Microsoft, et plus particulièrement sa librairie cryptographique. Le correctif a été mis en place avant sa révélation et aucune exploitation n’a semble-t'il été constatée. Mais le plus suprenant est le comportement de la NSA, qui semble être le symbole d’une nouvelle orientation de l’agence américaine...

Pour tout savoir, lire l'article de siecledigital.fr.
13 janvier2020
 Amazon Web Services émet une alerte pour que les utilisateurs de ses bases de données mettent à jour leurs certificats TLS/SSL
Les utilisateurs des bases de données Aurora, RDS et DocumentDB d'Amazon utilisant des connexions sécurisées TLS/SSL doivent télécharger et installer le nouveau certificat CA-2019. La bascule vers un nouveau certificat est en effet proposée tous les 5 ans par AWS, en accord avec sa politique de sécurité. AWS précise que toutes les instances créées à compter du 14 janvier 2020 reposeront automatiquement sur ce nouveau certificat.

Pour en savoir plus, lire le communiqué d'Amazon Web Services.
12 janvier2020
 SNAKE, un nouveau rançongiciel pour infiltrer les réseaux d’entreprise et chiffrer les fichiers de chaque ordinateur
L’analyse du ransomware a révélé qu’il est écrit en langage "Golang" et qu'il possède un niveau d’obscurcissement bien plus élevé que ce qui est typique de ces logiciels d’infection. Il constitue une menace majeure pour les réseaux d’entreprise car il chiffre les fichiers sur tous les ordinateurs du réseau, par opposition à ceux sur une seule machine.

Pour en savoir plus, lire l'article de breakingnews.fr.
12 janvier2020
 La Chine établit une communication entre son satellite quantique et la toute première station quantique mobile terrestre
C’est la première fois qu’une station mobile est utilisée pour réaliser un transfert de données d’un satellite quantique à la Terre. Sa masse de seulement 80 kilogrammes démontre l’avance chinoise en matière de miniaturisation. Elle a établi une communication avec la satelite QUESS (pour "Quantum Experiments at Space Scale") depuis la province du Shandong.

Pour en savoir plus, lire l'article de journaldugeek.com.
10 janvier2020
 Qwant devient le moteur de recherche par défaut dans les ordinateurs de l’État
Alors que l’avenir managérial et financier de Qwant se clarifie, l’État vient de donner un coup de pouce au moteur de recherche français qui se veut être le rival de Google. Dans une note du mercredi 7 janvier, le directeur interministériel du numérique a requis de tous les directeurs d’administration chargés du numérique l'installation par défaut du moteur de recherche Qwant.

Pour en savoir plus, lire l'article de lemonde.fr.
10 janvier2020
 Avec le rapport de la députée Paula Forteza, qui vient de sortir, la France se positionne dans la course à l’informatique quantique
L'ordinateur quantique devrait, à terme, casser le chiffrement de toutes les données. Mais des chercheurs en cryptographie développent déjà de nouvelles méthodes de chiffrement, plus résistantes. "La cryptographie quantique permet une sécurité inconditionnelle, sans hypothèse de faille", explique Eleni Diamanti, directrice de recherche au CNRS. Dans l’état actuel, elle ne peut cependant pas remplacer la cryptographie classique.

Pour en savoir plus, lire l'article de numerama.com.
8 janvier2020
 La Chaire "Cyberdéfense et Cybersécurité" organise le 25 février prochain une journée sur "la gestion du risque numérique dans les collectivités territoriales"
La transition numérique est une formidable opportunité pour les collectivités territoriales car les études montrent que les usagers restent attachés à leurs services publics. Toutefois, l’exigence de rapidité et de réactivité que permettent les innovations technologiques est accrue.
Outre les risques liés aux attaques visant à bloquer l’activité de la collectivité et à détourner les données personnelles des administrés, les enjeux juridiques seront étudiés. La dernière partie de la journée sera consacrée aux risques de déstabilisation et de manipulation lors des prochaines élections de 2020.
 

Pour voir le programme et s'inscrire, c'est ici.
7 janvier2020
 Le CLUSIF organise le 21 janvier prochain la 20e édition de son Panorama de la Cybercriminalité "PANOCRIM"
"Le Panorama de la Cybercriminalité" du CLUSIF s’est imposé depuis plusieurs années comme un événement incontournable dans le monde de la sécurité de l’information. Cette conférence dresse le bilan en matière de cybercriminalité mais également en matiére d’événements sociéétaux et parfois accidentels en relation avec la sécurité de l’information.  
Des experts reconnus, dont des membres de l'ARCSI, ont sélectionné tous les faits de l’année écoulée qui ont marqué l’actualité et qui auront des répercussions en 2020. La conférence sera suivie d'un cocktail et d'une visite exceptionnelle de l'exposition Espions proposée par la Cité des sciences et de l'industrie.

Date : mardi 21 janvier 2020 / Horaire : 15h30-18h (Accueil 15h) / Lieu : Cité des sciences et de l'industrie, 30 avenue Corentin Cariou 75019 Paris

L'inscription est obligatoire et c'est ici.
2 janvier2020
 Conférence "L’apocalypse numérique, est-ce pour demain ?" organisée le 20 janvier par le Cercle d'Intelligence économique du Medef Hauts-de-Seine
Dans le cadre des ¨Lundi de la cybersécurité¨, qui se tiennent à l'Université de Paris, venez assister le 20 janvier prochain à la conférence animée par Gérard Peliks, membre de l'ARCSI, et tenue par Guy Manou-Mani, co-président du groupe Open, et ancien Vice-Président du Conseil National du Numérique et président du Syntec Numérique.

Accueil à partir de 18H15. Participation gratuite mais inscription obligatoire.
Lieu : Université de Paris - 45 Rue des Saints-Pères, 75006 Paris / amphi BINET (en entrant à gauche).

Pour en savoir plus, voir Lundi de la cybersécurité de janvier
1er janvier2020
 Téléportation quantique : première historique entre deux puces informatiques
Des chercheurs de l'Université de Bristol et de l'Université technique du Danemark sont parvenus pour la première fois à envoyer instantanément des informations d'une puce à une autre sans qu'elles soient physiquement connectées. Cet exploit ouvre un peu plus la porte à l’informatique quantique. Considérée comme le nouveau Graal des prochaines décennies, cette technologie permettrait de résoudre des problèmes bien plus complexes que ceux traités aujourd’hui.

Pour en savoir plus, lire l'article de siecledigital.fr.
QUATRIEME TRIMESTRE 2019
31 décembre2019
 L'ONU approuve une résolution russe et chinoise pour créer une convention sur la cybercriminalité
Cette résolution va permettre la création d'une convention internationale globale sur la lutte contre l'utilisation des technologies de l'information et des communications à des fins criminelles. Un comité d'experts sera créé en 2020 à cet effet et se réunira en août pour définir le programme de ses activités. Plusieurs pays et entités internationales, dont les États-Unis, ont cependant exprimé des réserves sur le projet, expliquant qu'il serait possible de l'utiliser pour restreindre la liberté d'expression sur Internet.

Pour en savoir plus, lire l'article (en anglais) de securityaffairs.co.
26 décembre2019
 Numéro spécial des "Annales des Mines", évoquant les défis tant techniques que de régulation des comportements des grands acteurs numériques ou des États
La cybersécurité, dont il est question dans ce numéro "Répondre à la Menace Cyber", est une des composantes de cette sécurité numérique, visant à protéger les données et les systèmes d’information, à garantir leur confidentialité, leur intégrité, leur authenticité et leur disponibilité. Écrit par des experts tant privés qu'étatiques, il vise à présenter l’état de la réflexion et des évolutions en cours en matière de cybersécurité, au plus proche du terrain et des acteurs qui la pratiquent au quotidien, et bien loin des visions romancées.  
Pour télécharger ce numéro des Annales des Mines, c'est ici.
24 décembre2019
 Des attaquants chinois réussissent à contourner l'authentification à double facteur
Selon le dernier rapport de Fox-IT, le groupe "APT20" aurait réussi à contourner la sécurité à double authentification lors d'une récente vague d'attaques sur des fournisseurs de service. Les hackers auraient pu se connecter à des comptes VPN protégés par une sécurité à deux facteurs en dérobant un jeton logiciel RSA SecureID depuis un système compromis pour l'utiliser afin de générer des codes à validité unique.

Pour en savoir plus, lire l'article de ZDnet.fr.
23 décembre2019
 Ces jeunes pousses qui veulent réenchanter le chiffrement via les chiffrements homomorphe et fonctionnel ou le calcul multipartite sécurisé
Entre sécurité et conformité, les cas d’usage du chiffrement ne manquent pas. Mais si protéger les données est un impératif, pouvoir exécuter des traitements dessus n’en est pas moins nécessaire. Plusieurs "startups" renouvellent la réflexion.

Pour en savoir plus, lire l'article de lemagit.fr.
22 décembre2019
 Anonymisation des données, une nécessité à l’ère du Règlement Général pour la Protection des Données (RGPD)
Le RGPD définit des contraintes qui limitent, et parfois empêchent, l’exploitation des données. L’anonymisation est la seule méthode permettant une exploitation sans risque de sanctions car elle enlève le caractère personnel aux données. Mais quelques précautions s’imposent !

Pour en savoir plus, lire l'article de techniques-ingenieur.fr.
20 décembre2019
 Google va soutenir financièrement certains projets en code source ouvert dans le domaine de la cybersécurité
Cette initiative lancée début 2020 est un "programme de récompenses des correctifs" (en anglais "Patch Rewards program") pour soutenir des développeurs voulant sécuriser leurs produits. Ce soutien variable suivant la taille des projets (de 5000 à 30 000 dollars) se veut récompenser non pas des correctifs apportés après la mise en circulation des produits, mais en amont les développements incluant une cybersécurité plus proactive.

Pour en savoir plus, voir (en anglais) le communiqué de Google.
20 décembre2019
 Référentiel du Pôle d’excellence cyber : un Référentiel pour les nouvelles technologies et les nouveaux usages de la cyber
Élaboré par un panel d’experts privés et étatiques du monde de la recherche, de la formation, de la défense ou de l’industrie (dont plusieurs membres de l'ARCSI), ce document décrit les différentes composantes de la cybersécurité, que ce soit pour les technologies et services, les domaines fonctionnels ou les cas d’usage et permet d’y entrevoir les enjeux associés. Il permet d’identifier les enjeux et les opportunités de développement associés.  
Pour télécharger la nouvelle version du référentiel c'est ici.
18 décembre2019
 Apple, Amazon, Google et Zigbee lancent un standard ouvert pour la maison connectée appelé "Project Connected Home over IP"
L'objectif de l'Alliance est le développement et la promotion d’un nouveau standard de connectivité pour assurer la compatibilité entre les produits de la maison connectée, avec la sécurité comme préoccupation principale: "les appareils domestiques intelligents et connectés doivent être sûrs, fiables et transparents à utiliser". Dans cette Alliance, on retrouve également IKEA, Legrand, NXP Semiconductors, Resideo, Samsung SmartThings, Schneider Electric, Signify (anciennement Philips Lighting), Silicon Labs, Somfy et Wulian.

Pour en savoir plus, voici le communiqué.
18 décembre2019
 Les chercheurs en cybersécurité de Keyfactor analysent 75 millions de certificats et clés RSA et constatent un grand nombre de compromissions
Avec des moyens rudimentaires, une simple machine virtuelle sur Microsoft Azure, ces chercheurs ont analysé 75 millions de certificats et constatent que beaucoup d’entreprises gèrent mal leurs clés de chiffrement SSL et TLS. Avec 435.000 certificats présentant une vulnérabilité, ils sont en effet parvenus à la conclusion qu’une clé sur 172 peut être compromise. L’IoT est clairement pointé du doigt par les chercheurs, avec près de 250.000 clés de chiffrement cassées. Cette recherche devrait jouer le rôle de signal d’alarme auprès des industriels pour que ceux-ci adoptent une meilleure sécurisation de leurs produits.

Pour en savoir plus, voici l'article de solutions-numeriques.com.
Voir également cet article un peu plus technique ici.
16 décembre2019
 La Direction des applications militaires du CEA ne veut plus dépendre uniquement des USA pour ses supercalculateurs
En juin dernier, le Commissariat à l’énergie atomique et aux énergies alternatives [CEA] a inauguré le supercalculateur " Joliot-Curie ", conçu par Atos. Sa puissance initiale de 9,4 pétaflops doit évoluer dès 2020 jusqu'à 22 pétaflops, ce qui en fera le troisième calculateur le plus puissant d’Europe dédié à la recherche et le premier en France. Utilisant des processeurs Intel Xeon et bientôt AMD et Marvel, il fait cependant entièrement dépendre la recherche étatique de composants américains. Or, les Européens ont lancé fin 2018 l’European Processor Initiative [EPI], qui vise à développer des processeurs destinés au calcul haute performance [HPC], avec une vingtaine d’acteurs issus de dix pays...

Pour en savoir plus, voici l'article de Opex360.fr.
14 décembre2019
 CS2C et Tianjin Kylin s'allient pour développer un système d'exploitation chinois souverain
Les deux plus importants éditeurs de systèmes d'exploitation en Chine vont fusionner leurs OS respectifs pour créer une solution souveraine afin de permettre au pays de réduire sa dépendance vis-à-vis des programmes étrangers. CS2C est à l’origine de NeoKylin, clone de Windows XP, tandis que TKC a créé Kylin fonctionnant sur un noyau Linux depuis 2009. Ce projet d’OS souverain intervient dans le cadre de l'appel du gouvernement chinois à l'indépendance totale sous trois ans des matériels et logiciels chinois.

Pour en savoir plus, voici l'article de ZDNet.fr.
14 décembre2019
 Jean-Paul Delahaye, membre de l'ARCSI, publie sur le site "Futura-Sciences" un intéressant dossier sur les nombres premiers
Vedettes des mathématiques, les nombres premiers, divisibles uniquement par un et par eux-mêmes, continuent d’occuper les mathématiciens de tous horizons. Découvrez les propriétés et l’histoire de ces nombres essentiels en cryptographie dans ce dossier. Certains outils mathématiques y sont abordés, comme le crible d'Ératosthène et la décomposition en facteurs premiers, mais aussi l'arithmétique modulaire. Le dossier se termine avec l'histoire du plus grand nombre premier et un aperçu des nombres premiers palindromes.

En voici le lien.
13 décembre2019
 Le CS-1, super-ordinateur dédié à l'IA, prêt à révolutionner la recherche
La machine dédiée à l'IA "CS-1" promet des avancées scientifiques majeures, car utilisant le "Cerebras Wafer Scale Engine", un processeur spécialisé de la taille d'un iPad. Comportant plus de 1,2 billions de transistors, ce dernier est vu par la Technology Review du MIT comme ayant une célérité multipliée par 1.000 par rapport au plus puissant des GPU actuels ("graphical processing units", processeurs dédiés à l'affichage graphique).

Lors de tests, le temps d'apprentissage du modèle, qui se comptait auparavant en semaines, a été réduit à seulement quelques heures.
 

Le processeur à côté du GPU le plus puissant
Pour en savoir plus, voir (en anglais) la présentation du composant.
12 décembre2019
 Le numéro 49 de "Global Security Mag" et son calendrier 2020 désormais téléchargeables en pdf par les adhérents de l'ARCSI
La version pdf du numéro 49 de "Global Security Mag" intitulé "Cyber entraînement" et son calendrier 2020 des évènements sécurité sont désormais téléchargeables par les adhérents depuis la partie privée du site.

