Historique du 2e trimestre de 2021
|
| Google va afficher une alerte après une recherche en cas de manque de fiabilité de ses résultats |
Le moteur de recherche vient d’annoncer qu’il affichera désormais un message d’alerte dès lors que ses résultats de recherche manquent de fiabilité et évoluent rapidement, en particulier en cas de recherche sur des sujets récents. Pour cela, Google a entraîné ses algorithmes afin de détecter les sujets dont les résultats changent rapidement et dont le nombre de sources est restreint.
Pour en savoir plus, voir l'article de 01net.com.
|
| Les fournisseurs de services managés doivent prendre en compte la sécurité dans les environnements multi-locataires |
Grâce au modèle SaaS (Software-as-a-Service), fournisseurs de services managés (ou MSP, pour "Manages Services Providers") peuvent économiser du temps et de l’argent. Les environnements SaaS permettent en effet d’intégrer facilement des logiciels à d’autres applications grâce à l’utilisation d’interfaces de programmation d’application (API). De plus, puisque l’infrastructure appartient au fournisseur, les MSP sont dégagés de la responsabilité de maintenir l’environnement. Mais bien que les avantages de la multi-location l’emportent sur les risques, les MSP doivent toujours tenir compte de la sécurité.
Pour en savoir plus, voir l'article de silicon.fr.
|
| Le centre Inria Sophia Antipolis – Méditerranée organise la seconde édition de son hackAtech |
Le centre Inria Sophia Antipolis – Méditerranée organisera prochainement son hackathon du 24 au 26 septembre 2021. Avec le soutien de BpiFrance, ce "hackAtech" sera tourné vers l’innovation en sciences du numérique et aura pour objectif d’impulser de nouveaux projets de start-ups. Trois thématiques seront mises en avant : santé, environnement, mobilité.
Pour en savoir plus, voir l'article de actuia.com.
|
| La pénurie de puces électroniques pourrait affecter la production de cartes bancaires |
C'est ce que craint la Smart Payment Association, spécialiste du paiement par cartes et mobiles. Elle alerte sur le fait que la crise de semi-conducteurs pourrait atteindre le secteur et toucher la production de cartes bancaires dotées d'une puce. L'association appelle à une répartition plus équitable des semi-conducteurs entre les différentes industries.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Comment les pirates contournent l’authentification multifacteur... |
Si l’authentification forte est la pierre angulaire d’une bonne stratégie de sécurité, il n’existe aucune solution miracle dans ce secteur et des cybercriminels ont trouvé des moyens de contourner les protections MFA (Authentification Muti-Facteurs). L’Agence de cybersécurité américaine, le CISA, a récemment fait état de plusieurs cyberattaques réussies dans lesquelles le MFA a été habilement contourné. Quelles sont les principales méthodes utilisées par les pirates pour contourner le MFA et que peut-on faire pour les arrêter ?
Pour en savoir plus, Pascal Le Digol de WatchGuardvoir l'explique dans un article de informatiquenews.fr.
|
| RGPD : Les transferts de données entre l'Europe et le Royaume-Uni sont simplifiés pour 4 ans |
Les données personnelles pourront légalement transiter entre l'UE et le Royaume-Uni en vertu de deux décisions d'adéquation qui viennent d'être adoptées pour une durée de quatre ans. Une étape importante pour les entreprises britanniques qui craignaient de devoir multiplier les démarches administratives pour transférer des données après le Brexit. Des questions restent cependant en suspens concernant la conformité avec le RGPD d'un futur accord entre Londres et Washington.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Les offres d'emploi dans le domaine des technologies se multiplient à un rythme effréné |
Le nombre d'emplois dans le secteur des technologies explose en Europe et les chefs d'entreprise sont confrontés à une pénurie de talents. Développeurs de logiciels, programmeurs, experts en cybersécurité, spécialistes de l'assistance informatique sont les profils les plus recherchés d'après un nouveau rapport publié par CompTIA (Computing Technology Industry Association). S'étendant sur 10 pays européens dont la France, cette étude fait état de près de 900 000 annonces pour de nouveaux postes technologiques.
Pour en savoir plus, voir l'article de zdnet.fr.
|
| Le géant du Cloud AWS rachète la messagerie sécurisée Wickr |
La division AWS d'Amazon rachète Wickr, messagerie sécurisée fondée en 2011. Wickr s'enorgueillit d'être le seul service de collaboration répondant à tous les critères de sécurité définis de la NSA. Cette messagerie, qui propose un chiffrement de bout en bout, est notamment utilisée par des professionnels et des entités gouvernementales et militaires pour partager des informations et des fichiers de façon sécurisée.
Pour en savoir plus, voir l'article de techtribune.net.
|
| Pékin souhaite évincer les crypto-monnaies de son territoire |
La Chine, jusqu'ici premier pays dans le classement mondial des Etats dans lesquels sont minées des crypto-monnaies, vient d'interdire le minage dans la province du Sichuan. C'est un coup dur pour ce territoire, deuxième plus gros producteur de crypto-monnaie du pays derrière le Xinjiang, mais qui possède 90 % des capacités de minage de la Chine. Pékin souhaite ainsi endiguer ce qu'elle considère à présent comme un fléau.
Pour en savoir plus, voir l'article de clubic.com.
|
| Google propose un schéma unifié des vulnérabilités de sécurité pour les logiciels libres |
Il existe de nombreuses bases de données sur les vulnérabilités de sécurité, mais il n'y a pas de format d'échange standard. Aussi, Google propose de partager facilement des outils et des données dans tous les projets open source en s'appuyant sur le travail déjà effectué sur la base de données Open Source Vulnerabilities (OSV) et sur le jeu de données de vulnérabilités de sécurité OSS-Fuzz.
Pour en savoir plus, voir l'article de zdnet.fr.
|
| Près de 80% des bibliothèques open source utilisées en entreprise ne sont jamais mises à jour... |
Les développeurs en entreprise font de plus en plus souvent appel à des bibliothèques open source pour créer les applications des entreprises. Mais ils ne font presque jamais l’effort d’actualiser ces bibliothèques pour intégrer leurs patchs de sécurité. Un risque sous estimé d’autant que les entreprises n’ont souvent aucun outil de visibilité sur les bibliothèques qu’elles utilisent.
Pour en savoir plus, voir l'article de itforbusiness.fr.
|
| Lancement de DRONES4SEC, une fédération de souveraineté européenne pour les drones de sécurité |
Cet action a pour objectif de faire émerger des innovations et des expérimentations partout en Europe avec l’appui de l’Union européenne, en réunissant les acteurs spécialisés dans les drones de sécurité civile terrestres, maritimes et aériens. Sept membres sont à l’origine du projet qui vise également à renforcer le lien et la coopération existante entre les acteurs européens spécialisés dans les drones de sécurité.
Pour en savoir plus, voir l'article de actuia.com/.
|
| Le National Institute of Standards and Technology publie un cadre de référence pour la gestion des risques liés au rançongiciels |
Le NIST publie un profil du cadre de référence de cybersécurité pour la gestion des risques liés aux rançongiciels (Cybersecurity Framework Profile for Ransomware Risk Management). Ce profil identifie les objectifs de cybersécurité qui prennent en charge la prévention, la réponse et la récupération des événements liés aux rançongiciels. Il inclut l'aide à l'évaluation du niveau de préparation d'une entreprise à contrer les menaces et à faire face aux conséquences potentielles des événements.
Pour télécharger le rapport du NIST, c'est ici.
|
| John McAfee, le fondateur de la société éponyme, s'est suicidé en détention en Espagne |
C’est une figure du monde de la cybersécurité qui s’est éteint. Âgé de 75 ans, John McAfee s'est suicidé dans sa cellule en Espagne. Il avait été incarcéré quelques mois plus tôt à la demande des Etats-Unis car accusé de fraude fiscale dans l’état du Tennessee.
Pour en savoir plus, voir l'article de lemondeinformatique.fr.
|
| L'IA sera utilisée pour déclencher un cyberincident mondial au cours des 12 prochains mois |
Selon une nouvelle étude de Deep Instinct, 78 % des professionnels des opérations secrètes craignent que des cyberadversaires développent et déploient l'IA pour provoquer un cyberincident mondial au cours des 12 prochains mois. Cette étude menée auprès de 600 professionnels de l'informatique et de la cybersécurité révèle que plus de la moitié des personnes interrogées pensent que les ransomwares ou les attaques de type "zero-day" constituent les plus grandes menaces pour leur organisation.
Pour en savoir plus, voir l'article de developpez.com.
|
| Google décale la suppression des cookies tiers dans son navigateur Chrome à courant 2023 |
La Compagnie explique ce délai par la nécessité de mettre en place des alternatives qui puissent être testées en amont. Lorsque Google a annoncé la suppression progressive des cookies tiers en janvier 2020, il avait mis en avant son programme "Privacy Sandbox" qui vise à créer des technologies alternatives.
Pour en savoir plus, voir l'article de www.usine-digitale.fr.
|
| L'Europe se dote d'une unité commune de cybersécurité, pour renforcer la lutte contre les cyberattaques |
La Commission européenne dévoile ce mercredi son projet d'unité commune de cybersécurité, une plateforme qui permettra de mieux coordonner les agences de défense, la police, l'armée et les autorités compétentes dans la lutte contre les cyberattaques. Cette entité sera mise en place d'ici à 2022 par l'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA), en coopération avec Europol.
Pour en savoir plus, voir l'article de lecho.be.
|
| "Quand le décideur européen joue le jeu des Big techs…", un intéressant rapport d'Ophélie Coelo, de l'Institut Rousseau |
La période que nous connaissons n’a fait qu’affirmer nos dépendances à des acteurs techniques devenus aujourd’hui très puissants. Les Big techs (les plus connues sont Amazon, Microsoft et Google) ne sont plus de simples pourvoyeuses d’outils numériques, mais se rendent aujourd’hui indispensables aux technologies socles de télécommunication. Malheureusement en Europe, les questions de choix d’un outil numérique ou d’un prestataire technique ont souvent été reléguées au rang de sujet opérationnel et budgétaire, dans une logique utilitariste ne prenant pas en compte les aspects stratégiques, la gestion des risques et les spécificités de ces technologies.
Pour lire l'étude, voir le site de l'Institut Rousseau.
|
| Candidatez pour aider à rédiger le futur schéma européen de certification pour la 5G |
L’ENISA, mandatée par la Commission Européenne pour rédiger le futur schéma européen de certification pour la 5G, est à la recherche d’experts dans le domaine. Industriels, utilisateurs, centres d’évaluation, organismes de normalisation, académiques : si vous souhaitez faire partie du groupe de travail, n’hésitez pas à candidater ! L’appel à candidatures se clôturera le 30 juin 2021.
Pour en savoir plus, voir le site de l'ANSSI.
|
| Des chercheurs publient une étude sur la capacité des antivirus à détecter les malwares Android |
Un groupe de chercheurs en Turquie et au Pakistan a créé un outil pour cloner les maliciels Android et tester la résistance de ces nouvelles variantes à la détection des logiciels antivirus. Appelé DroidMorph, l'outil permet de cloner des applications malveillantes et bénignes en apportant des modifications à différents niveaux d'abstraction. Les tests effectués sur des logiciels antivirus commerciaux ont montré que la moitié d'entre eux ne détectent pas les clones.
Pour lire l'étude (en anglais), c'est ici.
|
| Des chercheurs montrent comment assurer une communication secrète à base de laser à cascade quantique |
La communication optique dans l'infrarouge moyen en espace libre à grande vitesse a un fort potentiel en raison de son immunité aux interférences électromagnétiques, à condition de garantir la sécurité des données. Des chercheurs ont montré comment deux lasers à cascade quantique couplés unidirectionnellement et fonctionnant en régime chaotique permettent l'extraction de l'information qui a été cachée dans l'émission chaotique. Cette communication privée en espace libre ouvre des stratégies de chiffrement de la couche physique.
Pour en savoir plus, voir l'article (en anglais) publié dans nature.com.
|
| Bitdefender publie une mise à jour de son outil de déchiffrement du rançongiciel Avaddon |
L'entreprise vient de rendre publique une mise à jour de l'outil publié en février 2021, et disponible gratuitement. Il a été conçu pour aider les victimes à récupérer leurs données chiffrées avec le rançongiciel Avaddon.
Pour en savoir plus, voir le site (en anglais) de Bitdefender.
|
| Nvidia investit massivement dans un supercalculateur à Cambridge |
Nvidia va dépenser un minimum de 100 millions de dollars pour son supercalculateur Cambridge-1 qui est destiné à la recherche médicale. La machine sera dotée d'une capacité de calcul de 400 pétaflops pour le deep learning et 8 pétaflops de performances Linpack. Dans un premier temps, Cambridge-1 se destine à aider la recherche sur le Covid-19.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| DNS, ce protocole qui ne vous veut pas que du bien |
DNS, le protocole de récupération des noms de domaines, semble bien inoffensif et pourtant celui-ci est activement exploité par les malwares pour échanger des données. C’est la raison pour laquelle il est urgent de s’en préoccuper dès maintenant. La plus grosse menace qui pèse reste le DDOS DNS, attaques en force brute. L'autre risque est celui de l’usurpation de domaine. Pour la contrer, la technologie DNSSEC est efficace mais celle-ci n’est pas encore très répandue.
Pour en savoir plus, voir l'article de linformaticien.com.
|
| Tesla détient le cinquième supercalculateur le plus puissant au monde, destiné à l'aide à la conduite |
Destiné à motoriser un vaste réseau neuronal utilisé par l'Autopilot et qui servira à la conduite autonome voulue par le groupe, ce superordinateur s'annonce d'entrée de jeu comme le cinquième le plus puissant au monde. Tesla a en effet besoin de puissance de calcul à l'intérieur de ses véhicules (au travers de puces embarquées pour gérer et le logiciel interne et les différentes opérations calculées en temps réel et localement), mais aussi à l'extérieur de ses voitures électriques. L'objectif : traiter les données nécessaires à l'entraînement de l'IA dédiée à la conduite autonome, envoyées en continu par la flotte de véhicules Tesla lancée sur les routes.
Pour en savoir plus, voir l'article de clubic.com.
|
| Google rend disponible sous licence open source une boîte à outils de chiffrement entièrement homomorphique (FHE) |
Les applications sont généralement conçues pour chiffrer les données lorsqu'elles sont au repos ou en transit, mais les acteurs malveillants pourraient toujours y avoir accès pendant leur traitement, car à ce stade, les données sont déchiffrées. Le FHE résout ce problème en permettant aux parties autorisées de travailler avec les données pendant qu'elles restent chiffrées. Google a mis sous licence open source une collection de bibliothèques C++ pour la mise en œuvre du chiffrement entièrement homomorphe (FHE) dans les applications modernes.
