Avec « Project Zero », Google veut sécuriser davantage Internet. La nouvelle est arrivée par un billet sur le blog de sécurité de Google, mardi 15 juillet. Chris Evans, ancien responsable de la sécurité de Chrome, le navigateur de Google, a annoncé qu'un petit groupe de « super-hackers » allait travailler sur un projet nommé « Project Zero », qui a pour but de « rendre Internet plus sûr ». Cela passe par résoudre les failles « zero-day », celles qui n'ont jamais été trouvées et qui peuvent devenir dangereuses si elles sont découvertes par des personnes mal intentionnées. Sur le blog de Google, Chris Evans détaille ainsi que ces failles « zero-day » sont utilisées pour « cibler des militants de droits de l'homme ou pour de l'espionnage industriel ». Le travail du groupe ne se limitera pas aux différents produits de Google. « Nous ne nous fixons aucune limite.
Nous travaillerons pour améliorer la sécurité de tout logiciel utilisé par de nombreuses personnes, en faisant attention aux techniques, cibles et motivations de ceux qui les attaquent. Keylogger : des dispositifs de cybersurveillance particulièrement intrusifs. Les " keyloggers " sont des dispositifs de surveillance, parfois téléchargeables gratuitement depuis le web, qui se lancent automatiquement à chaque démarrage de la session de l'utilisateur, à son insu. Une fois lancés, ils permettent, selon les versions, d'enregistrer toutes les actions effectuées par les salariés sur leur poste informatique sans que ceux-ci s'en aperçoivent. Toute frappe saisie sur le clavier ou tout écran consulté est enregistré avec un horodatage.
Des alertes peuvent être automatiquement envoyées à la personne ayant installé le dispositif lorsque le salarié ainsi surveillé saisit sur son clavier un mot prédéterminé. Selon son paramétrage, le dispositif permet également de générer des rapports, récapitulant l'ensemble des actions faites à partir d'un poste informatique, qui sont directement envoyés sur le poste informatique de celui qui aura installé le logiciel espion. L'affaire Bluetouff ou : NON, on ne peut pas être condamné pour utiliser Gogleu. Le titre de ce billet peut paraître surprenant, mais il répond en fait à un titre d’article qu’un journal en ligne de la presse spécialisée, au demeurant excellent sur son secteur, a employé pour relater la présente affaire. Comme quoi la communauté geek sait avoir les mêmes réflexes corporatistes que n’importe quel autre groupe social ayant des intérêts communs assez forts.
Heureusement, outre son goût pour les pizzas froides et la Guinness, ce qui la caractérise avant tout est le goût de comprendre, et je l’entends qui piaffe aux portes de ce blog. Faites entrer les fauves, on va faire du droit. Au-delà des aspects techniques de cette affaire, que nous allons aborder, on se retrouve dans une problématique récurrente lorsqu’on doit juger des délits commis dans un contexte technique complexe : que ce soit la finance, la médecine, la pharmacologie, ou la technologie : les prévenus regardent les juges comme des ignares car ils n’ont pas leurs connaissances, ni même parfois les bases. Informatique et libertés : l'accès aux messages personnels des salariés très encadré. Le respect de la vie privé : un droit supérieur à protéger Les problématiques liées à l’utilisation de l’outil informatique au bureau – par nature, un outil professionnel -, à des fins personnelles, ont pris de nombreuses configurations.
Dénigrement des supérieurs par e-mail, consultation de site internet sans rapport avec l’activité professionnelle, utilisation d’une boîte mail professionnelle à des fins personnelles, entre autres, la liste est longue et va certainement encore s’allonger. Les juges ont, de manière générale, considéré que les fichiers ou les documents détenus sur un ordinateur sont présumés avoir un caractère professionnel, sauf s’ils ont été clairement identifiés comme « personnels ». Si ce n’est pas le cas, ils sont considérés comme ayant un caractère professionnel, de sorte que l’employeur peut y avoir accès en dehors de la présence du salarié (Cass. Soc., 18 octobre 2006, n° 04-48.025 ; Cass. Soc., 17 mai 2005, n° 03-40.017). TF1, Sony et Morgan Stanley : qu’est-ce que le vol de données ? Par Yaël Cohen-Hadria, Avocate. Une actualité 2014 qui ne semble pas ralentir en 2015… D’une part TF1 a été victime de pirates informatiques, Linker Squad, qui auraient volé des données à caractère personnel de près de 2 millions d’abonnés à TF1.
Il s’agirait a minima de noms, prénoms, coordonnées mais probablement aussi de données bancaires voir de profils d’accès aux abonnements presse du groupe TF1. D’autre part le piratage des bases de données de Sony Pictures Entertainment a également été dévoilé à la fin du mois d’octobre 2014, concernant près de 50 000 employés de Sony et leurs données personnelles (identité, coordonnées, fichiers confidentiels et correspondance privée dévoilée).Autre exemple, aux Etats-Unis, la banque Morgan Stanley a été victime d’un vol de données concernant près de 350 000 clients et certaines données auraient même été publiées sur le net.
Une sanction pénale du vol de données dans le contexte de BIG DATA et de valorisation des données des entreprises. Affaire Snowden : comment contrôler les droits d'administration. Edward Snowden, auteur des révélations faites sur les programmes d'espionnage de la NSA, avait pu accéder simplement aux informations critiques de l'agence grâce à ses droits administrateurs. Si les administrateurs des systèmes d'informations se doivent de posséder un accès étendu aux machines, leurs droits d'entrée doivent être impérativement contrôlés et régulés. Une leçon mise en évidence par l'affaire Snowden. L'affaire Snowden est pleine de leçons pour les responsables de la sécurité des systèmes d'information. 20% des organisations ne connaissent pas le nombre de compte administrateurs ouverts La firme a ainsi approché 340 participants de la conférence FOCUS 13 de McAfee pour en apprendre un peu plus sur la question.
Bonne nouvelle, on apprend que les déboires de la NSA ont fait réfléchir plus de la moitié des chargés de sécurité. La solution réside donc peut-être dans une approche repensée de l'attribution des droits étendus. Messagerie électronique au bureau : ne pas confondre « perso » et « personnel » Depuis un arrêt célèbre (Arrêt Nikon du 2 octobre 2001) les tribunaux reconnaissent au salarié un droit d’usage personnel de l’outil informatique mis à sa disposition par son employeur. Ce droit est encadré de différentes manières et peut schématiquement se résumer ainsi : Tous les messages adressés ou reçus par le salarié dans sa boite aux lettres électronique sont présumés professionnels, sauf s’ils sont identifiés comme personnels. L’employeur ne peut pas avoir accès aux messages personnels, mais le salarié ne doit pas abuser du droit qui lui est reconnu, notamment en apposant systématiquement la mention « personnel » sur tous les messages qu’il émet.
L’administrateur du système (c’est-à-dire l’informaticien chargé d’assurer son bon fonctionnement), peut prendre connaissance librement de tous les messages, mais ne peut en révéler le contenu à l’employeur, lorsqu’ils présentent un caractère personnel. La Cour de Paris confirme ce jugement. Son analyse mérite d’être soulignée.