🤿 Alcatel Advanced Reflexes Mode D Emploi

Servicede téléchargement de Manuel-Utilisateur ALCATEL Advanced REFLEXES en Français au format PDF - Notice, manuel, mode d'emploi. Rechercher > Téléchargement de manuels techniques Notice d'utilisation, manuel utilisateur, mode d'emploi, manuel d'installation, manuel de service, manuel d'atelier, manuel de réparation, schémas, codes d'erreur, vues

Alcatel Advanced Reflexes™ Alcatel Advanced Reflexes Alcatel OmniPCX 4400 ARCHITECTS OF AN INTERNET WORLD Comment utiliser ce guide Vous disposez dun poste numérique Alcatel Advanced REFLEXES. De grandes zones daffichage, un navigateur et un clavier alphabétique vous ferons bénéficier de son ergonomie et de son confort dutilisation. Clavier Actions Décrocher Clavier numérique Raccrocher Clavier alphabétique Description dune action ou dun contexte Navigateur 2 ABC Touche audios Ecoute amplifiée Déplacer la touche de navigation vers le haut, le bas, la droite ou la gauche Mains libres Réglage "moins" Afficheur et touches afficheur Réglage "plus" Vue partielle de lafficheur Touche afficheur Touches programmables et icones Touche de ligne ou programmable Icône associée à une touche Touche pré-programmée Touche spécifique du clavier numérique Autres touches fixes i Touche fixe ex MENU Autres symboles utilisés Autre alternative à la OU séquence daction ET/OU Autre alternative à la séquence daction Informations importantes Des petites icones ou du texte peuvent venir enrichir ces symboles. Tous les codes de fonctions implicites ou personnalisés sont présentés dans le tableau des codes livré avec le poste. 1 La disponibilité de certaines fonctions décrites dans ce guide peut dépendre de la version ou de la configuration de votre système. En cas de doute, consultez le responsable de votre installation. Pour une meilleure connaissance de votre poste, nous vous invitons à consulter le manuel utilisateur correspondant. 2 Sommaire Découvrir votre téléphone ................... p. 4 1. Téléphoner . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Etablir un appel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Recevoir un appel . . . . . . . . . . . . . . . . . . . . . . . . . . . Appeler par votre répertoire . . . . . . . . . . . . . . . . . . Appeler votre correspondant par son nom . . . . . . . . Rappeler le dernier numéro émis Bis . . . . . . . . . . . Faire une demande de rappel . . . . . . . . . . . . . . . . . . . p. p. p. p. p. p. p. 6 6 6 6 7 7 7 2. Traiter plusieurs appels . . . . . . . . . . . . . . . . . . . . . Appeler un second correspondant double appel . . . Recevoir un second appel . . . . . . . . . . . . . . . . . . . . . Passer d'un correspondant à l'autre va-et-vient . . . . Transférer un appel . . . . . . . . . . . . . . . . . . . . . . . . . . Converser avec deux correspondant conférence . . . p. p. p. p. p. p. 8 8 8 9 9 9 3. Personnaliser votre téléphone . . . . . . . . . . . . . . . . Programmer votre code personnel . . . . . . . . . . . . . . Programmer votre répertoire personnel . . . . . . . . . . Programmer une fonction sur une touche libre . . . . . Régler la sonnerie . . . . . . . . . . . . . . . . . . . . . . . . . . . Régler le contraste de lafficheur et des icones . . . . . Modifier la langue . . . . . . . . . . . . . . . . . . . . . . . . . . . . p. 10 p. 10 p. 11 p. 12 p. 12 p. 12 4. En votre absence, à votre retour . . . . . . . . . . . . . . Renvoyer vos appels vers un autre numéro renvoi immédiat . . . . . . . . . . . . . . . . . . . . . . . . . . . . Renvoyer vos appels vers la messagerie vocale . . . . . A votre retour, annuler les renvois . . . . . . . . . . . . . . A votre retour, consulter les messages laissés en votre absence . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . p. 13 p. 13 p. 14 p. 14 3 Découvrir votre téléphone Navigateur pour parcourir plusieurs pages de lafficheur et y sélectionner une ligne la ligne du bas est active implicitement Voyant lumineux indiquant la présence de messages pour programmer votre téléphone i Secret pour vous isoler de votre correspondant Interphonie pour que votre téléphone réponde automatiquement à un appel sans que vous nayez à décrocher pour terminer un appel ou sortir de programmation Touches audio Haut-parleur HP Pour partager une conversation Pour diminuer le volume du HP ou du combiné Pour augmenter le volume du HP ou du combiné Mains libres pour appeler ou répondre sans décrocher 4 Clavier alphanumérique pour lappel par nom Protégé par un rabbat, pour le faire apparaître, ouvrir le rabbat Afficheur et touches afficheur Comporte 2 lignes et plusieurs pages donnant des informations sur votre correspondant et proposant des fonctions accessibles par les touches afficheur associées. Touches programmables et icones Ces touches se répartissent en touches de ligne et touches de fonction. A chacune de ces touches sont associées des icones. Icone de communication Appel en cours clignotant Communication en cours Communication en attente Communication en garde commune Icone de fonction Fonction activée Fonction nécessitant une action Occupation du téléphone ou dune ligne supervision Certaines touches sont pré-programmées Mémoriser temporairement un numéro Accéder aux services de messagerie Réémettre automatiquement le dernier numéro composé ISDN Consulter la liste des appels numéris restés sans réponse ou accéder aux services numéris Mettre létiquette sur le téléphone Vous disposez dune étiquette imprimée livrée avec le téléphone, à placer sous les touches programmables. Insérer un objet à bout plat dans l'encoche imprimée 1 encoche par bloc de touches. Soulever le cache du bloc de touches. Glisser votre étiquette. Remettre le cache en place. 5 1. Téléphoner 1 1. Etablir un appel OU OU Mains libres Décrocher Numéroter Numéroter directement Pour un appel à l'extérieur, composer le code "Appel externe". Pour appeler l'opératrice, composer le code "Appel des opératrices". Pour terminer une conversation OU Raccrocher 1 2. Recevoir un appel OU Décrocher 1 Mains libres 3. Appeler par votre répertoire OU Touche afficheur sous le nom choisi 6 Passer aux pages suivantes Nom choisi 4. Appeler votre correspondant par son nom Initia Nom OU Nom-Pr Téléphoner 1 OU Entrer le nom ou les initiales ou les nom et prénom de votre correspondant Affichage du premier nom de la liste et de son numéro OU Si le nom convient OU OU Nom précédent Retour au repos 5. Rappeler le dernier numéro émis Bis OU Bis 1 Nom suivant Annule Précèd 1 Suivt Appel 0122515163 Numéro mémorisé Numéro appelé 6. Faire une demande de rappel Correspondant ne répond pas ou est occupé Rappel 7 2. Traiter plusieurs appels En cours de communication, vous pouvez réaliser différentes opérations comme appeler un second correspondant, transférer un correspondant vers un autre, 2 1. Appeler un second correspondant double appel 2°App OU Numéroter Numéroter directement Le premier correspondant est mis en attente Annuler le double appel Fin2°A 2 Vous retrouvez le premier correspondant 2. Recevoir un second appel En cours de communication, un deuxième correspondant cherche à vous joindre Conslt Dupond Affichage du nom de l'appelant pendant 3 s Le premier correspondant est mis en attente 8 OU Touche de ligne dont l'icone clignote Poste monoligne 3. Passer dun correspondant à lautre va-et-vient VaVien Le premier correspondant est mis en attente OU Touche de ligne associée à l'icone 2 Poste monoligne Traiter plusieurs appels 2 Vous êtes en communication et un autre appel est en attente. Pour passer alternativement de l'un à l'autre 4. Transférer un appel En communication, pour transférer votre correspondant sur un autre poste Transf OU Poste monoligne uniquement Numéro du poste destinataire 2 5. Converser avec deux correspondants conférence Vous êtes en communication avec un correspondant, un deuxième est en attente Conf nConf Converser à 3 Annuler la conférence et retrouver votre premier correspondant Terminer la première conversation 9 3. Personnaliser votre téléphone 3 1. Programmer votre code personnel Le code par défaut de votre téléphone est 0000. Prog. Code Composer le nouveau code Recomposer le nouveau code i Composer le code actuel Chaque chiffre du code est symbolisé par un astérisque. 3 2. Programmer votre répertoire personnel Votre répertoire personnel contient jusqu'à 45 numéros. Prog. Touch. i Valid. Vide Sélectionner une touche afficheur libre Composer le n°° à programmer Valid. Saisir le nom du correspondant 6 caractères max. 10 3. Programmer une fonction sur une touche libre Prog. Touch. i Personnaliser votre téléphone 3 La liste des fonctions programmables est présentée dans votre manuel utilisateur. OU Sélectionner une touche programmable libre Composer le code ou le n° choisi Serv. Suivt Valid. Sélectionner une liste de fonctions Valid. Touche afficheur sous la fonction choisie 11 3 4. Régler la sonnerie Poste au repos Précèd Suivt OU Choisir la mélodie - + ET/OU ET/OU OU Régler le volume 3 5. Régler le contraste de l'afficheur et des icones Affich Prog. i - + OU Choisir le niveau de contraste 3 6. Modifier la langue Prog. Langue i Saisir éventuellement le code personnel Affichage des différentes possibilités 12 Valid. Touche afficheur sous la langue choisie Toutes ces fonctions peuvent être mises en uvre par une touche programmée ou par composition du code correspondant. 