Pour en savoir plus, voir l'article de developpez.com.
|
| AstraZeneca, Docaposte et Impact Healthcare lancent une plateforme française d'hébergement et d'analyse de données de santé |
AstraZeneca, Docaposte, la filiale numérique du groupe La Poste, et Impact Healthcare, société spécialisée dans les services numériques dédiés à la santé, annoncent le lancement du consortium "Agoria Santé". Ils proposent une plateforme d'hébergement et d'analyse des données de santé qui sera opérée en France au sein de l'environnement "hébergeur de données de santé" (HDS) de Docaposte. Ce label autorise le stockage de données de santé.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Google veut rendre ses systèmes d'exploitation Android et Chrome OS plus difficiles à pirater |
Le géant de la recherche travaille à l’intégration du langage Rust dans le noyau Linux de ses systèmes d'exploitation, un changement technologique et culturel majeur après des décennies d'utilisation du seul C. Un effort de modernisation qui pourrait contribuer à renforcer la sécurité de l'Internet et des smartphones en général. Google finance ce contrat via l'Internet Security Research Group, organisme à but non lucratif qui a également facilité la sécurisation des communications sur les sites Web grâce à l'initiative Let's Encrypt.
Pour en savoir plus, voir l'article de cnetfrance.fr.
|
| Le Parlement européen appelle à un renforcement des normes en matière de cybersécurité de l'IoT |
Les députés européens s'inquiètent de la fragmentation des législations en matière de cybersécurité entre les Etats membres. Ils appellent la Commission européenne à rapidement adopter une réglementation en la matière pour lutter efficacement contre les attaques informatiques, visant en particulier les objets connectés, en favorisant le partage d'informations.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| L'Observatoire FIC organise le 30 juin un petit déjeûner sur "la sécurité du DNS, clé de la résilience d’Internet ?" |
Le DNS (Domaine Name System), clé de voûte d’Internet puisqu’il est au cœur de l’architecture du réseau, constitue une cible de choix pour les cyber-attaquants. En outre, le protocole particulièrement permissif du DNS en fait également un vecteur d’attaque privilégié. Les risques non négligeables touchent au fonctionnement même d’Internet. Alors, la sécurité du DNS, clé de la résilience d’Internet? Quelles solutions, techniques, humaines et organisationnelles, pour sécuriser le DNS et garantir un Internet mondial sûr, stable et résilient ?
Pour s'inscrire, c'est ici.
|
| Réglementation des paiements en ligne : l’importance de sécuriser son shopping en ligne |
Depuis le samedi 15 mai 2021, la réglementation concernant les paiements en ligne a évolué avec l’entrée en vigueur de nouvelles normes afin de sécuriser davantage les achats sur Internet. Prévu par la directive européenne dite « DSP2 », ce nouveau dispositif s’applique à l’ensemble des pays européens et a pour ambition de limiter la fraude. Ces nouvelles consignes permettant de limiter les piratages sur les paiements en ligne.
Pour en savoir plus, voir l'article de globbsecurity.fr.
|
| Le "Sommet Virtuel Cybersécurité" a lieu le 23 juin 2021, inscrivez-vous |
Gouvernance des risques cyber, démarche DevSecOps, gestion des identités et des accès, rôle du RSSI, sécurité des environnements cloud, nouveaux outils de sécurité, gestion de crise, sensibilisation du Management et des collaborateurs…. Autant de sujets à considérer lorsqu’il s’agit de repenser la politique de sécurité IT. Rendez-vous le mercredi 23 juin en virtuel pour en discuter ensemble à travers des tables rondes, des retours d’expérience et des avis d’experts.
Pour s'inscrire, c'est ici.
|
| Syntec Numérique et TECH IN France fusionnent pour créer Numeum, le syndicat de l’écosystème numérique français |
Syntec Numérique et TECH IN France annoncent la fusion de leurs organisations donnant ainsi naissance à « Numeum », le premier syndicat de représentation de l’écosystème numérique en France. Numeum a vocation à représenter les ESN (Entreprises de Services du Numérique), les ICT (entreprises de conseil en technologies), les éditeurs de logiciels, les plateformes et plus largement toutes les entreprises du numérique.
Pour en savoir plus, voir l'article de globalsecuritymag.fr ou celui de usine-digitale.fr.
|
| La dureté du chiffrement du réseau mobile 2G diminuée délibéremment |
La presse se fait aujourd'hui l'écho d'un fait connu depuis longtemps : "des chercheurs ont découvert que l'algorithme de chiffrement utilisé pour la connectivité GPRS des réseaux 2G (entre les mobiles et les stations de base du réseau) avait été délibérément affaibli dans les années 1999/2000, ouvrant la voie au déchiffrement des communications. L'ETSI en charge de son élaboration se défausse sur les textes réglementaires nationaux qui imposaient à l'époque ces restrictions".
En effet, l'algorithme GEA-1 ne chiffre pas en 64 bits comme prévu à l'origine, mais en 40 bits. Pour lire des articles qui en parlent, c'est sur lemondeinformatique.fr ou sur sur developpez.com.
|
| l’ANSSI organise les 8 et 9 juillet 2021 un webinaire de "jobdating" en distanciel |
Cette année, près de 100 postes sont à pourvoir à l’autorité nationale en matière de cybersécurité dans les domaines suivants : Sécurité des systèmes d’information, sécurité des réseaux, audit, détection d’intrusion, cryptographie, certification, analyse des risques, sécurité du numérique, réglementation, juriste en droit public des affaires, chargé de recrutement IT.
Pour tout savoir et s'inscrire (nombre de place limité), voir le site de l'ANSSI..
|
| Selon l'IACR, les algorithmes de chiffrement GPRS GEA auraient une faille intentionnellement cachée |
L'International Association for Cryptologic Research (IACR) a publié un article intitulé "Cryptanalyse des algorithmes de chiffrement GPRS GEA-1 et GEA-2". Cet article présente les premières attaques cryptographiques sur les algorithmes GEA-1 et GEA-2. L'attaque sur GEA-1 est basée sur une interaction exceptionnelle entre les LFSRs déployés et l'initialisation de la clé, ce qui est très peu probable de se produire par hasard. Ce schéma inhabituel indique que la faiblesse est cachée intentionnellement pour limiter le niveau de sécurité à 40 bits par conception.
Pour en savoir plus, voir le site d'inscription developpez.com.
|
| L’OTAN annoncé avoir mis sur pied une "politique de cyberdéfense globale" |
L’OTAN s’apprête à déployer une "politique de cyberdéfense globale" pour lutter contre l’explosion des cybermenaces et des cyberattaques, a annoncé l’organisation dans un communiqué de presse rédigé par ces chefs d’États, lundi 14 juin. La politique globale vise à réaffirmer certaines des prérogatives prises par ces membres, notamment l’activation de l’article 5 – chaque attaque armée auprès d’un pays équivaut à une attaque contre l’ensemble de ses membres – en cas de cyberattaque.
Pour en savoir plus, voir le site d'inscription linformaticien.com.
|
| Le 24 Juin prochain, le CEFCYS organise son 10ème colloque sur le thème de "la gestion de crise cyber" |
Le Cercle des Femmes de la CyberSécurité (CeFCys) organise l'après-midi du 24 juin prochain son 10e colloque, cette année sur le thème de "la gestion de la crise cyber". L'évènement en ligne est gratuit, avec inscription obligatoire.
Pour en savoir plus, voir le site d'inscription eventbrite.fr.
|
| Google annonce mettre en place le chiffrement côté client sur ses applications "Google Workspace" |
Google propose désormais un chiffrement côté client pour ses applications "Google Workspace", anciennement connues sous le nom de "G Suite". Il permet aux utilisateurs de contrôler leurs propres clés de chiffrement. Les données des clients sont indéchiffrables pour Google, tandis que les utilisateurs peuvent continuer à profiter de la collaboration native de Google sur Internet, accéder au contenu sur les appareils mobiles et partager des fichiers chiffrés en externe.
Pour en savoir plus, voir l'article (en anglais) de Google.
|
| Pour l'ACN, le marché français de la confiance numérique reste dynamique |
Les acteurs du marché de la confiance numérique ont le moral au beau fixe selon l' "Alliance pour la Confiance Numérique" qui vient de publier son observatoire 2021. La filière a eu une croissance soutenue malgré la crise et les perspectives sont bonnes. Avec le plan national sur la cybersécurité et la tendance autour de la souveraineté, la filière est confiante sur le futur.
Pour en savoir plus, voir l'article de lemondeinformatique.fr/.
Pour consulter l'observatoire 2021 de l'ACN, c'est bien sûr sur le site de l'ACN.
|
| Et la consolidation du marché continue: Devoteam annonce l’acquisition d’Integrity |
Devoteam continue de consolider son orientation stratégique en cybersécurité avec l’acquisition d’Integrity, une plateforme de services basée sur le cloud, experte en Pentesting as a Service (PTaaS). Grâce à cette acquisition, Devoteam renforce ses activités de conseil en matière de gouvernance, de risque et de conformité et offrira des services managés via une plateforme dédiée dans toute la région EMEA. Integrity rejoint ainsi l’équipe Cyber Trust de 650 consultants de Devoteam.
Pour en savoir plus, voir l'article de globalsecuritymag.fr.
|
| Des chercheurs de Toshiba créent un réseau quantique "inviolable" sur des centaines de kilomètres |
Le géant japonais Toshiba a annoncé qu'il avait réussi à transmettre des informations quantiques sur des fibres optiques de 600 km de long. Les chercheurs de la société ont ainsi établi un nouveau record de distance. L'une des premières applications de cette technique dans le monde réel sera la distribution de clés quantiques (QKD) sur de longues distances.
Pour en savoir plus, voir l'article de developpez.com.
|
| La Commission européenne modernise le mécanisme des clauses contractuelles types encadrant les transferts de données personnelles hors de l’UE |
Parallèlement à l’invalidation du Privacy Shield, l'UE avait réaffirmé la validité d’un mécanisme alternatif, très répandu dans la pratique : les clauses contractuelles types. Elles consistent à soumettre contractuellement l’entité réceptrice aux grands principes de la protection européenne. La Commission européenne vient de moderniser ces clauses, qui dataient de 2001 et de 2010 notamment en y intégrant les principes du RGPD.
Pour en savoir plus, voir l'article de silicon.fr.
Pour lire le texte officiel de l'UE, c'est ici.
|
| IBM livre à l’Allemagne le premier ordinateur quantique d'Europe |
Installé dans un centre de données d’IBM proche de Stuttgart, le System One est d’une puissance de 27 qbits. Moins puissant que le système Hummingbird dévoilé en 2020 (65 qbits), il s’agit du système Falcon lancé en 2019. « Mais le programme conjoint d’IBM et de l’Institut Fraunhofer prévoit une mise à jour régulière de la puissance », a précisé le responsable des activités quantiques pour IBM France.
Pour en savoir plus, voir l'article de 01net.com.
|
| L'Italie se crée une agence nationale de cybersécurité, l' "Agenzia per la cybersicurezza nazionale" |
Cette nouvelle agence nationale ("Agenzia per la cybersicurezza nazionale", ou ACN) aura pour mission de protéger les intérêts nationaux et la résilience des services et des fonctions essentielles de l'État contre les cybermenaces. L'agence emploiera environ 300 personnes, sera contrôlée par le Premier ministre et son conseiller pour les services de sécurité.
Pour en savoir plus, voir (en italien) le décret du gouvernement italien.
|
| L'ANSSI lance sa campagne de sensibilisation "Le Cybermoi/s" |
La campagne de sensibilisation "Le Cybermoi/s" est pilotée par l'ANSSI et organisée par un groupe de travail composé d’une vingtaine d’entités distinctes dont ACYMA, des ministères, des associations et des organisations professionnelles. L’objectif : concevoir une campagne nationale, diffuser des bonnes pratiques numériques et parler d’une seule voix.
Pour en savoir plus, voir le site de l'ANSSI.
|
| L'ACN publie un rapport sur les procédés cryptographiques avancés |
Ce rapport de l'Alliance pour la Confiance Numérique (ACN) présente les différentes technologies cryptographiques existantes ou en cours de développement qui permettent de mettre en oeuvre les fonctionnalités d’identification et d’authentification nécessaires au déploiement de l’identité numérique dans une société numérique.
Pour télécharger le rapport, c'est ici.
|
| Les Rançongiciels combinent de plus en plus chiffrement de fichiers, vol de données et attaques DDoS |
Lorsqu’il s’agit de dérober l’argent des organisations non sécurisées, les innovations des cybercrimninels ne faiblissent pas. Combiner le chiffrement de fichiers, le vol de données et les attaques DDoS semble être le tiercé gagnant du ransomware. Selon Bleeping Computer, SunCrypt et Ragnor Locker ont été les premiers à recourir à cette tactique. Et d’autres opérateurs de ransomware les ont rejoints, notamment Avaddon et Darkside, l’auteur de l’incident de Colonial Pipeline.
Pour en savoir plus, voir l'article de securite.developpez.com.
|
| La France et la Suisse expérimentent une monnaie numérique publique pour les paiements transfrontaliers |
La Banque de France, la Banque nationale suisse et la Banque des règlements internationaux (BRI) lancent le projet Jura pour expérimenter la monnaie numérique de banque centrale de gros pour fluidifier les paiements transfrontaliers. Les transactions effectuées seront réglées entre banques domiciliées dans l'un des deux pays.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| La CNIL approuve le premier code de conduite européen dédié aux fournisseurs de services d’infrastructure cloud (IaaS) |
Ce code, porté par Cloud Infrastructure Service Providers Europe (CISPE), s’adresse aux fournisseurs de services d’infrastructure cloud situés sur le territoire de l’Union européenne. Il apporte une dimension opérationnelle aux principes européens et nationaux de la protection des données. Il se divise en cinq parties : champ d’application géographique et matériel / exigences en matière de protection des données / exigences en matière de transparence des mesures de sécurité /modalités d’adhésion au code de conduite / projet de gouvernance du code.
Pour en savoir plus, voir l'article de cnil.fr.
|
| Conférence "Approche de la cybersécurité par l'analyse des risques cyber" organisée par le Cercle d'Intelligence Économique du Medef Hauts-de-Seine |
|  |
Dans le cadre des "Lundi de la cybersécurité", qui ont habituellement lieu à l'Université de Paris, se tient aujourd'hui la visioconférence co-organisée et animée par Gérard Péliks, membre de l'ARCSI, et dispensée par Pierre Calais, directeur des opérations chez EGERIE, sur le thème "Approche de la cybersécurité par l'analyse des risques cyber".
Participation gratuite mais inscription obligatoire par courriel auprès de beatricelaurent.CDE@gmail.com.
Pour tout savoir, le lien est ici.
L'enregistrement vidéo de la conférence est disponible ici.