Pour en savoir plus, voici le lien d'accès au site privé.
11 décembre2019
 APPEL AUX ADHERENTS : "Global Security Mag" lance pour son calendrier 2020 son jeu de message chiffré par deux spécialistes de l'ARCSI
Comme chaque année sur son calendrier des évènements sécurité de la prochaine année, le journal "Global Security Mag" publie un message à décrypter. Cette année, ce message a été chiffré par Hervé Lehning et Herbert Groscot, tous deux membres de l’ARCSI. Amis du domaine de la cryptologie, n'hésitez-pas à vous impliquer dans le décryptement de ce message !

Pour voir le message chiffré c'est ici.
Pour plus de détails, lire l'article de GSM.
10 décembre2019
 "La Suisse sous couverture", une passionnante web-série qui décrypte les activités d'espionnage sur le sol helvétique
La Radio Télévision Suisse (RTS) a diffusé du 18 au 23 novembre une web-série sur les liens entre la Confédération et le renseignement international. En cinq épisodes, "La Suisse sous couverture" revient sur les affaires d'espionnage les plus marquantes depuis l'après-guerre :

* épisode 1 : "Agents doubles" (de 1952 à aujourd'hui) : la NSA aurait espionné 130 pays grâce à des machines "truquées" par l'entreprise Crypto AG, avec le soutien du GCHQ et du BND. Fiction ou réalité? : lire ici

* épisode 2 : "Les grandes oreilles de la Confédération" (de 2000 à aujourd'hui) : le principal site du système de renseignement suisse a été vendu à des sociétés ayant des liens indirects avec la NSA. Quels sont les risques? : lire ici

* épisode 3 : "Genève, nid d'espions" (de 2007 à aujourd'hui) : Halte à la station d'écoute américaine basée à Genève et gérée par le Special Collection Service (F6). lire ici

* épisode 4 : "Le secret bunker suisse" (de 2011 à aujourd'hui) : Les bunkers convertis en data center souffrent de la concurrence européenne. lire ici

* épisode 5 : "La crypto révolution" (de 1980 à aujourd'hui) : Les hackers en guerre contre des algorithmes, des pirates héroïques? lire ici.

Pour retrouver l'ensemble de ces vidéos avec une présentation globale de la série, voici le lien.
9 décembre2019
 Suppression prochaine du niveau de classification "Confidentiel Défense"
Le Journal officiel publie un décret du Premier ministre officialisant des préconisations faites en janvier 2018 par le Secrétariat Général de la Défense et de la Sécurité Nationale (SGDSN). Il avait en particulier proposé la suppression du niveau "Confidentiel Défense" dans un rapport de janvier 2018. Ce dernier sera effectivement supprimé le 1er juillet 2021.

Pour plus de détails, lire l'article de lessor.org.
Pour voir le texte du décret, c'est ici.
8 décembre2019
 Première réunion du "comité national pilote d'éthique du numérique"
Ce comité a été mis en place par le Premier ministre pour répondre aux grands enjeux liés à l'usage des technologies du numérique, et en particulier ceux liés aux choix des algorithmes. Ses réflexions cibleront plus particulièrement 3 domaines : le développement des véhicules autonomes, les agents conversationnels ou chatbots (intégrés par exemple dans les enceintes connectées) et l'utilisation de l'intelligence artificielle dans le diagnostic médical. Il devra remettre ses recommandations en juin 2021.

Pour plus de détails, lire l'article de scienceetavenir.fr.
6 décembre2019
 "ENIGMA, IL Y A DU NOUVEAU", UN COURT METRAGE D'ARMA CIVITATIS !


Sous ce titre se cache un film de court métrage édité par "Arma Civitatis", et qui préente de nouveaux faits concernant le décryptage d’ENIGMA, sur la base de dossiers rendus disponibles en 2016 par les services français de renseignement. Ce passionnant documentaire raconte les péripéties des cryptologues polonais, français et anglais depuis les années 30. On y retrouvera le docteur Marek Grajek, sir Dermot Turing et Philippe Guillot, membre de l'ARCSI.
Pour voir le court-métrage, sous-titré en français c'est ici.
6 décembre2019
 Découverte de la vulnérabilité des connexions VPNs sur de nombreux systèmes d'exploitation Linux et Unix
Une vulnérabilité vient d'être découverte, affectant majoritairement les systèmes Linux et Unix dont Ubuntu, FreeBSD, OpenBSD, MacOS, iOS, et Android. Elle permet à des attaquants de détecter des utilisateurs ayant des connexions VPN, pouvant alors prendre le contrôle des connexions TCP actives et y injecter du code en analysant la transmission des paquets. La faisabilité a été démontrée sur les VPNs OpenVPN, WireGuard et IKEv2/IPSec et concernerait tant les connexions IPv4 que IPv6. De plus, la menace pourrait être plus importante si elle était combinée avec une usurpation de DNS.

Pour en savoir plus, lire (en anglais) l'article de bleepingcomputer.com.
4 décembre2019
 Au terme de 35 millions d’heures de calcul, une équipe internationale établit un nouveau record dans le cassage de clés de chiffrement
Une équipe de l’Inria à Nancy et du Laboratoire lorrain de recherche en informatique et ses applications (Loria – Inria, CNRS), associée aux universités de Limoges et de San Diego (Californie), a dépassé les précédents records visant à chercher les deux nombres premiers dont le produit donne la clé la plus grande possible. Ils s'établissaient à 768 bits en 2016, et 795 bits en 2009. Le chantier d'amélioration du précédent algorithme a permis de gagner 25% sur le temps consommé. Le logiciel utilisé est désormais en open source.

Pour en savoir plus, lire l'article du monde.fr.
4 décembre2019
 Alibaba Cloud met en libre accès sur GitHub l'un de ses algorithmes d'apprentissage (machine learning)
Alibaba a mis en accès libre sur GitHub le code source de sa plate-forme maison Alink, qui regroupe des algorithmes de traitement de données et de machine learning. Celle-ci peut être utilisée pour développer des logiciels de prévision en temps réel ou de recommandations personnalisées, dont le but est notamment d'améliorer le service client. Alink a été développé sur le framework open source de traitement des données Apach Flink.

Pour en savoir plus, lire l'article de usine-digitale.fr.
3 décembre2019
 Conférence "Cybermalveillance.gouv.fr, quel bilan après deux ans ?" organisée le 16 décembre par le Cercle d'Intelligence économique du Medef Hauts-de-Seine
Dans le cadre des ¨Lundi de la cybersécurité¨, qui se tiennent à l'Université Paris Descartes (Paris V), venez assister le 16 décembre prochain à la conférence animée par Gérard Peliks, membre de l'ARCSI, et tenue par Jérôme Notin, Directeur Général du Groupement d’Intérêt Public (GIP) ACYMA.

Accueil à partir de 18H15. Participation gratuite mais inscription obligatoire.
Lieu : Université Paris Descartes (Paris V) - 45 Rue des Saints-Pères, 75006 Paris / amphi BINET (en entrant à gauche).

Pour en savoir plus, voir Lundi de la cybersécurité de décembre
3 décembre2019
 Le protocole Rich Communication Service (RCS) de Google utilisé par les téléphones Android serait vulnérable à des attaques
Le protocole RCS de Google est la copie du service iMessage d'Apple pour ses iPhone. D'après les experts en sécurité de SRLabs, le protocole RCS exposerait les utilisateurs Android à des attaques car son chiffrement de bout-en-bout serait insuffisant. Il ne disposerait pas d'un niveau de validation de domaine et de certification nécessaire, ce qui permettrait à des attaquants de s'infiltrer et/ou de manipuler des flux de communication.

Pour en savoir plus, lire (en anglais) l'article de cybersecurity-insiders.com.
3 décembre2019
 Amazon propose un environnement de développement Web pour concevoir et tester des algorithmes quantiques
Baptisé "Bracket", l'environnement de développement lancé par Amazon Web Services (AWS) permettra aux développeurs de travailler sur des algorithmes quantiques puis de les tester sur les ordinateurs quantiques de ses partenaires. En parallèle, Amazon lance un nouveau laboratoire créé avec le "California Institute of Technology" pour travailler sur du matériel d’informatique quantique.

Pour en savoir plus, lire l'article de zdnet.fr.
2 décembre2019
 Lancement de la plateforme nationale de données de santé "Health Data Hub" (HDH)
Officiellement créée ce dimanche, la plateforme globale de données de santé doit rassembler l’essentiel des données générées par des actes médicaux remboursés. Les centres de recherche publics, mais aussi des entreprises privées qui souhaitent développer des projets nécessitant de nombreuses données pourront y avoir accès, les données une fois pseudonymisées. La plateforme soulève cependant des interrogations sur son utilisation par des acteurs privés comme les géants américains du numérique du fait du "Cloud Act", car elle sera hébergée par Microsoft. Le ministère de la santé se veut rassurant : "la donnée hébergée sera chiffrée, et la clé n’est pas détenue par Microsoft".

Pour en savoir plus, lire l'article de letelegramme.fr.
1er décembre2019
 À l'occasion du Black Friday, le FBI invite les consommateurs à masquer la caméra de leur Smart TV
Le FBI a publié un avertissement dans lequel il invite les utilisateurs à se méfier de leurs Smart TV, jugeant que les téléviseurs connectés peuvent être facilement piratés ou utilisés pour vous espionner. L’agence explique que le Black Friday est une bonne occasion de rappeler que les téléviseurs peuvent être utilisés à mauvais escient par "certaines entités". Elle précise qu’il faut donc limiter au maximum l’accès au micro et à la caméra de la Smart TV, et qu'il est conseillé de les recouvrir d’un ruban d’adhésif ou d’un dispositif couvrant.

Pour en savoir plus, lire (en anglais) le post du FBI.
1er décembre2019
 Cybersécurité : inspiré par Israël, le concept de Cyber Campus France sera lancé fin 2020 / début 2021
La mobilisation s’intensifie autour du projet de Cyber Campus annoncé en juillet dernier. Sous l’impulsion de Michel Van Den Berghe, patron d’Orange Cyberdefense et mandaté par le gouvernement pour faire des propositions sur le sujet, le soutien de principe d’une vingtaine d’organisations vient d'être annoncé. Il s'agit de Advens – Airbus Cybersecurity – Alsid – ANSSI – Atos – Beijaflore – BNP Paribas – Capgemini – CEIS – Citalid – EDF - EPITA – France Digitale – Gatewatcher – L’Oréal – Oodrive – Orange – Schneider Electric – Siemens France-Benelux – Sopra Steria – Thales – Wavestone. Le rapport devrait être remis au Premier ministre en décembre.

Pour en savoir plus, lire l'article de israelvalley.com.
29 novembre2019
 Des chercheurs américains inventent un algorithme évitant un comportement indésirable des "machines intelligentes"
S'assurer que les machines ne manifestent pas un comportement indésirable - par exemple qu'ils ne causent pas de tort à l'homme - est urgent du fait que les algorithmes d’apprentissage automatique sont omniprésents. Une équipe de chercheurs américains des universités du Massachusetts et de Stanford ont ainsi créé une nouvelle approche. Ils mettent en place des limites que l'intelligence artificielle ne doit pas franchir, excluant ainsi les comportements potentiellement dangereux.

Pour en savoir plus, lire (en anglais) l'article de science.com.
27 novembre2019
 Colloque des 13es Rencontres de l'ARCSI à la Bibliothèque Nationale de France, les présentations sont disponibles
Les 13es Rencontres de l'ARCSI se sont déroulées le 26 novembre dans le cadre prestigieux de la Bibliothèque Nationale de France "François Mitterrand", sur le thème "La confiance dans notre monde numérique peut-elle renaître ?". Introduites par le Directeur général de la BNF et le Président de l'ARCSI, elles ont vu se succéder de nombreux intervenants prestigieux, ainsi que deux tables rondes clôturant chacune une demi-journée.

Pour tout savoir et télécharger les présentations, c'est ici.
25 novembre2019
 Intervention de Pierre Bellanger à l'INHESJ (en téléchargement): "Trois empires et un garde-manger"
Pierre Bellanger est intervenu le 7 novembre à l'Institut National des Hautes Études de Sécurité et de Justice, autour du thème "Trois empires et un garde-manger". Il s'agit bien sûr d'expliquer les relations internationales dans le contexte des réseaux et services numériques, mais aussi la compréhension qu'en ont la France et l'Europe face aux ogres américain, chinois et russe.  

Pour télécharger l'intervention (avec l'autorisation de l'auteur) c'est ici.
22 novembre2019
 L'Agence de sécurité américaine NSA publie un rapport sur la gestion des risques de sécurité de la couche de transport TLS
Ce rapport traite de la gestion des risques liés à l'inspection de la séscurité de la couche de transport (TLSI), un processus de sécurité permettant au trafic entrant d'être déchiffré, inspecté et chiffré de nouveau. Le rapport explique certains risques et défis qui y sont associés et traite de mesures d'atténuation.  
L'Agence de cybersécurité et de sécurité des infrastructures (CISA), quant à elle, encourage les utilisateurs et les administrateurs à bien examiner ce rapport.

Le guide est téléchargeable ici.
22 novembre2019
 L’ANSSI et l’AMRAE publient un guide commun sur la maîtrise du risque numérique pour les dirigeants
L’ANSSI et l’Association pour le Management des Risques et des Assurances de l’Entreprise (AMRAE) s’associent dans la "Maîtrise du risque numérique – l’atout confiance" pour proposer aux dirigeants et aux risk managers une démarche progressive pour construire une politique de gestion du risque numérique au sein de leur organisation. Elle est décrite dans un guide en 15 étapes qui permet successivement de prendre la mesure du risque numérique, le comprendre et s’organiser (étapes 1 à 6), bâtir son socle de sécurité (étapes 7 à 11), et enfin piloter son risque numérique et valoriser sa cybersécurité (étapes 12 à 15).

Pour en savoir plus, voir le site de l'ANSSI.
Le guide est téléchargeable ici.
21 novembre2019
 Le fondateur de la messagerie chiffrée Telegram conseille aux utilisateurs de supprimer WhatsApp pour des questions de sécurité
Pavel Dourov conseille de supprimer l’application WhatsApp, ses nouvelles vulnérabilités pouvant permettre aux pirates informatiques d’avoir accès aux données personnelles de ses utilisateurs: "j’avais en effet prédit que les portes dérobées de WhatsApp ne cesseraient d’êtres découvertes et que des problèmes majeurs apparaîtraient les uns après les autres".

Pour en savoir plus, voir l'article de sputniknews.com.
20 novembre2019
 L’organisation internationale de police criminelle (OIPC, appelée aussi Interpol) envisage de condamner la propagation du chiffrement fort
La nouvelle déclaration n'aura pas force de loi, mais visera plutôt à accroître la pression sur les fournisseurs de technologie. Il faut souligner que des pays membres de l’alliance "Five Eyes" (constituée par les États-Unis, le Royaume-Uni, le Canada, la Nouvelle-Zélande et l’Australie) ont déjà montré la voie. La déclaration mettra en avant les difficultés à mener à bien la lutte contre la pornographie enfantine : "Les fournisseurs de services en ligne, les développeurs d'applications et les fabricants d'appareils développent et déploient des produits et services chiffrés qui dissimulent avec trop efficacité l'exploitation sexuelle des enfants sur leurs plateformes".

Pour en savoir plus, voir l'article de developpez.com.
19 novembre2019
 Les chercheurs de l'université d'État de l'Ohio découvrent que les dispositifs "Bluetooth Low Energy" sont vulnérables à des accès non autorisés
Selon eux, un défaut de conception présent dans la plupart des dispositifs sans fil modernes les rend vulnérables. Celà permettrait à un attaquant de connaître l'identifiant universel unique (UUID) permettant d'établir une connexion entre deux appareils. Dans le cas où aucun chiffrement n'est utilisé ou n'est pas utilisé correctement entre l'application mobile et les périphériques, il serait alors possible d'écouter les communications. Les chercheurs proposent des recommandations pour les développeurs.

Pour en savoir plus, voir (en anglais) l'article de securityweek.com.
19 novembre2019
 Découverte de plus 100.000 domaines du Web avec des certificats TLS valides "typosquattant" le domaine de commerçants importants
Venafi a conduit une analyse sur le "typosquattage" des domaines de sites commerçants aux États-Unis, au Royaume-Uni, en Australie, en Allemagne et en France. Il s'agit d'une pratique se fondant sur l'enregistrement de noms de domaine proches de noms existants mais incluant des fautes de frappe et d'orthographe. Au total, l'entreprise de sécurité affirme avoir découvert près de 110.000 de ces domaines avec des certificats TLS valides. 60% d'entre eux possèdent un certificat gratuit de l'autorité de certification "Let's Encrypt".

Pour en savoir plus, voir (en anglais) l'article de securityweek.com.
18 novembre2019
 les coffres-forts cryptographiques de nos ordinateurs hébergés sur du silicium sont vulnérables
Un groupe de trois chercheurs en sécurité vient de dévoiler des failles dans certains cryptoprocesseurs. Egalement appelés "Trusted Module Platform" (TPM), ce sont des composants disposant de zones d’exécution dédiées permettant de stocker des clés de chiffrement et de réaliser des opérations cryptographiques sensibles. En mesurant les temps d’exécution de certaines opérations de signatures électroniques, les chercheurs sont arrivés à récupérer des clés privées 256 bits.

Pour en savoir plus, voir l'article de 01net.com.
16 novembre2019
 Les gendarmes français offrent leurs services de décryptement aux autres polices européennes
Les experts de l’institut de recherches criminelles de la Gendarmerie nationale vont offrir leurs services de décryptement aux polices européennes. Cela permettra de mutualiser l’investissement estimé à 2,6 millions d’euros, et réalisé dans ce projet ambitieux dénommé Cerberus porté par les gendarmes du département INL (Informatique électronique) de l’IRCGN. Lancée en 2015, cette plateforme de décryptage compte plus de 500 réponses positives à des services enquêteurs. Soit autant de mots de passe décryptés permettant l’avancée d’enquêtes.

Pour en savoir plus, voir l'article de lessor.org.
14 novembre2019
 L'ANSSI et le COMCYBER renouvellent leur partenariat en matière de défense des systèmes d'information
Guillaume Poupard, directeur général de l'ANSSI, et le Général de division aérienne Didier Tisseyre, commandant de la cyberdéfense, ont signé une nouvelle convention de partenariat ayant pour but de renforcer la synergie entre les deux entités et de poursuivre les rapprochements initiés depuis plusieurs années dans le cadre de la cyberdéfense des réseaux du ministère des armées. Ce renouvellement démontre la relation de confiance tissée entre les deux entités, marquée notamment par la colocalisation de la sous-direction Opérations de l'ANSSI (SDO) et du centre d'analyse de lutte informatique défensive (CALID).

Pour en savoir plus, voir le site de l'ANSSI.
8 novembre2019
 La jeune pousse spécialiste de "Bug Bounty" YesWeHack lance une plateforme d'éducation appelée "YesWeHack EDU"
La plateforme "YesWeHack EDU" a pour but d'aider les utilisateurs à s'entraîner à la recherche de vulnérabilités sur des scénarios réalistes et dans des contextes identiques à ce qui se fait au sein des entreprises et des organisations. La plateforme s'adresse particulièrement aux étudiants en cybersécurité : "ce programme offre à la communauté académique européenne une plateforme d’entraînement sophistiquée permettant de former aux nouveaux métiers cyber", indique l'un de ses fondateurs.

Pour en savoir plus, voir l'article de informatiquenews.fr.
7 novembre2019
 Google annonce sa participation au projet de construction de puces sécurisées disponibles en sources ouvertes baptisé "OpenTitan"
Ce tout premier projet de chemin de confiance "Root of Trust" au sein même du silicium permettra de développer une puce de haute qualité qui servira pour les serveurs de centres de données ou encore les smartphones. Il fournira une chaîne de confiance qui part du micrologiciel de plus bas niveau, permettant ainsi de s’assurer que ces éléments n’ont pas été compromis. Le projet OpenTitan est administré par IowRISC et réunit un ensemble de partenaires dont ETH ZUrich, G+D Mobile Security, Google, Nuvoton Technology et Western Digital.

Pour en savoir plus, voir l'article de silicon.fr.
6 novembre2019
 Parution du livre "La Bible des Codes Secrets", par Hervé Lehning, membre du Conseil d'Administration de l'ARCSI

Les codes secrets sont partout, dans votre carte bleue, votre téléphone portable ou votre box Internet. Ils ont déclenché des guerres, fait gagner des batailles et mis des États en difficulté. Zigzag, code pourpre, cadran d’Alberti, chiffre de Bazeries, machine de Gripenstierna, Enigma, masque jetable, Vernam, algorithme RSA, etc... ce nouvel ouvrage d'Hervé Lehning perce tous leurs mystères.

Pour en savoir plus, voir sa présentation sur Youtube.
 

Et également, la page de l'éditeur Flammarion.
5 novembre2019
 Rudy Giuliani, ex-conseiller en cybersécurité de Trump, obligé d'aller chez Apple pour déverrouiller son iPhone bloqué...
Rudy Giuliani, ancien conseiller en cybersécurité du gouvernement de Donald Trump, a dû se rendre dans un Apple Store de San Francisco pour faire déverrouiller son iPhone après avoir entré successivement dix mauvais mots de passe et ainsi bloqué son appareil. "Il ne maîtrisait même pas les bases de la sécurité de son propre téléphone", a témoigné un ancien employé du magasin... Personne n'est parfait...

Pour en savoir plus, voir l'article de 20minutes.fr.
4 novembre2019
 Des chercheurs développent une technique d' "Intelligence Artificielle" temps réel et non invasive capable de lire l'activité cérébrale d'une personne
En travaillant avec la société russe Neurobotics, les chercheurs de l’Institut de physique et de technologie de Moscou (MIPT) ont réussi à développer une intelligence artificielle (IA) capable de lire l’activité cérébrale d’une personne en temps réel et de la représenter sous forme d’image. La technique utilisée est non invasive car toutes les informations sur les ondes cérébrales sont recueillies grâce à un casque d'électroencéphalographie (EEG) recouvert d'électrodes. "Nous ne nous attendions pas à ce qu'on obtienne suffisamment d'informations pour reconstruire une image observée par une personne, mais cela s'est avéré tout è fait possible", a indiqué l'un des chercheurs.

Pour en savoir plus, voir l'article de intelligence-artificielle.
31 octobre2019
 Une avancée quantique rendue probable grâce à un processeur supraconducteur
La promesse des ordinateurs quantiques repose sur le fait que certaines tâches de calcul peuvent être réalisées de manière exponentielle par rapport aux ordinateurs classiques. Un défi essentiel réside dans la fabrication d'un processeur très fiable, capable d’exécuter des algorithmes quantiques dans un espace de calcul extrêmement grand, de dimension 2 puissance 53, soit environ 10 puissance 16. Des chercheurs ont publié dans la revue Nature l’utilisation d’un processeur Sycamore capable de réaliser en 200 secondes une tâche équivalente à celle qu'un superordinateur classique de pointe réaliserait en environ 10 000 ans.

Pour en savoir plus, voir (en anglais) l'article de nature.com.
29 octobre2019
 La Chine adopte une loi sur le chiffrement des données, qui entrera en vigueur le 1er janvier 2020
D'après l'agence de presse officielle Xinhua, cette loi est nécessaire pour "réglementer l'utilisation et la gestion de la cryptographie, faciliter le développement du secteur et assurer la sécurité du cyberespace et de l'information". Elle classifie la cryptographie en trois domaines : les domaines "principal, commun et commercial", les deux premiers devant protéger les informations confidentielles du Pays, la cryptographie commerciale devant servir à la protection des informations qui ne sont pas des secrets d'État. Cette future loi constitue le cadre parfait pour l'instauration d'une cryptomonnaie souveraine, comme le gouvernement l'a déjà annoncé.

Pour en savoir plus, voir l'article de usine-digitale.fr.
28 octobre2019
 Conférence "Dark Web, Dark Net, Deep Web? Quelles différences?" organisée le 18 novembre par le Cercle d'Intelligence économique du Medef IdF
Dans le cadre des ¨Lundi de la cybersécurité¨, qui se tiennent désormais à l'Université Paris Descartes (Paris V), venez assister le 18 novembre prochain à la conférence animée par Gérard Peliks, membre de l'ARCSI, et tenue par Patrice Auffret, expert reconnu dans le domaine de la sécurité des systèmes d’information (SSI) depuis plus de 18 ans.

Conférence à partir de 18H15. Participation gratuite mais inscription obligatoire.
Lieu : Université Paris Descartes (Paris V) - 45 Rue des Saints-Pères, 75006 Paris / amphi BINET (en entrant à gauche).

Voir Lundis de la cybersécurité

La présentation powerpoint est désormais disponible ici.
27 octobre2019
 Après plus de 50 ans d'utilisation, fin du chiffrement sur bandes perforées à la NSA
L'agence de surveillance américaine (NSA) vient de mettre un terme à la production de bandes papier de chiffrement au profit de clés entièrement numériques. De telles clés étaient jusqu'au 2 octobre 2019 encore utilisées pour chiffrer les communications militaires et devaient être physiquement introduites dans des dispositifs pouvant stocker la clé, avant de pouvoir valider leur transmission.  
La clé de chiffrement sur le support papier utilisé, un film de polyester (Mylar), recourait en guise de langage binaire à des trous (1) ou l'absence de trou (0) pour être constituée. (source Le Monde Informatique)

Pour en savoir plus, voir (en anglais) l'article de cbronline.com.
27 octobre2019
 Le CEA annonce une nouvelle bibliothèque de chiffrement homomorphe pour les calculs complexes sur données codées
Elle vient renforcer une autre technologie maison, Cingulata, une chaîne logicielle de compilation unique qui permet de créer des applications capables d'effectuer des opérations sur des données chiffrées. Grâce à la bibliothèque TFHE (Fast Fully Homomorphic Encryption over the Torus), le temps d'une opèration de multiplication est constant et ne dépend plus du nombre d'opérations la précédant. Celà permet d'accélérer le temps de calcul d'un facteur au moins égal à 10 par rapport à la précédente version.

Pour en savoir plus, voir le bulletin du CEA.
26 octobre2019
 Une spin-off d’INRIA et de Sorbonne Université développe un logiciel de chiffrement à l’épreuve des futurs ordinateurs quantiques
"Cryptonext Security", spin-off d’INRIA et de Sorbonne Université, propose des logiciels capables de résister à la prochaine menace, celle des ordinateurs quantiques. La technologie appliquée à l’avenir pour le chiffrement à clé publique utilisera en effet de nouvelles méthodologies, qu'il faut normaliser. C’est un processus en cours, via un concours lancé par le NIST (National Institute of Standards and Technology, aux États-Unis) qui définira les technologies les plus performantes. 80 solutions étaient sur les rangs au départ, il en reste 26 à ce jour, dont un algorithme développé par "Crypto Security" et fondé sur la résolution d’équations algébriques.

Pour en savoir plus, voir le communiqué de l'INRIA.
25 octobre2019
 Le SGDSN lance un quizz sur la protection du secret de la Défense nationale
Le Secrétariat Général de la Défense et de la Sécurité Nationale met à la disposition des utilisateurs du secret de la défense nationale un outil visant à renforcer leur formation et à consolider une culture de la protection des informations classifiées. Cette formation est disponible en ligne, et est utilisable aussi bien sur ordinateur que sur téléphone mobile. Vingt questions sont posées de manière aléatoire sur une base de 200 questions.

Pour en savoir plus, voir le test sur le site du SGDSN.
25 octobre2019
 Google a-t-il vraiment atteint la suprématie quantique ? Pas si vite explique IBM
Le mois dernier (voir notre actu du 23 septembre), un document de recherche suggérait que Google avait atteint la suprématie quantique. Son ordinateur quantique pouvait ainsi en théorie effectuer des calculs impossibles à faire à ce jour, même pour les supercalculateurs les plus performants du monde (10.000 ans au lieu de 20 secondes, pour un calcul donné). Mais les chercheurs d'IBM affirment aujourd'hui qu'un système classique peut accomplir la même tâche en... deux jours et demi, à condition d'optimiser ses ressources, et en particulier ses capacités de stockage de données.

Pour en savoir plus, voir l'article de ZDNet.fr.
24 octobre2019
 Publication de "La Tyrannie des algorithmes", par Miguel Benasayag
Être pour ou contre l’Intelligence Artificielle n’est pas la question, dès lors que cette dernière fait déjà partie intégrante de notre quotidien. Mais contrairement à une idée très répandue même dans le monde scientifique, des neurosciences à la biologie, Miguel Benasayag soutient que l’être vivant, s’il est hybridé par la technique qu’il a inventée, à savoir transformé par l’usage qu’il en fait, ne peut être pensé comme analogue à une machine. Il est une créature marquée par son unicité, laquelle participe d’une "logique intégrative".  
Pour tout savoir, voir l'analyse de Thierry Godefridi.
Pour commander le livre, c'est ici.
23 octobre2019
 La 21e édition du Salon Milipol ouvre le 19 novembre prochain, mettant l'accent sur les innovations en matière de sûreté et de sécurité intérieure des Etats
Outre la partie exposition, Milipol Paris 2019 propose un cycle de conférences gratuites qui s’articulera autour des thématiques suivantes : Sécurité privée ; Gestion de la sécurité des grands évènements (perspective internationale) ; Safe et Smart JOP 2024 : gestion des flux multiples et sécurisés ; Identité numérique, contrôle des frontières ; Lutte contre le terrorisme ; Cybersécurité : 1 an après l’appel de Paris ; IA et analyse prédictive ; Gestion de crise ; Sécurisation des espaces publics, villes et collectivités intelligentes.

Pour en savoir plus, voir l'article de GlobalSecurity Mag..
22 octobre2019
 La plateforme "Cybermalveillance.gouv.fr" fête ses deux ans d’assistance aux victimes d’actes de cybermalveillance
"Cybermalveillance.gouv.fr" est le dispositif gouvernemental de sensibilisation et d’assistance aux victimes d’actes de cybermalveillance, animé depuis 2017 par le Groupement d’Intérêt Public ACYMA et porté par une démarche interministérielle. Il s’adresse aux particuliers ainsi qu’à toutes les entreprises et collectivités territoriales (hors OIV), et s’articule autour de 3 principales missions : l’assistance aux victimes, la mise en place de campagnes de prévention et de sensibilisation, et la création d’un observatoire de la menace numérique.
 

Pour tout savoir sur le dispositif, voir l'article de GlobalSecurity Mag..
21 octobre2019
 Publication d'un outil de décryptement pour de nombreuses variantes du rançongiciel STOP
Le développeur d'antivirus Emsisoft a publié gratuitement un outil pour décrypter 148 des 160 variantes du rançongiciel STOP, un des plus actifs sur les six derniers mois. Selon l'entreprise, cela représente environ 70% des compromissions. Pour les autres, soit une douzaine d'autres variantes, Emsisoft préconise de conserver les fichiers cryptés dans l'attente d'une solution future.

Pour en savoir plus, voir (en anglais) le site zdnet.com.
20 octobre2019
 Le congrès "Blockchain Paris 2019", rendez-vous des applications business de la filière, se tiendra les 13 et 14 novembre
Dans cette deuxième édition, et à travers deux jours de conférences, d’exposition, d’applications sectorielles, de rendez-vous d’affaires et d’ateliers, "Blockchain Paris 2019" propose aux acteurs de la filière Blockchain de se rencontrer à la Cité Universitaire Internationale, à Paris.
 

Près de 1.700 experts, décideurs, chercheurs, fournisseurs de solutions, industriels, entrepreneurs seront présents et assisteront aux conférences et ateliers, ou visiteront le salon d'exposition des solutions.

Pour en savoir plus, voir le site de l'évènement.
18 octobre2019
 Le compte-rendu des "Lundi de la cybersécurité" de septembre désormais disponible
Les "Lundi de la cybersécurité" de septembre 2019 qui se tiennent dorénavant en partenariat avec l'Université Paris Descartes (Paris V), ont donné lieu à la conférence de Jean-François Audenard, membre de l'ARCSI sur le thème: "La sensibilisation d'un grand Groupe à la cybersécurité, par des réseaux sociaux". Le compte-rendu est désormais disponible sur notre site à la page "évènements".
16 octobre2019
 Une nouvelle méthode stéganographique cache du code malveillant dans des fichiers audio
BlackBerry Cylance Threat Researchers a publié un rapport s'intéressant à une nouvelle méthode sténographique obfuscant du code malicieux dans des fichiers audio de type WAV. Chacun de ses fichiers est lié à un autre, ce qui lui permet de décoder et d'exécuter les contenus malveillants cachés dans les données audio de celui-ci.

Pour en savoir plus et télécharger le rapport (en anglais), c'est ici.
16 octobre2019
 Du 15 octobre 2019 au 10 août 2020 se tient une exposition inédite sur les services secrets français, à laquelle ont collaboré les différents services du renseignement


Du 15 octobre 2019 au 10 août 2020 se tient à La Cité des sciences et de l’industrie à Paris une exposition immersive inédite sur les services secrets français, dont les décors ont été réalisés par l’équipe du Bureau des légendes, la série de Canal+. De la salle d’interrogatoire à l’écran de contrôle pour superviser une filature, cette exposition très ludique propose une dizaine d’étapes, pour endosser tour à tour le rôle de filocheur, d’analyste ou de cryptographe.


Pour en savoir plus, voir le site sortiraparis.
14 octobre2019
 Que font les algorithmes de recommandation qui dirigent nos choix sur Internet ?
Les algorithmes de recommandation proposent un contenu ciblé et personnalisé à l'internaute, au travers de la collecte de ses données personnelles. Toutes les plateformes utilisées au quotidien en sont dotées, qu'il s'agisse de Google, Amazon ou encore Spotify. Ces algorithmes varient cependant selon les contraintes et objectifs propres à chaque plateforme et appartiennent à différentes familles.

Pour en savoir plus, voir l'article de 20minutes.fr.
10 octobre2019
 Kaspersky découvre un malware capable de décrypter des données chiffrées avec le protocole TLS
Kaspersky vient de découvrir un malware nommé "Reductor". Ce logiciel malveillant se distingue des autres par sa capacité à décrypter les données sécurisées via le protocole de chiffrement TLS sur le web. Il aurait été développé par le groupe de hackers russes Turla focalisé sur les opérations d’espionnage.

Pour en savoir plus, voir l'article de lebigdata.fr.
8 octobre2019
 Un "hacker éthique" se venge d'un groupe de cybercriminels en publiant les clés de décryptage de leur rançongiciel
Victime d'un rançongiciel appartenant au groupe de cybercriminels appelé "The Mushtik gang", un "hacker éthique" a payé pour récupérer la clé de décryptage. Mais il a ensuite analysé le rançongiciel, lui permettant d'accéder à une base de données contenant 2858 clés de décryptage du rançongiciel. Il les a par la suite publiées, et mis à disposition un outil de décryptage du rançongiciel muhstik.

Pour en savoir plus, voir l'article de Zdnet.com.
7 octobre2019
 Une nouvelle attaque permet de récupérer les clés privées de bibliothèques cryptographiques
Google milite pour une généralisation du protocole de chiffrement HTTPS, qui apporte une bien meilleure sécurité pour les internautes que le simple protocole HTTP. Aussi, il a décidé de bloquer dès l'année prochaine, via son navigateur Chrome - le plus utilisé au monde -, tous les contenus non chiffrés dans les sites HTTPS (images, vidéos, iframes, scripts, etc.).

Pour en savoir plus, voir le site de Google.
7 octobre2019
 A partir de l’année prochaine, Chrome va bloquer tous les contenus non chiffrés des sites web HTTPS
Google milite pour une généralisation du protocole de chiffrement HTTPS, qui apporte une bien meilleure sécurité pour les internautes que le simple protocole HTTP. Aussi, il a décidé de bloquer dès l'année prochaine, via son navigateur Chrome - le plus utilisé au monde -, tous les contenus non chiffrés dans les sites HTTPS (images, vidéos, iframes, scripts, etc.).

Pour en savoir plus, voir le site de Google.
7 octobre2019
 Kaspersky explique comment peut se passer le piratage de la carte SIM de votre téléphone via SIMJacker
C'est dans l'outil de gestion de la carte SIM que se situe la faille, et plus particulièrement dans l'une de ses applications, S@T Browser. Elle n’a pas été mise à jour depuis 2009, et bien que dans les appareils modernes ses fonctions soient exécutées par d’autres programmes, S@T Browser est toujours activement utilisée par près d'un milliard de téléphones, dans pas moins de 30 pays.

Pour en savoir plus, voir l'explication de Kaspersky.
6 octobre2019
 Conférence "Vol de données et ransomware, pourquoi et comment négocier avec un hacker?" organisée par le Cercle d'Intelligence économique du Medef IdF
Dans le cadre des ¨Lundi de la cybersécurité¨, qui se tiennent désormais à l'Université Paris Descartes (Paris V), venez assister le 21 octobre prochain à la conférence animée par Gérard Peliks et tenue par Olivier Hérisson, consultant en sécurité numérique et formé aux techniques de négociations complexes.

Conférence à 18H30, Participation gratuite mais inscription obligatoire.
Lieu : Université Paris Descartes (Paris V) - 45 Rue des Saints-Pères, 75006 Paris / amphi BINET (en entrant à gauche).

Voir Lundis de la cybersécurité

Le compte-rendu est désormais disponible ici.
5 octobre2019
 Kaspersky met à jour son outil RakhniDecryptor pour récupérer les fichiers cryptés par les ransomwares Yatron et FortuneCrypt
Kaspersky a mis à jour son outil RakhniDecryptor pour permettre aux utilisateurs dont des fichiers ont été cryptés par les ransomwares Yatron et FortuneCrypt de récupérer leurs données sans payer de rançon. Cette mise à jour est disponible sur le site web "nomoreransom". Ce projet a été lancé conjointement par la police nationale des Pays-Bas, Europol, McAfee et Kaspersky en 2016. Il consiste à faire coopérer des experts en cybersécurité et des forces de l’ordre afin de mettre en commun des solutions pour mettre fin au fléau du ransomware.

Pour en savoir plus, voir l'article de "Global Security Mag".
L'adresse du site "nomoreransom" en français est ici.
3 octobre2019
 À l'Ecole des Transmissions de Rennes, l'ARCSI rend visite au Général Ravier, commandant les SIC des Forces terrestres


Bernard Barbier, Jon Paul et les Généraux Jacques Aubert et Jean-Louis Desvignes, tous membres éminents de l'ARCSI, ont rencontré le 3 octobre le Général Ravier commandant les SIC des Forces terrestres, très au fait des questions CYBER et de la SSI, accompagné par le capitaine Ariane Pinauldt, conservatrice du Musée des Transmissions, le Directeur du musée et le président de l’AMTAT.
L'occasion de faire le point sur les relations entre l'ARCSI et le Musée, et de visiter le très riche fonds de machines de notre Association.

En voici quelques exemples :

3 octobre2019
 Florence Parly, ministre de Armées, inaugure le nouveau centre du commandement de cyberdéfense à Rennes

Quelques extraits de son discours :

[…]
"La cyberdéfense est une priorité absolue du ministère des Armées. Nous investissons beaucoup, nous recrutons à un rythme soutenu, nous consolidons nos pôles d’expertise dans les armées, à la DGA et à la DGSE avec l’ambition de donner à la France les moyens de construire une cyberdéfense à la hauteur de ses ambitions opérationnelles et de faire de la France un acteur incontournable de la cybersécurité. Et c'est ici à Rennes que se concrétise une grande partie des efforts qui est réalisée pour bâtir notre cyberdéfense.
[…]
Je suis très heureuse d’inaugurer à Rennes le premier bâtiment entièrement dédié à la conduite des opérations cyber.
 

Ce bâtiment, nous avons choisi de le baptiser en hommage au commandant Roger Baudouin, l’un des premiers et des meilleurs cryptographes de l’armée française, celui qui a formé Alan Turing à la cryptologie. Ce même Alan Turing, qui déchiffra la machine Enigma [en photo, une machine prêtée par l'ARCSI pour l'évènement], conférant ainsi aux Alliés un avantage considérable durant la Seconde Guerre mondiale. Je porte l’espoir que l’histoire du commandant Baudoin inspire nos cybercombattants et toutes les personnes qui entreront dans ce bâtiment, temple de la cyberdéfense."
[…]

Pour en savoir plus, lire le discours complet.
2 octobre2019
 Des chercheurs démontrent une vulnérabilité dans le chiffrement de PDF par de nombreux logiciels de visualisation
Appelée "PDFex", l'attaque a été testée sur vingt-sept visionneuses de PDF, tel qu'Adobe Acrobat, Foxit Reader, Evince Nitro ou celles de Chrome et Firefox. Toutes les fonctionnalités de chiffrement de ces outils s'avèrent vulnérables. Une première variante de l'attaque consiste à mélanger des textes en clair avec le texte chiffré d'un fichier PDF, la seconde consistant à utiliser le CBC, ou chaîne de bloc de chiffrement, afin de créer des parties de texte chiffré sans contrôle d'intégrité sur le PDF.

Pour en savoir plus, voir le Rapport de l'équipe de recherche... au format... pdf !
TROISIEME TRIMESTRE 2019
29 septembre2019
 La nouvelle version 3 du protocole HTTP commence à faire son chemin dans divers systèmes, en intégrant le support du chiffrement TLS par défaut
Il s'agit d'une réécriture complète du protocole HTTP qui utilise le protocole QUIC au lieu du protocole TCP, rendant le chargement des sites Web plus rapide et avec des connexions chiffrées par défaut. Cloudflare, Google Chrome et Firefox ont d'ores et déjà ajouté le support HTTP/3. Mais il n'est cependant utilisé pour l'instant que par 3% de tous les sites Internet.

Pour en savoir plus, voir l'article de zdnet.fr.
28 septembre2019
 une faille rendrait définitivement vulnérables tous les modèles d’iPhone jusqu'à l'iPhone X
Un chercheur en sécurité informatique a découvert un exploit de type "bootrom" sur iOS, c'est-à-dire qu’il tire parti d’une faille de sécurité dans le code stocké dans la mémoire en lecture seule que les périphériques iOS chargent au démarrage du système. Il s’agirait de la première publication d’un exploit de ce type pour un périphérique iOS depuis l’iPhone 4. Il aurait été publié à destination des développeurs pour qu'ils étudient des fonctions critiques d'iOS.

Pour en savoir plus, voir en particulier l'article de phonandroid.com ou celui de frandroid.com.
27 septembre2019
 Le Commissaire européen chargé de l'Union de la sécurité réagit à la décision de Facebook de chiffrer Messenger
Le chiffrement sur internet protège notre vie privée mais aussi les cybercriminels. Aussi inoffensif qu’il puisse sembler, explique Julian King, un service de messagerie tel que WhatsApp ou Facebook Messenger peut être utilisé abusivement pour servir des intentions malveillantes. "Nous devons faciliter le travail des services répressifs. Mais il nous faut aussi prendre en compte le rôle essentiel que joue le chiffrement dans la cybersécurité et dans la protection des données personnelles".

Pour en savoir plus, voir en particulier l'article du huffingtonpost.fr.
26 septembre2019
 L'Université américaine de Princeton a développé des algorithmes à même de protéger les réseaux électriques contre les cyberattaques
"La nature cyber-physique du réseau en fait une menace qu’il faut à tout prix éliminer, car une coupure de courant de grande échelle pourrait avoir des conséquences critiques", a précisé Prateek Mittal, professeur associé de génie électrique et l’un des auteurs de l’étude publiée dans la revue scientifique de l'IEEE. "L'un des algorithmes permet par exemple d’ajuster automatiquement l’énergie sortant des installations, un autre servant à rétablir le courant de manière plus rapide après une panne".

Pour en savoir plus, voir l'usine-digitale.fr.
24 septembre2019
 Le "Crypto Museum" des Pays-Bas organise du 3 au 16 novembre la 3e édition de son évènement "secret communication"
Le "Crypto Museum" des Pays-Bas est un musée virtuel, uniquement accessible sur internet. Son principal objectif est de faire perdurer le côté historique des machines de chiffrement. La 3e édition de son évènement "secret communication" est en partenariat avec la fondation "Foundation for German Communication" d'Arthur Bauer de Duivendrecht, également aux Pays-Bas. Quelques visites physiques sont organisées à la Fondation certains samedis de novembre 2019 à janvier 2020.

Pour consulter le site internet du "Crypto Museum", voir ici.
Et la page de l'évènement "secret communication", voir .
Enfin, pour le site internet de la "Foundation for German Communication", voir ici.
23 septembre2019
 Le géant informatique américain Google prétend avoir atteint la "suprématie quantique"
Le géant informatique américain Google prétend avoir franchi une étape importante désignée sous le nom de "suprématie quantique" en fabriquant une machine aux capacités bien supérieures à celles des ordinateurs classiques les plus puissants. Dans un article brièvement publié sur le site de la Nasa avant d'en être retiré, ses chercheurs auraient affirmé que leur processeur est capable de mener une opération en trois minutes et vingt secondes là où il faudrait 10.000 ans au plus avancé des ordinateurs actuels.

