Veille - Moi la sécurité, je la pratique debout....

==============================================================================================================================================

Cette semaine, c'est la semaine des Assises de la sécurité. Au sommaire, petits fours, invitations par les fournisseurs à l'hôtel et au restaurant, vagues séminaires sous formes de publi-communiqués, et discours annuel de Patrick Pailloux.
Bon d'accord, je résume cela de manière un peu sévère. Non, je ne suis pas aigri de ne pas avoir été invité. J'ai refusé en fait. Mais peut-être qu'un jour je cèderai aux tentations..... On verra.
Pour l'instant, j'essaie de rester debout pour faire de la sécurité. Mais j'avoue, ce n'est pas simple, entre :
- les utilisateurs qui ne veulent pas de contraintes mais attendent un haut niveau de sécurité et de protection de leur données personnelles.
- les décideurs qui considèrent la sécurité comme un coût et non une opportunité d'assurer le business et arbitrent les budgets
- les équipes de production qui sont tellement sous pression qu'elles ne pensent pas sécurité
- les équipes sécurité (les vraies) qui baissent les bras par manque de reconnaissance et acceptent donc tout
- les équipes sécurité (les fausses) qui sont dans la sécurité mais n'y comprennent rien et ne cherchent pas à comprendre
- les "corsaires" des Etats qui s'infiltrent un peu partout pour nous "protéger"
il faut s'accrocher.....

Et pendant ce temps à Vera Cruz, Lavabit ferme la porte, mais sans sa clé, alors que Silent Circle se détourne des algorithmes de chiffrement recommandé par le NIST.
L'impact des révélations de Snowden est donc très fort. Ce qui m'inquiète, c'est que l'utilisation d'algorithmes alternatifs est impossible si vous ne contrôler pas toute la chaine de communication.
Car aujourd'hui, assez peu de logiciels implémentent skein et threefish en natifs. Et comme assez peu de gens sont calés en crypto, il risque d'y avoir des velleités de certaines sociétés à mettre en place leur propre mécanisme de chiffrement. Mais n'est pas Bruce Schneier qui veut.
Au final, la perte de confiance dans la NSA, et par rebond le NIST, pourrait conduire à une confiance aveugle vers d'autres personnes moins capables de nous protéger et tout aussi "bienveillantes" à nous surveiller.
C'est comme en politique, une désaffection des partis historiques pour se rallier vers des partis au discours plus radical. Bref, je ne suis pas très confiant pour l'avenir.

Bon après avoir fait mon calimero, il y a quand même des satisfactions dans les news.
1/ La première chose est l'émergence de l'utilisation de malwares sur mesures dans le cadre de pentest. C'est une très bonne idée de voir quel est l'impact d'une intrusion par malware dans un SI. C'est un cas de test qui peut s'avérer réel. Et cela permet de voir si les mécanismes de défense en place sont adaptés ou non.
Par contre, c'est évidemment à utiliser avec parcimonie car il peut y avoir des effets de bord. A ne pas faire quand on ne maitrise pas.
2/ La seconde, c'est qu'il va encore y avoir des informations sur la NSA. Cela remplit quasiment automatiquement ma section DOSSIERS
3/ Le gouvernement français qui lance un appel à projets dédié à la sécurité numérique
4/ l'ANSSI qui recrute 150 personnes. Avis aux amateurs de CDD de 3 ans renouvelables dans un marché de l'informatique en crise et des élections en 2015 :-()
5/ Une histoire dont on va reparler forcément, les intrusions chez Adobe et le vol de données plutôt conséquent. Ca ressemble un peu à l'attaque RSA. Il y a des dommages chez d'autres sociétés.
A mon avis, il va falloir surveiller de plus près vos fichiers PDF reçus par mail (cf 1)
6/ Quelques outils bien pratiques également

Bonne lecture
Tristan
==============================================================================================================================================


A LIRE SECURITE
---------------

Le Royaume-Uni veut lever une armée de cyberguerriers
http://www.01net.com/editorial/604386/le-royaume-uni-veut-lever-une-armee-de-cyberguerriers/