La présentation pdf de la conférence est disponible ici.
|
| Le partenaire du ministère des Armées "Bertin IT" se fait racheter par ChapsVision |
Le groupe ChapsVision veut s’imposer dans la fourniture de solutions en progressant par rachats successifs. Depuis ses débuts, ChapsVision s’est emparant successivement du CRM Coheris, d’Octipas dans le retail, de Sparkow (e-commerce) et plus récemment de la pépite bordelaise NP6 (marketing automation). C’est désormais au tour de Bertin IT et de sa filiale spécialisée dans le traitement de la voix Vecsys.
Pour en savoir plus, voir l'article de linformaticien.com.
|
| « Crypto crackdown » : les régulateurs à l’assaut des monnaies virtuelles |
Après la Chine, l’Inde ou encore la Turquie, les Etats-Unis annoncent leur intention de réguler le marché des cryptomonnaies. D’après le Financial Times, les autorités financières américaines se préparent à réglementer le marché des quelque 1.500 milliards de dollars que représentent les cryptomonnaies dans le pays. La Commission européenne prépare également des règles "harmonisées", devant imposer de nouveaux impératifs aux entreprises de "stablecoins", ces jetons virtuels censés conserver une valeur sûre sur le long terme
Pour en savoir plus, voir l'article de usbeketrica.com.
|
| Lors de la présentation de son rapport d'activités, L'ANSSI alerte sur une explosion des menaces |
L'ANSSI vient de présenter son rapport d'activité pour l'année 2020. Elle conclut sur une explosion des cyberattaques, en particulier des ransomwares dont les signalements ont été multipliés par quatre en un an seulement. Pour lutter contre ces menaces, l'Etat doit davantage coopérer avec le privé et avec les pays membres de l'UE.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Face à la pression réglementaire, Google prend des engagements sur sa nouvelle politique de cookies |
Google a pris une série d'engagements sur ses futures alternatives aux cookies tiers, qui seront progressivement supprimés, à la suite d'une enquête menée par l'autorité britannique de la concurrence. Elle ouvre une consultation publique pour que les tiers intéressés puissent soumettre leurs avis. Une fois validés, ces engagements deviendront juridiquement contraignants.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Solange Ghernaouti, membre de l'ARCSI, publie sur son blog: "QR Code, de quoi es-tu le nom ?" |
Ce petit pictogramme qui envahit nos espaces et nos vies, que nous utilisons souvent sans vraiment le connaitre, est pour certains une véritable œuvre d’art porteuse d’informations codées aux design et graphisme esthétiques, pour d’autres, un moyen commode d’effectuer un service. Pour la majorité des usagers de la téléphonie mobile et de l’Internet, il est juste une pratique numérique devenue banale pour notamment accéder, consommer, payer, échanger, se déplacer...
Voir l'article de Solange ici.
|
| Tour d'horizon de l'écosystème "Ethereum", deuxième cryptomonnaie mondiale |
Le cours de la deuxième crypto-monnaie mondiale (après le "Bitcoin") bat des records, tandis que le projet connaît un essor fulgurant et se prépare à une « V2 » pour rendre son réseau plus fluide et moins énergivore. Pourtant, si Ethereum se traduit bien par une crypto-monnaie (l’ether, ETH), le projet est loin de se résumer à cela, et a même été conçu depuis l’origine comme une plateforme applicative.
Pour en savoir plus, voir l'article de clubic.com.
|
| La filiale "IA" de Google lance une librairie d’apprentissage par renforcement pour Android |
DeepMind, la filiale spécialisée dans l’intelligence artificielle de Google, a annoncé le développement d’une plateforme open source d’apprentissage par renforcement (RL) pour l’écosystème Android. Elle permet aux modèles RL d’interagir sur une grande variété d’applications et de services qu’utilisent les usages d’Android au quotidien grâce à une interface adaptée.
Pour en savoir plus, voir l'article de actuia.com.
|
| GlobalSign : "Le chiffrement RSA est mort, nous ne l’avons simplement pas encore accepté" |
RSA n’est pas encore cassé, mais il est définitivement vulnérable. En fait, au cours des dernières années, un flux d’articles détaillant les moyens d’attaquer RSA a été publié à un rythme assez régulier. Pourtant, alors que nous discutons de concepts tels que la crypto-agilité et que nous nous lançons à pleine vitesse dans les cryptosystèmes post-quantiques, les entreprises et les organisations du monde entier continuent à surutiliser RSA dans leurs réseaux. Il est temps de mettre RSA en veilleuse.
Pour en savoir plus, voir l'article de globalsecuritymag.fr.
|
| Sesame IT se fait certifier par l'ANSSI pour sa sonde réseau Jizô destinée aux Opérateurs d’Importance vitale |
Cette qualification permet désormais aux opérateurs publics ou privés dits "OIV", dont les activités sont indispensables au bon fonctionnement et à la survie de la nation, de disposer d’une solution de confiance certifiée par l’Etat. Jizô est une solution de détection d’incidents durcie, développée pour répondre à la Loi de Programmation Militaire (LPM).
Pour en savoir plus, voir l'article de linformaticien.com.
|
| GAIA-X : la nouveau "board" est-il vraiment représentatif ? |
Renouvelé, le conseil d’administration de GAIA-X laisse peu de place aux PME, à la filière open source… et aux industriels européens du cloud. Et seuls six des vingt-quatre sièges ont échu à des représentants de groupes français, en l'espèce OVHcloud, BNP Paribas, EDF, Orange Business Services, Airbus et Atos.
Pour en savoir plus, voir l'article de silicon.fr.
|
| Samsung prépare une nouvelle génération de disques SSD utilisant de la V-NAND 176 couches |
En 2013, Samsung était le premier à entrer dans la fabrication de masse de NAND 3D, pour ses disques durs à base de semiconducteurs, appelés SSD (Solid State Disks). Il s'agissait alors de mémoires 24 couches et, aujourd'hui, le Sud-coréen embraye sur l'annonce de Micron et de sa mémoire 176 couches. Il évoque également l'existence de premiers échantillons de V-NAND de huitième génération, une mémoire de plus de 200 couches qu'il prépare.
Pour en savoir plus, voir l'article de clubic.com.
|
| La plateforme GitLab acquiert UnReview, un outil pour aider les développeurs à corriger leurs codes |
Le logiciel de forge et plateforme DevOps GitLab a annoncé l’acquisition de l’application UnReview. Cet outil de recommandation exploite le machine learning pour améliorer l’expérience utilisateur des développeurs souhaitent vérifier le code qu’ils ont conçu. D’ici la fin de l’année 2021, UnReview sera intégré dans GitLab en mode Software as a Solution (SaaS) pour que les usagers de la plateforme open source puissent reprendre leur code plus facilement.
Pour en savoir plus, voir l'article de actuia.com.
|
| Un simple hébergeur reconnu coupable de complicité de contrefaçon |
Si les hébergeurs ont une exonération générale de responsabilité, celle-ci est conditionnelle, ce que Dstorage a appris à ses dépends. Plusieurs sociétés ayant-droits et organisations professionnelles avaient attaqué cet hébergeur pour avoir hébergé des oeuvres numérisées. Cette jurisprudence s'applique à tout site web où des tiers peuvent charger des données, des informations ou des commentaires.
Pour en savoir plus, voir l'article juridique de cio-online.com.
|
| Open source : la filière française sollicite une "stratégie industrielle" auprès de l’État |
Le Conseil national du logiciel libre (CNLL), qui rassemble 300 entreprises dans 12 clusters régionaux, a publié une étude consacrée à la filière française des acteurs de l’open source. Ces TPE et PME réclament davantage de considérations de la part des acteurs du secteur public et des administrations, courtisés par les GAFAM.
Pour en savoir plus, voir l'article de lemagit.fr.
|
| Opération Ironside: Coup de filet mondial contre le crime organisé grâce à une messagerie chiffrée créée par le FBI |
Des centaines de personnes ont été arrêtées à travers le monde au cours d’un gigantesque coup de filet contre le crime organisé initié par la police australienne. Les criminels présumés se croyaient protégés en communiquant avec des smartphones qu'ils pensaient sécurisés. Mais leur messagerie chiffrée baptisée AN0M était en fait un cheval de Troie créé par le FBI. Pendant trois ans, la police australienne et celles d'une vingtaine de pays ont pu tranquillement espionner leurs communications soit-disant sécurisées.
Pour en savoir plus, voir l'article de 20minutes.fr ou celui de lemonde.fr.
|
| Qualys annonce le décès de son emblématique CEO français Philippe Courtot |
C’est avec une profonde tristesse que Qualys, Inc., annonce le décès de Philippe Courtot, ancien PDG, président et dirigeant de la société depuis 20 ans. Philippe est décédé le 5 juin à l’âge de 76 ans. Il a mené Qualys à travers un parcours remarquable et en a fait un fournisseur leader de solutions de sécurité et de conformité des informations basées sur le cloud. Philippe Courtot a apporté une vision à l’entreprise qui était unique dès le début : créer une plate-forme de livraison cloud qui permettrait l’analyse de n’importe quel réseau. au niveau mondial.
Pour en savoir plus, voir l'article de globalsecuritymag.fr.
|
| Lors de sa "WWDC21", Apple continue le combat pour la protection de la vie privée |
Apple, chantre de la défense de nos données privées a mis en avant ses nouveaux efforts en la matière sur ses systèmes d'exploitation mobiles (iOS, iPadOS). Ainsi, Mail Privacy Protection permet de cacher votre adresse IP, quand vous utilisez Mail, afin que les emails marketing ne vous espionnent pas. Grâce à cette fonction, ils ne peuvent pas savoir où vous êtes, quand vous ouvrez un mail. L'App Privacy Report est aussi un moyen de suivre ce que font vos applications de vos données, lesquelles sont utilisées et avec qui elles sont partagées.
Toutes les nouveautés de ces systèmes sont expliquées par 01net.com.
|
| Les cryptomonnaies entrent à la Bourse de Paris adossées à des produits cotés |
La Bourse de Paris lance des produits cotés adossés à des cryptomonnaies, a annoncé Euronext. Quatre émetteurs pionniers (ETC Group, VanEck, 21Shares, WisdomTree) ont été choisis pour proposer aux investisseurs des produits échangeables qui évoluent en fonction d'un panier de titres indexés sur des cryptomonnaies. Eeront cotés sur Euronext Paris "trois trackers dont les sous-jacents sont le bitcoin et l'ethereum", deux cryptomonnaies phares déjà cotés en Suisse, en Allemagne et en Autriche.
Pour en savoir plus, voir l'article de zdnet.fr.
|
| La plateforme GitHub clarifie sa politique d’accueil des malwares |
S’étant attirée les foudres de la communauté infosec pour avoir retiré un PoC lié à la faille ProxyLogon, la plateforme GitHub précise sa politique en la matière, après avoir consulté ses utilisateurs. À l’issue de ce processus, deux documents ont fait l’objet de modifications. D’un côté, celui qui liste les usages "acceptables". De l’autre, les "lignes directrices" à destination de la communauté.
Pour en savoir plus, voir l'article de silicon.fr.
|
| Les États Unis veulent traiter le ransomware comme le terrorisme |
Plutôt que de traiter les cas de ransomware comme des affaires séparées, les États Unis souhaitent mettre en place un groupe de travail centralisé basé à Washington qui regrouperait toutes les affaires de ce type. Une méthode qui avait déjà été mise en œuvre pour travailler sur les cas de terrorisme. La paralysie des services de Colonial Pipelines a en effet été un électrochoc pour les États Unis, en montrant la façon dont les attaques au rançongiciel peuvent affecter des infrastructures jugées essentielles par le pays.
Pour en savoir plus, voir l'article de zdnet.fr.
|
| Le Pôle d'Excellence Cyber renouvelle sa gouvernance, le Vice-Amiral d'escadre Coustillière en prend la présidence |
Par un communiqué de presse daté du 3 juin, le Pôle d'Excellence Cyber (PEC) annonce renouveler sa gouvernance en ayant choisi le Vice-Amiral d'escadre (2S) Arnaud Coustillière pour en prendre désormais la présidence. A cette nouvelle fonction et dans la continuité de son prédécesseur, il aura à coeur de préserver l'esprit originel du pôle et sa richesse.
Pour en savoir plus, voir le lien sur twitter.com.
|
| Les cyberattaquants passent en moyenne plus de 250 heures sans être détectés sur les réseaux ciblés |
La nouvelle étude Active Adversary Playbook 2021 révèle en effet que 69 % des attaques traitées par Sophos en 2020 ont utilisé le protocole RDP pour opérer des mouvements latéraux internes, et qu'ainsi, ils ont réussi a passer plus de 250 heures sans être détectés sur les réseaux ciblés. Détaillant les comportements et les tactiques, techniques et procédures (TTP) d’attaque observés par ses équipes de chasse aux menaces et de réponse aux incidents en 2020, l’étude révèle que le temps d’exposition moyen d’une attaque atteint 11 jours, le record étant de 15 mois. Le ransomware figure dans 81 % des incidents.
Pour en savoir plus, voir l'article de globbsecurity.fr.
|
| Google s'inspire du système d'exploitation iOS d'Apple pour limiter le traçage publicitaire sur Android |
À partir de cette année, Google empêchera l’accès à l’identifiant publicitaire unique rattaché aux utilisateurs Android choisissant de désactiver les publicités personnalisées sur leur appareil, interdisant ainsi aux applications qui l’utilisent de pister les utilisateurs. Cette mesure sera mise en place sur Android 12 d'ici à la fin de l’année et sera étendue à tous les appareils prenant en charge Google Play d’ici début 2022.
Pour en savoir plus, voir l'article de 01net.com.
|
| Le géant américain FireEye vend sa division dédiée aux produits de sécurité au nouveau mastodonte "Symphony Technology Group" |
Le géant américain de la cybersécurité vient d'annoncer la vente de sa branche produits à un consortium dirigé par Symphony Technology Group pour 1,2 milliard de dollars. Il garde ainsi les logiciels et services de son unité Mandiant dédiés à l'investigation numérique et à la réponse aux incidents. Cette opération va scinder en deux les activités de FireEye, qui deviendra donc Mandiant. Les produits dédiés à la sécurisation des réseaux, emails, terminaux et cloud sont cédés à STG. Tandis que le géant américain garde la main sur les logiciels et services de Mandiant, spécialisés dans l'investigation numérique et la détection des incidents, issus du rachat de Mandiant en 2014.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Création d'une agence nationale de lutte contre les manipulations de l'information |
Rattachée au Secrétariat général de la Défense et de la Sécurité nationale (SGDSN), cette agence aura pour objectif d'identifier les tentatives d'ingérence venues de l'étranger. Elle travaillera à partir de sources ouvertes et regroupera une soixantaine de personnes. Son but sera de lutter contre la désinformation afin de limiter son expansion. L'agence de lutte contre les manipulations de l'information sera mise en place en septembre 2021.
Pour en savoir plus, voir l'article de lemonde.fr.
|
| L'Union européenne a décidé de créer un portefeuille numérique commun à tous les pays membres |
Cette décision vise à remédier au fait que chaque pays propose actuellement son propre système pour accéder aux services en ligne, le plus souvent incompatible avec les autres. Ce portefeuille prendra la forme d'une application sécurisée grâce à une empreinte digitale ou rétinienne. Elle permettra d'enregistrer ses informations de paiement, et d'utiliser une seule identité pour accéder à différents services, tels les sites gouvernementaux ou encore payer ses factures. L'application servira également de coffre-fort afin de stocker des documents numériques, comme le permis de conduire ou des mots de passe. Le portefeuille numérique devrait être disponible d'ici un an.
Pour en savoir plus, voir l'article de futura-sciences.com.
|
| L’Agence nationale de la sécurité des systèmes d’information (ANSSI) publie son rapport d'activités 2020 |
2020 a été une année riche pour l’ANSSI. Face à l’explosion de la menace cyber, les défis à relever sont nombreux et nécessitent de se tourner vers l’avenir et d’anticiper. À l’occasion de la publication de son rapport d’activité, elle organise le 10 juin 2021 un webinaire ouvert à tous et à toutes. Ce moment d’échange permettra de dresser le bilan de l’année écoulée et les tendances de la menace cyber, et d’échanger sur les projets prioritaires de l’agence.
Pour tout savoir et s'inscrire (dans la limite des places disponibles), voir l'article de ssi.gouv.fr.
|
| La cryptographie quantique manque de certification |
En théorie, le chiffrement quantique est inviolable. Mais son implémentation industrielle doit être certifiée, ce qui n’est possible que par de multiples tests. Un laser très puissant peut mettre à bas cette technologie, comme l’ont démontré des chercheurs dans la revue Nature Scientific Reports.
Pour en savoir plus, voir l'article de lemagit.fr.
|
| Panne importante sur les réseaux télécom pour les appels d'urgence |
En début de soirée hier, de nombreux centres d'appel d'urgence ont subi une panne majeure. Le problème viendrait d'une opération de maintenance d'Orange. Des numéros d'appel provisoires ont été mis en place par le ministère de l'Intérieur.
Pour rappel, les "numéros uniques", comme le 112, le 17 ou le 18, sont traduits dans le réseau téléphonique dans son réseau de signalisation (dit "réseau intelligent") pour qu'ils correspondent dans chaque partie du territoire au numéro à 10 chiffres du centre de secours le plus proche de l'appel. La géolocalisation de l'appelant est donnée par l'équipement technique du réseau: commutateur de rattachement pour le réseau fixe, antenne du réseau mobile, ou DSLAM pour l'équipement IP. Il semble donc que ce soit l'une ou plusieurs des machines de transcription qui soi(en)t à l'origine de cette panne.
Pour en savoir plus, voir l'article de lemondeinformatique.fr.
|
| La CNIL préconise de ne plus utiliser les "Google Docs" dans l’enseignement supérieur et la recherche |
Interrogée sur l'emploi d'outils collaboratifs américains, l'autorité administrative française estime qu'il faut se passer des solutions américaines et opter pour des solutions françaises ou européennes. La CNIL se dit disponible pour "identifier des alternatives possibles". Des pistes existent du côté des logiciels libres, à l’image de Framasoft ou LibreOffice.
Pour en savoir plus, voir l'article de numerama.com.
|
| De nouvelles failles sur le protocole Bluetooth permettent d'usurper l'identité d'appareils |
Des pirates pourraient exploiter les vulnérabilités des spécifications Bluetooth Core et Mesh pour usurper l'identité d'appareils lors du processus d'appairage, ouvrant ainsi la voie à des attaques de type "man-in-the-middle" (MITM). Ces vulnérabilités divulguées par l'ANSSI permettent des "attaques par usurpation d'identité et des divulgations d'AuthValue", selon un avis du centre de coordination CERT de l'université Carnegie Mellon.
Pour en savoir plus, voir l'article de zdnet.fr.
|
| Les banques britanniques sévissent contre les transferts de crypto-monnaies par crainte de criminalité financière |
Les institutions britanniques arrêtent les paiements au secteur de la "cryptographie" au milieu des craintes des opportunités de criminalité financière qu’elle pourrait présenter. Les Britanniques ont perdu plus de 60 millions de livres sterling au cours de la dernière année dans des escroqueries liées à la fraude à l’investissement, près de la moitié de ces escroqueries impliquant de la crypto-monnaie.
Pour en savoir plus, voir l'article de chastin.com.
|
| Google aurait sciemment caché des paramètres d'Android pour récolter des données de géolocalisation |
D'après des documents judiciaires déposés devant un tribunal en Arizona, Google a rendu presque impossible pour les utilisateurs du système d'exploitation Android de garder leur emplacement géographique privé. La société serait même allée jusqu'à demander à certains fabricants de téléphones, dont LG, de garder ces paramètres cachés. La Cnil irlandaise a également lancé une enquête
en janvier 2020 sur ce sujet.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| La Stratégie Nationale pour la Cybersécurité marque un tournant important grâce au déblocage de fonds gouvernementaux |
Le Coordinateur "Stratégie Nationale Cybersécurité" du Secrétariat Général pour l’Investissement s'est exprimé au "CyberCercle" sur cette initiative financée dans le cadre du plan "France Relance" et du 4e Programme d’investissements d’avenir. Elle devra permettre à l'ANSSI de réaliser des états des lieux, des plans d’actions, des aides au déploiement et de l’achat d’équipements de sécurité déjà disponibles sur le marché.
Pour lire l'interview, voir l'article sur cybercercle.com.
|
| Thales-Atos, une Alliance pour une plateforme de traitement des données sensibles dans le domaine de la défense |
Thalès et Atos annoncent la création d'Athea, structure dont l'objectif est de mettre sur pied une plateforme de traitement des données sensibles dans le domaine de la défense et de la sécurité. Déjà annoncée début mai par la ministre des Armées, Athea doit développer "une plateforme souveraine associant traitement de données massives et intelligence artificielle".
Pour en savoir plus, voir l'article de zdnet.fr.
|
| L’ETSI affirme que le protocole TCP/IP d’Internet est insuffisant pour certaines applications de la 5G |
Dans un communiqué de presse publié récemment, l’organisation qui pilote la normalisation des protocoles de communication GSM annonce la publication de 3 rapports qui proposent des nouvelles solutions afin de combler certaines des faiblesses congénitales de TCP/IP.
Pour en savoir plus, voir l'article de forumATENA.
Pour en savoir plus sur l'ETSI et les autres organismes de normalisation, voir aussi notre page "Ecosystème de la Cybersécurité", à l'adresse Ecosystème.
|
| Une enquête danoise indiquerait que des dirigeants européens ont été espionnés par la NSA depuis le Danemark |
Une enquête de la télévision publique danoise affirme que l’agence de renseignement américaine a détourné les systèmes de surveillance électronique du royaume pour espionner certains de ses plus proches alliés. Elle fait l’écho à un rapport interne aux services de renseignement danois démontrant que la NSA a espionné des personnalités politiques européennes de premier plan en 2012 et en 2014, en utilisant les systèmes danois d’écoute de câbles sous-marins de télécommunications.
Pour en savoir plus, voir l'article de lemonde.fr.
|
| Une nouvelle attaque nommée de type "Rowhammer" exploite la conception même des puces DRAM |
Le mode d'attaque Rowhammer est inhabituel. Il vise à provoquer des "retournements de bits" en accédant rapidement et de manière répétée aux données d'une rangée de mémoire sur une puce RAM pour créer une charge électrique qui modifie les données stockées dans d'autres adresses d'une « rangée de mémoire » adjacente sur une puce. Au cours des années qui ont suivi la découverte de la première attaque Rowhammer, les chercheurs ont démontré de nombreuses façons d'utiliser cette technique pour altérer les données stockées sur les cartes RAM, y compris les générations DDR3 et DDR4.
Pour en savoir plus, voir l'article de zdnet.fr.
|
| Cloud souverain : Orange va décliner le Cloud "Azure" en "Bleu" avec l'aide de Capgemini |
Orange et Cap Gemini créeront d’ici à cet été une filiale commune, "Bleu", qui se chargera d’héberger les services du cloud Azure sur des infrastructures françaises. Cette annonce fait suite à la récente présentation par Bruno Le Maire d’un nouveau label « cloud de confiance » qui désignera les hébergeurs 100 % indépendants d’une législation étrangère et, plus particulièrement, du CLOUD Act américain.
Pour en savoir plus, voir l'article de lemagit.fr.
|
| Concevoir des algorithmes plus éthiques, question à un spécialiste de l'apprentissage automatique |
Michael Kearns est le co-auteur du livre, “The Ethical Algorithm: The Science of Socially Aware Algorithm Design”, paru en 2019. Cet ouvrage explore la science de la conception d’algorithmes qui intègrent des normes sociales telles que l’équité et la confidentialité dans leur code pour protéger les humains des impacts involontaires provoqués par les algorithmes.
Pour en savoir plus, voir l'article de actuia.com.
|
| Le FBI va rendre public les mots de passe volés qu’il découvre dans ses enquêtes |
Le FBI va déverser les collections de mots de passe compromis qu'il découvre dans ses enquêtes sur Pwned Password, la section de "Have I Been Pwned" (HIBP) dédiée aux mots de passe. Le bureau d’investigation deviendra ainsi son premier contributeur officiel. Plus précisément, le FBI confiera au site seulement des mots de passe « hashés », c’est-à-dire protégés par un chiffrement (SHA-1 ou NTLM).
Pour en savoir plus, voir l'article de numerama.com.
|
| Axio fournit un outil gratuit permettant aux entreprises d'évaluer leur niveau de vigilance face aux ransomwares |
Axio, société de gestion des cyber-risques, étend son outil gratuit d'évaluation de la préparation aux ransomwares, Axio360, afin de donner aux entreprises une visibilité détaillée de leur cyber-position face aux ransomwares. Il a été développé sur la base des recommandations du National Institute of Standards and Technology (NIST) américain, et des recherches exclusives d'Axio basées sur des centaines de ransomwares réels. Ses recommandations portent spécifiquement sur les 20 contrôles les plus importants pour se protéger contre les ransomwares, et chaque recommandation est reliée au contrôle correspondant pour une traçabilité facile.
Pour en savoir plus, voir l'article de developpez.com.
|
| Les vulnérabilités "Server-Side Request Forgery" (SSRF) touchant les applications web explosent |
Les SSRF permettent d’interagir avec un serveur, afin d’en extraire des fichiers et de trouver d’autres services actifs. Un cybercriminel peut ainsi scanner le réseau interne afin d’en identifier les IP et Ports ouverts et de cartographier les ressources existantes. HackerOne, dans son récent rapport sur les principales vulnérabilités, indique que les SSRF représentent une menace forte.
Pour en savoir plus, voir l'article de undernews.fr.
|
| L'utilisation du cloud d'Amazon et de Microsoft par les institutions européennes au coeur d'une enquête |
Le Contrôleur européen de la protection des données lance deux enquêtes sur l'utilisation par les institutions bruxelloises des services de cloud computing de Microsoft et d'Amazon. L'autorité estime que les garanties proposées par ces entreprises américaines sont insuffisantes pour s'assurer que les données qu'elles hébergent sont protégées des autorités américaines en vertu du CLOUD Act.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| SeKVM serait le premier système à garantir la sécurité des machines virtuelles (VM) dans le cloud |
Alors que le piratage a atteint un niveau élevé depuis la fin de la dernière décennie, les experts en cybersécurité s'accordent à dire qu'une nouvelle forme de sécurité des systèmes informatiques est nécessaire pour faire face aux nouvelles menaces. Dans cet état d'esprit, une équipe d'ingénieurs de l'université Columbia a récemment annoncé avoir mis au point un système de logiciels en nuage résistant aux pirates informatiques. Le système, baptisé SeKVM, serait le premier système qui garantit – par une preuve mathématique – la sécurité des machines virtuelles (VM) dans le nuage.
Pour en savoir plus, voir l'article de developpez.com.
|
| MLOps, l’alchimie de tous les métiers de l’intelligence artificielle ? |
Le nombre d’outils et de formations en data science et machine learning a explosé ces dernières années, c'est ainsi qu'on a vu fleurir sur le marché les outils et start-ups estampillés “MLOps” (ou "Machine Learning Ops"). Mais les efforts pour suivre dans la durée le cycle de vie d’un projet machine learning ont été bien moindres. Alors, "MLOps", prochaine révolution du machine learning ou simple buzzword ?
Pour en savoir plus, voir l'article de silicon.fr.
|
| DeepSloth : des chercheurs ont créé la première attaque DDoS contre l’IA |
Des scientifiques de l’Université du Maryland ont développé une nouvelle attaque antagoniste qui peut forcer les systèmes d’apprentissage automatique à ralentir jusqu’à l’exploration. L’attaque neutralise les techniques d’optimisation qui accélèrent le fonctionnement des réseaux de neurones profonds.
Pour en savoir plus, voir l'article de lebigdata.fr.
|
| Apple s'inquiète de la quantité de malwares sur ses ordinateurs Mac |
Un haut responsable d'Apple affirme que les logiciels malveillants pour Mac ont désormais dépassé le niveau de tolérance du géant américain. La cybersécurité s'impose comme la raison principale pour laquelle Apple doit garder l'iPhone, l'iPad et ses autres produits mobiles derrière le jardin clos de l'App Store, explique-t'il.
Pour en savoir plus, voir l'article de zdnet.fr.
|
| 67 % des environnements d’entreprise fonctionnent encore avec des protocoles exploités par les attaques WannaCry et NotPetya |
Quatre ans après des attaques de ransomware dévastatrices, SMBv1 et d’autres protocoles vulnérables sont toujours exécutés dans des environnements informatiques à travers le monde. C'est le constat de l'étude d’ExtraHop destinée à examiner la fréquence de protocoles non sécurisés dans les environnements d’entreprise, plus particulièrement SMBv1, LLMNR (Link-Local Multicast Nom Resolution), NTLMv1 (NT Lan Manager) et HTTP (Hypertext Transfer Protocol). Cette étude a révélé un usage alarmant de ces protocoles, exposant les entreprises et leurs clients à des risques considérables.
Pour en savoir plus, voir l'article de globbsecurity.fr.
|
| Un fabricant taïwanais annonce des disques SSD protégés contre les ransomwares et le vol de données |
Le fabricant taïwanais de SSD Phison et le fournisseur américain de produits de sécurité Cigent ont annoncé une nouvelle gamme de disques SSD qui serait dotée de mécanismes intégrés dans son firmware pour protéger les disques contre les ransomwares et le vol de données. La première et unique gamme de dispositifs de stockage "auto-défensifs" grand public du secteur pourrait aider à limiter ces attaques dont sont victimes de plus en plus d’organisations.