Pour en savoir plus, voir l'article du figaro.fr.
19 septembre2019
 L'exposition "Top secret: from cyphers to cyber security" s'ouvre au "Science Museum" de Londres
Depuis les tranchées de la Première Guerre mondiale jusqu’à la guerre de la cybersécurité, l'exposition "Top Secret" explore plus de 100 ans de renseignements en matière de communication, grâce à des documents manuscrits, des fichiers déclassifiés et des objets inédits provenant des collections historiques du Science Museum Group et du GCHQ, les fameux services de renseignements britanniques. On y découvrira en particulier l’histoire d’Alan Turing et de l’équipe de pionniers de Bletchley Park.

Pour en savoir plus, voir le site de l'exposition.
Voir également l'interview de Elizabeth Bruton, du London Science Museum, ici.
17 septembre2019
 Le numéro 48 de "Global Security Mag" désormais téléchargeable en pdf par les adhérents de l'ARCSI
La version pdf du numéro 48 de "Global Security Mag" "Sécurité et Privacy by Design" est désormais téléchargeable par les adhérents depuis la partie privée du site. On y trouvera des contributions de plusieurs membres de l'ARCSI, Marc Brami, Emmanuelle Lamandé et Hervé Schauer.

Pour en savoir plus, voici le lien d'accès au site privé.
16 septembre2019
 Des PDG américains réclament une loi fédérale sur la confidentialité des données
51 dirigeants américains, dont ceux d'Amazon, ATT, Dell, IBM, Qualcomm, SAP, Visa ou encore Mastercard, ont adressé une lettre ouverte aux membres du Congrès américain, leur demandant une loi fédérale sur la confidentialité des données des utilisateurs. Ceci afin de remplacer le nombre croissant de lois sur la protection des données personnelles en vigueur dans les différents États américains, simplifiant ainsi la conception, la conformité et la gestion des données.

Pour en savoir plus, lire l'article de zdnet.fr.
13 septembre2019
 Solange Ghernaouti, membre de l'ARCSI, publie la 6e édition de son livre "Cybersécurité"
Le but de cet ouvrage est de fournir une vision globale des problématiques de sécurité et de criminalité informatique. En montrant que les technologies de l'information présentent des failles susceptibles d'être exploitées à des fins criminelles, il explique les enjeux d'une maîtrise rigoureuse et méthodique de la sécurité des systèmes et des réseaux de communication.

Pour en savoir plus, voir la librairie Dunod.
10 septembre2019
 le problème mathématique des trois cubes pour le nombre 42 enfin résolu
Tout nombre entier peut-il s'exprimer comme la somme de trois entiers relatifs élevés au cube, tel est le problème des trois cubes énoncé en 1954. Pour les nombres inférieurs à 100, seuls k=33 et 42 n'avaient pas trouvé de solution. Au début de cette année, l'université de Bristol (Royaume-Uni) a résolu l'énigme pour k=33 en s'appuyant sur des semaines de temps de calcul d'un supercalculateur. Et elle vient de récidiver pour k=42 en s'appuyant sur la puissance de calcul inutilisée de plus de 500.000 PC. Une solution qui a nécessité plus d'un million d'heures de calcul.

Pour en savoir plus, lire l'article de futura-sciences.com.
6 septembre2019
 la FINMA, gendarme financier suisse, donne le go aux "crypto-banques" en accordant deux licences à SEBA et Sygnum pour transférer des tokens
Le front des régulateurs bancaires européens face au cryptomonnaies se brise. Les "crypto-banques" suisses accréditées pourront désormais stocker et gérer des "bitcoins" et des "ethers", et convertir des francs suisses, des euros ou des dollars dans ces deux cryptomonnaies. Mais affectée par les scandales de blanchiment, la terre d'élection du secret bancaire a néanmoins posé des garde-fous aux deux nouveaux élus. Ainsi, les transferts de tokens (jetons numériques) seront autorisés uniquement entre personnes identifiées par la banque.

Pour en savoir plus, lire l'article des Echos.fr.
4 septembre2019
 l'Office parlementaire d'évaluation des choix scientifiques et technologiques publie une note sur les cryptographies quantique et post-quantique
Face à la menace de l’ordinateur quantique vis-à-vis des algorithmes actuels de sécurisation des données, les cryptographies quantique et post-quantique demandent de l’anticipation et des améliorations à la hauteur des enjeux, notamment la sécurisation quasi-parfaite des données et des communications avec une qualité au moins équivalente à celle d’aujourd’hui. Les deux axes de transition demanderont encore des années de R&D, mais cette évolution, inévitable, requiert des choix stratégiques pour les États, dès maintenant.

Pour en savoir plus et lire la note, c'est ici.
2 septembre2019
 Dune, un nouveau protocole blockchain, verra le jour début septembre en France. Plusieurs investisseurs chevronnés font partie du tour de table
Cette plateforme est conçue dans le but de développer des applications décentralisées et se présente comme un concurrent d’Ethereum, le deuxième protocole du secteur derrière Bitcoin. Le projet est développé par la start-up française Origin Lab. Soutenu par le fonds franco-américain Starchain Capital, il regroupe d’autres investisseurs, dont Marc Simoncini, Jean-David Blanc ou encore Xavier Niel.

Pour en savoir plus, voir capital.fr.
30 août2019
 La défense collective dorénavant applicable en cas de cyberattaque visant l'un des membres de l'OTAN
Le secrétaire général de l'OTAN Jens Stoltenberg a indiqué qu'un incident pourrait déclencher une défense collective de l'Organisation, comme décrite dans l'article 5 du traité fondateur. L'OTAN a en effet désigné le cyberespace comme l'un de ses domaines de compétence. Il reste cependant de nombreuses interrogations concernant l'adaptation de cet article au cyberespace puisque se pose souvent la question de la responsabilité d'un pays ou d'un groupe affilié à ce pays.

Pour en savoir plus, voir (en anglais) prospectmagazine.co.uk.
29 août2019
 Plusieurs attaques exploitent actuellement les vulnérabilités de produits de réseaux privés virtuels (VPN)
Des acteurs malveillants lancent des attaques visant à voler les clés de chiffrement, mot de passe et autres données sensibles stockées sur les serveurs de deux réseaux privés virtuels non mis à jour. Il s'agit des Fortigate SSL VPN (environ 480.000 serveurs) et Pulse Secure SSL VPN (environ 50.000 machines). Ces vulnérabilités ont été explicitées à l'occasion de la conférence Black Hat d'août 2019.

Pour en savoir plus, voir (en anglais) arstechnica.com.
28 août2019
 D'après Microsoft, l'utilisation de l'authentification multifacteur bloque 99,9% des piratages de comptes
Selon Alex Weinert de Microsoft, les utilisateurs qui activent l'authentification multifacteur (MFA) pour leurs comptes vont bloquer 99,9% des attaques automatisées, quel que soit le profil, site Web ou service en ligne. Si le fournisseur de service prend en charge ce type d’authentification, Microsoft recommande de l’utiliser, qu’il s’agisse d’un mot de passe aussi simple qu'un mot de passe à usage unique basé sur SMS ou encore des solutions biométriques avancées.

Pour en savoir plus, voir securite.developpez.com.
27 août2019
 "Confidential Computing Consortium" : pour un véritable chiffrement de bout en bout
De grands noms du numérique s’allient pour aborder la problématique du traitement des données chiffrées dans les environnements informatiques hétérogènes. Elle sera l’affaire du Confidential Computing Consortium, dont la fondation Linux a annoncé la création à l’occasion de l’Open Source Summit de San Diego (Californie). Dix sociétés en sont pour l’heure membres : Alibaba, ARM, Baidu, Google Cloud, IBM, Intel, Microsoft, Red Hat, Swisscom et Tencent.

Voir itespresso.fr/.
25 août2019
 L'opérateur mobile autrichien "A1" va lancer les paiements en cryptomonnaies
A1 n'est pas le seul opérateur téléphonique à se pencher sur les cryptomonnaies. AT&T, premier opérateur mobile américain, propose déjà une option de paiement par cryptomonnaies. A1 indique qu’il travaille également sur des accords pour accepter d’autres services de paiements en ligne et ajoutera les options "Alipay" d’Alibaba et "WeChat Pay" de Tencent. Mais alors qu'il existe plus de 2000 cryptomonnaies sur le marché, A1 n'acceptera que les plus répandues d'entre elles, comme Bitcoin, Litecoin ou Dash.

Voir lefigaro.fr.
20 août2019
 "Algorithmes : où sont les dangers?", un article intéressant publié par le "World Economic Forum"
Aujourd’hui, les algorithmes sont partout. Ce sont des écritures informatiques, des procédures systématisées de résolution de problèmes. Ils orientent nos comportements de consommation, ou sélectionnent les informations auxquelles nous sommes exposés sur les réseaux sociaux. Kenzo Nera, doctorant en psychologie sociale à l'Université Libre de Bruxelles, nous en explique les dangers.

Voir l'article du World Electronic Forum.
15 août2019
 L'ANSSI se dote d'un Conseil Scientifique pour resserrer ses liens avec le monde académique. Deux membres de l'ARCSI en font partie.
Organe consultatif de réflexion et de proposition, le Conseil Scientifique rassemble une douzaine de personnalités scientifiques et accompagnera l’Agence Nationale de Sécurité des Systèmes d'Information dans l’anticipation des grands défis de la sécurité numérique. Il proposera ainsi des thèmes de recherche et s’exprimera sur le programme scientifique de l’Agence. Ses membres sont nommés pour 3 ans. Hervé Debar et Eric Freyssinet, tous deux membres de l'ARCSI, en font partie.

Voir le communiqué de l'ANSSI.
14 août2019
 Le gouvernement chinois annonce pour très bientôt, une cryptomonnaie officielle chinoise...
Si tous les États n'ont pas encore légiféré sur la question des cryptomonnaies gouvernementales, certains ont déjà décidé d'en adopter une officielle. En Chine, celle-ci sera bientôt opérationnelle. Ce n’est pas une véritable surprise de constater que le gouvernement chinois souhaite un système de monnaie numérique qu’il puisse contrôler, pour renforcer l’indépendance de la Chine envers les technologies étrangères.

Voir le site de begeek.fr.
8 août2019
 De nouvelles vulnérabilités affectent le standard de chiffrement WPA3 utilisé par la norme sans fil Wifi
Le Wifi Protected Access (WPA) est une norme de sécurité du WiFi conçu pour authentifier les dispositifs sans fil à l'aide du protocole AES (Advanced Encryption Standard) afin d'empêcher des actions malveillantes. Le protocole WPA3, lancé il y a un an, avait pour objectif de combler les lacunes techniques du WPA2 considéré comme vulnérable aux attaques KRACK, attaque de réinstallation de clé. Mais deux nouvelles vulnérabilités permettent cependant à des personnes malveillantes de siphonner les mots de passe WiFi.

Voir le site de thehackernews.com.
7 août2019
 Une vulnérabilité affecterait les microprocesseurs Intel de dernière génération
Selon l'entreprise de sécurité informatique BitDefender, la faille en question résiderait dans le mécanisme d’exécution spéculative qui sert à améliorer la performance des processeurs, et par là son utilisation par le système d’exploitation Windows de Microsoft. Les traces laissées dans le cache du processeur pourraient être exploitées par un attaquant, pouvant ainsi accéder aux informations stockées dans la mémoire du noyau du système d'exploitation.

Voir le site de silicon.fr.
6 août2019
 Pour les utilisateurs de cryptomonnaies, le protocole "Zerocoin" en permet la création, puis la réalisation de transactions tout en préservant l’anonymat
Ce protocole permet la création de cryptomonnaies qui, contrairement à Bitcoin, permettent de réaliser des transactions préservant l’anonymat en ne révélant ni l’origine, ni la destination, ni leur montant. L'article qui suit fait l'analyse de ce protocole.

Voir le site https://journalducoin.com.
1er août2019
 Microsoft publie le code "Open Source" d'une partie de l’algorithme de son moteur de recherche "Bing"
Microsoft propose en "Open Source" un algorithme prénommé "Space Partition Tree And Graph (SPTAG)", et qui fait partie notamment de son moteur de recherche "Bing". L'entreprise explique qu'il permet d'exploiter l'intelligence des modèles de "deep learning" pour rechercher des milliards d'informations en quelques millisecondes, permettant ainsi de fournir des résultats plus pertinents plus rapidement grâce à une recherche par concept plutôt que par mot-clé.

Pour en savoir plus, voir le site www.abondance.com.
31 juillet2019
 Facebook annonce qu’il va mettre à jour son algorithme pour freiner la diffusion de fausses informations et de nouvelles sensationnelles
La société annonce qu’elle va repenser la raison d’être de son algorithme, initialement créé pour maximiser l’engagement et les clics et mettant en avant uniquement les nouvelles qui font des likes. Facebook détachera plus de modérateurs pour vérifier la pertinence des contenus et détecter un peu plus les fausses informations. Le réseau social précise que les pages peu connues grossissant soudainement feront l’objet d’une attention toute particulière.

Pour en savoir plus, voir le site siecledigital.fr.
30 juillet2019
 Un décret du Gouvernement officialise le développement d’une application mobile d’authentification d’identité, "AliceM", faisant appel à un dispositif de reconnaissance faciale
AliceM est une application mobile disponible pour l'instant uniquement sur Android. Acronyme de "Authentification en ligne certifiée sur mobile" et actuellement en phase de test, elle permettra bientôt de s’identifier grâce à son smartphone pour accéder aux sites de certains services publics regroupés dans le portail d’accès "FranceConnect", comme ceux de la Direction des impôts ou de l’Assurance maladie. Mais certaines associations s’insurgent contre le fait que l’utilisateur n’ait bientôt plus la liberté de choisir son dispositif d'accès aux services publics dématérialisés.

Pour en savoir plus, voir le site lefigaro.fr.
29 juillet2019
 Google paie des passants pour entraîner ses futurs algorithmes de reconnaissance faciale
En échange de bons de 5 dollars, Google propose à des passants de scanner leur visage, en vue d'améliorer ses algorithmes de reconnaissance faciale. Une initiative qui laisse à penser que la société pourrait équiper ses prochains smartphones Pixel4 de cette technologie en version 3D, dévoilée par Apple avec l'iPhone X et son Face ID en 2017 et plus fiable et sécurisée que les systèmes 2D. Google entraînerait ainsi plus finement ses algorithmes...

Pour en savoir plus, voir le site usine-digitale.fr.
27 juillet2019
 Selon une étude de l'Université Catholique de Louvain, l'anonymisation des données personnelles est un mythe
Des travaux réalisés par des chercheurs de l’UCLouvain et de l’Imperial College London démontrent qu’un algorithme peut estimer, avec grande précision, si des données réidentifiées appartiennent bien à la bonne personne ou non. En utilisant leur modèle de prédiction, ils ont établi qu’avec seulement 15 informations, il était possible de correctement réidentifier 99,98% des Américains. Cela pourrait remettre en question de façon globale l’utilisation de la désidentification comme mécanisme de protection de la vie privée.

Pour en savoir plus, voir le site lecho.be.
23 juillet2019
 "Algorithmes : entre mythes et réalités", une rencontre d'experts en vidéo coordonnée par Fabrice Jazbinsek
Comment définir les algorithmes ? Les algorithmes sont-ils devenus indispensables dans notre société ? Un monde d'algorithmes est-il compatible avec un monde d'éthique ? Connaissez-vous les algorithmes autant qu'ils vous connaissent ?
Pour répondre à ces questions, Fabrice Jazbinsek a rencontré 4 experts : En Suisse Florian Colombo, en Belgique Jennifer Nille, à Paris Dominique Cardon, et à Nancy, Samuel Nowakowski. Il a publié son interview de 30 mn sur youtube.

