background preloader

[Oups] Le très sécurisé Blackphone a une faille de sécurité

[Oups] Le très sécurisé Blackphone a une faille de sécurité
Coup dur pour le Blackphone, ce smartphone qui promet une sécurité optimale des données et des conversations de ses utilisateurs. Il semble qu’il y ait quelques trous dans la cuirasse… D’après l’expert en sécurité Mark Dowd, le smartphone ne serait pas aussi sécurisé que ses promoteurs le prétendent. Il a en effet découvert une vulnérabilité au sein de l’application de messagerie texte, qui permet à un pirate de subtiliser messages, contacts et informations de localisation. Pas terrible quand on vante un mobile ultra-sécurisé… L’app en question, pré-installée dans le Blackphone (et disponible sur Google Play) prend des vessies pour des lanternes, à savoir des données pour d’autres, permettant ainsi au pirate de saturer la mémoire de l’engin pour la remplacer par du code malicieux. Dowd a prévenu Blackphone de la méchante faille de sécurité, qui a bouché le trou très rapidement.

Jailbreak iOS : Apple a eu la main lourde Comme souvent après une mise à jour même mineure, le hacker MuscleNerd (connu pour appartenir à la team evad3rs) conseille aux jailbreakers de rester à l'écart d'iOS 8.1.3. Il faut dire que cette recommandation semble justifiée à la lecture de la trentaine de corrections de sécurité accompagnant iOS 8.1.3. Parmi ces corrections, il est fait référence à plusieurs reprises à des patchs pour des failles découvertes par la team TaiG, sans oublier une vulnérabilité affectant le noyau d'iOS et identifiée par la team Pangu ainsi que Stefan Esser qui est autrement connu sous son pseudonyme de hacker i0n1c. Autant dire que cela laisse augurer que la firme à la pomme a eu la main lourde et a massivement mis fin à des exploits utilisés dans des outils de jailbreak untethered, que ce soit Pangu8, TaiG voire le récent jailbreak PP. Rappelons que la team Pangu propose l'outil Pangu8 (sur Windows et OS X) pour le jailbreak d'iOS 8.0 à 8.1.0. Via Twitter, i0n1c est caustique.

Sécurité : la biométrie pourra-t-elle remplacer les mots de passe ? Le mot de passe est au centre de la vie connectée, or, le grand public commence à comprendre à quel point il est fragile. D'abord et surtout parce que les internautes et les mobinautes n'en créent pas de suffisamment complexes pour résister aux attaques des pirates. Avec la multiplication des affaires de fuite de données, se pose donc, de manière encore plus prégnante, la question des alternatives. Celle qui fait le plus parler, s'appuie sur des éléments de notre corps, à savoir la biométrie (identifier un individu par ce qu'il est est et pas seulement ce qu'il sait). Et l'an dernier, un hacker a démontré comment une simple photo pouvait permettre de récupérer les empreintes digitales d’un individu. Nuance, le spécialiste de la reconnaissance vocale, mise lui sur la biométrie vocale dont il a fait évoluer la technologie. De quoi convaincre banques, opérateurs télécoms (notamment en Turquie) mais aussi des grandes entreprises.

Une faille informatique a menacé des milliers de centres de données dans le monde Baptisé «VENOM», un bug permettait à des pirates de pénétrer au sein de serveurs et de prendre contrôle des systèmes qui y sont hébergés, appartenant notamment à des entreprises. Elle s'appelle CVE-2015-3456, ou plus simplement «VENOM» («venin» en français). L'entreprise américaine de cybersécurité Crowdstrike a dévoilé mercredi une grave faille qui a potentiellement mis en danger des milliers de systèmes informatiques d'entreprises dans le monde. VENOM touche plus particulièrement le logiciel libre (QEMU) utilisé pour concevoir des machines virtuelles. D'après Crowdstrike, VENOM existe depuis 2004. Plus de peur que de mal? Heartbleed et VENOM partagent au moins un point commun: elles ont bénéficié d'un plan de communication qui ne ferait pas rougir des spécialistes du marketing, avec un site dédié, un surnom et même un logo officiel.