Pour en savoir plus, voir l'article de developpez.com.
|
| Des chercheurs de l'Institut Fraunhofer hackent des clés de sécurité, moyen de protection numérique censé être le plus sûr |
Des failles dans les microcontrôleurs utilisés permettent d’extraire les clés secrètes et de modifier le firmware, à condition d’avoir un accès physique. Ce qui ouvre la porte à des attaques sur les chaînes de distribution. Leur rapport sera présenté en septembre prochain lors que la conférence "Cryptographic Hardware and Embedded Systems 2021".
Pour en savoir plus, voir l'article de 01net.com.
|
| Un concours pour s’initier aux métiers de la cryptographie parrainé par la DGSE |
Le concours Alkindi éveille les élèves à l‘art des codes secrets. Ce concours, créé en 2016 par les associations Animath et France-IOI, fait place belle à la cryptographie, la science des codes secrets et de l’art de chiffrer les messages pour en assurer la confidentialité. L’initiative est notamment parrainée par les services de renseignement.
À noter que c'est l'Association Animath qui organise le "Salon des Jeux Mathématiques", du 27 au 30 mai prochain, et dont l'ARCSI est partenaire. Une page spécifique a été développée sur notre site: jeux_mathematiques_2021.php.
Pour en savoir plus, voir l'article de lefigaro.fr.
|
| La France métropolitaine concentre plus de 5000 postes à pourvoir en cybersécurité, mais les USA... près de 470.000 |
Le déficit de compétences en cybersécurité n’est pas un problème régional ou national, mais mondial. La filière cybersécurité est confrontée à une pénurie mondiale qui tourne autour de 3 millions de personnes qualifiées, selon les données de différents rapports. 5000 postes sont à pourvoir en France métropolitaine, d’après de récentes données de la branche française de la firme PwC. Le département du Commerce des USA pour sa part fait savoir que 465 000 postes en cybersécurité cherchent preneur.
Pour en savoir plus, voir l'article de developpez.com.
|
| La nouvelle version de l'OS Android de Google protègera davantage notre vie privée |
Une multitude de nouvelles fonctionnalités dans Android 12 donneront non seulement plus d’informations sur ce que font les applications, mais elles offriront également des options plus granulaires pour limiter les données auxquelles ces applications peuvent accéder.
Pour en savoir plus, voir l'article de lebigdata.fr.
|
| Microsoft lance un environnement de laboratoire permettant de simuler les cyberattaques |
L'environnement "SimuLand" est une initiative open source de Microsoft visant à aider les chercheurs en sécurité du monde entier à déployer des environnements de laboratoire qui reproduisent des techniques bien connues utilisées dans des scénarios d'attaque réels, à tester et vérifier activement l'efficacité des détections connexes de Microsoft 365 Defender, Azure Defender et Azure Sentinel, et à étendre la recherche sur les menaces à l'aide de la télémétrie et des artefacts médico-légaux générés après chaque exercice de simulation.
Pour en savoir plus, voir l'article de developpez.com.
|
| L’ANSSI ouvre sa plateforme de contribution à la mise en oeuvre des Parcours de cybersécurité pour "France Relance" |
L’ANSSI a lancé un appel à manifestation d’intérêt pour recenser les prestataires de service en cybersécurité qui souhaitent contribuer à la mise en œuvre des Parcours de cybersécurité proposés dans le cadre de France Relance. L’ANSSI déploie notamment des Parcours de cybersécurité auprès de bénéficiaires volontaires. Ces parcours permettent d’établir un diagnostic cyber et une feuille de route des actions de sécurisation à réaliser. La plateforme est ouverte depuis hier.
Pour en savoir plus, voir l'article de globalsecuritymag.fr.
|
| Les données de plus de 100 millions d’utilisateurs d’applications Android exposées par une mauvaise configuration |
Les chercheurs de Check Point Research (CPR) ont détecté une potentielle exposition des données personnelles de plus de 100 millions d’utilisateurs par les développeurs de 23 applications Android. Cette exposition est le fait d’une mauvaise configuration de services Cloud tiers.
Pour en savoir plus, voir l'article de undernews.fr.
|
| Cybermalveillance.gouv.fr et Bpifrance publient un guide cybersécurité dédié aux PME et TPE |
Ce guide de sensibilisation pratique adapté aux entreprises regroupe l’essentiel des bonnes pratiques en sécurité numérique à destination des dirigeants et de leurs collaborateurs. À partir de conseils simples, il permet de développer une véritable culture de la cybersécurité au sein d’une entreprise et de mettre en place des mesures pour se protéger en cas d’attaque.
Pour en savoir plus et télécharger le guide, voir le site de cybermalveillance.gouv.fr.
|
| « EU Data Boundary for the Microsoft Cloud », un pas de plus vers un Azure européen |
Microsoft annonce un plan qui cantonnera strictement les données dans l'Union européenne dès 2022. Il concernera l’ensemble des "plateformes" de Microsoft, à savoir Azure, Microsoft 365 (dont Office 365) et Dynamics 365 (CRM et ERP). Il assurera que les données resteront au sein de l’Union européenne, sans transfert vers les États-Unis, même pour des questions de maintenance et de support. Mais des questions réglementaires sensibles demeurent.
Pour en savoir plus, lire l'article de lemagit.fr.
|
| Le ministère de l'Intérieur a choisi les entreprises chargées de développer le système de gestion de l'identité numérique du gouvernement |
Le ministère de l'Intérieur a sélectionné quatre entreprises pour gérer le développement et le maintien du futur système de gestion de l'identité numérique (SGIN) en coordination avec l'Agence nationale des titres sécurisés (ANTS). Il s'agit d'Atos, de Sopra Steria et d'un groupement composé d'Idemia et d'Idakto.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Installer un clavier virtuel en russe sur son ordinateur bloquerait les cybercriminels russes |
KrebsOnSecurity a noté que pratiquement toutes les souches de ransomwares ont une sécurité intégrée conçue pour couvrir les arrières des fournisseurs de logiciels malveillants : elles ne s'installeront tout simplement pas sur un ordinateur Microsoft Windows qui a certains claviers virtuels installés (tels que les claviers virtuels en russe ou en ukrainien). Dans un billet, le spécialiste en cybersécurité a expliqué cette étrange astuce de cyberdéfense.
Pour en savoir plus, voir l'article de developpez.com.
|
| Apple affaiblit la sécurité des données de ses clients chinois pour plaire à Pékin |
Apple aurait cédé à de nombreuses demandes gouvernementales chinoises, parmi celles-ci le rapatriement des données des clients chinois, ainsi que les clés de déchiffrement, dans un nouveau data center opéré par une société appartenant au gouvernement. Apple a même dû développer son propre module de sécurité matériel (HSM) car celui de Thales utilisé dans le reste du monde n'a pas été autorisé par Pékin.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| La France confirme que son hub de données de santé quittera les serveurs de Microsoft |
Le Health Data Hub délaissera bien Microsoft dans quelques mois pour migrer sur un prestataire de cloud français voire européen, à partir du moment où les premières labellisations "Cloud de confiance" seront délivrées aux plateformes. Ce label repose sur deux piliers, l’un technique et l’autre juridique, la partie technique reprenant la certification SecNumCloud délivrée par l’ANSSI. Aujourd’hui, trois sociétés possèdent ce label : Oodrive, OVH et Outscale.
Pour en savoir plus, voir l'article de numerama.com.
|
| Trois questions sur l'authentification forte des paiements prévue par la DSP2 et désormais obligatoire |
Depuis le 15 mai 2021, en application de la directive européenne sur les services de paiement, l'authentification forte est désormais exigée pour les paiements en ligne sans minimum de montant. Un sursis de quatre semaines a été accordé aux banques pour éviter un changement trop brutal. L'e-commerce est également affecté par cette nouvelle obligation.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Le gouvernement réoriente sa stratégie nationale sur le cloud de confiance en la fondant sur trois piliers |
L’exécutif a dévoilé une nouvelle stratégie pour le cloud, fondée sur 3 piliers : un label cloud de confiance (qui va intégrer le label déjà existant, SecNumCloud de l’Anssi), la politique "Cloud au centre" pour les administrations et la mobilisation du plan de relance. Des éléments juridiques vont y être ajoutés pour bloquer l’extraterritorialité de certaines lois étrangères comme le Cloud Act ou le FISA (Foreign Intelligence Surveillance Act), par exemple.
Pour en savoir plus, voir l'article de lemondeinformatique.fr.
|
| une nouvelle fraude imperceptible exploite le paiement sans contact pour subtiliser de l'argent |
Une bande subtilise de l’argent aux voyageurs du tram de la ville de Montpellier en utilisant le paiement sans contact à l’aide d’un terminal de paiement électronique (TPE) qu'ils portent avec eux. Ils s’approchent suffisamment près de leurs victimes pour que la machine détecte des cartes bancaires dans les poches ou les sacs à main avec le paiement sans contact. Discrets et rapides, ils sont très difficiles à surprendre.
Pour en savoir plus, voir l'article de sudouest.fr.
|
| Douze failles Wi-Fi menacent tous les appareils du monde |
Un chercheur a découvert 12 vulnérabilités dans le protocole Wi-Fi. Baptisées FragAttacks, les menaces issues de ces failles permettent de dérober des données ou de prendre le contrôle d'appareils, dont des objets connectés. Certaines de ces brèches sont présentes depuis les années 1990 et concernent tous les appareils.
Pour en savoir plus, voir l'article de futura-sciences.com.
|
| Le manuel ultime pour le masquage des données |
La sécurité des données est la responsabilité de chacun aujourd’hui, et un nombre croissant d’organisations s’appuient sur le masquage des données pour protéger les données collectivement, éviter les failles de sécurité et assurer la conformité. L’obscurcissement des données, la pseudonymisation ou l’anonymisation des données sont les autres noms du masquage de données, qui consiste à créer une version fausse mais réaliste de vos données organisationnelles.
Pour en savoir plus, voir l'article de journaldutech.com.
|
| L’Europe est en passe de perdre la guerre des câbles sous-marins de télécommunications |
Sous l’océan se joue un jeu géostratégique et économique majeur : le contrôle des liaisons intercontinentales des télécommunications. Ce mois-ci, le Portugal inaugure EllaLink, un câble de télécommunication sous-marin le reliant au Brésil. Cette autoroute sera la première à relier directement l’Europe à l’Amérique du sud. Jusqu’ici, les données échangées entre les deux continents transitaient par les Etats-Unis. Construit en grande partie grâce à des fonds européens, il apporte une pierre à la souveraineté numérique européenne. Mais...
Pour en savoir plus, voir l'article de lemonde.fr.
|
| Les clés de sécurité pourraient non seulement renforcer l'authentification, mais aussi supprimer celle par CAPTCHA |
Les CAPTCHA sont utilisés pour repérer les robots qui parcourent les sites Web et sont souvent mis en oeuvre pour empêcher l'utilisation abusive des services en ligne. Il faut 32 secondes en moyenne pour un compléter un. Pour le remplacer, Cloudflare prône l'utilisation des clés de sécurité de confiance (comme la gamme YubiKey, les clés HyperFIDO et les clés Thetis FIDO U2F) en tant que dispositifs d'authentification physique permettant l' "attestation cryptographique de l'identité humaine".
Pour en savoir plus, voir l'article de zdnet.fr.
|
| Une vulnérabilité permet le suivi d'utilisateurs sur les navigateurs Chrome, Firefox, Safari et Tor, y compris sur VPN |
Dans le cadre de ses recherches sur les techniques antifraude, FingerprintJS a découvert une vulnérabilité qui permet aux sites web d'identifier les utilisateurs de manière fiable sur différents navigateurs de bureau. Les versions de bureau de Tor Browser, Safari, Chrome et Firefox sont toutes concernées. La vulnérabilité utilise des informations sur les applications installées sur l’ordinateur afin d’attribuer un identifiant unique permanent, même si l’utilisateur change de navigateur, utilise le mode incognito ou un VPN.
Pour en savoir plus, voir l'article de developpez.com.
|
| Une nouvelle vulnérabilité Microsoft pourrait permettre une attaque de l’ampleur de WannaCry |
Microsoft a publié une vulnérabilité critique présente dans son serveur Web http.sys. Ce produit est un serveur HTTP exclusif à Windows qui peut être exécuté de manière autonome ou en conjonction avec IIS (Internet Information Services). La vulnérabilité annoncée a le potentiel d’avoir à la fois un impact direct et d’être exceptionnellement simple à exploiter, conduisant à un déni de service à distance et non authentifié (Blue Screen of Death) des produits affectés.
Pour en savoir plus, voir l'article de globbsecurity.fr.
|
| Mise à jour de l’Instruction ministérielle 900 concernant la protection du secret et des informations "diffusion restreinte" et "sensibles" |
Le Secrétariat général de la défense et de la sécurité nationale (SGDSN) avait entrepris de rédiger une nouvelle édition de l’instruction générale interministérielle sur la protection du secret de la défense et de la sécurité nationale n° 1300 (IGI 1300), et qui entrera en vigueur le 1er juillet prochain. Une déclinaison ministérielle de l’IGI 1300 a également été réalisée. Il s'agit de l’Instruction ministérielle n° 900 (IM 900), référence dans le domaine de la protection du secret de la défense nationale, des informations "diffusion restreinte" et des informations dites "sensibles".
Pour en savoir plus, voir l'article de ixarm.com.
|
| Le Premier ministre lance une mission sur "l’utilisation des nouvelles technologies dans le domaine de la sécurité" |
Cette mission, confiée au député Jean-Michel MIS, a pour but d'identifier le moyen de faire bénéficier la France de ces technologies dans le contexte des grands évènements à venir organisés sur le territoire national.
Voir ici la lettre de mission.
|
| L'assureur "AXA France" suspend sa "garantie cyber rançonnage" |
Axa France vient de suspendre sa garantie "cyber rançonnage", mais continue à commercialiser son offre "CyberSecure", plus large. Cette suspension s'expliquerait en partie sur les critiques formulées par le Parquet de Paris et l'Agence nationale de la sécurité des systèmes d'information (ANSSI) lors d'une audition au Sénat le 15 avril 2021. Guillaume Poupard, directeur général de l'ANSSI, disait en effet s'inquiéter du "jeu trouble de certains assureurs" : "Je rejoins ce constat qui économiquement est très rationnel puisqu'un assureur qui a choix entre payer quelques millions de rançon ou plusieurs dizaines de millions au titre de la police d'assurance qui a été contractée, il va payer la rançon.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Un nouveau type de cyberattaque fait bondir la consommation énergétique de l'IA |
Les réseaux de neurones utilisés pour le deep learning sont déjà un gouffre énergétique. Mais un nouveau type d'attaque visant ces réseaux pourrait encore aggraver la situation en les forçant à recourir à davantage de puissance de calcul. Dévoilée par le Centre de cybersécurité du Maryland, cette attaque vise en particulier les architectures multi-adaptatives, où les tâches sont divisées en fonction de leur difficulté à résoudre.
Pour en savoir plus, voir l'article de futura-sciences.com.
|
| La NSA reprend une place de leader à la table de sécurité mondiale sur la 5G |
Cela a été long à venir. Dans le monde de la sécurité mondiale sur la 5G, il n'y a qu'un seul forum majeur, le 3GPP SA3 (voir notre page Ecosystème de la Cybersécurité). Sa 103e réunion va se tenir du 17 au 28 mai avec 772 documents soumis et 189 participants inscrits. Le 3GPP rassemble collectivement des milliers d'experts techniques dans une série de réunions non-stop. Le gouvernement américain et la National Security Agency jouaient autrefois un rôle de premier plan dans ces événements internationaux. Les voilà revenus.
Pour en savoir plus, voir l'article (en anglais) d'Anthony Rutkowski, membre de l'ARCSI, sur circleid.com.
Par ailleurs, les autorités américaines publient une alerte par concernant les faiblesses du réseau 5G.
Le 10 mai 2021, la CISA ("Cybersecurity and Infrastructure Security Agency"), la NSA ("National Security Agency") et l'ODNI ("Office of the Director of National Intelligence") ont publié une analyse conjointe qui identifie et évalue les risques et vulnérabilités introduits par l'adoption de la 5G. Selon ce rapport, la politique et les normes, la chaîne d'approvisionnement et l'architecture des systèmes 5G sont les trois principaux vecteurs de la menace.
Pour en savoir plus, voir l'article (en anglais) de la NSA, à nsa.gov.
|
| GitHub prend désormais en charge les clés de sécurité lors de l'utilisation de Git sur SSH |
GitHub a ajouté la prise en charge de la sécurisation des opérations SSH Git à l'aide des clés de sécurité FIDO2 pour une protection supplémentaire contre les tentatives de prise de contrôle de compte. GitHub a également annoncé en décembre qu'il passera à l'authentification basée sur les jetons à partir d'août 2021, lorsque les mots de passe de compte ne seront plus acceptés pour l'authentification des opérations Git. GitHub a également été l'un des premiers à passer à l'authentification Web (WebAuthn) pour les clés de sécurité pour l'authentification à deux facteurs et l'un des premiers à adopter la norme d'authentification ouverte FIDO Universal 2nd Factor (U2F).
Pour en savoir plus, voir l'article (en anglais) de bleepingcomputer.com.
|
| L’anonymisation des données pour optimiser sa cybersécurité |
L’anonymisation des données des utilisateurs est un enjeu central de la cybersécurité d’une organisation. Il s’agit de modifier le contenu des données individuelles recueillies, afin de rendre toute identification des personnes impossible et sécuriser ainsi les informations les concernant et l’intégrité de l’organisation en matière de cybersécurité. Cette opération délicate peut être effectuée par des outils de gestion des données.
Pour en savoir plus, voir l'article de zataz.com.
|
| Pourquoi les antivirus classiques sont-ils désormais obsolètes |
La faiblesse intrinsèque de l’antivirus traditionnel est due à ce qu’il s’appuie sur une base de signatures dans laquelle tous les malwares identifiés sont catalogués. C’est à partir de ces signatures que l’antivirus va se déclencher lorsqu’il reconnaît un malware. Une approche qui est prise en défaut par toutes les attaques zéro-day et tous malwares qui n’auraient pas encore été fichés par les éditeurs dans leur base de signatures.
Pour en savoir plus, voir l'article de linformaticien.com.
|
| Face au "Privacy Shield", les CNIL européennes entrent en jeu en promouvant le chiffrement des données |
Suite à l'invalidation du "Privacy Shield", un nouveau cadre législatif pérenne est à l’étude par la Commission Européenne. Il garantirait aux données personnelles une protection équivalente aux USA qu’en UE. Mais la nouvelle vague des solutions de chiffrement granulaire de la donnée va s’imposer car elle apportera une protection augmentée à d’autres vulnérabilités et à d’autres besoins tels que le vol des données, le sabotage et l’espionnage industriel.
Pour en savoir plus, voir l'article de itpro.fr.
|
| Le Ministère des Armées annonce la création officielle de l'Agence du Numérique de Défense (AND) |
Annoncée par un communiqué du 6 mai 2021 du Ministère des Armées, l'ANS est créée à compter du 23 avril 2021. Elle sera "l'acteur central pour la conduite des projets numériques complexes ou à fort enjeu, dans le cadre de la politique ministérielle relative au numérique définie par la Direction générale du numérique et des systèmes d'information et de communication (DGNUM)".
Pour en savoir plus, voir l'article de cio-online.com.
|
| Signal a tenté d’acheter des publicités Instagram pour montrer aux utilisateurs comment Facebook les cible, et se fait fermer son compte |
Signal a révélé une pratique douteuse de Facebook, celle de collecter les données des utilisateurs pour les vendre. L’éditeur de l’application de messagerie voulait montrer comment cette technologie fonctionnait. Il a donc essayé d’acheter des publicités ciblées à plusieurs variantes sur Instagram. En réponse, le géant des réseaux sociaux a bloqué les pubs de Signal.
Pour en savoir plus, voir l'article de lebigdata.fr.
|
| Yubico lance les premières clés de sécurité validées FIPS 140-2 pour une authentification sans mot de passe |
Yubico, spécialiste des clés de sécurité pour l’authentification forte, annonce le lancement de sa nouvelle génération de clés de sécurité FIPS : la série YubiKey 5 FIPS. Cette nouvelle gamme de produits constitue le premier ensemble de clés de sécurité multi-protocoles du marché, prenant en charge les protocoles FIDO2 et WebAuthn, ainsi que smartcards (PIV/CAC), à recevoir la validation FIPS 140-2, niveau 1 et niveau 2.
Pour en savoir plus, voir l'article de developpez.com.
|
| Google fait un premier pas vers le déploiement de la double authentification par défaut pour les utilisateurs de Gmail |
Google propose depuis longtemps plusieurs options pour mettre en place la vérification à deux étapes : code supplémentaire reçu par SMS, génération du code sur une application dédiée, utilisation d'une clé de sécurité physique, ou un simple clic sur une des apps Google de son smartphone — un système appelé « Invites ». C’est cette dernière option que l’entreprise veut mettre en avant.
Pour en savoir plus, voir l'article de numerama.com.
|
| Près d’un quart des utilisateurs mondiaux de PC sont encore équipés de Windows 7, déclaré obsolète depuis janvier 2020 |
D'après une étude de Kaspersky, près d’un quart (22 %) des utilisateurs de PC au niveau mondial sont encore équipés de Windows 7, un système d’exploitation qui n’est plus pris en charge par Microsoft depuis janvier 2020. En France, ce chiffre tombe à 13,4 %. Lorsqu’un système d’exploitation arrive à la fin de son cycle de vie, aucune mise à jour de sécurité n’est plus délivrée par le fournisseur.
Pour en savoir plus, voir l'article de undernews.fr.
|
| L’authentification multifacteur (MFA) éclipsera-t-elle les gestionnaires de mots de passe ? |
Le site officiel de la "Journée mondiale du mot de passe" servit de vitrine jusqu’à l’édition 2018. Sur la page d’accueil, il n’était alors plus question que d’une technologie : l’authentification multifacteur (MFA). C’était déjà la même chose l’année précédente. Exit, notamment, les gestionnaires de mots de passe, qui avaient occupé une place importante sur la homepage jusqu’en 2016.
Pour en savoir plus, voir l'article de silicon.fr.
|
| Le "French Gaia-X Hub" tente de clarifier sa situation vis-à-vis des fournisseurs étrangers |
Début avril 2021, Gaia-X accueillait 212 nouveaux membres dont des entreprises américaines et chinoises telles que Salesforce, Huawei, Palantir, Oracle... Une annonce qui avait semé le trouble puisque pour rappel ce projet ambitionne d'établir une offre cohérente de cloud computing européen en recensant les infrastructures et les services existants autour de critères bien précis. Le French Gaia-X Hub – qui rassemble les acteurs du hub français – a tenté de clarifier la situation dans une tribune publiée dans Le Monde le 6 mai 2021.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Senetas et Thales lancent une solution de chiffrement de réseau résistante au quantique |
Thales et Senetas ont collaboré pour le lancement de la première solution au monde à permettre le chiffrement de réseau résistant à l’informatique quantique, protégeant ainsi les données des clients contre les attaques de demain, à des vitesses atteignant 100 Gb/s. Considérée comme l’une des menaces les plus importantes pour la cybersécurité, l’informatique quantique devrait rendre obsolètes de nombreuses méthodes de sécurité actuelles, notamment la cryptographie..
Pour en savoir plus, voir l'article de silicon.fr.
|
| La plupart des mobiles Android vulnérables du fait d'un bug dans le chipset modem Qualcomm |
Les chercheurs de Check Point Software Technologies, Ltd. Research (CPR) ont découvert une vulnérabilité critique dans les puces Qualcomm 5G et qui permettraient à des attaquants d'installer et de cacher des applications malveillantes, d'accéder aux SMS, à l'historique des appels et d'écouter des conversations.
Ces puces se trouvent sur la plupart des smartphones de Google, Samsung Electronics, Xiaomi Technology et LG Electronics, ce qui représente à peu près 32% des téléphones à travers le monde, car les séries Qualcomm 2G, 3G et 4G sont également impactées.
Pour en savoir plus, voir l'article (en anglais) de checkpoint.com.
|
| La société Cosmian dévoile une nouvelle solution de chiffrement, CipherCompute |
La solution de chiffrement CipherCompute, fruit de deux ans de recherche, permet à des entreprises de travailler de façon collaborative sur des données sensibles, sans jamais les afficher en clair. Une version développeur de CipherCompute est accessible gratuitement sur le référentiel de code GitHub. Cosmian a collaboré avec les équipes académiques de l'Université catholique de Louvain (KU Leuven) et avec celles du laboratoire de cryptographie du département d’informatique de l’Ecole Normale Supérieure.
Pour en savoir plus, voir l'article de lemondeinformatique.fr.
|
| Une nouvelle faille dans les processeurs Intel et AMD menace des milliards de PC |
Dans le prolongement des failles Spectre, dont ils contournent tous les correctifs, trois nouveaux exploits utilisent une fonction de mise en cache des micro-instructions des processeurs x86 pour potentiellement voler des données. Ces micro-instructions sont stockées en cache pour que les processus d’exécution spéculative puissent y accéder, afin de gagner en performance. Des milliards de PC et autres appareils sont concernés.
Pour en savoir plus, voir l'article de 01net.com.
|
| L' "école 42" de Xavier Niel souhaite plus de femmes dans le numérique |
"La tech a besoin des femmes autant que les femmes ont besoin d'être présentes dans ces métiers d'avenir". Pour Sophie Viger, directrice générale de l'école 42, il est plus que temps de former les femmes au développement web et de féminiser le développement informatique. L'école a vu son taux de participantes exploser au fil des ans, passant de 7% d’étudiantes en 2017 à 26% en 2020 et 46% de femmes aux dernières sélections, proche de l'objectif d’équilibre femmes-hommes.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Les experts de Retarus préconisent 5 conseils pour garantir sa conformité au RGPD |
Malgré l’augmentation des amendes et l’invalidation du Privacy Shield par la CJUE, seule une entreprise sur cinq est actuellement en pleine conformité avec la réglementation européenne en matière de protection des données. Les experts du cabinet international Retarus préconisent 5 conseils pour apporter un peu de clarté, en particulier pour les entreprises qui transfèrent des données personnelles au-delà des frontières de l’Union Européenne.
Pour en savoir plus, voir l'article de undernews.fr.
|
| La CSNP préconise la création d'un parquet national spécialisé dans la cybercriminalité |
La Commission supérieure du Numérique et des Postes (CSNP) vient de rendre au Gouvernement un rapport sur "la sécurité numérique". Le document contient 27 propositions dont l'objectif est de venir compléter le plan national présenté par Emmanuel Macron le 18 février dernier, et parmi elle la création d'un "parquet national cyber" disposant des ressources et des expertises suffisantes pour instruire les dossiers les plus complexes.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Concentration encore, Accenture souhaite acquérir la société de conseil Openminded |
Accenture a conclu un accord pour acquérir Openminded, une société de services de cybersécurité basée en France et qui fournit des services de conseil, de sécurité des infrastructures et du cloud, de cyberdéfense et de sécurité gérée. Les conditions financières de la transaction ne sont pas divulguées.
Pour en savoir plus, voir l'article de developpez.com.
|
| Une porte dérobée infecte certains systèmes Linux depuis des années |
Les chercheurs en sécurité de "Qihoo 360" ont découvert un malware qui espionne des systèmes Linux 64 bits depuis au moins trois ans. Baptisé « RokaJakiro », il est particulièrement furtif. Pour communiquer avec ses serveurs de commande et contrôle, il utilise le port 443, réservé normalement aux flux HTTPS.
Pour en savoir plus, voir l'article de 01net.com.
|
| L'architecture "SASE" (Secure Access Service Edge), le futur de la sécurité du cloud ? |
Convergence du mode du SD-WAN et de la cybersécurité, l’architecture SASE poussée par le Gartner s’impose comme l’architecture de sécurité cible pour ces prochaines années. Parmi les idées fortes de ce modèle de sécurité, figure la convergence des réseaux SD-WAN et les solutions de sécurité. Comment ? Le réseau vient solliciter des services de sécurité disponibles soit sur un équipement local, soit dans le cloud.
Pour en savoir plus, voir l'article de silicon.fr.
|
| Si le HTTPS chiffre les échanges avec un site web, il ne garantit pas que ce site web est bienveillant |
La particularité du protocole HTTPS est qu’il chiffre les données qui circulent entre le site consulté et votre navigateur. En principe, seuls votre navigateur et le site de destination peuvent déchiffrer ce contenu qui circule. Mais HTTPS ne préserve en aucune façon de l’envoi par mégarde d’informations à des personnes malveillantes qui utilisent ce type de certificat sur des sites vérolés.
Pour en savoir plus, voir l'article de numerama.com.
|
| L'arrivée prochaine de la monnaie virtuelle Chia pourrait mettre sous tension le marché des SSD |
Le spectre d'une tension sur les SSD et les disques durs plane dans les esprits avec l'arrivée de la monnaie virtuelle Chia. Cette dernière pas une crypto-monnaie de plus : le Chia Network, fondé par l’inventeur du réseau BitTorrent, tire parti des capacités de stockage et a commencé à autoriser les « farmers » à faire du minage de monnaie Chia en mars.
Pour en savoir plus, voir l'article de lemondeinformatique.fr.
|
| Retour sur le prestigieux concours d'algorithmique remporté par trois jeunes normaliens |
Résoudre en quelques heures une douzaine de problèmes algorithmiques hautement complexes ? Un défi relevé haut la main par Noé Weeks, Étienne Rossignol et Arthur Léonard. Ces trois étudiants en première année d’informatique à l’ENS-PSL ont remporté le 7 mars dernier le prestigieux concours de programmation européen SWERC (Southwestern Europe Regional Contest). Une victoire qui leur ouvre les portes de la finale de l'ICPC (International Collegiate Programming Contest) qui réunira plus d’une centaine d’établissements d'études supérieures du monde entier.
