La faille visant le protocole DNS diffusée... par erreur
Date : 23-07-2008

Début juillet, Microsoft, Alcatel, Cisco et d'autres sociétés annonçaient avoir corrigée une importante faille visant le coeur même d'Internet. Trois semaines plus tard la faille est diffusée... par erreur.

Début juillet, nous vous relations de l'étonnant mais efficace accord entre les géants de l'informatique mondiale [lire]. Microsoft, Cisco, Alcatel, ... avaient mis au point une stratégie afin de faire corriger, au plus vite, un sérieux problème dans le coeur même de l'Internet, le protocole DNS, Domain Name System [lire].  Si la faille a été "rustinée", elle est très loin d'être corrigée. La société Zynamics a diffusé lundi, par erreur, le concept de cette faille via un reverse engineering, une étude de la dite faille par un certain Halvar Flake, qui n'est rien d'autre que le patron de cette PME, Thomas Dullien [lire].

Bilan, les experts s'inquiètent à savoir si des pirates vont maintenant exploiter ces données. L'ingénieur en informatique qui avait découvert cette faille, Dan Kaminsky, de chez IOActive, doit démontrer et expliquer cette faille le 6 août prochain, lors du Black Hat de Las Vegas.

Pour rappel, la faille en question permet de rediriger un internaute vers un site pirate, en trichant avec les caches DNS, tout en ayant pourtant taper l'url officiel du site qu'il souhaitait visiter. Par exemple, l'internaute pense joindre sa banque, Mabanque.amoi.fr et se retrouve en fait sur un site usurpant ce qu'il pense être l'espace officiel de sa succursale financière.

Dan Kaminsky [lire] n'a pas confirmé si la boulette et la diffusion de Zynamics concernait bien sa découverte.

Offre d'emploi: Clic’n Go recrute un développeur Web PHP
Date : 23-07-2008

• Réalisation de site internet : institutionnel, évènementiel, e-commerce, de marque…
• Solutions web marketing : jeux-concours, e-mailing, campagnes de buzz, widget…
• Outils interactifs axés sur une démarche de recrutement commercial : guide d’achat, clip vidéo démonstration produit, configurateur de devis en ligne….
• Concepts interactifs sur mesure principalement axés sur des problématiques de marketing relationnel ou d’optimisation de la communication interne.

Nos clients proviennent d’univers variés : nouvelles technologies, grande consommation, collectivités locales, PME/PMI, agences de communication.

POSTE
Dans le cadre de notre croissance, nous recherchons :
Un Développeur Web PHP (H/F)

MISSION
En étroite collaboration avec le chef de projet et le directeur artistique, vous étudiez les possibilités techniques des projets qui vous sont confiés et participez activement à la rédaction du cahier des charges.
Vous aurez pour principale mission la réalisation de site internet, à constituer l’architecture de tout programme informatique, à assurer la conception et l’exploitation de bases de données, la conception de site internet, le développement d’interface de gestion de contenu et tout type d’outils innovants exploitant vos compétences acquises et en devenir.

CONTRAT
Contrat : CDI
Salaire mensuel : 2500 à 3500 euros (à négocier selon profil) + PC Portable + mutuelle

PROFIL
De formation multimédia (autodidacte également apprécié), vous avez au moins une expérience réussie à un poste similaire.
Vous maîtrisez les technologies suivantes : POO PHP / MYSQL / JAVASCRIPT et librairies JQUERY / SCRIPTACULOUS / personnalisation de CMS (CMSMS, JOOMLA, DRUPAL) / standard du web (XML, HTML, CSS...) et gestion des standards conformes W3C.

Vous êtes autonome, rigoureux et motivé à travailler en équipe.
Date de disponibilité : immédiate
Poste basé à Paris 13ème

CONTACT
Agence Clic’nGo
Mr Philippe Baudoux
Curriculum vitae + lettre de motivation + références à envoyer par email : jobs@clicngo.com (rajouter dans l'objet annonce zataz)

La CNIL déloge le mauvais comportement de 3 sites dédiés aux annonces immobiliéres
Date : 23-07-2008

Annonces immobilières en ligne: la CNIL contrôle et empêche la commercialisation des données des particuliers à leur insu.

La Commission Nationale de l'Informatique et des Libertés (CNIL) a mis en ligne [lire], mardi, un avertissement à l'encontre des utilisateurs de sites Internet dédiés aux annonces immobiliéres. A l’occasion des contrôles, la CNIL a constaté que les données de particuliers proposant à la vente ou à la location leur biens immobiliers sont susceptibles d’être collectées déloyalement et revendues à des professionnels du secteur.

Alertée par des plaintes, la Commission a procédé à des contrôles sur place afin de déterminer dans quelles conditions des particuliers proposant à la vente ou à la location leurs biens immobiliers sur des sites internet sont constamment sollicités par des agences immobilières avec lesquelles ils n’ont jamais eu aucun contact.

Ces agences font, en effet, appel aux services de société proposant des services dits de «pige immobilière» qui leur envoient quotidiennement les données de ces particuliers.

La Commission a ainsi contrôlé plusieurs acteurs de ce marché pour y vérifier les conditions de collecte et de traitement des données des particuliers.

Il s’avère que ces sociétés copient, de façon automatisée ou artisanale, les annonces des particuliers publiées dans les revues ou les sites internet spécialisés pour les transférer aux agences abonnées à leur service. Parfois même, certaines d’entre elles contactent les particuliers anonymement afin d’obtenir de plus amples informations sur le bien immobilier et enrichissent ainsi l’annonce originale.

Cette pratique constitue manifestement une collecte déloyale et illicite de données : à aucun moment, les particuliers concernés ne sont informés de la collecte de leur données et ne peuvent s’opposer à être contactés par les agences immobilières.

Pour faire suite à ces constatations, la CNIL a mis en demeure les sociétés identifiées de cesser ces pratiques illégales et a décidé de poursuivre les contrôles dans ce secteur, tout en prenant attache avec les principaux réseaux d’agences immobilières pour leur rappeler les obligations issues de la loi informatique et libertés.

Concert: Manu Chao en live et gratuit sur le web
Date : 22-07-2008

Le 30 juillet prochain, Manu Chao va diffuser, en live et gratuitement sur le réseau des réseaux, son concert qui aura lieu aux Arènes de Bayonne.

Manu Chao, chanteur engagé, co-fondateur du groupe Mano Negra (rock alternatif), va proposer gratuitement sur Internt le concert qu'il donnera le 30 juillet prochain dans les Arènes de Bayonne. [En savoir plus]

UBISoft diffuse un crack warez pour aider ses clients
Date : 22-07-2008

Chasser le warez par la porte, il repasse par la fenêtre. L'éditeur de jeux vidéo UBISoft propose à ses clients un crack warez pour palier sa propre sécurité anti-copie.

L'éditeur de jeux vidéo UBISoft vient de faire parler de lui d'une manière qui vaut son pesant de cacahuettes. Pour empêcher la copie de son jeu Rainbow Six Vegas 2, deux galettes. Le DVD et un CD baptisé CD-check. Bref, une protection supplémentaire pour éviter la moindre copie du produit. Sauf que chez UbiSoft quelqu'un a oublié que cette protection était particuliérement génante pour les clients ayant acquis le jeu par le biais du site internet Direct2Drive, une plateforme légale de téléchargement. Bilan, pas de CD-check et pas de jeu non plus, pourtant cherement acquis. Une fois installé le jeu créé un executable qui reclame desesperement le cd de contrôle. Pour palier cette boulette, le journal Skep to bot, explique qu'UBI Soft a proposé un "crack" légal. Sauf que le crack en question, vous allez rire, n'est rien d'autre que l'outil proposé il y a quelques semaines par le groupe warez reloaded. Un technicien de chez UBI Soft a tout simplement modifié le crack pirate pour lui donner un petit coup de légalité. Un simple éditeur hexadécimal (voir capture écran proposée par StB ci-dessous) et le tour était presque joué. UbiSoft a joué la vierge effarouchée en indiquant enqueter et a retiré le "fix" R6Vegas2_Fix.zip de son serveur [lire]. Marrant, ils vont nous faire croire que ce patch n'a pas été validé par la direction avant sa diffusion en ligne !

Interressant aussi, cette possibilité de "crack" est contre nature, surtout celle imposée par la loi. En France, ce "crack" UbiSoft est illégal. La DAVSI transpose la directive européenne du 22 mai 2001 relative à « l'harmonisation de certains aspects du droit d'auteur et des droits voisins dans la société de l'information », instaure une nouvelle catégorie juridique – les "mesures techniques de protection" – destinée à renforcer la protection des créateurs. Selon la définition retenue par le législateur français et désormais inscrite à l'article L.331-5 du Code de la propriété intellectuelle, les MTP désignent toute technologie permettant "d'empêcher ou limiter les utilisations non autorisées par les titulaires d'un droit d'auteur ou d'un droit voisin du droit d'auteur d'une oeuvre, autre qu'un logiciel, d'une interprétation, d'un phonogramme, d'un vidéogramme ou d'un programme".

Protections farfelues
Il existe des dizaines de protection permettant de protéger nos logiciels, films, ... Voici une petite rétrospective des plus farfelues. En 2005, UBISoft se débarrassait d'une protection anticopie de la société StarForce. Cette protection anticopie russe occasionnait de gros problèmes chez les joueurs. Les jeux de l'éditeur protégés par cette "protection" causaient de sérieux problème comme la simplement impossibilité de jouer. D'autres éditeurs ont eu ce type de mésaventure. JoWood avec son Silent Storm 2 ou encore Whiptail Interactive avec le jeu Postal 2. UbiSoft aurait pu faire un effort, comme la célébre touche "Shift" de chez BMG [lire].

L'un des premiers cas connu de virus utilisé comme protection dans un jeu vidéo reste celui mis en place dans le shoot'n up, jeu de tir, G360 de Sega. La version Amiga était protégée de manière particulière. Les utilisateurs d'une contrefaçon de ce jeu d'avion se voyaient gratifié d'un beau message d'erreur moqueur quelques minutes après le lancement d'une partie. Dans un autre style, le jeu GOD, toujours sur Amiga, des Bitmap Brothers, devenait fou en pleine partie. Impossible de jouer tant les ennemis tombaient du ciel

Protection F.A.D.E
Plus récemment, Codemasters avait réutilisé ce type de protection anti-copie dans son jeu Opération Flashpoint. Cette protection, nommée F.A.D.E. altérait le jeu à un point tel que la copie était inutilisable. D'autres protections existent, elles tentent d'empêcher les originaux de fonctionner correctement comme le système anti-copie du jeu Championship manager 3 d'Eidos. A noter que ce dernier était tellement mal fichu qu'il empêchait même de jouer, sur certains ordinateurs, avec l'original.

Les crackeurs auront, dans tous les cas, réussi à chaque fois à passer ces protections. Le groupe DEViANCE ira jusqu'à noter dans son piratage de Flashpoint ceci : "Additional note: while we tested we found no trace of the 'fabulous' 'FADE protection' - so we can only assume for now that the press releases about it were just the usual company bulls***". En gros comprenez que ce groupe de pirates de logiciels n'a pas trouvé trace du F.A.D.E. dans le jeu, annonçant même un effet marketing de Codemasters. En attendant, ces protections perturbent les acheteurs, les consommateurs, plus que les pirates.

Passe muraille
D'autres protections comme le "CD-Cops", qui ajoutait à l'exécutable du Cd Original une protection mesurant la durée en minute et seconde d'un CDrom ou encore "DiscGuard" qui ajoutait une signature. Une protection tellement efficace qu'elle empêchait, par exemple, le jeu original Collin Mac Rallye de fonctionner. Codemasters va devoir fournir des patchs, un correctif sous forme de petit programme, pour annuler cette protection. Les magazines et les sites « choisis » traitant de jeux vidéo ne sont pas à l'abri. Les sociétés éditrices fabriquent des versions dédiées aux testeurs des magazines. Il y est souvent incrusté le logo du journal. Cela évite de voir les avant-premières finir sur le réseau.

L'une des plus impressionnante sécurité qui nous a été donnée de voir reste sans conteste celle du logiciel Surcode DVD DTS Pro de Minnetonka Software. Ce logiciel intègrait un système de protection qui laissait songeur. Nous sommes loin du simple spyware. Minnetonka Software avait piégé une partie de son code. Un code qui calculait le temps d'exécution de certaine partie du logiciel, comme la protection justement. Si le logiciel considérait une tentative de piratage, un courrier électronique était envoyé, via un serveur de la société, évitant ainsi de passer par la machine du crackeur. Une fois l'alerte lancée, une société juridique, NetResult Ltd, basée à Londres, se chargeait de rentrer en contact avec l'administrateur, le responsable de la machine ou du moins de l'entreprise, si c'était le cas, de la machine qui avait servi à la tentative de piratage du logiciel  Surcode DVD DTS Pro.

 

Depuis, les DRM ont pointé le bout de leurs bits. L'un des plus sympathique a été testé sur un île paradisiaque, en 2006. Les habitants du Madagascar [lire] ont été utilisés comme cobayes par une major locale. Le chanteur, Dadah de Fort-Dauphin, un illustre inconnu chez nous, mais une star sur son île avait sorti un album muni de ce type logiciel anti-copie. Les acheteurs étaient rapidement au courant de la présence de ce DRM via un autocollant indiquant ceci : "Veuillez ne pas insérer ce disque dans votre ordinateur". L'éditeur, la société Tolimana, expliquait que l'insertion de ce disque dans un ordinateur risquait de bloquer la machine. Les ordinateurs qui étaient bloqués ne pouvaient être remis en marche que par les concepteurs de cette protection.