Pour voir la vidéo, rendez-vous sur youtube.com.
20 juillet2019
 "Quelle place accorder aux algorithmes dans le secteur juridique, notamment sur la fonction prédictive de ces outils", une question au Gouvernement
Lors de la séance du 18 juillet, une sénatrice a demandé au Gouvernement de clarifier sa position sur le développement de l'IA dans le secteur du droit et de la justice, et sur la possibilité de travailler avec les legaltech à la mise en place d'une certification qui permettrait le déploiement raisonné et éthique de ces solutions d'IA. La France a en effet une opportunité pour être pionnière dans la justice algorithmique, au service des justiciables.
Cette question va appeler une réponse du Ministère de la Justice.

Pour voir la question complète, voir le site du Sénat.
18 juillet2019
 Fernando Corbató, inventeur du mot de passe dans les années 60 dans le cadre d'un projet de recherche au MIT, est décédé à 93 ans
C'est dans le cadre du projet de recherche "CTSS", pour "Compatible Time-Sharing System", soit l'un des premiers systèmes d'exploitation à temps partagé, qu'il a eu l'idée de décliner le concept de mot de passe aux ordinateurs: il s'agissait alors de permettre aux chercheurs de travailler sur un seul et même ordinateur depuis plusieurs comptes différents, afin de protéger leur travail.

Pour en savoir plus, voir le site bfmtv.com.
17 juillet2019
 Le FBI publie les clés de décryptement pour le rançongiciel "GandCrab"
Plus d'un mois et demi après l'annonce des créateurs de "GandCrab" de mettre fin à leurs campagnes, le FBI publie les clés de décryptement du rançongiciel pour ses versions 4, 5, 5.0.4, 5.1 et 5.2. L'Agence américaine avait déjà aidé à la publication d'un premier outil en juin 2019 en collaboration avec Europol et plusieurs services de police européens. Ce nouvel outil est disponible sur nomoreransom.org.

Pour en savoir plus, voir le bulletin du FBI.
16 juillet2019
 Des milliards de textes en japonais ancien décryptés grâce à une Intelligence Artificielle
Des chercheurs ont créé une intelligence artificielle capable de traduire des textes écrits en Kuzushiji, écriture japonaise ancienne utilisée du VIIIe au Xe siècle pratiquement disparue. Elle peut traduire une page de texte en 2 secondes avec une précision de 85%. Mais on ignore la plupart du temps si les transcriptions ont réellement été effectuées correctement...

Pour en savoir plus, voir l'article de lebigdata.fr.
15 juillet2019
 Microsoft propose une version test de Windows 10 avec une authentification sans mot de passe
Pour supprimer les failles de sécurité liées aux mots de passe utilisateur, Microsoft lance en test une version de Windows 10 remplaçant l'authentification par mot de passe par d'autres services plus sécurisés tels que son service d'identification Windows Hello Face, la reconnaissance digitale ou encore par code confidentiel (PIN).

Pour en savoir plus, voir le Blog Windows.
10 juillet2019
 Vous cherchez un bon livre de cryptologie? Les membres de l'ARCSI vous conseillent !
Si vous cherchez l'un des meilleurs livres de cryptologie qui ait été publié, alors consultez la page "conseils de l'ARCSI" accessible dans le bandeau en haut et à droite des pages de notre site www.arcsi.fr. Nos éminents spécialistes du domaine ont sélectionné pour vous les ouvrages les plus pertinents...

Pour en savoir plus, voir la page conseils de l'ARCSI.
9 juillet2019
 Les protections numériques ("digital rights management" ou DRM) de Netflix ont-elles été cassées ?
Toute la saison 3 de la série "Stranger Things" était déjà en accès libre sur internet juste quelques heures après sa disponibilité sur Netflix en version 4K. Or, Netflix utilise une technologie développée par Google, appelée Widevine, pour chiffrer ses films et ses séries. "The Scene", une organisation complexe impliquée dans l’obtention de contenu piraté à partir de plateformes numériques telles que Netflix, Amazon ou iTunes, pourrait en être responsable.

Pour en savoir plus, voir l'article de www.frandroid.com.
8 juillet2019
 Un réseau mondial de serveurs de clés PGP victime d’un sabotage irrémédiable, condamnant de fait la technologie "Synchronizing Key Server" (SKS)
Des serveurs de clés de chiffrement OpenPGP ont été la cible d’un "spam" qui rend les clés publiques touchées inutilisables. Cette vulnérabilité, impossible à patcher, condamne de fait la technologie "Synchronizing Key Server" (SKS), la plus déployée et utilisée dans le monde. Cette attaque est intrinsèquement liée au design des serveurs SKS et son code est trop vieux pour être modifiable.
Cela devrait permettre le déploiement d'une nouvelle génération de serveurs de clés moins vulnérables et plus respectueux vis-à-vis de la protection des données personnelles.

Pour en savoir plus, lire l'article de 01net.com.
3 juillet2019
 Le dernier numéro de "Global Security Mag" désormais téléchargeable en pdf par les adhérents de l'ARCSI à partir du site privé
Le numéro 47 de "Global Security Mag" Technologies et Sécurité vient de paraître. Sa version pdf est désormais téléchargeable par les adhérents depuis la partie privée du site. On y trouvera des contributions de plusieurs membres de l'ARCSI, Marc Brami, Emmanuelle Lamandé et Renaud Lifchitz.

Pour en savoir plus, voici le lien d'accès au site privé.
3 juillet2019
 Une application pour iOS permet d'acheter des cryptomonnaies et d'effectuer les mêmes opérations qu'avec de la monnaie fiduciaire
Son nom? "Bartwallet". Cette application, pour l'instant uniquement disponible sur iOS, permet d'acheter et vendre de nombreuses cryptomonnaies (Bitcoin, Ethereum, Bartcoin,...), le tout de manière sécurisée en A2F à partir d’une simple carte de crédit ou d’un virement SEPA, en créditant son porte-monnaie électronique (wallet) en euros ou en dollars. Il permet également d'effectuer des virements ou des remboursements via n'importe quel compte bancaire, qu’il s’agisse de cryptomonnaies ou de devises.

Pour en savoir plus, lire l'article de igen.fr.
2 juillet2019
 Entrée en vigueur de l'acte législatif de l'Union Européenne sur la cybersécurité
Ce 27 juin est entré en vigueur l'acte législatif européen sur la cybersécurité. Il permet de doter l'Agence Européenne chargée de la sécurité des réseaux et de l'information (ENISA) d'un nouveau mandat permanent et de renforcer son budget et son effectif. L'ENISA sera par ailleurs rebaptisée "Agence de l'Union européenne pour la cybersécurité" Parmi ses prérogatives figure en particulier l'uniformisation des standards de cybersécurité des produits et services vendus sur le marché communautaire.

Pour en savoir plus, consulter le communiqué de l'ENISA (en anglais).
1er juillet2019
 "Eurocrypt 2019" s'est tenue du 19 au 23 juin à Darmstadt, en Allemagne
"Eurocrypt 2019" était la 38e édition annuelle de cette conférence internationale sur la théorie et les applications des techniques cryptographiques. Les actes et les enregistrements vidéo sont disponibles en accès libre sur internet.

Pour accéder aux actes en pdf, voir le programme détaillé d'Eurocrypt 2019.
Pour regarder les vidéos des conférences, il suffit de se rendre sur la page youtube dédiée.
DEUXIEME TRIMESTRE 2019
28 juin2019
 Tchap, l'application de messagerie conçue par la DINSIC, fait l'objet d'un "bug bounty" sur le site YesWeHack
La Dinsic (Direction Interministérielle du Numérique et du Système d'Information et de Communication de l'État) a lancé un "bug bounty" sur son application de messagerie souveraine et chiffrée pensée pour l’Administration centrale et les membres du Gouvernement, Tchap, à la recherche de failles potentielles. Elle pointe elle-même les points à observer avec attention, notamment les clés publiques et privées et les métadonnées.

Pour en savoir plus, lire l'article du mondeinformatique.fr.
26 juin2019
 La Banque de France crée un groupe de travail constitué des représentants des différentes banques centrales, et dédié aux projets de cryptomonnaies
François Villeroy de Galhau, gouverneur de la Banque de France, a annoncé la création d'un groupe de travail dédié aux projets de cryptomonnaies, dont celui initié par Facebook sous le nom de Libra. La France préside le G7 en 2019 et souhaite que la communauté internationale fixe un cadre pour que les futures cryptomonnaies ne restent qu'un instrument de transaction et non une monnaie souveraine. La Banque de France promeut en effet activement une stratégie européenne en la matière.

Pour en savoir plus, lire l'article de challenges.fr.
25 juin2019
 Comment penser la cybersécurité à l’heure de l’esclavage numérique, une analyse de Solange GHERNAOUTI, membre de l'ARCSI
Dans ce billet de blog, Solange GHERNAOUTI cherche à analyser l’écosystème numérique actuel pour identifier les différentes manières dont les technologies de l’information contribuent à l’esclavage moderne. Elle se fonde pour celà sur les définitions communément acceptées liées à l’esclavage traditionnel.

Pour accéder au blog de Solange : Cybersécurité, le blog de Solange Ghernaouti.
21 juin2019
 une nouvelle version du kit de sensibilisation à la cybersécurité de "cybermalveillance.gouv.fr" plus complet et plus ludique
Fruit d’une collaboration menée depuis plusieurs mois entre institutions publiques, organismes privés, associations membres du GIP et avec la contribution d’utilisateurs, ce nouveau kit de sensibilisation aborde neuf thèmes, déclinés en différents supports : fiches pratiques, vidéos, mémos et, nouveautés, des formats interactifs et ludiques : une bande dessinée, un poster, un quiz et, pour la version papier, des autocollants.

Pour voir le kit : site cybermalveillance.gouv.fr.
19 juin2019
 Edgar Poe et la sécurité informatique, par Cédric CARTAU, membre de l'ARCSI
On reconnaît les génies au fait que leurs œuvres peuvent être lues et relues, interprétées et réinterprétées au fil des modes et du temps, tout en restant les mêmes. Edgar Poe est de ceux-là. Et Cédric nous rappelle l'usage qu'a fait Edgar Poe de la technique de l'obfuscation.

Pour lire l'article de Cédric Cartau : Edgar Poe et la sécurité informatique.
17 juin2019
 Le site Upsigma publie un complément à son histoire de la cybersécurité française du XVe siècle, époque de l'invention de l'imprimerie, à nos jours. Voir notre actualité du 6 juin dernier.
13 juin2019
 Les services techniques du Ministère de l'Intérieur réussissent à développer un outil de décryptement du rançongiciel PyLocky et le mettent à disposition du public
PyLocky est un rançongiciel (ou ransomware), qui crypte les fichiers de la victime et réclame une rançon en échange de la clef permettant d’en recouvrer l’accès. L'utilitaire développé par le Ministère de l'Intérieur agit sur les fichiers cryptés avec les versions 1 et 2 de PyLocky. Il est le fruit de la collaboration des services d'enquêtes, qui ont pu récolter dans le cadre de leurs investigations des éléments techniques, en association avec des chercheurs en sécurité bénévoles. L'outil nécessite Microsoft Windows 7 ou supérieur, mais il ne décontamine pas pour autant la machine infectée par le rançongiciel.

Pour en savoir plus, consulter le site cybermalveillance.gouv.fr.
Pour télécharger l'outil, c'est ici (fichier zip).
11 juin2019
 A écouter ou réécouter sur le site de l'ARCSI, une série de 4 émissions de France Culture consacrées en août 2018 à Alan Turing, dans le cadre d'un cycle "Grande traversée"
Du 13 au 17 août 2018, France Culture a consacré sa série d'émissions intitulées "la grande traversée", animées par Amaury Chardeau, à Alan Turing. Quatre émissions pour mieux comprendre qui était Turing, quelles ont été ses contributions au décryptement de l'Enigma ou au concept de l'ordinateur. Quatre émissions que l'ARCSI vous propose de réécouter directement sur son site :
Vous pouvez également écouter directement ces podcasts sur le site de France Culture : le cycle "Grande traversée, l'énigmatique Alan Turing".
9 juin2019
 Le nombre de malwares se cachant dans le trafic chiffré par "SSL/TLS" est en hausse notable
D'après Stan Lowe, de la société Zscaler, les certificats SSL sont de plus en plus utilisés car considérés comme une valeur sûre. Mais ce temps est révolu avec l’avènement de fournisseurs de certificats gratuits. L’augmentation spectaculaire du trafic chiffré au cours des dernières années a en effet offert aux pirates informatiques davantage d’opportunités, en dissimulant dans ce canal chiffré la diffusion de logiciels malveillants vers les utilisateurs, l’exfiltration de données et les communications "commande et contrôle" vers des botnets.

Pour en savoir plus, lire l'article de globbsecurity.fr.
7 juin2019
 Deux chercheurs expliquent comment casser un chiffrement RSA de 2048 bits avec un ordinateur quantique en seulement 8 heures en optimisant l’algorithme de Shor
Craig Gidney, chez Google, et Martin EkerÅ au KTH Royal Institute of Technology à Stockholm viennent de montrer comment casser le chiffrement RSA à 2018 bits avec un ordinateur quantique de "seulement" 20 millions de qubits. Jusqu’à présent, les experts en sécurité estimaient plusieurs dizaines d’années nécessaires pour réaliser l'opération. Pour y parvenir, ils ont optimisé la phase la plus exigeante, l’algorithme de Shor.

Pour en savoir plus, lire cet article.
Pour en savoir plus sur l'algorithme de Shor, voir l'article de wikipedia.
6 juin2019
 Le site Upsigma publie une brève histoire de la cybersécurité française du XVe siècle, époque de l'invention de l'imprimerie, à nos jours
Convaincu que toute réflexion sur les enjeux stratégiques actuels et futurs de la sécurité numérique se nourrira utilement d’un regard rétrospectif sur les origines de celle-ci, le site Upsigma publie une brève histoire de la cybersécurité française en plusieurs volets.

N'hésitez-pas à consulter ces intéressantes synthèses :
* Une brève histoire de la cybersécurité française, partie 1 : du XVe siècle à 1918.
* Une brève histoire de la cybersécurité française, partie 2 : de 1918 à 1947.
* Une brève histoire de la cybersécurité française, partie 3 : de 1947 à 1970.
* Une brève histoire de la cybersécurité française, partie 4 : de 1970 à 2010.
* 2009-2019 : 10 ans de cybersécurité en France… et un peu au-delà (1/3).
* 2009-2019 : 10 ans de cybersécurité en France… et un peu au-delà (2/3).
* 2009-2019 : 10 ans de cybersécurité en France… et un peu au-delà (3/3).
3 juin2019
 Facebook se prépare à lancer une monnaie virtuelle, "GlobalCoin", fondée sur la technologie Blockchain, et probablement indexée sur le dollar
La future devise virtuelle de Facebook devrait être adossée à une monnaie contrôlée et émise par un État, et évoluant indépendamment des cours de l'or ou de l'argent. Le dollar américain fait office de favori pour servir de "tuteur" à la cryptomonnaie, permettant ainsi à Facebook de présenter une devise moins volatile et plus liquide que ses rivaux.