Pour en savoir plus, voir l'article de ens.psl.eu.
|
| Le GIE SESAM-Vitale déploie une solution d'enrôlement pour son application mobile "carte vitale" |
Le GIE SESAM-Vitale a été chargé en 2019 de concevoir une application mobile carte Vitale, permettant aux citoyens assurés de s'authentifier de manière simple et sécurisée via leur smartphone, sur tous les services en ligne de santé. L'application tiendra le même rôle que la carte Vitale physique auprès des professionnels de santé.
Pour en savoir plus, voir l'article de cio-online.com.
|
| Semi-conducteurs : Taïwan interdit à ses entreprises d'exporter ses cerveaux vers la Chine |
Privée de technologies par les sanctions américaines, la Chine pratique une politique de recrutement d’ingénieurs taïwanais de plus en plus agressive. Dans le viseur, les fleurons technologiques tels que TSMC ou UMC, les fabricants de processeurs qui font la gloire de l’île en cette période de pénurie.
Pour en savoir plus, voir l'article de 01net.com.
|
| Kaspersky annonce avoir découvert un nouveau logiciel malveillant qui semble avoir été développé par la CIA |
Kaspersky affirme l'avoir découvert en analysant "une collection d'échantillons de logiciels malveillants" datant de 2019. Il dit avoir constaté que certains d'entre eux présentent des intersections de modèles de codage, de style et de techniques vus dans diverses familles de Lambert, nom de code interne que Kaspersky utilise pour suivre les opérations de piratage de la CIA.
Pour en savoir plus, voir l'article de securite.developpez.com.
|
| Lutte contre la cybercriminalité : un rapport du Club des juristes formule 10 recommandations |
Le Club des juristes publie le rapport "le droit pénal à l’épreuve des cyber attaques" issu des travaux de la commission Cyber Risk présidée par M. Bernard Spitz, président du pôle international et Europe du MEDEF. Il propose 10 recommandations pour améliorer la lutte contre la cybercriminalité. En particulier, il préconise de faire de la lutte contre la cybercriminalité une cause nationale pour 2022, en lançant des campagnes récurrentes d’information et de sensibilisation ciblées.
Pour en savoir plus, voir l'article qui détaille ce travail publié dans le monde du droit.
Pour télécharger le rapport, c'est ici.
|
| L'ANSSI fait évoluer son processus de certification de sécurité |
Conscient de l’évolution rapide et constante des menaces, le centre de certification national au sein de l’ANSSI propose maintenant un processus permettant de garantir, de manière continue, la sécurité des produits certifiés selon les Critères Communs. La mise en place de ce processus s’inscrit tant dans l’intérêt des bénéficiaires, qui ont l’assurance de choisir des solutions robustes dans le temps, que dans celui des offreurs, qui peuvent désormais démontrer leur capacité à maintenir un bon niveau de sécurité.
Pour en savoir plus, voir la page dédiée sur le site de l' ANSSI.
|
| Concentration encore : le fonds Thoma Bravo rachète Proofpoint |
Les concentrations se poursuivent dans le domaine des fournisseurs de cybersécurité. Après Sophos et Venafi, le fonds Thoma Bravo annonce mettre la main sur Proofpoint. L’offre de rachat représente une plus-value de 34% pour les actionnaires de l’éditeur sur la valeur de leurs parts et fixe un prix total de rachat à environ 12,3 milliards de dollars.
Pour en savoir plus, lire l'article de linformaticien.com.
|
| Pourquoi le Pentagone vient-il d'activer 175 millions d’adresses IPv4 ? |
Depuis le 20 janvier 2021, un nouveau « système autonome » baptisé « AS8003 » a fait son apparition sur la Toile et annonce par protocole BGP ses adresses IPv4 au monde entier. Il a fait couler tellement d’encre dans la presse américaine que le Pentagone a finalement publié un communiqué pour dire qu'il s’agit d’un « projet pilote » dont le but serait « d’analyser, d’évaluer et de protéger l’espace d’adressage du Département de la Défense » et « d’identifier de potentielles vulnérabilités »...
Pour en savoir plus, lire l'article de 01net.com.
|
| L'IEEE travaille sur une évolution de la norme Wi-Fi capable de suivre en permanence les individus |
Dans le cadre d’un projet de détection WiFi appelé SENS, l'Institute of Electrical and Electronics Engineers (IEEE) travaille sur l'évolution de la norme Wi-Fi (IEEE 802.11bf) permettant aux appareils WiFi de détecter en permanence leur environnement. Et comme les signaux Wi-Fi peuvent pénétrer dans des objets durs et être utilisés sans lumière, les utilisateurs ne pourront pas se rendre compte qu'ils sont suivis...
Pour en savoir plus, lire l'article de lemondeinformatique.fr.
|
| Les États-Unis lancent un plan de cyber-sécurisation de leur réseau électrique |
Le Government Accountability Office avait averti dans un rapport en mars que les systèmes de distribution au sein du réseau américain sont de plus en plus vulnérables aux cyberattaques. Un plan visant à protéger les infrastructures critiques contre les cyberattaques est aunsi lancé, à commencer par l'énergie. L’initiative sera dirigée par le ministère de l’Énergie en partenariat avec CISA (Cybersecurity and Infrastructure Security Agency) et le secteur privé.
Pour en savoir plus, lire l'article de lebigdata.fr.
|
| Les expérimentations de monnaies digitales de banques centrales (ou CBDC) se multiplient |
Les "central bank digital currency" (CBDC) ou en français "monnaie digitale de banque centrale" (MDBC) sont la forme numérique des monnaies fiduciaires (euro, dollar, yuan…) émises, contrôlées et réglementées par les banques centrales. Les Etats développés voient les CBDC comme une alternative au cash et une opportunité de réduire les coûts. Leur développement est accéléré par les projets financiers des GAFAM et leur équivalent chinois, les BATX.
Pour en savoir plus, lire l'article de journaldunet.fr.
|
| Nautilus Data Technologies ouvre son premier Data Center flottant sur l’eau |
Après avoir passé les six dernières années à développer un centre de données révolutionnaire, Nautilus Data Technologies peut actuellement se réjouir. En effet, depuis sa création en 2015, l’entreprise a pu mettre en oeuvre son premier Data center de 7 mégawatts basé sur l’eau. L’exploitation des lacs, rivières, fleuves et océans devraient en effet permettre de minimiser les coûts de refroidissement des serveurs.
Pour en savoir plus, lire l'article de lebigdata.fr.
|
| Le chercheur américain en sécurité informatique Dan Kaminski est décédé ce week-end |
Dan Kaminsky est mort le 23 avril à 42 ans. Co-fondateur et "chief scientist" de "White Ops", une entreprise spécialisée en détection de malwares via JavaScript, il a également travaillé pour IOActive et précédemment pour Cisco et Avaya. Il est intervenu souvent aux conférences de la Black Hat. Son nom est également connu dans le domaine du Bitcoin et des blockchains.
Voir la page wikipedia qui lui est consacrée : en français et en anglais.
Voir aussi (en anglais) l'article suivant ou encore celui-là.
|
| L'École de Guerre Économique (EGE) détaille les rapports de force générés par l’IA |
Mobiliser l’intelligence artificielle et le BIG DATA pour la détection des signaux faibles, modéliser les futurs possibles (design fiction), mobiliser les énergies, l’inventivité, l’élasticité d’esprit, l’agilité du faible pour provoquer la certitude et l’hégémonie d’oligopoles constitués à caractère libertarien et transhumaniste, est la stratégie opérante...
Pour en savoir plus, lire l'article de ege.fr.
|
| Les États-Unis dénoncent le manque de maturité cyber de l’Union Européenne |
Lors de la rencontre récente entre Margrethe Vestager de la Commission européenne et Mark Warner, président de la Commission du renseignement du Sénat américain, les États-Unis ont appelé à une cyber collaboration transatlantique contre l’axe sino-russe à la suite de l’affaire SolarWinds.
Pour en savoir plus, lire l'article de portail-ie.fr.
|
| NVIDIA conseille aux joueurs de désinstaller la dernière mise à jour de Windows 10 |
La mise à jour cumulative de ce mois d'avril pour Windows 10 cause de sérieux problèmes d'instabilité aux joureurs sur PC. Parmi ceux-ci, des baisses de performance et des crashs intempestifs, un plantage pur et simple de Windows Update, ou encore des problèmes réseaux sur des dossiers partagés au sein de certaines entreprises.
Pour en savoir plus, lire l'article de clubic.com.
|
| L’Union européenne pose les bases d’un "RGPD" de l’ "Intelligence Artificielle" |
La Commission européenne a rendu publique sa proposition de règlement sur l’Intelligence Artificielle. Ce cadre législatif cible des usages critiques bien précis et se veut suffisamment large pour ne pas entraver l’innovation. Sa vocation est de devenir un modèle pour d’autres initiatives dans le monde, tout comme le RGPD.
Pour en savoir plus, lire l'article de lemagit.fr.
|
| Signal livre une analyse assassine sur la sécurité des logiciels de Cellebrite |
Après l'affirmation par Cellebrite qu'elle a pu casser le chiffrement de Signal, ce que cette dernière a démenti, Signal a affirmé avoir pu corrompre les logiciels de Cellebrite, et qu'ils sont très peu sécurisés. Plus de 300 vulnérabilités ont été découvertes dans les briques utilisées, pourtant connues et corrigées. Ces 300 failles sont autant d’angles d’attaques pour les hackers, et elles permettraient « d’exécuter du code de façon arbitraire sur une machine Cellebrite ». La guerre continue...
Pour en savoir plus, lire l'article de numerama.com.
|
| L’Alliance FIDO crée une nouvelle norme d’intégration pour sécuriser l’Internet des objets |
L’Alliance FIDO annonce le lancement du protocole FIDO Device Onboard (FDO), une nouvelle norme IoT ouverte qui permet aux appareils d’être connectés simplement et en toute sécurité à des plateformes de gestion en cloud ou sur site. FIDO rassemble plus de 250 entreprises et organismes gouvernementaux parmi les plus influents et les plus novateurs du monde.
Pour en savoir plus, lire l'article de globalsecuritymag.fr.
|
| La spécialiste du chiffrement Cosmian sécurise l’analytique grâce à Intel |
La startup, spécialiste du chiffrement, a mis au point un système qui permet de faire analyser les données par un tiers sans les partager. Son produit, qui intéresse jusqu’à l'Australie, repose sur une particularité des processeurs Xeon. Il utilise des algorithmes de chiffrements mis au point au laboratoire de cryptographie de l’École Normale Supérieure qui permettent d’effectuer des calculs en clair sur des données chiffrées.
Pour en savoir plus, lire l'article de lemagit.fr.
|
| Publication par Europol d'un rapport sur le crime organisé (dont le cybercrime) en Europe |
Intitulé "Europol’s Serious Organized Crime Threat Assessment report 2021", le rapport s'intéresse notamment au cybercrime, qui est devenu au fur et à mesure des années une part importante de l'ensemble de la criminalité européenne. Il analyse les menaces criminelles sur les quatre dernières années et envisage des perspectives pour les quatre prochaines.
Pour consulter le rapport (en anglais), c'est ici.
|
| Atos achète l'allemand Cryptovision, spécialiste de sécurisation des identités |
Avec l'acquisition de l'éditeur allemand Cryptovision, spécialiste en cryptographie, l'activité cybersécurité d'Atos va compléter ses solutions dans le domaine de l'identité numérique. Cryptovision est un spécialiste allemand des technologies de chiffrement qui travaille dans le domaine de l’identification électronique.
Pour en savoir plus, voir l'article de lemondeinformatique.fr ou celui de globalsecuritymag.fr.
|
| Keyfactor et PrimeKey annoncent leur fusion afin de populariser la gestion des identités numériques machines |
Keyfactor est le pionnier des offres de PKI as-a-Service et le leader reconnu des solutions d’automatisation du cycle de vie des certificats et de crypto-agilité. Le logiciel "EJBCA" de PrimeKey fournit quant à lui une solution de gestion des certificats permettant de définir une autorité de certification racine (CA). La fusion entre les deux acteurs donnera naissance à une plate-forme de gestion des identités machine inédite sur le marché.
Pour en savoir plus, voir l'article de labourseetlavie.com.
|
| Les "jetons non fongibles" intéressent désormais des hackers via la plateforme Rarible |
Les jetons non fongibles (NFT - "non-fungible token") sont des jetons cryptographiques qui ne sont pas interchangeables et ne peuvent pas être copiés, représentant donc quelque chose d'unique. Ils peuvent notamment être utilisés dans des transactions en art numérique, certifiant alors la propriété d'un actif numérique. D'après l'entreprise Bolster, des attaquants ciblent la plateforme Rarible en utilisant des noms proches comme rarbile[.]com, rareble[.]com, wwwrarible[.]com ou rareible[.]com.
Pour en savoir plus, voir l'article (en anglais) de bleepingcomputer.com.
|
| Des chercheurs établissent le premier réseau quantique basé sur l’intrication à trois nœuds |
Une équipe de chercheurs de QuTech aux Pays-Bas a réussi à créer le tout premier réseau quantique multinœud, reliant trois processeurs quantiques. Ils ont également effectué une démonstration de principe des principaux protocoles de réseau quantique. Leurs résultats marquent une étape importante vers le futur Internet quantique.
Pour en savoir plus, voir l'article de trustmyscience.com.
|
| Les blockchains et les crypto-monnaies sont-elles des alternatives aux GAFA ? |
D’innombrables projets basés sur des blockchains et des crypto-monnaies entendent s’imposer comme des alternatives viables aux applications et services des géants du numérique. Avec un seul mot d’ordre : décentraliser et redistribuer le pouvoir. Douze ans après l’apparition de Bitcoin, on compte aujourd’hui plus de 9000 crypto-monnaies...
Pour en savoir plus, voir l'article de clubic.com.
|
| GitHub est une véritable mine d'or pour les cybercriminels, avec plus de 2 millions de secrets |
GitHub est un service web d'hébergement et de gestion de développement de logiciels, utilisant le logiciel de gestion de versions Git. Il propose des comptes gratuits pour les projets de logiciels libres et assure des fonctionnalités destinées à la collaboration comme le suivi des bugs ou la gestion de tâches et un wiki pour chaque projet. 85 % des secrets recensés se trouvent dans les dépôts personnels des développeurs, hors du contrôle des entreprises.
Pour en savoir plus, voir l'article de securite.developpez.com.
Pour en savoir plus sur Github, voir wikipedia.
|
| Kaspersky lance une offre de formation créée par ses chercheurs et dédiée à la rétro-ingénierie |
Les cours s’adressent aux professionnels qui disposent déjà d’un socle de compréhension en matière d’analyse des malwares, et ont pour objectif d’offrir des compétences concrètes de rétro-ingénierie. La formation comporte plus de 50 tutoriels vidéo construits à partir de 10 cas réels et récents de campagnes APT.