Outlook – Comment se protéger de cette manip qui permet de contourner les systèmes de protection ? « Kevin Beaumont, un chercheur en sécurité basé à Liverpool (Royaume-Uni) a trouvé un moyen de faire passer des exécutables (y compris malicieux) dans un email sans éveiller les soupçons des firewalls ou autres systèmes de protection. Pour cela, il commence à créer un email dans Outlook 2013 ou supérieur, et il insère dans celui-ci un objet (OLE) de type Package. Cet objet peut être n'importe quel exécutable présent sur votre disque dur. Ensuite, il enregistre ce mail au format .msg et l’insère dans un nouveau mail qu'il peut alors envoyer. Le destinataire reçoit alors le mail, ouvre la pièce jointe en .msg, découvre le fichier .exe attaché déguisé en document Word, Excel ou autre (Oui, on peut changer l'icône au moment de l'insertion du package), le lance et PAF ! On peut personnaliser l'icône du fichier attaché Voici un fichier attaché qui ressemble à un .docx mais qui est en réalité, une version portable de Firefox C'est moche non ? 1/ Faire de la liste blanche d'application.

iPad / iPhone - Le tracker impossible à enlever Connaissez-vous le HSTS ? Il s'agit d'une technologie qui permet d'améliorer la sécurité sur les connexions HTTPS pour éviter les attaques Man In The Middle. Le serveur web utilisant HSTS déclare aux navigateurs qui s'y connectent, qu'ils doivent passer obligatoirement en HTTPS pour discuter avec lui et remplacer automatiquement tous les liens http en liens https. Cela permet d'empêcher certaines attaques MITM qui profiteraient d'un contenu mixte (http/https) pour intercepter certaines requêtes. C'est très bien... Mais saviez-vous que cette sécurité peut servir à vous traquer ? Malheureusement, le souci avec ce tracker est double puisque : 1/ Il est toujours présent même lorsque vous utilisez le navigateur en mode navigation privée 2/ Il ne s'efface pas... Le plus beau là dedans, c'est que ce tracker HSTS est synchronisé sur votre compte iCloud. Alors que faire ? En effet, même si je trolle un peu, ce dernier ne supporte pas les specs HSTS... Vous avez aimé cet article ?

Logjam : la faille qui met Internet à nu Des chercheurs mettent en garde contre une faille majeure dans le protocole qui sécurise les connexions Internet et expliquent pourquoi et comment il faut se prémunir contre cette faille. Au printemps dernier, en collaboration avec des chercheurs de l’Inria Paris-Rocquencourt, de Microsoft Research, et des universités américaines Johns Hopkins, du Michigan et de Pennsylvanie, nous avons mis en évidence une faille importante dans le protocole TLS qui permet de sécuriser les connexions Internet. Cette faille affectait un grand nombre de services Internet (Web, mail, vpn, etc), avec des conséquences allant de l’absence de confidentialité à l’usurpation d’identité de serveurs. TLS, un protocole omniprésent sur Internet Le protocole TLS (pour Transport Layer Security) est le mécanisme qui est mis en œuvre de manière automatique, et souvent transparente pour l’utilisateur, dès que l’on souhaite sécuriser une connexion Internet entre deux machines. adrian_ilie825/FOTOLIA.COM

74 000 nouveaux virus informatiques créés chaque jour : où en sommes-nous ? Le programme malveillant (ou malware) est un problème qui croît d’année en année. En fait, il y avait 74 000 nouveaux virus informatiques créés chaque jour en moyenne en 2013. Le “malware” est un terme générique pour différents types de logiciels malveillants : virus, vers, chevaux de Troie, rootkits, spywares, adwares, et autres. 32% des ordinateurs dans le monde sont infectés par ce type de malware. La Chine, la Corée du Sud, ou la Taiwan comptent parmi les ordinateurs les plus infectés au monde. La Norvège, la Suisse et la Suède sont parmi les moins touchés. Voici une infographie qui nous donne des éléments sur ces nouveaux virus informatiques… Pourquoi cette infographie ? Source : TopTenREVIEWS.

Pwn2Own : Chrome et Safari ont encore subi les assauts des hackeurs Date de dernière mise à jour : le 19 mars 2016 à 15 h 47 min Tous les ans, l’événement Pwn2Own regroupe de nombreux hackeurs qui lancent des attaques pour déceler des failles dans différents logiciels tels que Chrome et Safari par exemple, qui n’ont malheureusement pas résisté à ces différents hacks. Lire également : Pwn2Own : un hackeur pirate Chrome, Safari et Windows en 4 minutes Ces attaques sont réalisées par une équipe de white hat (hackeurs) et permettent aux éditeurs de logiciels ou de navigateur de repérer des failles avant qu’elles ne soit exploitées par des personnes mal intentionnées. Des concours sont organisés avec des récompenses à la clé. A l’issue du premier jour, Chrome, le lecteur Flash (dont les failles sont innombrables) et même le navigateur d’Apple n’ont pas résisté à ces attaques. Nous le savons, Flash Player n’est pas un modèle de sécurité. Pour Safari, les droits administrateur ont pu être accessibles grâce à un hack sur le navigateur.

Related: