Overblog Suivre ce blog
Editer l'article Administration Créer mon blog
30 juin 2014 1 30 /06 /juin /2014 08:14

==============================================================================================================================================

Cette semaine, c'est le retour d'heartbleed. Non la faille n'a pas muté, non elle n'est pas plus grave qu'avant (ni moins d'ailleurs). Elle est juste toujours là....simplement....tristement.


Toujours là malgré les alertes, toujours là malgré un patch disponible, toujours là malgré des tests gratuits permettant de vous dire si vous êtes ou non concernés. Bref, comme diraient certains, la sécurité est un .....

Toujours présente donc et bien que cela ne soit pas évident dans l'article sur Aviva, elle serait exploitée. Ce qui n'est pas si évident, c'est que ce soit heartbleed qui ait été utilisée, mais l'attaque subie par Aviva est très intéressante à plus d'un titre. Elle augure de nouvelles formes d'attaques à venir, les attaques venues du Cloud, allez hop, j'y vais de mon acronyme, les Caas (Cloud-oriented Attack As a Service). Il n'y a rien de nouveau ici. On prend la main sur un serveur d'administration et on administre les devices. Ce qui est nouveau, c'est qu'avant on n'exposait pas sa plate-forme d'administration sur Internet. Un peu comme si des systèmes Scada étaient sans protection sur Internet avec un login/mot de passe par défaut. Quand même !!!! A ben oui, ça existe mince désolé.
Mais alors serait-on en train de refaire les mêmes erreurs ? Comment en vouloir à nos jeunes de ne pas protéger leur données à caractère personnel alors que nous sommes justes infoutus de protéger des infrastructures jugées sensibles. Parce que donner des tablettes pour augmenter la productivité c'est bien, mais laisser la main sur l'administration à n'importe qui, c'est mal. Bref, on n'est pas sorti de la berge.

Sinon cette semaine, tout le monde y va de sa sécurisation propre.
- Google avec sa version d'OpenSSL
- Cisco avec son algorithme de chiffrement (plutôt orienté base de données)
- Les FAI qui vont très probablement devoir devenir le bras armé de la police (c'était pas déjà les amis de la NSA et autre DGSE ?)
- Les services de lutte contre le Cyber Crime qui se regroupent et s'allient (aux USA et en Europe)

Il y a des articles sur la fonction de RSSI, son pouvoir (limité), ses obligations (fortes) et ses contraintes (fortes). A lire.
Pour le reste, je vous laisse prendre le temps de voir quels articles vous intéressent.

Bonne semaine et bonne lecture.
Tristan


==============================================================================================================================================


A LIRE SECURITE
---------------

Insecure Magazinz ISSUE 42 (June 2014)
Incident response, privacy, SSL
http://www.net-security.org/dl/insecure/INSECURE-Mag-42.pdf

Cisco propose un algorithme de chiffrement Libre… et économe !
http://magazine.qualys.fr/produits-technologies/cisco-chiffrement-fnr/
http://blogs.cisco.com/security/open-sourcing-fnr-an-experimental-block-cipher/
http://eprint.iacr.org/2014/421.pdf

Cisco Releases Open Source FNR Cipher
http://threatpost.com/cisco-releases-open-source-fnr-cipher/106802

Google propose sa propre version d’OpenSSL
http://magazine.qualys.fr/produits-technologies/google-openssl-boringssl/

Les FAI devront-ils bientôt jouer la police sur le web ?
http://www.01net.com/editorial/622556/bientot-les-fai-devront-ils-jouer-la-police-sur-le-web/
Forte hausse des incidents de sécurité en entreprise selon le Clusif
http://pro.01net.com/editorial/622606/forte-hausse-des-incidents-de-securite-en-entreprise-selon-le-clusif/
Et, un quart des organisations qui ont un PCA ne le teste jamais. La marge de progression des entreprises en matière de sécurité reste importante.

FBI, NYPD and MTA Form Financial Cyber Crimes Task Force
http://www.tripwire.com/state-of-security/top-security-stories/fbi-nypd-and-mta-form-financial-cyber-crimes-task-force/

ENISA and Europol Team Up to Fight Cybercrime
http://www.tripwire.com/state-of-security/top-security-stories/enisa-and-europol-team-up-to-fight-cybercrime/

Innovation : pour une SSI agile, ouverte et « geek »
http://magazine.qualys.fr/conformite-organisation/innovation-ssi-agile-ouverte-geek/

Dans ce contexte le rôle de la SSI demeure d’abord, évidemment, de procéder à l’analyse de risque du projet et de proposer des mesures correctives éventuelles. Mais

elle doit le faire sans ralentir le projet et sans en tuer l’élan créatif.
Première exigence : la réactivité. Pour y parvenir, les participants à la table ronde de Jean-François Louapre préconisent une analyse de risque en deux temps : un

premier passage, avec une méthode d’analyse rapide à définir, afin de lever les premières alertes, et une seconde, plus fouillée, si nécessaire. Cela afin de ne pas

bloquer le projet sans raison. Et évidemment, ce processus est itératif au fil des évolutions du développement. La SSI doit alors être pro-active et s’assurer de

suivre elle-même l’avancée du projet.

Malgré une recrudescence des incidents, le pouvoir des RSSI progresse faiblement
http://www.reseaux-telecoms.net/actualites/lire-malgre-une-recrudescence-des-incidents-le-pouvoir-des-rssi-progresse-faiblement-26892.html

Le RGS 2.0 entre en vigueur la semaine prochaine
http://magazine.qualys.fr/conformite-organisation/rgs-2-0-anssi/

How an Attacker Could Crack Your Wireless Network
http://news.hitb.org/content/how-attacker-could-crack-your-wireless-network
http://www.howtogeek.com/191482/how-an-attacker-could-crack-your-wireless-network-security/

Sécurité et vie privée : compatibles ?
http://magazine.qualys.fr/cyber-pouvoirs/securite-vie-privee-cnil/

DOSSIERS
--------

NSA: le gouvernement allemand ne veut plus travailler avec l’américain Verizon
http://www.01net.com/editorial/622796/nsa-le-gouvernement-allemand-ne-veut-plus-travailler-avec-l-americain-verizon/

INSOLITE
--------

Twist:ID : une nouvelle manière de composer un mot de passe
http://www.lesnumeriques.com/twist-id-nouvelle-maniere-composer-mot-passe-n34851.html

Après la cigarette électronique, le joint électronique
http://www.01net.com/editorial/622446/apres-la-cigarette-electronique-le-joint-electronique/

UN PETIT GESTE POUR LA PLANETE
------------------------------

DRONE
-----

La FAA clarifie ses règles sur les drones de loisirs
http://www.01net.com/editorial/622590/la-faa-clarifie-ses-regles-sur-les-drones-de-loisirs/

FACEBOOK AND SOCIAL NETWORKS
----------------------------

Facebook veut recruter plus de femmes
http://pro.01net.com/editorial/622680/facebook-emploie-surtout-des-hommes-et-des-blancs/

A BOOKMARKER
------------

Sit back and watch hacks around the world in real time
http://news.hitb.org/content/sit-back-and-watch-hacks-around-world-real-time
http://www.smithsonianmag.com/smart-news/nets-dark-side-watch-people-try-hack-each-other-live-180951823/?no-ist
http://map.ipviking.com/?_ga=1.106938115.1477390587.1388686673#

SALONS / CONFERENCES / EVENEMENTS
---------------------------------

Gagner des places pour la Nuit du Hack 2014
http://www.zataz.com/gagner-des-places-pour-la-nuit-du-hack-2014/

BSidesLV Preview: IDS and NSM
http://www.tripwire.com/state-of-security/incident-detection/bsideslv-preview-ids-and-nsm/

PRODUITS
--------



BON A SAVOIR
------------

Seuls 14,4 % des emails reçus le week-end sont importants
http://pro.01net.com/editorial/622588/seuls-14-4-pour-cent-des-emails-recus-le-week-end-sont-importants/

Une étude sur les pratiques médias des 13-24 ans
http://www.les-infostrateges.com/actu/14061833/une-etude-sur-les-pratiques-medias-des-13-24-ans

Selon BSA, 36 % des logiciels PC installés serait non conformes en France
http://pro.01net.com/editorial/622728/selon-bsa-36-pour-cent-des-logiciels-pc-installes-serait-non-conformes-en-france/

La Génération Y préfère les centres commerciaux aux achats en ligne
http://pro.01net.com/editorial/622412/la-generation-y-prefere-les-centres-commerciaux-aux-achats-en-ligne/

Les deux tiers des Français utilisent des applis citoyennes
http://www.01net.com/editorial/622808/les-deux-tiers-des-francais-utilisent-des-applis-citoyennes/

SCIENCES
--------

Le MIT met au point un processeur à 36 cœurs à l'architecture révolutionnaire
http://www.01net.com/editorial/622548/le-mit-met-au-point-un-processeur-a-36-coeurs-a-larchitecture-revolutionnaire/

Un programme détecte certaines maladies génétiques sur une simple photo
http://www.01net.com/editorial/622614/un-programme-detecte-certaines-maladies-genetiques-sur-une-simple-photo/
http://elifesciences.org/content/3/e02020

Brainomics: Hacking the Brain (and Autism) with Gene Machines
http://news.hitb.org/content/brainomics-hacking-brain-and-autism-gene-machines
http://blogs.scientificamerican.com/talking-back/2014/06/24/brainomics-hacking-the-brain-and-autism-with-gene-machines/

CONSOMMATION
------------

Qualité 3G: Orange, Bouygues, SFR, Free, le quarté dans l'ordre de l'Arcep
http://www.01net.com/editorial/622482/qualite-3g-orange-bouygues-sfr-free-le-quarte-dans-lordre-de-larcep/

Mobile : SFR passera la voix en mode 4G en 2015
http://www.01net.com/editorial/622422/mobile-sfr-passera-la-voix-en-mode-4g-en-2015/

RACHAT / UNION
--------------

L'Américain Etsy se paie la startup française A Little Market
http://pro.01net.com/editorial/622496/lamericain-etsy-se-paie-la-start-up-francaise-a-little-market/

Andreessen invests USD90 mil in cybersecurity firm Tanium
http://news.hitb.org/content/andreessen-invests-usd90-mil-cybersecurity-firm-tanium

Oracle s'offre l'éditeur Micros Systems pour 5,3 milliards de dollars
http://pro.01net.com/editorial/622450/oracle-soffre-lediteur-micros-systems-pour-5-3-milliards-de-dollars/

Oracle rachète un spécialiste du partage d’écran
http://pro.01net.com/editorial/622424/oracle-rachete-un-specialiste-du-partage-d-ecran/

Google rachète bien Dropcam
http://www.01net.com/editorial/622402/google-rachete-bien-dropcam/

Bruxelles donne son feu vert au rachat de Motorola par Lenovo
http://www.01net.com/editorial/622792/bruxelles-donne-son-feu-vert-au-rachat-de-motorola-par-lenovo/

DROIT
-----

Fuite de données clients : la CNIL sanctionne DHL
http://pro.01net.com/editorial/622408/la-cnil-sanctionne-dhl-pour-defaut-de-protection-de-ses-donnees-clients/


MARCHE DE L'INFORMATIQUE ET DES TELECOMS (MAIS PAS QUE)
-------------------------------------------------------

Airbus mettrait en vente sa filiale d’ingénierie Cimpa
http://pro.01net.com/editorial/622586/airbus-cederait-sa-filiale-d-ingenierie-cimpa/

La start-up Dynamixyz lève 450 000 euros et vise l'Amérique du Nord
http://pro.01net.com/editorial/622820/la-start-up-dynamixyz-leve-450-000-euros-et-vise-lamerique-du-nord/

CARRIERE
--------

Deux "jobs en or" recherchés par les entreprises en 2015
http://pro.01net.com/editorial/622710/deux-jobs-en-or-recherches-par-les-enteprises-en-2015/

MICROSOFT
---------

IE users get new protection against potent form of malware attack
http://news.hitb.org/content/ie-users-get-new-protection-against-potent-form-malware-attack

Microsoft to Preview Interflow Information Sharing Platform
http://threatpost.com/microsoft-to-preview-interflow-information-sharing-platform/106798

Microsoft Unveils Security and Threat Information Exchange Platform
http://www.tripwire.com/state-of-security/top-security-stories/microsoft-unveils-security-and-threat-information-exchange-platform/

GOOGLE
------

Google propose sa propre version d’OpenSSL
http://magazine.qualys.fr/produits-technologies/google-openssl-boringssl/

Google’s BoringSSL Latest OpenSSL Fork to Surface
http://threatpost.com/googles-boringssl-latest-openssl-fork-to-surface/106803

Pourquoi Google se lance dans la gestion des noms de domaine
http://www.01net.com/editorial/622516/pourquoi-google-se-lance-dans-la-gestion-des-noms-de-domaine/

Google sort discrètement la version 4.4.4 de KitKat
http://www.01net.com/editorial/622426/google-sort-discretement-la-version-4-4-4-de-kitkat/

Surprise Android 'KitKat' update fixes nasty OpenSSL vuln
http://news.hitb.org/content/surprise-android-kitkat-update-fixes-nasty-openssl-vuln

Avec Dataflow, Google analyse les flux de données à la volée
http://pro.01net.com/editorial/622656/avec-dataflow-google-analyse-les-flux-de-donnees-a-la-volee/

APPLE / IPHONE
--------------

PALM / PRE
----------

FREE
----

GEEK POWER
----------

Nest Learning Thermostat has its security cracked open by GTVHacker
http://www.engadget.com/2014/06/23/nest-thermostat-rooted/

LIBRE / OPEN SOURCE
-------------------

Livre blanc : ERP open source pour l’e-commerce
http://www.les-infostrateges.com/actu/14061837/livre-blanc-erp-open-source-pour-le-commerce
http://www.smile.fr/Livres-blancs/Erp-et-decisionnel/Erp-e-commerce


Linux dominates supercomputers as never before
http://news.hitb.org/content/linux-dominates-supercomputers-never
http://www.zdnet.com/linux-dominates-supercomputers-as-never-before-7000030890/

Whatever Happened to These Red-Hot Linux Distros?
http://news.hitb.org/content/whatever-happened-these-red-hot-linux-distros
http://www.linux.com/news/software/applications/777511-whatever-happened-to-these-red-hot-linux-distros

ATTAQUES, PHISHING, PIRATAGE, VERS, VIRUS, ETC....
--------------------------------------------------

Une banque européenne s’est faite pirater de 500.000 euros en une semaine
http://www.01net.com/editorial/622704/une-banque-europeenne-s-est-faite-pirate-de-500-000-euros-en-une-semaine/

Un cheval de Troie «gouvernemental» pour Android et iOS repéré dans 42 pays
http://www.01net.com/editorial/622608/un-cheval-de-troie-gouvernemental-pour-android-et-ios-repere-dans-42-pays/
Il dispose également d’une fonctionnalité baptisée « crisis » qui se met en route en cas de présence hostile. Exemple : si un sniffer de paquets réseaux est détecté,

le logiciel stoppe automatiquement ses opérations d’espionnage et se tient tranquille.

