Veille - Security is a risky business

==============================================================================================================================================

Cette semaine, encore une fois, c'est une bonne semaine pour la sécurité.
Tout d'abord, on voit nettement apparaître un sursaut des Etats pour assurer leur défense. Les récentes affaires Stuxnet, Areva, DuQu, etc...ne peuvent qu'inciter les Etats à se protéger car clairement, le risque est là. A propos de risque, un petit article assez bien foutu, surtout parce que je suis d'accord avec l'auteur. Pour commencer à jouer avec des analyses de risques, il y a une problématique bien réelle à essayer de rendre l'exercice le plus mathématique possible (pas d'interprétation, des résultats factuels) tout en sachant qu'au final, l'appréciation du risque reste avec une part d'humain indispensable, mais qui peut laisser croire que la méthode n'est pas assez carrée.
Il y a un vrai travail à faire à ce sujet. Certains voudraient gommer l'aspect humain, c'est impossible. Il faut réussir à trouver la bonne formule entre recette à suivre et touche personnelle. Toujours à propos de risque, un document de l'ISF qui parle de gestion des accès et de Fédération d'identité sans risque.

Pour continuer à diminuer le niveau de risque, le NIST propose de nouvelles ressources pour sécuriser les logiciels, Trend Micro fournit un guide de bonnes pratiques pour le paiement en ligne. Il y a également un petit article sur les bonnes pratiques de paiement avec des mobiles. En ces périodes de pré-Noël, ça vaut le coup de jeter un oeil.
A noter la sortie d'un label CNIL qui, contrairement au label rouge qui garantit que le poulet a couru dans la nature, garantit que vos données personnelles font preuves d'un traitement pour justement éviter qu'elles ne courent dans la nature.

Google est également très présent sur le Net.
- Un don de 500 000 Dollars à Wikipedia
- Des travaux sur les énergies renouvelables
- La publication du code d'Ice Cream Sandwich en Open Source
- Le chiffrement des mails sous Chrome grâce à un plugin PGP
- Steve Wozniak qui passe prendre son Nexus

Free est aussi très présent, les bruits de couloirs enflent de plus en plus. Bientôt les offres ??

Et pour finir une section OUTILS pas mal du tout.
Personnellement, je suis tombé assez fan de NetworkMiner, même en version gratuite. Je n'ai pas encore testé le FW de Marlinspike pour Androïd, mais c'est pour bientôt.
Je m'intéresse aussi au logiciel de vérification de conformité PCI-DSS, gratuit également mais pour une durée limitée.
Aller voir le hack de Dustin Webber, c'est juste excellent ce qu'on peut faire avec SIRI.

Bonne lecture
Tristan

==============================================================================================================================================


A LIRE SECURITE
---------------

Cyberstratégie
--------------

Cyberguerre, le retard français – Partie 1 : Le constat
http://pro.01net.com/editorial/542962/cyberguerre-le-retard-francais-partie-1-le-constat/

Cyberguerre, le retard français – Partie 2 : Que faire ?
http://pro.01net.com/editorial/544108/cyberguerre-le-retard-francais-partie-2-que-faire/

La France doit déterminer sa cyberstratégie
http://pro.01net.com/editorial/547258/la-france-doit-determiner-sa-cyberstrategie/

UK Government Releases Cyber Security Strategy
http://news.hitb.org/content/uk-government-releases-cyber-security-strategy

UK government publishes four-year cybersecurity strategy plan
http://www.infosecurity-magazine.com/view/22284/uk-government-publishes-fouryear-cybersecurity-strategy-plan/

Gestion des risques
-------------------

Six myths of risk assessment
http://news.hitb.org/content/six-myths-risk-assessment
http://www.computerweekly.com/blogs/david_lacey/2011/11/six_myths_of_risk_assessment.html

ISF publishes guide on risk-free Federated Identity & Access Management
http://www.infosecurity-magazine.com/view/22244/isf-publishes-guide-on-riskfree-federated-identity-access-management/
https://www.securityforum.org/downloadresearch/publicdownloadfiam/

Conseils et liens utiles
------------------------

NIST expands database designed to help programmers improve software security
http://www.infosecurity-magazine.com/view/22201/nist-expands-database-designed-to-help-programmers-improve-software-security/
http://samate.nist.gov/SRD/