Nul n'est censé ignorer la loi
En France, avant la DADvSI, le code de la propriété intellectuelle comptait les logiciels parmi les œuvres de l'esprit susceptibles d'être protégées. - Article L. 112-3 du Code de la propriété intellectuelle. Si la copie de sauvegarde était tolérée dans un cadre familial, il était interdit de mettre à disposition sous quelque forme que ce soit la copie de sauvegarde. En 2008, la détention ou l'utilisation de logiciel anti sécurité (crack, DeCss, ...) coûte 750 € d'amende. Le cassage d'un système anti copie, via un crack, 3 750 euros d'amende. Mise à disposition de cracks et logiciels permettant la copie d'un bien protégé, 30 000 euros et 6 mois de prison. Vous avez créé des cracks, des systèmes contournant la copie, vous les diffusez, 300 000 euros d'amende et 3 ans de prison.

Réseau de cybercriminels démantelé
Date : 22-07-2008

Un réseau de cybercriminels démantelé par la police roumaine. 19 personnes arrêtées spécialisée dans les fausses ventes sur eBay.

Dix neuf personnes ont été arrêtées, il y a quelques jours en Roumanie. Derrière ce fait divers classique, il semble cependant sonner le glas d'un important réseau de pirates amateurs du site de vente aux enchères eBay.

Avec l'aide du FBI américain, la police roumaine a mis la main sur des individus liés à réseau de fraude et de blanchiment d'argent. Les escrocs auraient réussi à détourner plus de 397.000 euros. Durant cette opération qui aura demandé plusieurs centaines de policiers, 32 ordinateurs et 30 téléphones portables ont été saisis.

Grand classique, les voleurs mettaient d'abord en place de faux sites d'identifications eBay, afin de voler les logins et mots de passe et mettre la mains sur les informations bancaires d'utilisateurs ainsi piégés. Finesse de ce piratage bancaire, nous vous en parlions d'ailleurs à l'époque en exclusivité [lire], les pirates cachaient dans certaines annonces officielles, des faux fichiers flash permettant de rediriger les clients d'eBay vers une page d'hameçonnage.

Pour blanchir l'argent, les "phisheurs" disposaient d'un nombre considérable de comptes en banque. Certains propriétaires de comptes en question étaient même payés pour entreposer des sommes d'argent volées afin de faire tourner en bourrique les enquêteurs.

Cette arrestation fait suite aux premières actions des Services Secrets US et du FBI. En mai dernier [lire], les policiers avaient déjà mis la main sur 38 personnes, dont plus d'une vingtaine de roumains. Des opérations qui avaient été orchestrées sur le territoire américain.

Parmis les "blanchisseurs", certaines mules étaient originaires de la ville de Dragasani [Voir], la capitale des phisheurs.

Nouvel organisme de lutte contre les délits informatiques
Date : 22-07-2008

L’Alliance nationale d’intervention judiciaire et de formation contre la cybercriminalité voit le jour au Canada. Les pirates peuvent trembler ?

L'industrie de l'informatique, dont Microsoft, Rogers Communication ou encore Bell, des universités et le gouvernement Canadien viennent de mettre en place un nouvel organisme lié à la criminalistique. Baptisé Alliance Nationale d’Intervention Judiciaire et de Formation contre la Cybercriminalité (ANIJFC), cet organisme prendra via à la rentrée dans les murs de l’université Concordia de Montréal. Il est prévu le regroupement des ressources, les services de renseignement et l’expertise en recherche et développement pour concevoir des méthodes de prévention contre les délits informatiques.

Piratage de cartes à puce sans contact facile
Date : 22-07-2008

Des failles permettent de cloner les cartes à puce Mifare Classic. La preuve par l'image alors que la société voulait faire interdire sa diffusion.

La société NXP (Ex Philips) avait tout fait pour faire taire un cas d'étude universitaire traitant des cartes à puce Mifare Classic, des puces sans contact. Tout a débuté lors du rendez-vous du CHAOS COMPUTER CLUB allemand, en janvier dernier [lire]. Des étudiants (Nohl et Plötz) de l'université Radboud de Nimègue (Pays-Bas) souhaitaient afficher comment il était simple de cloner les dites cartes. Preuve vidéo à l'appui, la démonstration est assez bluffante au point que NXP avait fait appel à la justice pour interdire la diffusion du document vidéo. La justice néerlandaise a autorisé la mise en ligne de la démonstration. En mars dernier, NXP avait déjà grincé des dents après une annonce d'un chercheur; Karsten Nohl. L'algorithme Crypto1, chiffrement utilisé par la NFC était faillible.

NXP a commercialisé des millions d’exemplaires (dans le monde) de cette fameuse technologie qui vient de prendre un sérieux coup dans l'aile. Les puces utilisent la technologie baptisée Near Field Communication (NFC). Originalité de la technologie, elle permet de passer une carte et ses informations à quelques centimes d'un lecteur (+/- 10 cm). Un passage sans contact direct. A Londres, par exemple, cette technologie est employée dans le titre de transport électronique rechargeable de 17 millions de britanniques via le service Oyster. 01net indique que d’ici à la fin de l’année une solution plus sécurisée, Mifare Plus, utilisera l’algorithme public AES.

La CNIL se penche sur le cas des réseaux sociaux
Date : 22-07-2008

La commission Informatique et Liberté planche sur les informations diffusées dans les réseaux sociaux comme Facebook.

D'ici à la fin de l'année la Commission Informatique et Liberté (CNIL) doit rendre son avis sur les réseaux sociaux et plus précisément sur les informations que les Facebook et autres Meetic permettent d'exploiter. La commission organise des auditions "sur l’utilisation des informations personnelles diffusées sur les réseaux sociaux" explique Le Monde. D'un autre côté, il suffit aux internautes de ne pas les utiliser, ou de mettre en fonction la case "confidentialité" proposée sur Facebook pour ne plus voir se promener les données dites sensibles. Le Bureau européen des unions de consommateurs (BEUC) indique de son côté que la législation existante au sujet des données personnelles n’est pas appliquée.

Nous vous expliquions, il y a quelques mois [lire], comment il nous avait été très simple de mettre la main sur des données confidentielles via le réseau Myspace. En mai dernier [lire], nous vous indiquions comment avec un simple widget (gadget) facebook, il était possible de piéger les utilisateurs de ce portail communautaire.

Festival de musique diffusé gratuitement sur Internet
Date : 22-07-2008

Depuis le 18 juillet, et jusqu'au 3 août, les plus grandes stars de la musique classique se donnent rendez-vous dans le cadre enchanteur des Alpes suisses lors du festival Le Verbier. Vous ne pouvez pas vous y rendre ? Pas de problème, le festival offre une retransmission gratuite et en directe Internet. [En voir plus]

Tentative de vol dans les universités françaises
Date : 19-07-2008

Depuis quelques semaines, des pirates s'interressent aux accès appartenant aux utilisateurs des universités Françaises.

Dans son dernier message d'information, le CERT Renater, en charge de la sécurité informatique des écoles, universités, ... indique une recrudescence des tentatives de piratage des accès aux serveurs et services mis en place dans les établissements universitaires français. "Deux sites nous ont signalé des tentatives de vols de données de connexion webmail via des emails ursupant l'identité de l'équipe réseau, confirme le CERT Renater, Dans ce cas des données collectées lors de l'attaque du premier site ont été utilisées pour envoyer des courriers electroniques destinés à tromper des utilisateurs du second site. il est probable que les attaquants aient cherché à exploiter des relations de confiance entre deux serveurs issus de la même communauté (notamment dans le cadre de mesures anti-spam). Plusieurs attaques de ce genre ont été observées dans notre communauté depuis quelques mois." Des tentatives d'hameçonnages "phishing" très ciblée. Voici un exemple de type de message envoyé par un pirate : "VOTRE_UNIV.FR Cher Abonne, Pour verifier VOTRE_UNIV.FR votre compte, vous devez repondre a ce message immediatement. Fournir les informations ci-dessous (Nom d'utilisateur, Mot de passe, ...) Le fait de ne pas le faire immediatement rendre votre adresse e-mail desactive de notre base de donnees. Vous pouvez egalement confirmer votre adresse e-mail en vous connectant a votre compte VOTRE_UNIV.FR à l'adresse http://www.VOTRE_UNIV.FR/. Thank you for using VOTRE_UNIV.FR. L'equipe VOTRE_UNIV.FR"

Il est primordial d'eduquer les utilisateurs a ne pas repondre a ce type de sollicitation.

Ambiance Haxor à la machine à café
Date : 18-07-2008

Un ingénieur en informatique s'est amusé à modifier les accès à ses responsables. Plus personne n'avait accès aux mels, fichiers, ... sauf lui.

Ambiance, ambiance pour la municipalité de San Francisco. Un ingénieur informatique, qui travaillait pour cette commune américaine depuis 5 ans, a décidé de changer son monde. Il a piraté le réseau, ce qui ne devait pas être bien compliqué étant dans la place, et a fait de manière à interdire l'accès aux courriels, documents, fiches de paie, ...

Terry Childs, 43 ans, a été entendu mardi par le tribunal indique le San Francisco Chronicle. Ce qui aurait pu être une blague potache se transforme en quatre chefs d'accusation, une caution de 5 millions de dollars afin de retrouver la liberté et risque aujourd'hui plusieurs années de prison ferme. Une sévérité du juge car il n'aurait pas collaboré avec la police, leur fournissant un faux mot de passe. Son casier judiciaire a aussi été mis dans la balance.

Des ingénieurs de Cisco Systems tentent de réparer le réseau. Une réparation qui pourrait rendre la facture locale très salée. Le Directeur des Services du cru, le DGS, doit apprécier l'humour !

Rapport sur la cyberdéfense
Date : 18-07-2008

Au cours d’une seconde séance tenue mercredi 16 juillet, la commission a procédé à l’examen du rapport d’information de M. Roger Romani sur la cyberdéfense.

M. Roger Romani, rapporteur, a indiqué que plusieurs évènements avaient attiré l’attention, au cours des derniers mois, sur le thème de la « cyberdéfense » : les attaques contre les sites internet de l’Estonie, qui ont montré que l’arme informatique pouvait être dirigée contre un Etat en cas de crise politique et diplomatique ; le piratage informatique provenant de Chine dont ont été victimes des diplomates français, comme d’autres responsables occidentaux, en vue de détourner les informations confidentielles contenues dans leurs ordinateurs ; enfin, la publication du Livre blanc sur la défense et la sécurité nationale, qui a identifié les attaques informatiques au rang des menaces qui s’accroissent, et a formulé des orientations importantes pour s’en protéger.

Il a précisé que son rapport se limitait aux menaces mettant en jeu la défense ou la sécurité nationale, c’est-à-dire le fonctionnement de l’Etat ou des infrastructures essentielles, et qu’il avait rencontré, dans le cadre de sa préparation, des personnalités qualifiées, les responsables des principaux services de l’Etat en charge de la sécurité des systèmes d’information, ainsi que plusieurs représentants de grandes entreprises.

M. Roger Romani, rapporteur, a tout d’abord souhaité montrer en quoi la menace d’attaques informatiques augmentait, comment elle se manifestait et pourquoi la protection des systèmes d’information devenait un véritable enjeu de sécurité nationale.

Il a relaté les évènements d’Estonie du printemps 2007, intervenus dans un climat de tension avec la Russie, au cours desquels une vague d’attaques informatiques avait submergé les sites internet du gouvernement, des banques et des opérateurs téléphoniques, les rendant indisponibles durant plusieurs semaines.

Si ces attaques avaient surpris par leur soudaineté, leur ampleur et leur corrélation instantanée avec le contexte politique, elles relevaient d’une catégorie déjà bien identifiée de menaces informatiques : les attaques par déni de service qui visent à saturer un site internet ou un système informatique par des dizaines ou des centaines de milliers de connexions simultanées. Ces connexions sont rendues possibles par l’existence de réseaux d’ordinateurs (botnets) constitués de machines contaminées par un virus informatique et contrôlées par un ou des pirates informatiques.

S’agissant de l’Estonie, les regards se sont tournés vers les services russes, mais aucun lien n’a pu être établi. En tout état de cause, il est extrêmement difficile de remonter jusqu’à la source de l’attaque, car il est facile à l’agresseur de masquer ou déguiser son identité et d’utiliser par « rebonds » une multitude d’adresses successives.

M. Roger Romani, rapporteur, a estimé que des attaques comme celles dont a été victime l’Estonie pouvaient entraîner des perturbations très importantes dans la vie économique et sociale d’une nation, en interrompant des services en lignes utilisés pour les relations avec les administrations, les banques, les services de vente par internet, les centrales de réservation d’avion ou de train, les relations entre les entreprises et leurs sous-traitants ou leurs fournisseurs.

Il a également évoqué le risque que des attaques par déni de service affectent le fonctionnement même de systèmes opérationnels, comme la distribution de l’eau et de l’électricité, la circulation des trains, des métros, des avions, les transactions interbancaires ou les processus de fabrication industriels. Il a précisé que le cloisonnement entre ces réseaux internes et internet devait empêcher un tel cas de figure, mais que dans les faits, très rares étaient les systèmes informatiques totalement isolés de l’extérieur. Il a ajouté que l’on ne connaissait pas d’exemple d’une infrastructure critique qui aurait été arrêtée par une attaque informatique, mais que pour prévenir ce risque, il importait de prendre des mesures de sécurité très strictes et de rester très vigilant sur l’évolution de la menace. Il a cité l’exemple d’EDF qui maintient un isolement quasi-absolu des systèmes régissant la production et la distribution d’électricité et a mis en place des mesures de protection et de surveillance extrêmement poussées.

En ce qui concerne les matériels militaires qui incorporent de plus en plus de logiciels ou produits informatiques acquis sur le marché et s’intègrent dans des réseaux de communication leur permettant de recevoir ou de transmettre des données, il a indiqué que le Livre blanc préconisait un renforcement de nos capacités de lutte informatique, à la fois sur le plan défensif et offensif.