Pour en savoir plus, lire l'article de lecho.be.
2 juin2019
 Guillaume Poupard (ANSSI) : "Avec la 5G, nous entrons dans le domaine de la sécurité nationale"
À l'occasion des 10 ans de l'Agence Nationale de la Sécurité des Systèmes d'Information, son Directeur vient de donner une interview à clubic.com, dans laquelle il traite de sujets aussi variés que la 5G, la guerre économique sino-américaine, les métiers de l'Agence,...

Une interview que vous pouvez lire ici : article de clubic.com.
31 mai2019
 Une machine ENIGMA de la deuxième Guerre Mondiale est mise aux enchères aux USA à 200.000$ et... ne trouve pas preneur !
Une machine Enigma, étonnamment préservée, a été mise aux enchères hier par la société de vente aux enchères Nate D. Sanders, installée à Los Angeles en Californie. Elle était mise à prix à 200.000$. Utilisée pendant la Seconde Guerre mondiale par l’Allemagne nazie, il s'agit d'une Enigma 3, composée de 3 rotors et fournie dans sa boite d'origine en bois. L’emblème du Troisième Reich est gravé sur les roues en métal et la batterie est également celle d’origine. Le tout pèse environ 13 kilos.

Pour en savoir plus, lire l'article de Numerama.com.
Voir également les captures d'écran réalisées depuis le site de la société de ventes aux enchères : copie d'ecran 1 et copie d'ecran 2.
29 mai2019
 Une Intelligence Artificielle créée par Google prouve plus de 1200 théorèmes mathématiques
Un groupe de chercheurs de Google a développé un programme d'Intelligence Artificielle chargé de prouver des théorèmes mathématiques. Elle s'est fondée sur HOL Light Theorem Prover, un logiciel destiné à aider les mathématiciens à formaliser et vérifier leurs raisonnements. Certains mathématiciens y voient déjà l'avenir de la recherche dans ce domaine.

Pour en savoir plus, lire l'article de Clubic.com.
23 mai2019
 En hommage au cardinal Richelieu, la DGSE lance un curieux défi... pour un membre de l'ARCSI ?
La DGSE vient de lancer un défi portant sur le chiffrement, la cryptanalyse, la stéganographie, la programmation et la sécurité informatique… et a pensé au cardinal Richelieu.
Il suffit de se connecter à l'adresse ci-dessous et une page noir et vert s’affiche. Un message situé au-dessus d’un compte à rebours précise que l’on peut participer au challenge Richelieu jusqu’au 14/06/2019 à 12h00. Il est également possible d’obtenir un second message... et c'est tout... Avis aux "as" de l’informatique et aux cryptanalystes de l'ARCSI pour aller plus loin…

Pour en savoir plus, lire l'article de Opex360.com.
Pour le challenge, voir défi de la DGSE.
22 mai2019
 Pour l'ANSSI, la sécurité des objets connectés, c'est possible avec le logiciel libre ! La preuve avec le projet WooKey
Lors de la conférence Ready for IT qui vient de se tenir à Monaco, l'ANSSI a présenté le projet WooKey, reposant sur le logiciel libre. Ses différents mécanismes matériels et logiciels intégrés permettent d'assurer la résistance face à de nombreux types d'attaques sophistiquées.
Le partage de cette solution va permettre sa déclinaison vers d'autres usages tels que les capteurs, périphériques, systèmes industriels, véhicules... Sécuriser les composants de base et faire en sorte qu'ils soient largement réutilisés constitue pour l'ANSSI un moyen d’améliorer le niveau de sécurité de ces objets.

Pour en savoir plus, lire le communiqué de l'ANSSI.
21 mai2019
 le 24 juin prochain : Conférence "bilan des vulnérabilités IoT et recommandations"
Dans le cadre des ¨Lundi de la cybersécurité¨, organisés par le Cercle d'Intelligence économique du Medef Hauts-de-Seine et qui se tiennent à Télécom ParisTech en collaboration avec ParisTech Entrepreneurs, venez assister à la conférence de Thomas Gayet, Directeur du CERT digital.security, premier CSIRT spécialisé sur la sécurité de l’Internet des Objets. Il présentera les princiaples failles de sécurité et les premières attaques réalisées, les nouveaux enjeux de sécurité ainsi que les démarches et les solutions possibles.

Pour en savoir plus, lire l'annonce du Medef92.

Conférence le 24 juin à 18H30, inscription obligatoire par mail à Béatrice Laurent : beatricelaurent.cde@gmail.com, avec dans l'objet "Inscription 24/06".
20 mai2019
 Authentification à facteurs multiples : la fin du SMS ? pas selon Google !
Déconseillé depuis bientôt trois ans aux USA par le "National Institute of Standards and Technology" (NIST), le message texte est toujours largement utilisé pour l’authentification à facteurs multiples. Or, Google vient de publier une étude montrant que le SMS reste l'un des moyens les plus sûrs pour se protéger contre les attaques automatisées. La clé de sécurité demeure la meilleure solution mais ensuite, Google prône l'usage de la demande de confirmation sur un terminal et le code OTP (One Time Password) envoyé par SMS.

Pour en savoir plus, lire l'article de LeMagIT.
Pour lire le post de Google, c'est ici.
17 mai2019
 ProtonMail introduit une bibliothèque de chiffrement PGP pour le langage de programmation GO
ProtonMail annonce le lancement du projet "GopenPGP", comprenant une bibliothèque OpenPGP de haut niveau ainsi que des bibliothèques de chiffrement Golang. Ce projet vise à faciliter l'utilisation du chiffrement OpenPGP dans les applications des développeurs mobiles et de bureau utilisant le langage GO (golang) tant pour Android (monde Google) que pour iOS (monde Apple), via la plateforme "ProtonMail Bridge".
A noter sa compatibilité avec la cryptographie à courbes elliptiques (voir notre actualité du 28 avril dernier).

Pour en savoir plus, lire l'article de ProtonMail.
15 mai2019
 L’Agence Nationale de la Sécurité des Systèmes d'Information fête ses 10 ans le 4 juin prochain
Pour célébrer ses 10 ans d’existence, l’ANSSI, Agence nationale de la sécurité des systèmes d’information, propose le Cyber Festival #ANSSI10 qui rassemblera tous les grands acteurs du numérique avec lesquels elle évolue. Au programme de cet évènement ouvert sur invitation : tables rondes, débats, concours de pitchs, rencontres avec des experts et animations ludiques. Pour la clôture interviendra Claire Landais, secrétaire générale de la défense et de la sécurité nationale.

Pour en savoir plus, lire l'actualité de l'ANSSI.
Le programme est en téléchargement ici.

Pour une demande d'inscription (sous conditions), c'est ici.
15 mai2019
 Intel publie plusieurs bulletins de sécurité concernant des vulnérabilités de ses microprocesseurs, dont une nouvelle famille affectant la fonctionnalité d'exécution spéculative
Cette nouvelle famille de vulnérabilités qu'Intel appelle Microarchitectural Data Sampling (ou MDS) compte quatre failles. La plupart des processeurs serait affectée mais les puces les plus récentes disposeraient de correctifs au niveau matériel. Elles peuvent être exploitées à distance et peuvent entraîner une fuite d'informations telles que des mots de passe, des clés de chiffrement de disque ou encore l'historique de navigation.
L'impact pourrait potentiellement être important pour les fournisseurs de services Cloud et les environnements multi-Cloud, car il serait possible d'accéder à des données appartenant à d’autres utilisateurs.

Pour en savoir plus, lire l'article de Global Security Mag.
14 mai2019
 Les attaques par collision SHA-1 ne sont plus de la simple théorie
Deux chercheurs viennent de présenter la toute première attaque par collision avec préfixe choisi pour SHA-1, une version plus pratique de l'attaque réalisée pour la première fois par Google.
Si la fonction de hachage SHA-1 a théoriquement été cassée en 2005, la première attaque de collision réussie n'a été réalisée qu'en 2017. La nouveauté de la technique décrite est la réduction considérable du coût de la recherche de collisions avec un préfixe choisi pour SHA-1, presque identique à celui de la recherche d'une collision classique.
De telles attaques sont désormais économiquement viables et à la portée des cybercriminels et des groupes liés aux services de renseignement.

Pour en savoir plus, lire l'article de "ZDNet".
Quant aux spécialistes, ils pourront consulter le papier original, en anglais.
12 mai2019
 Un algorithme capable de prédire un cancer du sein cinq ans à l'avance
Gràce à l'étude des antécédents médicaux de 60.000 patientes, des chercheurs du MIT spécialisés en Intelligence Artificielle ont mis au point une méthode d'analyse pour évaluer si une femme est susceptible de développer un cancer du sein dans les cinq années qui suivent. L'algorithme a "appris" à reconnaître des changements dans le tissu mammaire qui sont précurseurs des tumeurs malignes. L'étude a notamment montré que l'algorithme a pu classer avec précision 31% des patientes comme étant à haut risque contre seulement 18% pour les méthodes traditionnelles. Cette stratégie serait applicable à d'autres contextes, comme les maladies cardiovasculaires, ou d'autres cancers comme celui du pancréas.

Pour en savoir plus, lire l'article de "santé magazine".
10 mai2019
 Algorithmes : une série de quatre émissions sur France Culture
Début mai, France Culture a consacré sa série d'émissions intitulées "Les chemins de la philosophie", animées par Adèle Van Reeth, aux algorithmes. Que se cache derrière ce mot, quelle est son histoire, comment comprendre cette méthode pouvant permettre de résoudre rapidement un problème,...:
Pour écouter directement ces podcasts sur le site de France Culture : l'émission "Les chemins de la philosophie".
5 mai2019
 2.000 euros pour celui qui décryptera une mystérieuse inscription sur un rocher dans le Finistère, un challenge pour un ARCSIste ???

la municipalité de Plougastel-Daoulas lance un appel national auprès des linguistes, historiens et autres spécialistes. La raison? Une roche dans l’anse du Caro, qui porte d'étranges inscriptions : des lettres ou groupes de mots gravés, à l'endroit ou à l'envers, incompréhensibles, des dates (1786 et 1789, correspondant à la construction du Fort du Corbeau, et 1920). Ces inscriptions auraient été faites par un soldat russe en garnison dans le fort..  

Pour en savoir plus, lire l'article de "letelegramme".

ARCSIstes, participez à l'appel !!!
Règlement de participation auprès de Véronique Martin, par mail : veronique.martin@mairie-plougastel.fr. Adresse postale : 1, rue Jean-Fournier, 29470 Plougastel-Daoulas.

Le dossier complet est disponible en téléchargement ici..

2 mai2019
 De nombreux de clients de messagerie électronique vulnérables aux usurpations de signature
Des chercheurs des universités de Bochum et de Münster ont découvert des vulnérabilités dans les standards OpenPGP et S/MIME, pouvant permettre d'usurper des signatures numériques. Une douzaine de clients de messagerie sont impactés, parmi les plus utilisés. Ce sont Thunderbird, Microsoft Outlook, Apple Mail, iOS Mail, GpgOL, KMail, Evolution, MailMate, Airmail, K-9 Mail, Roundcube, et Mailpile. Cinq types d'attaques ont été identifiés, permettant d'exploiter ces failles.

Pour en savoir plus, lire l'article de "thehackernews.com".
Le rapport complet, disponible en anglais sur Github, est consultable ici.

1er mai2019
 Bernard Fabrot, programmeur autodidacte belge, vient de résoudre un casse-tête cryptographique énoncé en 1999 par le MIT
Ron Rivest, professeur au "Computer Science and Artificial Intelligence Laboratory" du MIT américain, le créateur de l'énigme et bien connu en tant que le "R" de l'algorithme cryptographique RSA, avait estimé qu'il faudrait au minimum 35 ans avant qu'elle ne puisse être résolue. Mais le 15 avril dernier, Bernard Fabrot a réussi à déjouer tous les pronostics.
La résolution du code donnera lieu le 15 mai prochain à l'ouverture d'une capsule temporelle datant de 1999 contenant de nombreux articles de l'époque, et peut-être d'autres énigmes...

Pour en savoir plus, lire l'article de "www.rtbf.be".
Ou encore, l'article de "theregister.co.uk" (décrivant l'énigme).

28 avril2019
 Le SSL : pas qu’une simple technologie
Les entreprises se doivent de proposer aux internautes qui se rendent sur leur site internet toutes les garanties nécessaires pour leur permettre de surfer et d’échanger des informations en toute sécurité, et pour cela l'utilisation d'une liaison chiffrée de bout en bout est de plus en plus la norme via l'utilisation des technologies incontournables HTTPS et SSL (ou TLS). Enfin, il est plus que de bon sens pour un organisme français de sécuriser son site avec un Certificat SSL français ou européen.

Pour en savoir plus, lire l'article de "globalsecuritymag.fr".

A noter que l'ARCSI utilise ce type de technologie, son certificat https étant vérifié par l'organisme "Let's encrypt". Il suffit de cliquer sur le cadenas vert....

28 avril2019
 ProtonMail offre désormais la cryptographie à courbe elliptique, pour une sécurité et une rapidité accrues
L’équipe responsable de ProtonMail vient d'annoncer que son service de courrier électronique sécurisé prend désormais en charge la cryptographie à courbe elliptique (ECC) pour une meilleure sécurité et une rapidité accrue. Cette dernière sera à disposition de tous ses utilisateurs dans toutes les applications web, mobiles et de bureau du service de courrier électronique. Et si la société a pris la décision d'inclure la cryptographie par courbe elliptique en plus du chiffrement RSA, l'ECC deviendra de fait la norme par défaut pour toutes les nouvelles adresses sur ProtonMail.

Pour en savoir plus, lire l'article de "securite.developpez.com".

24 avril2019
 
Publication en français d'une étude de "Digital Content Next" sur les données personnelles collectées par Google
Publiée à l'été 2018 par le professeur Douglas Schmidt et son équipe de l’université Vanderbilt, une très intéressante étude sur la collecte massive des données personnelles par Google vient d'être traduite par Framalang.
Elle explique comment fait cette entreprise pour tout connaître sur ses utilisateurs, que ce soit via ses applications (YouTube, Maps, Gmail, ou le moteur de recherche) ou de manière passive, qu'il s'agisse de ses plateformes Android et Chrome, ou ses outils de publication (Google Analytics, AdSense) et de publicité (AdMob, AdWords).

Pour télécharger la version française de l'étude de "Digital Content Next", c'est ici.

Pour lire la version anglaise, rendez-vous sur : rapport DCN en anglais.
15 avril2019
 L'Agence nationale de la sécurité des systèmes d'information (ANSSI) présente son rapport annuel 2018 et les cinq grandes tendances de menaces
Bien qu'elle ait recensé beaucoup moins de cyberattaques en France en 2018 qu'en 2017 (1.869 signalements d'événement de sécurité numérique contre 2.435, 16 incidents majeurs contre 20, et 14 opérations de cyberdéfense au lieu de 12), l'Agence, par la voix de Guillaume Poupard, son Directeur général, estime que "la menace évolue rapidement" et que la crainte d'un cyber-Pearl Harbor est bien présente. Dans son rapport, elle insiste sur cinq grandes tendances de menaces : espionnage, attaques indirectes, opérations de déstabilisation et d'influence , opérations clandestines sur les cryptomonnaies et fraude en ligne.