Trend Micro publishes online shopping safety guide
http://www.infosecurity-magazine.com/view/22184/trend-micro-publishes-online-shopping-safety-guide/
http://blog.trendmicro.com/online-shopping-safety-made-easy
http://blog.trendmicro.com/online-shopping-safety-tips-infographic

Mobile payments security: Four tips for keeping crooks' fingers out of m-wallets
http://www.silicon.com/technology/mobile/2011/11/25/mobile-payments-security-four-tips-for-keeping-crooks-fingers-out-of-m-wallets-39748263/

Le Label CNIL montre le bout de son nez...
http://www.les-infostrateges.com/actu/11111319/le-label-cnil-montre-le-bout-de-son-nez

Switching security vendors too costly
http://news.hitb.org/content/switching-security-vendors-too-costly
http://www.scmagazine.com.au/News/280858,switching-security-vendors-too-costly.aspx

Know your enemy: Staying one-step ahead of cyberthreats
http://www.infosecurity-magazine.com/view/22191/know-your-enemy-staying-onestep-ahead-of-cyberthreats/

[Fr] Orange Business Sécurité » bonnes pratiques » 10 bonnes raisons de ... se pencher au chevet de son imprimante
http://blogs.orange-business.com/securite/2011/11/10-bonnes-raisons-de-se-pencher-au-chevet-de-son-imprimante.html

La France en tête de l'adoption d'IPv6 pour les noms de domaine
http://pro.01net.com/editorial/546948/la-france-en-tete-de-ladoption-dipv6-pour-les-noms-de-domaine/

Travaux à suivre
----------------

Stéganographie VoIP
http://www.zataz.com/news/21757/TranSteg_-Transcoding-Steganography.html
http://datasecuritybreach.fr/actu/steganographie-voip/
http://arxiv.org/ftp/arxiv/papers/1111/1111.1250.pdf

Certificats : l'EFF propose des clés souveraines pour corriger le tir (en parallelle de Convergence et Perspectives)
http://www.pcinpact.com/news/67199-eff-sovereign-keys-certificats-https.htm

Fox-IT Completes the Picture On Factored RSA-512 Keys
http://news.hitb.org/content/fox-it-completes-picture-factored-rsa-512-keys
http://blog.fox-it.com/2011/11/21/rsa-512-certificates-abused-in-the-wild/

Mauvaise pratiques, mais bon à savoir
-------------------------------------

Monkey, Dragon, football and the rest of 2011's worst passwords
http://news.hitb.org/content/monkey-dragon-football-and-rest-2011s-worst-passwords
http://www.networkworld.com/community/node/79219

Most popular prohibited IT activities in the workplace
http://news.hitb.org/content/most-popular-prohibited-it-activities-workplace
http://www.net-security.org/secworld.php?id=11972
Top 6 list of prohibited activities in the workplace among IT staff:

1. 54% of those interviewed said that have already downloaded illegal content in their workplace.
2. 48% of them answered that they have made exception rules in the firewall or in other IT systems for personal purposes, to get around the IT policy.
3. 29% of them “have taken home” company details.
4. 25% have looked into confidential files, stored on the company’s server (e.g. list of salaries).
5. 16% have read their colleagues email (without the colleague’s permission).
6. 15% have already deleted or modified log files (in order to hide or destroy evidence).

DOSSIERS
--------

Anatomy of the Duqu Attacks [Pour les sourds ou ceux qui n'ont pas écouté le podcast cité dans une Veille précédente]
http://threatpost.com/en_us/blogs/anatomy-duqu-attacks-112111

INSOLITE
--------

Steve Wozniak est passé prendre son Galaxy Nexus... chez Google
http://www.01net.com/editorial/546832/steve-wozniak-est-passe-prendre-son-galaxy-nexus-chez-google/

Samsung moque les fans d'Apple dans une pub
http://www.01net.com/editorial/546946/quand-samsung-moque-les-fans-d-and-039-apple-dans-une-pub/

UN PETIT GESTE POUR LA PLANETE
------------------------------

Un fondateur de Google offre 500 000 dollars à Wikipédia
http://www.01net.com/editorial/546792/un-fondateur-de-google-offre-500-000-dollars-a-wikipedia/