M. Roger Romani, rapporteur, a ensuite évoqué la tentative d’espionnage informatique dont ont fait l’objet plusieurs diplomates français. Il a précisé que l’intrusion se présentait d’une manière anodine, sous la forme d’un courrier électronique nominatif, apparemment légitime, en relation avec le contexte professionnel des intéressés. Toutefois, l’ouverture de la pièce jointe au courrier devait enclencher le démarrage d’un programme informatique permettant à l’expéditeur de pénétrer dans l’ordinateur du destinataire, grâce à un « cheval de Troie », en vue de récupérer, par envois fractionnés et discrets, tout le contenu de l’ordinateur. Ces attaques ciblées sur nos diplomates utilisaient un programme spécialement forgé à cet effet et donc inconnu des mécanismes de sécurité tels que les pare-feux ou les antivirus.

Sur la même période, un très grand nombre de pays occidentaux ont fait l’objet d’intrusions informatiques similaires, désignées sous le nom d’attaques « chinoises », car elles étaient bâties sur le même modèle, ont été menées sur la même période et provenaient toutes de Chine. Toutefois, les commanditaires de ces attaques n’ont pu être précisément identifiés.

M Roger Romani, rapporteur, a ajouté que le Livre blanc considérait comme certaine la multiplication des tentatives d’attaques menées par des acteurs non étatiques dans les 15 ans à venir, comme hautement probables des attaques dissimulées commanditées par des Etats et comme plausibles des actions massives menées ouvertement par des Etats.

Il a précisé que jusqu’à présent, aucune attaque informatique d’origine terroriste n’avait été signalée, les groupes terroristes disposant toutefois de compétences en matière de systèmes d’information qui pourraient être utilisées dans le cadre de telles attaques.

M. Roger Romani, rapporteur, a ensuite considéré que la France n’était pas suffisamment préparée et organisée pour face à cette menace en développement rapide, et qu’elle accusait même un retard préoccupant et peu justifiable par rapport à des pays voisins comme l’Allemagne ou la Grande-Bretagne.

Ce constat avait d’ailleurs été dressé en 2004 par le Premier ministre Jean-Pierre Raffarin, qui avait lancé un plan de renforcement de la sécurité des systèmes d’information, et confirmé par le rapport qu’il avait confié au député Pierre Lasbordes, publié en janvier 2006.

Le rapporteur a cité les trois lacunes principales du dispositif français de protection des systèmes d’information.

Premièrement, notre organisation est marquée par la dispersion des différents acteurs en charge de la sécurité des systèmes d’information - et donc leur insuffisante coordination - et surtout par la non-application, par les administrations, des prescriptions édictées en la matière.

Deuxièmement, ce dispositif souffre d’une insuffisance flagrante de ses moyens. Le service pivot au niveau interministériel, la Direction centrale de la sécurité des systèmes d’information (DCSSI), compte un effectif stable de 110 agents, alors que son homologue britannique en compte 450 et l’équivalent allemand 500. Malgré la qualité de ses personnels, la DCSSI n’est pas en mesure d’assurer toutes les missions qui lui ont été confiées en matière de conseil, de formation, d’inspection, d’évaluation, d’agrément des matériels de chiffrement, de développement de produits sécurisés, de gestion d’un service de veille, d’alerte et de réaction aux intrusions dans les systèmes d’information de l’Etat, de préparation et de mise en oeuvre des plans Vigipirate et Piranet.

De même, la France ne possède pas, à la différence de l’Allemagne, une capacité centralisée de surveillance et de détection des flux de données transitant entre les administrations et l’internet, ce qui ne lui permet pas de détecter par elle-même des attaques informatiques.

La troisième faiblesse concerne les entreprises qui, à quelques exceptions près, semblent insuffisamment préparées à la menace informatique, notamment les PME.

M. Roger Romani, rapporteur, s’est félicité des orientations définies par le Livre blanc qui marque une inflexion dans la mesure où il identifie clairement la protection de nos systèmes informatiques sensibles comme une composante à part entière de notre politique de défense et de sécurité.

Le Livre blanc prévoit la création d’une agence de la sécurité de systèmes d’information qui aura le statut de service à compétence nationale, sera constituée à partir de l’actuelle DCSSI et en reprendra les attributions avec des ambitions un peu plus larges : extension de la mission de conseil aux opérateurs d’importance vitale ; constitution d’un réservoir de compétences pour assister les administrations dans la conception de la sécurité de leurs systèmes ; gestion d’un centre de détection et de surveillance doté des outils informatiques branchés sur les passerelles reliant les administrations et l’internet afin de repérer les flux anormaux.

Le Livre blanc prévoit également le renforcement des capacités offensives à travers le raffermissement des moyens humains et techniques des services de renseignement et le développement d’une capacité de lutte offensive spécifiquement militaire.

M. Roger Romani, rapporteur, s’est toutefois étonné que le Livre blanc n’évoque qu’un renforcement « sensible » des moyens de l’actuelle DCSSI, alors que ceux-ci sont 4 à 5 fois inférieurs à ceux de ses homologues européens et sont très loin de lui permettre de remplir toutes ses missions actuelles, auxquelles s’ajouteront quelques missions supplémentaires confiées à la nouvelle agence.

Il a, au contraire, plaidé en faveur d’une augmentation résolue des moyens, avec l’objectif à moyen terme d’une équivalence avec les Britanniques et les Allemands et, dans l’immédiat, un plan pluriannuel d’accroissement des effectifs qui pourrait permettre à l’agence de la sécurité des systèmes d’information de disposer, d’ici 3 à 4 ans, d’environ 300 personnes. Un tel renforcement lui a paru indispensable pour permettre à l’agence de développer la labellisation des produits sécurisés, de fortifier les capacités de formation, de conseil, d’audit et d’inspection et de mener une politique de communication active pour sensibiliser les responsables des administrations et des entreprises, comme tous les utilisateurs.

Il a également souhaité une accentuation, au niveau du Premier ministre, de la coordination interministérielle des différents acteurs et de la mise en synergie de leurs moyens.

En vue de permettre à l’agence interministérielle de jouer pleinement son rôle, et sans prétendre l’ériger en tutelle informatique de tous les ministères, il a estimé nécessaire de lui donner un certain rôle directif. Elle devra, par exemple, pouvoir imposer une réduction du nombre de passerelles entre les ministères et l’internet, sur le modèle du réseau français de l’enseignement supérieur et de la recherche, RENATER. Elle devra aussi pouvoir rendre obligatoires certains types de produits sécurisés pour les réseaux les plus sensibles.

Enfin, le rapporteur a suggéré un troisième axe d’effort concernant le partenariat entre les acteurs publics et les entreprises, aujourd’hui très insuffisant. Il a précisé que les entreprises souhaitaient un interlocuteur unique capable de les conseiller, des catalogues plus étoffés de produits labellisés et des échanges d’information et des contacts beaucoup plus fréquents. Il a estimé qu’il reviendrait à la future agence d’assurer ce rôle pour lequel elle devra disposer des moyens supplémentaires nécessaires.

Il a estimé que dans certains domaines, l’Etat et certaines entreprises sensibles avaient des besoins analogues et pourraient mettre en commun leurs ressources pour faire développer, par des entreprises françaises, les produits de sécurité très spécifiques qui leur sont nécessaires.

En conclusion, le rapporteur a souligné la nécessité d’accorder à l’avenir une attention beaucoup plus soutenue aux enjeux de la sécurité des systèmes d’information.