Heartbleed Attack on BYOD Service Hit Insurance Giant Aviva
http://www.tripwire.com/state-of-security/top-security-stories/heartbleed-attack-on-byod-service-hit-insurance-giant-aviva/

FAILLES
-------

Correction d’une faille pour LaPoste.fr
http://www.zataz.com/correction-dune-faille-pour-laposte-fr/

La faille Heartbleed est là pour durer
http://www.01net.com/editorial/622476/la-faille-heartbleed-est-la-pour-durer/

Montana notifies 1.3 million residents of 11-month old data breach
http://www.computerweekly.com/news/2240223308/Montana-notifies-13-million-residents-of-11-month-old-data-breach

Flaw Lets Attackers Bypass PayPal Two-Factor Authentication
http://threatpost.com/flaw-lets-attackers-bypass-paypal-two-factor-authentication/106852

20-Year Old Vulnerability Patched in LZO Compression Algorithm
http://threatpost.com/20-year-old-vulnerability-patched-in-lzo-compression-algorithm/106891

OUTILS
------



------------

01net. Actualités || http://feediz.01net.com/synd/2203.xml
01net. Les actualites Entreprise || http://feediz.01net.com/synd/2205.xml
A Day in the Life of an Information Security Investigator || http://rss.ittoolbox.com/rss/security-investigator.xml
Actualités intrusion/hacking || http://feeds.feedburner.com/idg_fr/rt2/intrusion-hacking/rss
Actualités Open Source || http://feeds.feedburner.com/idg_fr/rt2/open-source/rss
Actualités satellite || http://feeds.feedburner.com/idg_fr/rt2/satellite/rss
Black Hat Announcements || https://www.blackhat.com/BlackHatRSS.xml
Ciscomag || http://feeds.feedburner.com/ciscomag
Finjan MCRC Blog: Posts || http://www.finjan.com/MCRCblog_RSS_feed.aspx
Hack In The Box || http://www.hackinthebox.org/backend.php
Infosecurity Magazine || http://www.infosecurity-magazine.com/RSS/LiveFeed.xml
Latest Security Advisories || http://www.microsoft.com/technet/security/advisory/RssFeed.aspx?securityadvisory
Le blog des experts || http://expert.01net.com/expert/feed/rss2
Ma petite parcelle d'Internet... || http://sid.rstack.org/blog/rss.php
McAfee Avert Labs || http://feeds.feedburner.com/McafeeAvertLabsBlog
Microsoft Security Bulletins || http://www.microsoft.com/technet/security/bulletin/secrss.aspx
OSVDB Most Recent Stable Entries || http://osvdb.org/backend/rss.php
Seb's guide || http://www.smtechnologie.com/backend.php
SecuriTeam.com || http://www.securiteam.com/securiteam.rss
SecurityFocus News || http://www.securityfocus.com/rss/news.xml
SecurityFocus Vulnerabilities || http://www.securityfocus.com/rss/vulnerabilities.xml
SecurityTracker Vulnerability Headlines || http://news.securitytracker.com/server/affiliate?61D319BD39309004
silicon.com : || http://feeds.silicon.com/0,39025093,40000024,00.htm
TaoSecurity || http://taosecurity.blogspot.com/atom.xml
TechNet Magazine RSS Feed || http://www.microsoft.com/technet/technetmag/rss/newrss.aspx?issue=true
Toute l'actualité sécurité informatique || http://feeds.vulnerabilite.com/vuln-actu
Toutes les actualités || http://www.reseaux-telecoms.net/rss/rss.xml
ZATAZ News || http://feeds.feedburner.com/ZatazNews
(ISC)2 Blog || http://feeds.feedburner.com/isc2Blog
Following The white Rabbit Blog || http://feeds.feedburner.com/RafalLos
Sécurité des réseaux et des Si - Orange Business Services || http://blogs.orange-business.com/securite/atom.xml
Les-infostrateges.com : flux général || http://www.les-infostrateges.com/rss/cat/?num=1
moxie's blog | http://blog.thoughtcrime.org/rss.xml

Partager cet article

Repost 0
Published by pseudonyme
commenter cet article

commentaires

Présentation

  • : Veille
  • Veille
  • : Un petit blog sans prétention (enfin j'espère) sur ce qui retient mon attention en matière de sécurité informatique....mais pas que.
  • Contact

Recherche

Liens