Google axes clean energy hacking
http://news.hitb.org/content/google-axes-clean-energy-hacking

FACEBOOK
--------

01 business : comment les directions marketing utilisent-elles les réseaux sociaux ? [Sûrement très intéressant mais un peu long]
http://pro.01net.com/editorial/546804/01-business-comment-les-directions-marketing-utilisent-elles-les-reseaux-sociaux/

Facebook préparerait son téléphone avec HTC
http://www.01net.com/editorial/546880/facebook-prepare-son-telephone-avec-htc/

Facebook : l'ami d'un de vos amis a un ami qui a un ami en Sibérie
http://www.01net.com/editorial/546902/facebook-l-and-039-ami-d-and-039-un-de-vos-amis-a-un-ami-qui-a-un-ami-en-siberie/

A BOOKMARKER
------------

New advice site debunks IT security myths
http://news.hitb.org/content/new-advice-site-debunks-it-security-myths
http://www.accountingweb.co.uk/article/new-advice-site-debunks-it-security-myths/521347
http://itsecurityguide.co.uk/

SALONS / CONFERENCES / EVENEMENTS
---------------------------------

Un trophée pour récompenser la gestion des risques
http://pro.01net.com/editorial/547276/un-trophee-pour-recompenser-la-gestion-des-risques/
http://www.bearingpoint.com/SID-5B6A1E02-607939D3/fr-fr/7-4831/2e-trophees-du-controle-interne/?p=627

PRODUITS
--------

Culture geek : les écrans souples attendus en 2012
http://www.01net.com/editorial/546876/culture-geek-les-ecrans-souples-attendus-en-2012/

Coulisses du 01Lab : l'ultraportable Asus Zenbook UX21 [vidéo]
http://www.01net.com/editorial/547012/coulisses-du-01lab-lultraportable-asus-zenbook-ux21-video/

Prolexic mitigates world's largest packet-per-second DDoS attack
http://www.infosecurity-magazine.com/view/22216/prolexic-mitigates-worlds-largest-packetpersecond-ddos-attack/

BON A SAVOIR
------------

Kingston Technology says that secure encrypted USB sticks are no longer enough
http://www.infosecurity-magazine.com/view/22289/kingston-technology-says-that-secure-encrypted-usb-sticks-are-no-longer-enough/
http://media.kingston.com/pdfs/Ponemon/Ponemon_research_EMEA_summary_UK_1111.pdf

Les réseaux sociaux d’entreprise sont un risque majeur d’infobésité
http://pro.01net.com/editorial/546682/les-reseaux-sociaux-d-entreprise-sont-un-risque-majeur-d-infobesite/

Tor Project Sets Up Cloud Bridge Project on Amazon EC2
http://threatpost.com/en_us/blogs/tor-project-sets-cloud-bridge-project-amazon-ec2-112111

La RATP utilise le Wi-Fi pour piloter les nouvelles rames de la ligne 1[Heu, j'espère que c'est bien protégé ;-)]
http://pro.01net.com/editorial/546824/la-ratp-utilise-le-wi-fi-pour-piloter-les-nouvelles-rames-de-la-ligne-1/

The most vulnerable smartphones
http://news.hitb.org/content/most-vulnerable-smartphones
http://www.net-security.org/secworld.php?id=11981

Researchers publish dirty dozen vulnerable smartphones – and they all run Android
http://www.infosecurity-magazine.com/view/22221/researchers-publish-dirty-dozen-vulnerable-smartphones-and-they-all-run-android/

ISO issues two new records management standards
http://www.infosecurity-magazine.com/view/22188/iso-issues-two-new-records-management-standards/

Baromètre 2011 de l’Inria : « Les Français et le nouveau monde numérique »
http://www.les-infostrateges.com/actu/11111317/barometre-2011-de-linria-les-francais-et-le-nouveau-monde-numerique

Cybercrime statistics in Ireland
http://news.hitb.org/content/cybercrime-statistics-ireland

Dix cartes de métro qui ne vont pas fâcher la RATP
http://www.01net.com/editorial/547014/dix-cartes-de-metro-qui-ne-vont-pas-facher-la-ratp/

Contenus illégaux : 70 % des signalements aboutissent à leur retrait
http://www.01net.com/editorial/547284/contenus-illegaux-70-pour-cent-des-signalements-aboutissent-a-leur-retrait/

Cyber security threats are evolving
http://news.hitb.org/content/cyber-security-threats-are-evolving
http://www.theinquirer.net/inquirer/news/2127651/cyber-security-threats-evolving

SCIENCES
--------

Petite devinette :
http://www.gizmodo.fr/2011/11/22/petite-devinette.html

CONSOMMATION
------------



RACHAT / UNION
--------------



DROIT
-----

Piratage : la justice européenne s'oppose au filtrage généralisé
http://www.01net.com/editorial/547206/piratage-la-justice-europeenne-soppose-au-filtrage-generalise/

Une proposition de loi pour garantir un accès à 2 Mbit/s d'ici à 2012
http://www.01net.com/editorial/547226/une-proposition-de-loi-pour-garantir-un-acces-a-2-mbit-s-dici-a-2012/


MARCHE DE L'INFORMATIQUE ET DES TELECOMS (MAIS PAS QUE)
-------------------------------------------------------

Didier Lombard prévoit un engorgement des réseaux d'ici à deux ans
http://pro.01net.com/editorial/546768/didier-lombard-prevoit-un-engorgement-des-reseaux-dici-a-deux-ans/

Nokia Siemens Networks supprimera 17 000 postes d'ici à la fin 2013
http://pro.01net.com/editorial/546976/nokia-siemens-networks-supprimera-17-000-postes-dici-a-la-fin-2013/

L'écosystème stimule la demande en Datacenters et clouds privés, selon Markess
http://www.reseaux-telecoms.net/actualites/lire-l-ecosysteme-stimule-la-demande-en-datacenters-et-clouds-prives-selon-markess-23581.html

Mobile malware and geo-location security issues predicted for 2012
http://www.infosecurity-magazine.com/view/22246/mobile-malware-and-geolocation-security-issues-predicted-for-2012-/

Foxconn plans $63m investment in cloud computing
http://news.hitb.org/content/foxconn-plans-63m-investment-cloud-computing

CARRIERE
--------

Hate your job? Ask yourself why
http://www.techrepublic.com/blog/career/hate-your-job-ask-yourself-why/3644?tag=nl.e101

MICROSOFT
---------



GOOGLE
------

Google Implements Forward Secrecy
http://threatpost.com/en_us/blogs/google-implements-forward-secrecy-112311

Chiffrer vos messages via Chrome et Gmail
http://www.zataz.com/news/21759/GPG4Browsers_-chiffrer_-pgp_-opengpg_-gmail_-chrome.html

Les webmails sécurisés par une extension OpenPGP dans Chrome
http://www.reseaux-telecoms.net/actualites/lire-les-webmails-securises-par-une-extension-openpgp-dans-chrome-23579.html

OpenPGP JavaScript implementation allows webmail encryption
http://www.techworld.com.au/article/408125/openpgp_javascript_implementation_allows_webmail_encryption

Google publie les sources d'Ice Cream Sandwich
http://www.reseaux-telecoms.net/actualites/lire-google-publie-les-sources-d-ice-cream-sandwich-23574.html

Comment créer une page Google+ en 10 étapes
http://www.les-infostrateges.com/actu/11111316/comment-creer-une-page-google-en-10-etapes
http://www.webrankinfo.com/dossiers/google-plus/creer-une-page-google-plus

Google sabre Knol, l'encyclopédie qui devait concurrencer Wikipedia
http://www.01net.com/editorial/546962/google-sabre-knol-l-and-039-encyclopedie-qui-devait-concurrencer-wikipedia/

Google rallonge sa liste noire antipiratage
http://www.01net.com/editorial/547042/google-rallonge-sa-liste-noire-antipiratage/

Microsoft Lync bientôt disponible sous Android
http://android-france.fr/2011/11/25/microsoft-lync-android/

APPLE / IPHONE
--------------

PALM / PRE
----------

WebOS : l’échec commercial à 3,3 milliards d’euros
iphoneaddict.fr/post/news-39024-webos-lechec-commercial-a-33-milliards-deuros

FREE
----

The Phone House distribuerait les forfaits de Free Mobile
http://www.01net.com/editorial/546878/the-phone-house-distribuerait-les-forfaits-de-free-mobile/

A noter : http://free.blackberry.com/

GEEK POWER
----------

iPhone : un hacker détourne Siri et lui ajoute des fonctions
http://www.01net.com/editorial/546806/iphone-un-hacker-detourne-siri-et-lui-ajoute-des-fonctions/

DIY Voice Activated Home Automation
http://news.hitb.org/content/diy-voice-activated-home-automation
http://hacknmod.com/hack/diy-voice-activated-home-automation/

Dustin Webber Creates Network Security Monitoring with Siri
http://taosecurity.blogspot.com/2011/11/dustin-webber-creates-network-security.html

LIBRE / OPEN SOURCE
-------------------

Google publie les sources d'Ice Cream Sandwich
http://www.reseaux-telecoms.net/actualites/lire-google-publie-les-sources-d-ice-cream-sandwich-23574.html

Is the Firefox 10 silent update feature a good thing?
http://news.hitb.org/content/firefox-10-silent-update-feature-good-thing
http://www.net-security.org/secworld.php?id=11987

Linux syslog may be on way out
http://www.itworld.com/it-managementstrategy/227291/linux-syslog-may-be-way-out

ATTAQUES, PHISHING, PIRATAGE, VERS, VIRUS, ETC....
--------------------------------------------------

Fox-IT Completes the Picture On Factored RSA-512 Keys
http://news.hitb.org/content/fox-it-completes-picture-factored-rsa-512-keys
http://blog.fox-it.com/2011/11/21/rsa-512-certificates-abused-in-the-wild/

Security researcher to reveal how to root Windows 8
http://www.infosecurity-magazine.com/view/22152/security-researcher-to-reveal-how-to-root-windows-8/

Customisable version of the Android Spitmo malware ported to the Symbian platform
http://www.infosecurity-magazine.com/view/22151/customisable-version-of-the-android-spitmo-malware-ported-to-the-symbian-platform/

Hacker Says Texas Town Used Three Character Password To Secure Internet Facing SCADA System
http://threatpost.com/en_us/blogs/hacker-says-texas-town-used-three-character-password-secure-internet-facing-scada-system-11201
"[....]software used to manage water and sewage infrastructure accessible to the Internet and used a password that was just three characters long to protect the system, making it easy picking for a remote attack."

Russian hackers behind first successful US SCADA system attack
http://www.infosecurity-magazine.com/view/22153/russian-hackers-behind-first-successful-us-scada-system-attack-/

Anonymous Leaks 38,000 Emails From Special Agent
http://news.hitb.org/content/anonymous-leaks-38000-emails-special-agent

Quelle crédibilité pour l'action Anti Voxel ?
http://www.zataz.com/news/21758/projet_-voxel_-documents_-erreur_.html

Interview with SCADA hacker pr0f about the state of infrastructure security
http://news.hitb.org/content/interview-scada-hacker-pr0f-about-state-infrastructure-security
http://nakedsecurity.sophos.com/2011/11/22/interview-with-scada-hacker-pr0f-about-the-state-of-infrastructure-security/

Les mobiles toujours plus menacés par les malwares
http://www.reseaux-telecoms.net/actualites/lire-les-mobiles-toujours-plus-menaces-par-les-malwares-23583.html

Carrier IQ : le rootkit qui sait tout ce que vous faites sur votre téléphone
http://www.frandroid.com/actualites-generales/85778_carrier-iq-le-rootkit-qui-sait-tout-ce-que-vous-faites-sur-votre-telephone

Carrier IQ: Un rootkit bien caché
http://www.blogeek.ch/index.php?2011%2F11%2F25%2F10861-carrier-iq-un-rootkit-bien-cache

The Rootkit Of All Evil – CIQ
http://www.xda-developers.com/android/the-rootkit-of-all-evil-ciq/

Symantec reports one-click fraud has arrived on smartphones
http://www.infosecurity-magazine.com/view/22243/symantec-reports-oneclick-fraud-has-arrived-on-smartphones/