Surveillance des comptes à privilèges: les 10 meilleures pratiques
http://pro.01net.com/editorial/604486/surveillance-des-comptes-a-privileges-les-10-meilleures-pratiques/

Lié à PRISM et à l'article ci-dessous ?
Prism : « Il y a des Edward Snowden dans toutes les entreprises »
http://pro.01net.com/editorial/604406/prism-il-y-a-des-edward-snowden-dans-toutes-les-entreprises/

Quand les pirates devancent l’actualité
http://magazine.qualys.fr/menaces-alertes/campagne-malware-actualite/

Etude : les Français mauvais élèves européens de la sécurité mobile
http://www.01net.com/editorial/604588/etude-les-francais-mauvais-eleves-europeens-de-la-securite-mobile/

How Israel is rewriting the future of cybersecurity and creating the next Silicon Valley
http://www.techrepublic.com/article/how-israel-is-rewriting-the-future-of-cybersecurity-and-creating-the-next-silicon-valley/

Pen Testing Using Live Malware Becoming a Must
http://threatpost.com/pen-testing-using-live-malware-becoming-a-must/102505

Many Security Professionals Don't Understand Modern Malware
http://news.hitb.org/content/many-security-professionals-dont-understand-modern-malware
http://www.networkworld.com/community/node/83927

Is hacking in self-defence legal?
http://news.hitb.org/content/hacking-self-defence-legal
http://www.stuff.co.nz/technology/digital-living/9225991/Is-hacking-in-self-defence-legal

New Project Sonar Crowdsources Embedded Device Vulnerability Analysis
http://threatpost.com/new-project-sonar-crowdsources-embedded-device-vulnerability-analysis/102457

Les 7 règles d'or d'un cryptage efficace [On dit chiffrement!!, mais bon, l'article rappelle quelques bonnes pratiques]
http://www.reseaux-telecoms.net/actualites/lire-les-7-regles-d-or-d-un-cryptage-efficace-26516.html

DOSSIERS
--------

Douze spécialistes français de la sécurité informatique s’unissent pour profiter de l’après Prism
http://pro.01net.com/editorial/604508/douze-specialistes-francais-de-la-securite-informatique-s-unissent-pour-profiter-de-l-apres-prism/
http://www.hexatrust.com/

John McAfee proposera un boîtier anti-NSA pour « surfer » tranquille
http://www.01net.com/editorial/604478/john-mcafee-proposera-un-boitier-anti-nsa-pour-surfer-tranquille/

PRISM : Plus de transparence nuirait « gravement à la sécurité nationale »
http://www.01net.com/editorial/604632/prism-plus-de-transparence-nuirait-gravement-a-la-securite-nationale/

Richard Stallman : les logiciels libres sont plus importants que jamais
http://www.01net.com/editorial/604330/richard-stallman-les-logiciels-libres-sont-plus-importants-que-jamais/

NSA Crypto Questions Resemble a ‘Hall of Mirrors’
http://threatpost.com/nsa-crypto-questions-resemble-a-hall-of-mirrors/102468

Silent Circle Moving Away From NIST Ciphers in Wake of NSA Revelations
http://threatpost.com/silent-circle-moving-away-from-nist-ciphers-in-wake-of-nsa-revelations/102452

Le FBI fait fermer une société en lui récupérant sa clé de chiffrement
http://www.zataz.com/news/23109/lavabit_-fbi_-ssl-crypt.html

Ars takes a look at the tools of the surveillance trade
http://news.hitb.org/content/ars-takes-look-tools-surveillance-trade

Latest Snowden Leak Explains NSA Subversion of Tor Users
http://threatpost.com/latest-snowden-leak-explains-nsa-subversion-of-tor-users/102529

More NSA leaks to come, Guardian says
http://news.hitb.org/content/more-nsa-leaks-come-guardian-says

INSOLITE
--------

Le CERN lance un émulateur pour découvrir le Web d’il y a vingt ans
http://www.01net.com/editorial/604616/le-cern-lance-un-emulateur-pour-decouvrir-le-web-d-il-y-a-vingt-ans/

Un bug chez SFR fait baisser les chiffres du chômage d'août 2013 ! => Bon là, c'est un gros FAIL quand même
http://www.01net.com/editorial/604462/un-bug-chez-sfr-fait-baisser-les-chiffres-du-chomage-daout-2013/

UN PETIT GESTE POUR LA PLANETE
------------------------------

Educaduino, une carte électronique pour stimuler l’inventivité dans les classes
http://www.01net.com/editorial/604458/educaduino-une-carte-electronique-pour-stimuler-l-inventivite-dans-les-classes/

FACEBOOK AND SOCIAL NETWORKS
----------------------------


A BOOKMARKER
------------


SALONS / CONFERENCES / EVENEMENTS
---------------------------------

Mozilla @ HITBSecConf #HackWEEKDAY 2013
http://news.hitb.org/content/mozilla-hitbsecconf-hackweekday-2013

Les Assises de la sécurité
--------------------------

Cyberguerre et cybercrime : la « survie de la Nation » est en jeu, selon l’ANSSI
http://www.01net.com/editorial/604600/cyberguerre-et-cybercrime-la-survie-de-la-nation-est-en-jeu-selon-l-anssi/

Patrick Pailloux (Anssi) pointe la vulnérabilité des systèmes informatiques industriels
http://pro.01net.com/editorial/604658/patrick-pailloux-anssi-pointe-la-vulnerabilite-des-systemes-informatiques-industriels/

BYOD : L’Anssi infléchit son discours
http://www.lemagit.fr/actualites/2240206560/BYOD-LAnssi-inflechit-son-discours

Patrick Pailloux (Anssi), un prêcheur dans le désert ?
http://www.lemagit.fr/actualites/2240206623/Patrick-Pailloux-Anssi-un-precheur-dans-le-desert

Notre industrie est facile à pirater
http://pro.01net.com/editorial/604238/notre-industrie-est-facile-a-pirater/

PRODUITS
--------

Solucom monte un CERT dédié à la lutte contre la cybercriminalité
http://pro.01net.com/editorial/604720/solucom-monte-un-cert-dedie-a-la-lutte-contre-la-cybercriminalite/

Bull lance le Hoox, un smartphone professionnel sécurisé qui coûte 2000 euros
http://www.01net.com/editorial/604634/bull-lance-le-hoox-un-smartphone-professionnel-securise-qui-coute-2000-euros/

New router combines your home and mobile networks into one faster pipe
http://news.hitb.org/content/new-router-combines-your-home-and-mobile-networks-one-faster-pipe
http://arstechnica.com/information-technology/2013/10/new-router-combines-your-home-and-mobile-networks-into-one-faster-pipe/

BON A SAVOIR
------------

Chrome devient le premier navigateur Web utilisé en Europe
http://www.01net.com/editorial/604612/chrome-devient-le-premier-navigateur-web-utilise-en-europe/

Shutdown : l'administration américaine gèle aussi ses sites Web
http://www.01net.com/editorial/604520/shutdown-ladministration-americaine-gele-aussi-ses-sites-web/

SCIENCES
--------

Des chercheurs ont créé le premier ordinateur qui utilise des nanotubes de carbone
http://www.01net.com/editorial/604532/des-chercheurs-ont-cree-le-premier-ordinateur-qui-utilise-des-nanotubes-de-carbone/

Un processeur en nanotubes de carbone
http://pro.01net.com/editorial/604374/un-processeur-en-nanotubes-de-carbone/

CONSOMMATION
------------

Grâce à Internet, La Poste s'adapte aux ryhtmes de ses clients
http://www.01net.com/editorial/604434/grace-a-internet-la-poste-sadapte-aux-ryhtmes-de-ses-clients/

RACHAT / UNION
--------------

Google acquiring gesture recognition tech startup Flutter
http://news.hitb.org/content/google-acquiring-gesture-recognition-tech-startup-flutter

DROIT
-----


MARCHE DE L'INFORMATIQUE ET DES TELECOMS (MAIS PAS QUE)
-------------------------------------------------------

Le PDG de Cisco voit sa rémunération augmenter de 80%
http://pro.01net.com/editorial/604514/le-pdg-de-cisco-voit-sa-remuneration-augmenter-de-80pour-cent/

L’OTAN approuve la sécurité de BlackBerry 10
http://www.01net.com/editorial/604624/l-otan-approuve-la-securite-de-blackberry-10/

CARRIERE
--------

Le Gouvernement lance un appel à projets dédié à la sécurité numérique
http://pro.01net.com/editorial/604668/le-gouvernement-lance-un-appel-a-projets-dedie-a-la-securite-numerique/
http://www.dgcis.gouv.fr/secteurs-professionnels/economie-numerique/securite-numerique-aap

Livre blanc « Entreprise 2.0 : Start-up et PME »
http://www.les-infostrateges.com/actu/13101695/livre-blanc-entreprise-20-start-up-et-pme

Cyberdéfense : l’Anssi recrutera 150 experts d’ici fin 2015
http://pro.01net.com/editorial/604366/cyberdefense-l-anssi-recrutera-150-experts-d-ici-fin-2015/

MICROSOFT
---------



GOOGLE
------

Grâce à Google Street View, une grand-mère vivra éternellement
http://www.01net.com/editorial/604772/grace-a-google-street-view-une-grand-mere-vivra-eternellement/

Google cherche «randonneurs» pour enrichir Street View
http://www.01net.com/editorial/604700/google-cherche-randonneurs-pour-enrichir-street-view/

5 reasons not to root Android
http://news.hitb.org/content/5-reasons-not-root-android
http://betanews.com/2013/10/01/5-reasons-not-to-root-android/

Do You Really Need a Third-Party Android Security App?
http://news.hitb.org/content/do-you-really-need-third-party-android-security-app
http://www.tomsguide.com/us/third-party-android-security,review-1916.html

APPLE / IPHONE
--------------

Avec iOS 7, les voleurs d’iPhone ou d’iPad reviennent bredouilles
http://www.01net.com/editorial/604414/avec-ios-7-les-voleurs-d-iphone-ou-d-ipad-reviennent-bredouilles/

Apple's Siri is helping users bypass iOS security
http://news.hitb.org/content/apples-siri-helping-users-bypass-ios-security

PALM / PRE
----------

FREE
----

GEEK POWER
----------

LIBRE / OPEN SOURCE
-------------------


ATTAQUES, PHISHING, PIRATAGE, VERS, VIRUS, ETC....
--------------------------------------------------

Adobe piraté : 2,9 millions de comptes clients compromis
http://www.01net.com/editorial/604762/adobe-pirate-2-9-millions-de-comptes-clients-compromis/

Gang Behind Adobe Hack Hit Other Unnamed Companies
http://threatpost.com/gang-behind-adobe-hack-hit-other-yet-unnamed-companies/102527

Metasploit Module Released for IE Zero Day
http://threatpost.com/metasploit-module-released-for-ie-zero-day/102471

Three New Attacks Using IE Zero-Day Exploit
http://threatpost.com/three-new-attacks-using-ie-zero-day-exploit/102476

Symantec researchers sinkhole Bitcoin mining Zero Access botnet horde
http://news.hitb.org/content/symantec-researchers-sinkhole-bitcoin-mining-zero-access-botnet-horde

Java called favorite target for hack attacks this year
http://news.hitb.org/content/java-called-favorite-target-hack-attacks-year

Hidden click fraud botnet uncovered
http://news.hitb.org/content/hidden-click-fraud-botnet-uncovered

Tor : le fondateur d'un site clandestin de drogue arrêté aux Etats-Unis
http://www.01net.com/editorial/604628/tor-le-fondateur-dun-site-clandestin-de-drogue-arrete-aux-etats-unis/

FAILLES
-------

Microsoft Readies Eight Patches, IE Zero Day Fix for October Patch Tuesday
http://threatpost.com/microsoft-readies-eight-patches-ie-zero-day-fix-for-october-patch-tuesday/102520

PrivatBank Mobile App Vulnerable to Account Theft
http://threatpost.com/privatbank-mobile-app-vulnerable-to-account-theft/102473

Linux Kernel Update Fixes DoS, Leakage Bugs
http://threatpost.com/linux-kernel-update-fixes-dos-leakage-bugs/102463

OUTILS
------

BTA en ligne [Bout de code à tester les annuaires Active Directory]
http://sid.rstack.org/blog/index.php/592-bta-en-ligne

Embrouiller les scans de ports
http://korben.info/embrouiller-les-scans-de-ports.html
https://github.com/drk1wi/portspoof

Cacher un fichier dans un CD Audio
http://korben.info/cacher-un-fichier-dans-un-cd-audio.html
http://jpinsoft.net/DeepSound/Overview.aspx

------------

01net. Actualités || http://feediz.01net.com/synd/2203.xml
01net. Les actualites Entreprise || http://feediz.01net.com/synd/2205.xml
A Day in the Life of an Information Security Investigator || http://rss.ittoolbox.com/rss/security-investigator.xml
Actualités intrusion/hacking || http://feeds.feedburner.com/idg_fr/rt2/intrusion-hacking/rss
Actualités Open Source || http://feeds.feedburner.com/idg_fr/rt2/open-source/rss
Actualités satellite || http://feeds.feedburner.com/idg_fr/rt2/satellite/rss
Black Hat Announcements || https://www.blackhat.com/BlackHatRSS.xml
Ciscomag || http://feeds.feedburner.com/ciscomag
Finjan MCRC Blog: Posts || http://www.finjan.com/MCRCblog_RSS_feed.aspx
Hack In The Box || http://www.hackinthebox.org/backend.php
Infosecurity Magazine || http://www.infosecurity-magazine.com/RSS/LiveFeed.xml
Latest Security Advisories || http://www.microsoft.com/technet/security/advisory/RssFeed.aspx?securityadvisory
Le blog des experts || http://expert.01net.com/expert/feed/rss2
Ma petite parcelle d'Internet... || http://sid.rstack.org/blog/rss.php
McAfee Avert Labs || http://feeds.feedburner.com/McafeeAvertLabsBlog
Microsoft Security Bulletins || http://www.microsoft.com/technet/security/bulletin/secrss.aspx
OSVDB Most Recent Stable Entries || http://osvdb.org/backend/rss.php
Seb's guide || http://www.smtechnologie.com/backend.php
SecuriTeam.com || http://www.securiteam.com/securiteam.rss
SecurityFocus News || http://www.securityfocus.com/rss/news.xml
SecurityFocus Vulnerabilities || http://www.securityfocus.com/rss/vulnerabilities.xml
SecurityTracker Vulnerability Headlines || http://news.securitytracker.com/server/affiliate?61D319BD39309004
silicon.com : || http://feeds.silicon.com/0,39025093,40000024,00.htm
TaoSecurity || http://taosecurity.blogspot.com/atom.xml
TechNet Magazine RSS Feed || http://www.microsoft.com/technet/technetmag/rss/newrss.aspx?issue=true
Toute l'actualité sécurité informatique || http://feeds.vulnerabilite.com/vuln-actu
Toutes les actualités || http://www.reseaux-telecoms.net/rss/rss.xml
ZATAZ News || http://feeds.feedburner.com/ZatazNews
(ISC)2 Blog || http://feeds.feedburner.com/isc2Blog
Following The white Rabbit Blog || http://feeds.feedburner.com/RafalLos
Sécurité des réseaux et des Si - Orange Business Services || http://blogs.orange-business.com/securite/atom.xml
Les-infostrateges.com : flux général || http://www.les-infostrateges.com/rss/cat/?num=1
moxie's blog | http://blog.thoughtcrime.org/rss.xml