A la suite de l’exposé du rapporteur, M. Josselin de Rohan, président, a souligné l’ampleur des défis à relever pour renforcer la protection de nos systèmes d’information face aux attaques informatiques. Il a rappelé que les pays de l’OTAN avaient pris en compte cette menace en adoptant cette année le concept de cyberdéfense de l’Alliance et en créant un centre d’expertise à Tallin, en Estonie.

Appuyant le rapporteur, M. Josselin de Rohan, président, a insisté sur la nécessité de prolonger rapidement les orientations définies par le Livre blanc au travers de mesures concrètes visant à accentuer la politique de sécurité des systèmes d’information et les moyens qui lui sont consacrés. Il a jugé indispensable de porter ces moyens à la hauteur de ceux de nos partenaires européens. Par ailleurs, évoquant les restructurations à venir au ministère de la défense, il s’est demandé si des spécialistes des armées dans le domaine des systèmes d’information et de communication ne pourraient pas être redéployés vers la future agence chargée de la sécurité des systèmes d’information.

M. Robert Hue a estimé qu’il était du devoir de l’Etat de renforcer rapidement notre dispositif de protection face aux attaques informatiques, ainsi que l’avait souligné le rapporteur. Il s’est interrogé sur les incidences budgétaires d’un tel renforcement. Par ailleurs, il s’est félicité de constater que des entreprises publiques comme EDF avaient pris les dispositions nécessaires en matière de sécurité informatique, ce qui démontrait que de telles mesures étaient techniquement accessibles, même si elles ne sont pas généralisées au sein de l’Etat et du monde de l’entreprise.

M. Philippe Nogrix a demandé si les pays européens coordonnaient leurs efforts face à la menace informatique.

M. Jean-Pierre Fourcade a indiqué que la volonté de renforcer les moyens humains en matière de sécurité des systèmes d’information risquait de se heurter à la difficulté de recruter au profit de l’Etat certains spécialistes très recherchés, notamment des mathématiciens de haut niveau. Il a estimé qu’une action devait être menée en amont au profit des filières de formation concernées. Par ailleurs, il a approuvé les remarques du rapporteur s’agissant de la dispersion des différents acteurs impliqués dans la sécurité des systèmes d’information, en souhaitant une coordination plus efficace, sans superposition de structures inutiles.

A la suite de ces interventions, M. Roger Romani, rapporteur, a apporté les précisions suivantes :

- la direction centrale de la sécurité des systèmes d’information dispose aujourd’hui de personnels de grande qualité, mais en nombre très insuffisant ;

- l’affectation de techniciens des armées concernés par les restructurations à venir pourrait effectivement être utilement envisagée pour répondre aux besoins de l’agence chargée de la sécurité des systèmes d’information ; celle-ci aura également besoin de pouvoir recruter de jeunes diplômés sur des contrats à durée déterminée leur permettant ultérieurement de rejoindre, s’ils le souhaitent, le secteur privé ;

- l’impact financier d’un renforcement des moyens humains serait modique, puisqu’il s’agirait, d’ici à trois ou quatre ans, de porter les effectifs de l’actuelle direction centrale de la sécurité des systèmes d’information de 100 à environ 300 agents, avec à moyen terme l’objectif d’atteindre un niveau proche de celui des Allemands ou des Britanniques, qui disposent d’environ 500 agents dans leurs services équivalents ;

- les autorités européennes ont pris conscience des enjeux de la sécurité des systèmes d’information, mais n’ont pas mis en place pour l’instant de structure permettant d’apporter une véritable réponse commune ;

- la coordination interministérielle des différents intervenants doit être améliorée afin d’assurer une meilleure synergie des actions et des moyens.

La commission a pris acte de la communication du rapporteur et en a autorisé la publication sous la forme d’un rapport d’information.

La Garde Nationale a une fuite sur le web
Date : 18-07-2008

La Garde Nationale du Missouri annonce une breche dans son systéme de sécurité. Au moins 2.000 dossiers de soldats ont pu être consultés en ligne.

La Missouri National Guard ("MOGUARD") vient d'annoncer qu'une enquête criminelle était diligentée [lire] par les services secrets militaires afin de trouver la brèche qui a compromis plus de 2.000 dossiers sensibles et privés appartenant à ces soldats-citoyens appartenant à ce corps de l'armée US. Le document diffusé par le MOGUARD aux soldats n'explique pas comment cette "ouverture" a pu être exploitée et surtout par qui.

News letter ZATAZ.COM
Date : 18-07-2008

Inscrivez-vous gratuitement à la News-Letter de ZATAZ.COM et recevez, dans votre boite électronique, l'actualité diffusée dans nos colonnes.

Après une pause d'un mois, suite à un changement de prestataire de service, la News-Letter de ZATAZ.COM est de retour. Une nouvelle version, plus dynamique, rapide, précise. Rejoignez gratuitement et sans engagement de votre part les 130.000 abonnés (depuis 1998). Vous recevrez, par courriel, les actualité de ZATAZ.COM. Pour être sur de ne rien rater.

Votre adresse électronique ne servira à rien d'autre qu'à la news-letter comme c'est le cas depuis plus de 10 ans. Cliquer ICI pour avoir un exemple de ce que nous envoyons chaque matin.

Et ICI pour vous abonner.

Nouvelle attaque de masse: 30.000 sites infectés
Date : 18-07-2008
Une nouvelle attaque Internet, de type infiltration de sites Internet, a été repérée. Attention danger, des sites importants ont été pris pour cible pour piéger leurs visiteurs.

La société Finjan vient de nous contacter pour nous avertir d'une nouvelle attaque de masse à l'encontre des visiteurs de plusieurs centaines de sites web. L'éditeur de solution de sécurité informatique parle de 10.000 sites touchés. Nous pouvons confirmer et indiquer que ce chiffre peut-être multiplié par trois. Une attaque qui n'a pourtant rien de bien nouveau, nous vous parlions de ce type d'intrusion depuis l'année dernière. cas intéressant cependant, les attaques ne baissent pas en régime et exploitent toujours une faille SQL.

Comment ça marche ?

Le ou les pirates ont mis en place plusieurs bots, robots Internet, qui ont pour mission de scanner la toile et les serveurs web. Mission, trouver des sites qui n'ont toujours pas corrigé un problème d'injection SQL. Une fois les "bots" en action, ces derniers ont pour mission de mettre la main sur ce type de site non protégé, d'y injecter un code html, un iframe, qui aura pour but de télécharger un code malicieux dans l'ordinateur de l'internaute en train de visiter le site ainsi piégé. Une infection en temps réel et en toute transparence, sans même quitter le site web visité. Bref, une procédure pirate qui demande du temps, des moyens et des connaissances techniques. Ils profitent aussi du manque de réactivité de certains administrateurs de sites Internet et de la non mise à jour des ordinateurs de certains Internautes. Pour se prémunir de ce type d'attaque, reportez-vous aux informations diffusées par le site SANS.

Les cibles

Cette nouvelle attaque, qui a débuté voilà quelques jours, a touché plus de 30.000 pages web. La société Finjan confirme bien l'existence d'un bot qui scanne, qui égraine une par une les adresses, via Google, les sites proposant des pages en .asp. L'outil a été baptisé Asprox (ASP + Roxed). Les pirates n'ont pas perdu leurs temps. Ils ont exploités au moins 140 sites Internet légitimes (Ex: dotal.cn; Coldwop.com, chkadw.com, Coldwop.com, bannerupd.com, advabnr.com, bnrupdate.mobi, gbradw.com, chinabnr.com, alzhead.com, cliprts.com, movaddw.com, kadport.com, ...) pour y cacher leurs codes malicieux [Voir code source, ci-dessous, de l'un d'eux que nous avons trouvé sur un site web en. mobi]. “Depuis la liste de ces sites ne cessen d'augmenter, confirme Yuval Ben-Itzhak de Finjan, Je pense que ce n'est que la partie visible de l'iceberg” Parmi les victimes, des sociétés prestigieuses comme Coca-Cola Brésil, BWM Mexique, atdmt.com, filiale de Microsoft ainsi qu'un service de police (Marysville Police Department), Le site du gouvernement de la région de San Francisco, de l'Etat du Queensland en Australie, le site de la boisson américain Snapple.com, l'université de Californie, le Baltimore Time, l'Inter Press Service News Agency, pocketpcmag.com.

La France n'a pas été épargnée même si, heureusement, beaucoup moins de structures associatives, étatiques ou économiques comme la CCI de Paris [Lire], ont été touchées cette fois-ci. Nous avons cependant pu découvrir que des sites comme automatic-systems.com, plantedinterieur.fr, maires67.fr (association des maires du Bas-Rhin), Piaggo France ou la CCI du Var [Seconde fois, lire] se sont retrouvés sous les coups de cette nouvelle attaque. Plus de 140 sites ont été compromis par les pirates afin d'y cacher leurs codes malicieux, ceux qui vont permettre ensuite d'infiltrer les ordinateurs des visiteurs. Le but de cette infiltration étant de cacher dans les ordinateurs un cheval de Troie, un logiciel espion qui tentera de voler les informations privées et sensibles des internautes ainsi piéger. Les codes malicieux sont injectés dans les machines des visiteurs via des bouts de codes appelé a.js, b.js ou encore ngg.js.

Comment se protéger ?

Il est assez simple de se protéger face à ce type d'attaque. D'abord il faut mettre en place plusieurs vecteurs afin que le piratage soit efficace à 100 %. Visiter le site web infecté et avoir un navigateur et un OS non mis à jour. Bref, vous seriez limite responsable en cas de piratage de votre machine. Vous l'aurez donc compris, une mise à jour de vos outils. Dans le meilleur des cas, pourquoi ne pas utiliser les possibilités offertes par le monde du libre ?

Un proche de Sarkozy louche sur Free
Date : 18-07-2008

Vincent Bolloré, investisseur français, un proche du Président de la République Française souhaite mettre la main sur le Fournisseur d'Accès à Internet Free.

Vincent Bolloré, aurait proposé de de racheter l’opérateur Free. Le Fournisseur d'Accès à Internet aurait refusé la tirelire proposée. Le groupe d'investissements familial Bolloré, qui possède, entre autre la chaîne TNT Direct8, aurait proposé 90 euros par action. Bilan, ça donne une valorisation du bébé de 4,8 milliards d'euros. Xavier Niel, fondateur de Free et possésseur de 65,89% des actions n'a pas voulu vendre son "oeuvre". Certains indiquent que cela aurait pu permettre donner le petit coup de fouet pour le développement du Wimax et du FTTH bon marché sur le territoire. (Colok)

Des sacs Vuitton, Balenciaga, Chanel, Gucci, Dior à prix cassés
Date : 18-07-2008

Une maroquinerie de Bourg-en-Bresse propose des sacs de luxe à prix défiants toutes les concurrences. Derrière le site web, des pirates Chinois.

Décidément, les contrefacteurs de produits de luxe ont de la suite dans les idées. Une maroquinerie de Bourg-en-Bresse vient d'en faire les frais. Le magasin baptisé Symphonie a été pris d'assaut la semaine dernière par des dizaines de coups de téléphones. Il faut dire aussi que les prix proposés par son soit disant site Internet, nommé luxurybrandbag.com proposait des sacs de luxe Vuitton, Balenciaga, Chanel, Gucci, D&g, Dior, à prix cassés. Autant dire la surprise de la gérante de la boutique, Rolande Bardet. Elle explique dans les colonnes du Progrès qu'elle a d'abord cru à une blague.

Vérification faite, un site Internet, hébergé en Chine, était bien en ligne, exploitant son nom et son RCS du registre du commerce. Mercredi, la commerçante a déposé une plainte. Bizarrement, le site répond aux abonnés absents depuis quelques heures. Il était hébergé en site, tout en passant aussi, par un serveur chez GoDaddy (208.109.181.171). Il est difficile de savoir combien de clients se sont fait avoir en pensant acheter un produit original d'autant plus que la rédaction de zataz.com a pu s'apercevoir qu'une nuée d'annonces dans des forums de sites visant un public féminin avait été diffusé sur la toile par des acheteuses "Un nouveau site que je viens de tester, explique l'un d'eux, J'ai acheter un chloé paddington et aucuns problèmes, sac en véritable cuir, bonne dimensions fournis avec le sac anti poussière, parfait juste avant les vacances. Je ne vous fais plus languir www.luxurybrandbag.com et bonne et grande nouvelle, l'entreprise est en France j'ai pris le temps de vérifier le numéro RCS au registre des commerce".

 

Des messages de ce type très certainement postés, aussi, par les contrefacteurs eux mêmes. Nous avons pu découvrir que le site exploitait d'autres adresses, tels que scdeluxe.com. A noter qu'une annonce publicitaire a noyé Internet ces derniers jours, voir notre capture écran ci-dessus. Des publicités via le service Adsense de Google. Un slogan qui ne pouvait qu'attirer les foules "Tous les sacs des stars A prix Dégriffés !"

Une affaire qui semble tomber à point nommée au moment ou l'UNIFAB, l'Union des Fabricants [voir le musée de la contrefaçon de l'Union ICI] lance son opération estivale baptisée "anti-faux". Une sixiéme saison qui ir se promener, entre autres, du côté du sud de la France. Les contrefaçons et les contrefacteurs ont trouvé un terrain de jeu dès plus pratique avec Internet. Lire notre reportage à ce sujet que nous avions baptisé, en 2005, "Elle est belle ta Faulex !" [lire]. 

Un pirate informatique de 18 ans acquitté
Date : 18-07-2008

Un pirate informatique risquait 5 ans de prison pour avoir vendu, à des cyber-escrocs, un moyen technique ayant piégé des milliers d'ordinateurs. La justice vient de l'acquitter.

En avril 2008, un jeune pirate informatique de 18 ans, prénommé Owen Thor Walker, était accusé par la justice d'avoir piraté plus d'un million de données bancaires sur Internet. Originaire de Nouvelle-Zélande il avait été reconnu coupable, à l'époque, d'avoir participé à une escroquerie qui aurait fait plus d'un million de victimes.