FAILLES
-------

Les serveurs Http Apache victimes d'une faille via un patch
http://www.reseaux-telecoms.net/actualites/lire-les-serveurs-http-apache-victimes-d-une-faille-via-un-patch-23590.html

iTunes security vulnerability had been present for over three years
http://news.hitb.org/content/itunes-security-vulnerability-had-been-present-over-three-years

OUTILS
------

Marlinspike releases Android firewall
http://www.scmagazine.com.au/News/256288,marlinspike-releases-android-firewall.aspx

Jason Hiner's 20 most useful Android smartphone apps
http://www.techrepublic.com/photos/jason-hiners-20-most-useful-android-smartphone-apps/6330264?tag=nl.e101
http://www.techrepublic.com/blog/hiner/the-20-most-useful-android-smartphone-apps-of-2011/9202

Acuity releases free PCI DSS compliance analysis software
http://www.infosecurity-magazine.com/view/22288/acuity-releases-free-pci-dss-compliance-analysis-software/
http://www.acuityrm.com/store/pci-dss-v20-compliance-software-application

Dustin Webber Creates Network Security Monitoring with Siri
http://taosecurity.blogspot.com/2011/11/dustin-webber-creates-network-security.html

Trying NetworkMiner Professional 1.2
http://taosecurity.blogspot.com/2011/11/trying-networkminer-professional-12.html

------------

01net. Actualités || http://feediz.01net.com/synd/2203.xml
01net. Les actualites Entreprise || http://feediz.01net.com/synd/2205.xml
A Day in the Life of an Information Security Investigator || http://rss.ittoolbox.com/rss/security-investigator.xml
Actualités intrusion/hacking || http://feeds.feedburner.com/idg_fr/rt2/intrusion-hacking/rss
Actualités Open Source || http://feeds.feedburner.com/idg_fr/rt2/open-source/rss
Actualités satellite || http://feeds.feedburner.com/idg_fr/rt2/satellite/rss
Black Hat Announcements || https://www.blackhat.com/BlackHatRSS.xml
Ciscomag || http://feeds.feedburner.com/ciscomag
Finjan MCRC Blog: Posts || http://www.finjan.com/MCRCblog_RSS_feed.aspx
Hack In The Box || http://www.hackinthebox.org/backend.php
Infosecurity Magazine || http://www.infosecurity-magazine.com/RSS/LiveFeed.xml
Latest Security Advisories || http://www.microsoft.com/technet/security/advisory/RssFeed.aspx?securityadvisory
Le blog des experts || http://expert.01net.com/expert/feed/rss2
Ma petite parcelle d'Internet... || http://sid.rstack.org/blog/rss.php
McAfee Avert Labs || http://feeds.feedburner.com/McafeeAvertLabsBlog
Microsoft Security Bulletins || http://www.microsoft.com/technet/security/bulletin/secrss.aspx
OSVDB Most Recent Stable Entries || http://osvdb.org/backend/rss.php
Seb's guide || http://www.smtechnologie.com/backend.php
SecuriTeam.com || http://www.securiteam.com/securiteam.rss
SecurityFocus News || http://www.securityfocus.com/rss/news.xml
SecurityFocus Vulnerabilities || http://www.securityfocus.com/rss/vulnerabilities.xml
SecurityTracker Vulnerability Headlines || http://news.securitytracker.com/server/affiliate?61D319BD39309004
silicon.com : || http://feeds.silicon.com/0,39025093,40000024,00.htm
TaoSecurity || http://taosecurity.blogspot.com/atom.xml
TechNet Magazine RSS Feed || http://www.microsoft.com/technet/technetmag/rss/newrss.aspx?issue=true
Toute l'actualité sécurité informatique || http://feeds.vulnerabilite.com/vuln-actu
Toutes les actualités || http://www.reseaux-telecoms.net/rss/rss.xml
ZATAZ News || http://feeds.feedburner.com/ZatazNews
(ISC)2 Blog || http://feeds.feedburner.com/isc2Blog
Following The white Rabbit Blog || http://feeds.feedburner.com/RafalLos
Sécurité des réseaux et des Si - Orange Business Services || http://blogs.orange-business.com/securite/atom.xml
Les-infostrateges.com : flux général || http://www.les-infostrateges.com/rss/cat/?num=1
moxie's blog | http://blog.thoughtcrime.org/rss.xml