Pour en savoir plus, lire l'article de "La Tribune".

Et pour télécharger le rapport 2018 de l'ANSSI "Construisons ensemble la confiance numérique de demain", c'est ici.

14 avril2019
 "Locked Shields" : La France, première nation au classement de l’exercice de Cyberdéfense organisé par l’Otan
Depuis 2010, le centre d’excellence de l’OTAN (CCD COE) organise "Locked Shields", un exercice majeur de cyberdéfense, qui réunit plus de 30 nations, dont la France. L’objectif est d’évaluer leur capacité à défendre un réseau informatique complexe face è des cyberattaques menées par un État fictif.

Cette année, c'est l'équipe France ANSSI - COMCYBER qui remporte la première place devant l'équipe tchèque.
 
Lire l'article sur opex360.com.
Pour mémoire, lire l'article "Locked Shields 2018" sur le portail des Armées.
9 avril2019
 La première édition de la "Paris Cyber Week" aura lieu du 5 au 6 juin 2019
Résultat des travaux de la CyberTaskForce, le nouvel évènement "Paris Cyber Week" ambitionne de devenir la référence du dialogue public/privé dans le domaine du numérique. Pour cela, il a adopté un format tourné vers l’échange, et des intervenants issus du monde politique sur les sujets de la transformation numérique et de la cybersécurité. L'évènement sera découpé en quatre grands thèmes : la transition écologique, la sécurité numérique, l’assurance et l’identité numérique.

Pour en savoir plus, lire : "paris-cyber-week".

8 avril2019
 Le Gouvernement secret : cinq émissions sur France Culture consacrées aux services de renseignement et à leur place dans nos démocraties
Début avril, France Culture a consacré sa série d'émissions intitulées "Matières à penser", animées par Antoine Garapon, aux services de renseignement. L’existence d’un "gouvernement secret" n’a cessé de hanter la politique. La collecte d’informations confidentielles recueillies à l’insu de tous est une pratique très ancienne qui pose des difficultés particulières à une démocratie censée agir en toute transparence... Cinq émissions téléchargeables sur notre site arcsi.fr :
Pour écouter les podcasts sur le site de France Culture : l'émission "matières à penser".

7 avril2019
 EverCrypt, une nouvelle suite d'outils de cryptographie numérique mathématiquement totalement sécurisée ?
"EverCrypt" est un ensemble d'outils de cryptographie numérique développé à partir de 2016 dans le cadre du projet Everest, une initiative menée par Microsoft Research pour pallier les insuffisances des bibliothèques cryptographiques de l'époque. Les concepteurs ont ainsi introduit une méthode qui rendrait leur suite invincible, et ce grâce à la vérification formelle. Le challenge a été de développer une plateforme de programmation unique mettant sur un pied d'égalité les mathématiques et le logiciel.

Pour en savoir plus, lire l'article de "securite.developpez.com".

5 avril2019
 La revue "Global Security Mag" désormais disponible en format pdf sur le site privé de l'ARCSI pour ses adhérents
Grâce au partenariat avec "Global Security Mag" et à l'accord de Marc Brami, son Rédacteur en chef, les numéros de ce magazine sont désormais disponibles en format pdf sur la partie privée du site de l'ARCSI.

1er avril2019
 L’ANSSI, Agence nationale pour la sécurité des systémes d’information, publie un intéressant rapport sur LockerGoga, rançongiciel soupçonné d’avoir été à l’œuvre chez Altran et Norsk Hydro.
L'Agence identifie des similitudes avec un autre malware, Ryuke, et estime que les cyberattaquants peuvent attendre longtemps afin de lancer le processus de chiffrement. Elle ajoute le recours systématique à deux services de messagerie électronique distincts pour les demandes de rançongiciel, la création d’un reverse shell pour agir à distance dans l’environnement compromis, et l’utilisation de psexec pour copier et exécuter le rançongiciel pour chiffrer les machines cibles.

Lire l'article du MagIT de présentation.

Le rapport lui-même est téléchargeable ici.
PREMIER TRIMESTRE 2019
30 mars2019
 Des malfaiteurs dérobent pour 150.000 € de carburants en se servant dans les stations-service grâce à une télécommande dont le code secret était "0000" !
Les bandes organisées s'adaptent aux vulnérabilités des nouvelles technologies. L'une d'elles s'adonnait à un trafic de carburant depuis avril 2018 grâce à une télécommande permettant de déverrouiller les pompes des stations Total, trafiquée pour l'utiliser en mode manuel. Ils récupéraient ainsi des centaines de litres de gazole et d'essence dans des communes de la banlieue parisienne. Mais il faut dire que le code secret de la télécommande n’était pas un gage de sécurité absolue : "0000".

Lire l'article de l'Echo Républicain.
28 mars2019
 En 2018, près des deux tiers des entreprises ont subi des pannes liées à leurs certificats machine
Une étude de Venafi révèle qu'en 2018, près 60% des entreprises ont subi des pannes liées aux certificats, touchant tant leurs applications que leurs services opérationnels stratégiques. Plus de 550 DSI basés aux États-Unis, au Royaume-Uni, en France, en Allemagne et en Australie ont participé à cette étude, qui montre que 80 % des entreprises éprouvent des difficultés à protéger l'identité de leurs machines.

Lire l'article de Global Securit Mag.
Télécharger l'étude : Etude de Venafi-Forrester.
25 mars2019
 Quelles exigences de sécurité du Règlement Général européen pour la Protection des Données (RGPD)?
Le nouveau Règlement est censé protéger les personnes physiques dans le cadre du traitement de leurs données à caractère personnel et de la libre circulation de ces données au sein de l’UE. Ses dispositions ont pour objet de fournir des indications sur la mise en œuvre des règles de sécurité et des mesures organisationnelles appropriées au traitement de ces données. Dans un article, Jean-Pierre Mistral, Director Global Data Privacy, explique comment atteindre cet objectif de sécurité.

Lire l'article de Jean-Pierre Mistral
24 mars2019
 Palantir, Huawei, Kaspersky: le cri d'alarme d'un ancien de la DGSE sur la cybersécurité
Fondateur de la direction technique de la DGSE, Bernard Barbier, par ailleurs consultant en cybersécurité et membre du conseil d'administration de l'ARCSI, s'est exprimé dans le journal "Challenges" sur la dépendance européenne aux nouveaux acteurs du numérique.

Lire l'article de Bernard Barbier
23 mars2019
 Noms de domaine usurpés : l’Internet mondial est-il en danger ?
Fin février 2019, l’Internet Corporation for Assigned Names and Numbers (ICANN), organisme gérant les adresses IP et les noms de domaines utilisés sur le web, alertait sur les risques d’attaque systémique de l’Internet, et pointait plusieurs incursions. Pour comprendre ce qui est en jeu, Hervé Debar, Responsable du département "Réseaux et Services de Télécommunications" à Télécom SudParis, explique ce qu’il faut avoir en tête.

Lire l'article d'Hervé Debar
21 mars2019
 Les institutions européennes se préparent à des cyberattaques majeures
Dans un contexte de potentielles attaques informatiques de grande ampleur, le Conseil européen a adopté un Protocole européen de réponse d'urgence de maintien de l'ordre (EU Law Enforcement Emergency Response Protocol). Celui-ci donne un rôle croissant au Centre de cybercrime d'Europol pour établir la nature criminelle d'une cyberattaque.


Pour en savoir plus : article d'EUROPOL
20-21 mars2019
 Forum Sécurité@Cloud
Pendant deux jours se tiendra à Paris - Porte de Versailles le salon Cloud Computing World Expo. Dans ce cadre, un Forum dédié à la sécurité du Cloud, "Forum Sécurité@Cloud", donnera lieu à de nombreuses conférences sur le thème : "vers un Cloud de confiance? Enjeux, analyses, méthodologies".

Inscription gratuite obligatoire. Voir Forum "Sécurité@Cloud".
19 mars2019
 Des simulateurs Enigma, Typex et Bombe disponibles en libre accès
Pour célébrer ses 100 ans, le GCHQ, service de renseignement électronique britannique, a mis en ligne sur tweeter, des simulateurs des célèbres machines de cryptanalyse Enigma, Typex et Bombe. Il a ainsi conçu une application web simple et intuitive sans avoir à utiliser des outils complexes et faire de la programmation.

Pour en savoir plus : article du blog du Modérateur.
18 mars2019
 Le nouveau projet "Red Team" de la Linux Foundation va développer des outils de cybersécurité open source
Annoncé par la fondation Linux lors de l'Open Source Leadership Summit, le projet "Red Team" sera un incubateur pour le développement d'outils de sécurité open source, incluant des programmes prenant en charge l’automatisation de "cyber range" (espaces virtuels simulant des attaques de hackers), des utilitaires de pentesting conteneurisés, une analyse de risque des fichiers binaires et des programmes de validation de normes.

Pour en savoir plus : Projet Red Team de la fondation linux.
18 mars2019
 Conférence "Les alliances dans le cyberespace"
organisée par le Cercle d'Intelligence économique du Medef IdF
Dans le cadre des ¨Lundi de la cybersécurité¨, qui se tiennent à Télécom ParisTech, venez assister à la conférence d'Olivier Kempf, auteur de ¨Alliances et mésalliances dans le cyberespace¨ (Economica). Docteur en science politique, chercheur associé à la FRS, Olivier Kempf est ancien Général (2S) responsable de la politique de cyberdéfense de l'armée de Terre.

Conférence à 18H30, inscription obligatoire. Voir Lundis de la cybersécurité

Un compte-rendu a été rédigé par Yélina Taibou DIALLO et Seddik CHARKI, accessible ici.
16 mars2019
 Pour fêter le 14 mars, "jour de PI", Google explose le calcul du nombre de ses décimales
Après 111 jours de calcul de 25 processeurs de l’infrastructure Google Compute Engine utilisant 96 machines virtuelles, et un programme spécialement conçu par Emma Haruka Iwao, ingénieure de Google, le précédent record de 22,4 mille milliards de décimales vérifiées est explosé, pour être porté à 31,4 mille milliards.

Plus exactement 31.415.926.535.897 au lieu de 22.459.157.718.361.
On notera ici le clin d'oeil de la part de Google....

Pour en savoir plus : Google explose le calcul de PI.
13 mars2019
 L’OTAN choisit la technologie de chiffrement voix de BlackBerry pour sécuriser ses appels
L'OTAN annonce que son Agence NCIA (NATO Communications and Information Agency) a choisi la solution SecuSUITE de BlackBerry pour le chiffrement des communications de ses responsables en technologies et en cybersécurité, aussi bien sur leur lieu de travail qu'à leur domicile, et lors de leurs déplacements à l’étranger.

"La NCIA aide les 29 pays membres de l’OTAN à communiquer en toute sécurité. Face à des cybercriminels et des acteurs cautionnés par des États qui redoublent d’ingéniosité, il nous fallait une solution ultra-sécurisée pour protéger les conversations de nos responsables indépendamment de leur situation géographique", a précisé le Directeur général de la NCIA.

Pour en savoir plus : article de Global Security Mag.
11 mars2019
 Episode de "NoLimitSecu" dédié à la standardisation en matière de cryptographie
Le blog de cybersécurité "NoLimitSecu" a consacré son émission du jour à la standardisation en matière de cryptographie. Pour en parler, Jean-Philippe Aumasson, spécialiste de chiffrement IoT, blockchain et cryptomonnaies mais aussi de normalisation dans le domaine, et Emilien Gaspar, rédacteur en chef adjoint de la revue MISC. Pour leur donner la réplique, quatre membres de "NoLimitSecu" dont deux ARCSistes, Hervé Schauer et Nicolas Ruff, accompagnés de Marc-Frédéric Gomez et Johanne Ulloa.

Pour écouter le podcast, le fichier mp3 est ici.
4-8 mars2019
 Du 4 au 8 mars se tient à San Francisco la "RSA Conference". Pour plus d'informations, consulter  www.rsaconference.com/
De nombreuses conférences sont en ligne sur YouTube:


26 février2019
 l'OS mobile de Google "Android" obtient à son tour la certification FIDO 2
Cette certification permettra aux mobiles fonctionnant sous Android 7.0 et plus d'utiliser la reconnaissance biométrique intégrée comme moyen d'authentification, et d'utiliser des clés de sécurité FIDO afin d'accéder de manière sécurisée aux sites Internet et applications intégrant le protocole FIDO 2. Ce dernier est déjà supporté par Google Chrome, Microsoft Edge, Mozilla Firefox et Apple Safari.

Voir en particulier l'article de Alliance FIDO
22 février2019
 Campagne mondiale d’attaque DNS : manipulation d’enregistrements DNS à grande échelle
L’organisme international qui attribue les adresses internet (ICANN) avertit que des attaques pour compromettre le système des noms de domaine (« Domain Name System », DNS) sont en cours, ce qui pourrait entraîner des redirections à grande échelle du trafic mondial de données. Il appelle à déployer le protocole DNSSEC, pour "Domain Name System Security Extensions".

Voir en particulier l'article de Global Security Mag
18 février2019
 Création d'123 CyberD, premier fonds d'investissement entièrement dédié à la cybersécurité
Ce fonds est lancé par 123 Investment Managers, société de gestion indépendante. Géré par Philippe Gaillard, entrepreneur en cybersécurité, et Thomas Jesson, ancien de la DGSE, l'objectif est de lever entre 35 et 50 millions d'euros rapidement, et créer un lieu proche du Ministère des Armées capable d'accueillir de jeunes pousses dans un endroit sécurisé.

Voir l'article de Challenges
15 février2019
 La plateforme d’attaquants éthiques "Yes We Hack" lève quatre millions d’euros pour se renforcer à l’international
"Yes We Hack" met en relation des organisations ayant des besoins en matière de sécurité de l'information, avec une communauté d'attaquants éthiques qui réalisent des chasses aux bogues ("Bug Bounty"). Fondée en France en 2013, elle revendique plus de 7000 participants répartis dans 120 pays.

Pour en savoir plus :  article de French Web
10 février2019
 Microsoft rejoint la communauté de standardisation des solutions libres pour flux logistiques OpenChain
La communauté du libre OpenChain identifie et promeut l'application de standards communs pour le développement des applications de flux logistiques, pour que toutes les entreprises puissent en disposer tout en respectant leurs obligations informatiques légales. De nombreuses grandes entreprises avaient déjà rejoint le projet, comme Facebook, Google, et Uber en janvier 2018.

Pour en savoir plus :  article de OpenChainProject
7 février2019
 Google introduit la méthode de chiffrement ChaCha20 pour les appareils dotés de processeurs de faible capacité, en remplacement d'AES
Cette méthode appelée "Adiantum" permettra aux équipements de faible puissance, comme les téléphones d'entrée de gamme ou les montres connectées, d'avoir des capacités de chiffrement sans diminuer leurs performances. La famille de chiffreur de flux ChaCha20 (une variante de SalSa20) remplacera AES (Advanced Encryption Standard) sur ces matériels. Google met en avant le fait que seules sont utilisées des opérations de base (addition, rotation et ou exclusif).

Pour en savoir plus :  Google introduit Adiantum



 
Partie réservée
aux membres
Bulletins, albums photos,
AG, dîners annuels, etc.
+
version pdf du magazine
Global Security Mag


nuage de tags ARCSI