Owen Thor Walker a admis que ses actes, datant de 2005, n'avaient qu'un seul but, voler de l'argent [lire]. D'après la police néo-zélandaise, ce jeune pirate aurait participé, avec une bande organisée, à une escroquerie ayant visé 1,3 millions d'ordinateurs. Les pertes se chiffrent en millions de dollars. Le jeune informaticien a passé plusieurs semaines dans une prison de l'île, à Wellington.

Il risquait alors jusqu'à cinq ans de prison ferme. Il vient d'être acquitté indique la BBC. Owen Thor Walker avait conçu un logiciel malveillant capable de passer inaperçu même sur les ordinateurs disposant de logiciels antivirus. Des escrocs lui avait acheté le code source pour plus de 15.000 euros. La juge Judith Potter a acquitté le jeune homme. Il devra payer une amende de 5.000 euros.

Cerise sur le gateau, la police néo-zélandaise a indiqué qu'elle comptait embaucher Walker.

Testé pour vous : Lecteur biométrique EIKON
Date : 18-07-2008

La société Blizzpartners vient d'éditer un lecteur biométrique familial du non de EIKO. La rédaction de zataz.com l'a testé pour vous.

Après vous avoir proposé le test d'un disque dur biométrique, le LaCie d2 Safe. Après la souris biométrique de chez APC et le systéme gratuit par webcam de chez banana Security voici venir le lecteur EIKON de chez Blizzpartners. Un petit lecteur fort sympathique qui devrait rapidement intégrer les maisons et les entreprises n'ayant pas le budget d'intégrer un système 100 % professionnel dans son infrastructure informatique.

1 - Installation

Au premier a bord, la boite EIKON en main, nous nous somme posés la question à savoir ou pouvait bien se trouver le lecteur biométrique en question. Le packaging n'est pas beaucoup plus grand qu'une boite pouvant contenir un jeu pour Nintendo DS. Autant dire que l'éditeur Blizzpartners a fait dans la miniaturisation. La boite se compose donc du lecteur, il est épais comme une clé USB et pas beaucoup plus long. Deux notices, dont une en Français, claire et précise. Et du logiciel d'installation.

 

Le lecteur est lesté. Suffisamment lourd pour rester stable sur une table. Le câble USB qui permet de le relier à votre ordinateur est d'une taille honorable, 2 mètres. Ce qui laisse de la marge pour les tours placées par terre, par exemple. Le gris métal, le noir et la touche de bleu de ce lecteur d'empreintes digitales sont classieux et discrets. Le logo s'illumine, rendant l'outil sympa du côté du design. Mais une belle carrosserie ne fait pas toujours une voiture efficace et sécurisante.

Pour installer le lecteur EIKON, rien de plus simple. Vous branchez le câble, lancez le cd-rom est c'est quasiment tout. L'outil vous propose d'enregistrer vos empreintes, de 1 à 10 doigts. A noter que le logiciel détecte si vous utilisez Firefox et propose l'installation d'une extension dédiée à EIKON. A la condition ou vous n'avez pas encore installé Firefox 3. Pas d'extension, pour le moment, pour ce navigateur. Il faut dire aussi que l'outil Eikon est sorti quelques jours avant la mise en ligne de la version définitive du nouveau navigateur de la Fondation Mozilla.

Les empreintes sont enregistrées soit dans le lecteur biométrique lui même soit sur votre disque dur. Les données sont chiffrées. Plusieurs possibilités sont proposées par le mécanisme d'authentification. Trois choix :

:: Empreinte digitale, l'utilisateur est identifié par une empreinte digitale.

:: Empreinte digitale + clé du lecteur d'empreintes digitales. Les données secrètes de l'utilisateur sont, en plus, protégées par une clé sécurisée stockée à l'intérieur du lecteur d'empreintes et ne seront disponibles que si l'empreinte lue correspond. Les données sont stockées et chiffrées dans le lecteur même.

:: Empreinte digitale + mot de passe Windows. En plus de l'empreinte digitale, l'utilisateur devra fournir son mot de passe d'accès.

L'enregistrement des doigts, de 1 à 10, est très rapide. En 5 passes sur le lecteur, le doigt est enregistré. Le lecteur sauvegarde 12 points de comparaisons par doigt. Il faut une petite minute pour faire l'ensemble des deux mains. Le lecteur peut sauvegarder jusqu'à 15 empreintes. Toute la famille pourra ainsi avoir son propre sésame, accès dédiés, ...

2 - Fonctionnement

L'utilisation est tout aussi aisé. Une diode bleu permet d'apprendre si la connexion est effectuée, si le doigt est lu et si une erreur de lecture de l'empreinte a été décelée. Il est possible d'ouvrir une session, de se passer de taper ses mots de passe sur la toile, de verrouiller et déverrouiller son poste de travail, il est possible de lancer des applications avec ses doigts. Plutôt rigolo et pratique à la longue, le pouce pour le web. L'auriculaire pour OpenOffice, ... Eikon propose aussi de créer un coffre sécurisé et chiffré accessible uniquement à partir de la signature d'une de vos empreintes. Il est aussi possible de chiffrer certains documents, dossiers. Chiffrement en AES-256 (Protection ESD). Rapide, le système détruit les originaux après chiffrement. Nous avons tenté de retrouver les fichiers effacés (clusters, ...) impossible. Pour les déchiffrer, il suffit de sélectionner le dossier et de passer l'un des doigts digitalisé. Une autre option proposée est particulièrement intéressant, celle du jeton de sécurité. Les jetons de sécurité générés par l'outil Eikon permet de créer des mots de passe à durée limitée, à usage unique. Cela nécessite un service d'authentification compatible pour l'entreprise qui souhaiterait exploiter cette option. L'idée est en tout cas économique pour les PME/PMI. Le lecteur EIKON prend en charge le RSA SecuriID. Pour la famille, l'outil peut se coupler aisément avec la gestion du contrôle parental, que se soit sous Vista ou Léopard.

 

3 - Bugs ?

A part le fait du problème d'extension pour Firefox 3, l'outil répond au quart de tour, rapide, précis. L'outil fonctionne parfaitement sous Windows XP, Vista et Mac OS X.

4 - Notes de la rédaction

Cinq personnes ont testé cet outil. Installation, mises en action, utilisation, désinstallation. Parmi les cinq testeurs, deux personnes (X) totalement étrangères à l'informatique, 2 utilisateurs dits "lambda" (Y) et un initié, votre serviteur (Z).

(Z) : 18/20

(Y) : 19/20

(x) : 17/20

Note globale : 18/20

5 - Prix

Le lecteur EIKON termine son tour d'honneur avec un tarif qui met ce produit au top. Pour 49.90 euros, un système de sécurité simple, pratique et ergonomique, sans parler du petit côté fun et technologique de la bête. Un système biométrique familial qui devrait trouver rapidement le chemin de vos ordinateurs.

© 24-07-2008 - www.ZATAZ.com