Pour en savoir plus, voir l'article de undernews.fr.
|
| 7,8 milliards d'US dollars ont été injectés dans les sociétés de cybersécurité en 2020 |
En recourant massivement au télétravail, les entreprises ont augmenté mécaniquement leur surface d'attaque via des connexions au SI depuis le domicile d'un collaborateur par exemple. Un facteur qui a constitué un terreau idéal à la montée en puissance des solutions et services en cybersécurité auprès des entreprises. D'après Crunchbase, 7,8 milliards de dollars ont été injectés dans le capital des sociétés spécialisées, un montant jamais atteint depuis 2011.
Pour en savoir plus, voir l'article de lemondeinformatique.fr.
|
| La Direction générale des Entreprises publie un rapport sur "la stratégie nationale blockchain" |
Ce rapport est le fruit d’un travail mené par la Direction générale des Entreprises avec l’ensemble de l’écosystème de la blockchain en France. Pour ce faire, les ministres de l’Économie et Finances, de l’Enseignement supérieur, Recherche et Innovation et le secrétaire d’État chargé du numérique ont confié au CEA, à l’IMT et à Inria une mission visant à définir avec précision l’ensemble des verrous technologiques et techniques autour de la blockchain".
Pour consulter ce rapport c'est ici.
|
| Le ministère des Armées utilise un logiciel permettant de contrer les fausses informations |
Pour contrer les campagnes de désinformation, le ministère des Armées a marqué son intérêt pour VerDI, une solution mise au point par l’entreprise Storyzy. C'est la Direction générale de l’armement [DGA] qui a contractualisé via le dispositif RAPID [Régime d’APpui à l’Innovation Duale]. Cette solution utilise un algorithme spécialisé chargé de détecter les sources diffusant des infox.
Pour en savoir plus, voir l'article de opex360.com.
|
| Le FBI a pénétré des systèmes pour y supprimer les backdoors issues du piratage de Microsoft Exchange |
Plusieurs mois après le piratage de Microsoft Exchange par le groupe Halfnium, le FBI a infiltré plusieurs entreprises par le biais des backdoors installées par les hackers, et ce, pour les supprimer. Il l'a réalisé avec ses propres outils de piratage, selon un communiqué publié par le département de justice américain.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| La plateforme du MOOC SecNumacadémie de l’ANSSI va évoluer à partir du 1er juillet |
Le MOOC de l’ANSSI a été lancé en mai 2017 dans un objectif de sensibiliser le plus grand nombre d’individus aux enjeux de la cybersécurité. À partir du 1er juillet 2021, le MOOC SecNumacadémie sera disponible gratuitement sur sa nouvelle plateforme.
Pour en savoir plus, voir l'article de ssi.gouv.fr.
|
| L'ENISA publie une étude sur la "Cryptographie post-quantique: état actuel et réduction quantique" |
Cette étude (en anglais) donne un aperçu de l'état actuel des choses sur le processus de normalisation de la cryptographie post-quantique (PQC). Il présente les 5 grandes familles d'algorithmes PQ, à savoir : à base de code, à base d'isogénie, à base de hachage, à base de treillis et à base de variables multiples.
Il décrit également les finalistes du NIST Round 3 pour les schémas de chiffrement et de signature, ainsi que les schémas candidats alternatifs.
Pour télécharger l'étude (en anglais), c'est ici.
|
|  |
|
| Anticor saisit la justice pour remettre en cause l'attribution de l'hébergement du "Health Data Hub" à Microsoft |
L'association a décidé de saisir le Parquet national financier. Elle estime que le marché de l'hébergement des données de santé a été attribué à Microsoft sans aucune mise en concurrence, donc en toute illégalité.
Pour en savoir plus, voir l'article de www.usine-digitale.fr.
|
| Le fournisseur des infrastructures réseaux, cybersécurité et visioconférence des JO Paris2024 sera... américain |
Déjà partenaire des JO depuis plusieurs éditions pour la partie réseau, Cisco, l’équipementier américain vient de nouer un accord avec le comité Paris 2024 pour être le sponsor et fournisseur officiel des équipements réseau, mais aussi des infrastructures de cybersécurité et des logiciels de visioconférences. Il fournira gracieusement le matériel et les logiciels de cybersécurité.
Pour en savoir plus, voir l'article de lemondeinformatique.fr.
|
| La 3ème édition de la "Paris Cyber Week" se tiendra les 8 et 9 juin 2021 à Paris |
“La Paris Cyber Week 2021" sera le warm-up de la présidence française de l’UE permettra d’aborder les grandes priorités sur la Cyber qui seront à l’agenda officiel lors du premier semestre 2022. L’événement qui se tiendra à la Maison de la Chimie rassemblera les décideurs du monde politique, scientifique et économique alors même que le Conseil européen vient d’adopter ses conclusions sur la stratégie de cybersécurité.
Pour en savoir plus, voir l'article de www.globalsecuritymag.fr.
|
| Nvidia annonce son premier CPU pour l'IA et les data centers |
Nvidia annonce "Grace", un CPU fondé sur l'architecture ARM et conçu spécifiquement pour les calculs liés à l'intelligence artificielle. Il est au coeur d'une nouvelle architecture serveur que Nvidia annonce dix fois plus performante qu'un système DGX équipé de processeurs x86, et qui a déjà été retenue par deux nouveaux supercalculateurs prévus pour 2023. Il se nomme Grace en l'honneur de Grace Hopper, pionnière de l'informatique.
Pour en savoir plus, voir l'article de www.usine-digitale.fr.
|
| ORANGE lance Cyberfiltre, une solution visant à protéger la navigation web sur mobile |
Dans un contexte d’accélération des usages mobiles et de la multiplication des cyberattaques, et pour accompagner au mieux ses clients professionnels, ORANGE lance la solution "Cyberfiltre" pour protéger leurs données lors de la navigation internet sur le réseau mobile Orange. Cette solution implantée dans l'infrastructure réseau permet une détection préventive alertant immédiatement l’utilisateur lorsqu’il est exposé à un site malveillant
Pour en savoir plus, voir l'article de www.globalsecuritymag.fr.
Pour voir le communiqué de presse, c'est ici.
|
| La sulfureuse start-up israélienne de renseignement numérique Cellebrite fusionne pour entrer en bourse |
La célèbre compagnie israëlienne CELLEBRITE fournit de par le monde des équipements à de nombreux services de police, de forces armées, de renseignement et d'entreprises à la recherche de preuves numériques. Elle va utiliser une SPAC (special purpose acquisition company) pour entrer en bourse et être cotée au NASDAQ.
Pour en savoir plus, voir l'article de linformaticien.com.
Pour consulter le site de la compagnie, c'est ici.
|
| Des cybercriminels ont piraté les serveurs de GitHub pour le minage de cryptomonnaies |
Des attaques sur la plateforme d'hébergement de code GitHub ont permis à des cybercriminels de pirater les serveurs pour réaliser des opérations illicites de cryptominage. GitHub est un fournisseur d'hébergement de code et de contrôle de version pour les développeurs, très utilisé dans le monde car considéré comme un outil de communication et de collaboration. C'est une filiale de Microsoft depuis 2018.
Pour en savoir plus, voir l'article de securite.developpez.com.
|
| Microsoft publie un simulateur de cyberattaque pour les entreprises |
Pour aider les entreprises à se préparer à une cyberattaque, Microsoft propose un modèle de simulation d'entraînement cyber range basé sur de l'apprentissage par renforcement. Son code source Python et interface OpenAI Gym sont mis en ligne sur GitHub.
Pour en savoir plus, voir l'article de lemondeinformatique.fr.
|
| Le Forum International de la Cybersécurité se tiendra finalement du 7 au 9 septembre à Lille. |
Prévu initialement du 19 au 21 janvier 2021, puis du 6 au 8 avril, puis enfin du 8 au juin 2021, le Forum International de la Cybersécurité verra finalement son édition 2021 se tenir à Lille du 7 au 9 septembre. Le FIC est l'événement de référence en Europe en matière de sécurité et de confiance numérique, par son nombre de visiteurs, en 2020: 12500 visiteurs dont 2500 non français, pour 110 pays représentés.
L'ARCSI y tiendra un stand dans l' "espace associations", Stand F10.
Pour en savoir plus, voir le site du FIC.
|
| Intel publie une bibliothèque de chiffrement homomorphique pour accélérer les opérations arithmétiques modulaires |
Intel HEXL est une bibliothèque open-source qui fournit des implémentations efficaces de l'arithmétique entière sur les champs de Galois. Une telle arithmétique est répandue dans la cryptographie, en particulier dans les schémas de chiffrement homomorphique (HE). Elle cible l'arithmétique entière avec des nombres premiers de la taille d'un mot, généralement de 40 à 60 bits. Intel HEXL fournit une API pour les entiers non signés 64 bits et cible les processeurs Intel.
Pour en savoir plus et télécharger la bibliothèque, rendez-vous sur github.com.
|
| Quel volume occuperait internet si chaque octet faisait 1mm cube ? le studio MetaballStudios le montre... |
Le Studio américain MetaballStudios a réalisé une vidéo publiée sur sa page Youtube, et montrant la progression des quantités de données que nous accumulons au fur et à mesure du temps... Impressionnant !
Pour voir la vidéo en question, c'est ici.
|
|  |
|
| L'application chiffrée Signal teste une fonctionnalité d’échange de crypto-monnaies |
Ultra populaire depuis la débâcle entourant les nouvelles conditions d’utilisation de WhatsApp, Signal est à pied d’œuvre pour développer de nouvelles fonctionnalités. Et parmi les plus importantes pour s’assurer de la pérennité de son succès : une méthode de paiement sécurisée, et confidentielle fondée sur l'utilisation de MobileCoin.
Pour en savoir plus, voir l'article de clubic.com.
|
| Google remporte sa bataille juridique face à Oracle autour des API Java |
Oracle perd sa longue bataille contre Google. L'entreprise réclamait 9 milliards de dollars à Google pour avoir copié des API Java afin de développer son système d'exploitation Android, aujourd'hui embarqué sur des milliards d'appareils mobiles.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
| Le CEIDIG publie la 2e édition du guide “L’Essentiel de la sécurité numérique pour les dirigeant(e)s” |
Ce Guide a pour ambition de sensibiliser, mobiliser, faire agir les dirigeants de toutes entreprises, grandes et petites, sur le sujet de la sécurité numérique. Il décrit les enjeux actuels et apporte une dimension résolument utile et pratique autour des questions de sécurité. Parmi les partenaires, aux côtés du Cigref, le MEDEF, la CPME, France Digitale, le Syntec Numérique, et la Conférence des Grandes Ecoles.
Pour télécharger ce guide, c'est ici.
|
| Pourquoi IBM prône-t-il le "chiffrement entièrement homomorphe" ? |
À l'heure où la courbe d'adoption du cloud croît rapidement, la question de la sécurité des infrastructures et des données qu'il héberge se pose. Il existe actuellement divers moyens pour mettre en place une sécurité des données, notamment en les chiffrant, mais leur manipulation nécessite l'opération inverse, ce qui expose encore ces données à une violation. Cependant, une approche connue sous le nom de "chiffrement entièrement homomorphe", permettant de faire des calculs directement sur des données chiffrées, se développe dans l'industrie depuis plusieurs décennies et IBM a récemment déclaré que les premiers utilisateurs pourraient bientôt l'essayer.
Pour en savoir plus, voir l'article de securite.developpez.com.
|
| La Russie impose que tous les smartphones soient dorénavant vendus dans le pays équipés de logiciels russes |
La Russie exige désormais que tous les appareils "intelligents", y compris les smartphones, les ordinateurs portables et les téléviseurs connectés, vendus dans le pays soient préinstallés avec des logiciels russes. La nouvelle législation est entrée en vigueur jeudi.
Pour en savoir plus, voir l'article de businessinsider.fr.
|
| DSP2 : deux fois plus d'authentification, six fois plus de problèmes |
L'entrée en vigueur de l'authentification forte DSP2 est prévue pour le 15 mai prochain en France. À partir de cette date, toutes les transactions en ligne de plus de 30 euros seront vérifiées à l'aide d'au moins deux éléments d'authentification. Mais d'après l'association de commerçants Mercatel, l'authentification forte sur les paiements mobiles n'est pas du tout au point chez certains marchands...
Pour en savoir plus, voir l'article de journaldunet.com.
|
| ARM annonce une nouvelle architecture pensée pour les data centers et la sécurité |
Celle nouvelle architecture ARMv9, la première en une décennie, sera la base de toutes ses prochaines puces. L'entreprise promet un renforcement des capacités liées à la sécurité, à l'intelligence artificielle et au traitement numérique du signal (DSP). La première étape sera l' "Arm Confidential Compute Architecture (CAA)", ou "informatique confidentielle". Elle permet de protéger des parties de code et des données contre l'accès ou la modification en cours d'utilisation, même contre les logiciels privilégiés.
Pour en savoir plus sur le sujet, voir l'article de usine-digitale.fr.
|
| Tout savoir sur la nouvelle carte nationale d’identité électronique (CNIe) |
Une nouvelle carte nationale d'identité arrive en France. Sa particularité : elle inclut une puce électronique qui contient entre autres l'image de deux empreintes digitales. La puce reprend les informations visibles sur le recto et le verso de la carte, dont les données d’état civil, l’adresse du domicile, les informations sur la CNIe (numéro, date de délivrance, date de fin de validité), la photographie du visage de la personne et, surtout, l’image numérisée des empreintes digitales de deux de ses doigts.
Pour en savoir plus sur le sujet, voir l'article de numerama.com.
|
| Des chercheurs proposent un modèle numérique complet de la machine d’Anticythère |
Cette mystérieuse machine a été découverte en 1901, dans l’épave d’une galère romaine, au large de l’île grecque d’Anticythère. C’est le plus vieux mécanisme à engrenages connu et aussi le tout premier calculateur analogique : il aurait permis de déterminer les positions de certaines étoiles et planètes. Seuls quelques fragments de la machine ont été retrouvés. Aujourd’hui, des scientifiques ont réussi à reconstituer un modèle numérique complet de cette machine antique.
Pour en savoir plus, voir l'article de trustmyscience.com.
|
|  |
|
| Gaia-X accueille 212 nouveaux membres... dont Huawei, Alibaba Cloud et Palantir |
Gaia-X, à l'origine d'un projet de cloud public européen, accueille 212 nouveaux membres dont Huawei, Alibaba Cloud et Palantir. En acceptant des entreprises américaines et chinoises en son sein, l'association s'éloigne de son objectif initial, celui de proposer des alternatives aux solutions étrangères qui ne respectent pas toujours la réglementation en vigueur en Europe.
Pour en savoir plus, voir l'article de usine-digitale.fr.
|
|
|