4 1. Renvoyer vos appels vers un autre numéro renvoi immédiat Conslt Serv. i Valid. Choisir le type de renvoi Affichage des fonctions du groupe "liste des renvois" Valid. En votre absence, à votre retour 4. En votre absence, à votre retour N° du destinataire 4 2. Renvoyer vos appels vers la messagerie vocale Conslt Serv. i Valid. Choisir le type de renvoi Affichage des fonctions du groupe "liste des renvois" Valid. Vocale 13 4 3. A votre retour, annuler les renvois Serv. Conslt i Valid. Affichage des fonctions du groupe "liste des renvois" nRenvo Valid. 4 4. A votre retour, consulter les messages laissés en votre absence Le voyant lumineux et l'icone associée à messages. indiquent la présence de Demandes de rappel 2 Msg MsgRap Messages MsgRap Affichage de la première personne à rappeler Nombre de demandes de rappel Rappel Rappeler Suivt Mémo OU OU Mettre le message en mémoire Passer au message suivant Toute demande de rappel non mémorisée est effacée lors du rappel, lors du passage a la demande suivante ou lorsque vous quittez le mode message. 14 Mévo 2 Msg Mévo Suivre les instructions du guide vocal Nombre de messages vocaux Messages Liste des appels internes Pendant votre absence, les appels internes restés sans réponse ont été mémorisés 16 maximum. NonRep 2 Msg NonRep Affichage du nombre d'appels internes Messages Rappel Dupond Identité de l'appelant Consulter la liste Suivt Mémo OU OU Rappeler automatiquement l'auteur du message En votre absence, à votre retour Messages vocaux Mettre en mémoire le message Afficher le message suivant Lors du rappel, le message reste mémorisé si votre correspondant ne répond pas. Tout message non mémorisé est effacé lors du passage au message suivant ou lorsque vous quittez le mode message. 15 Liste des appels externes Pendant votre absence, les appels externes provenant d'abonnés Numéris ont été mémorisés 16 maximum. L'icone associée à ISDN ISDN indique la présence de messages. Affichage du nombre d'appels externes ISDN .voir § Liste des appels internes 16 NonRep 0122515163 Consulter la liste Identité de l'appelant Notes personnelles 17 18 Précautions demploi Attention, ne mettez jamais votre poste téléphonique en contact avec leau. Toutefois, pour nettoyer votre poste, vous pouvez utiliser un chiffon doux légèrement humidifié. Nutilisez jamais de solvants trichloréthylène, acétone, etc. qui risquent dendommager les surfaces plastiques de votre poste. Ne jamais vaporiser de produits nettoyants. En communication, à proximité dune source électronique à fort niveau de rayonnement électro-magnétique, le poste est susceptible de produire dans lécouteur une modulation légèrement audible. Conformité cet appareil est conçu pour être raccordé derrière un PABX Alcatel OmniPCX 4400. Il est classé TBTS au sens de la norme NF EN 60950. Le marquage CE indique que ce produit est conforme aux directives suivantes - 89/336/CEE compatibilité électromagnétique - 73/23/CEE basse tension - 1999/5/CE R&TTE Déclaration de conformité Nous, ALCATEL BUSINESS SYSTEMS 32, avenue Kléber 92707 Colombes Cedex - France déclarons que les produits mentionnés ci-dessous sont présumés conformes aux exigences essentielles de la Directive 1999/5/CE du Parlement Européen et du Conseil. ALCATEL Advanced Reflexes Toute modification non autorisée des produits annule cette déclaration de conformité. Une copie de l'original de cette déclaration de conformité peut être obtenue par courrier à ALCATEL BUSINESS SYSTEMS Technical Services - Customer Care 1, rue du Dr. A. Schweitzer F - 67408 Illkirch - France 19 Pour en savoir plus, consulter le site Copyright © ALCATEL 2001. Tous droits réservés. Alcatel Business Systems se réserve le droit, dans l'intérêt de sa clientèle, de modifier sans préavis les caractéristiques de ses produits. ALCATEL - 32, avenue Kléber, F-92707 Colombes Cedex Paris 602 033 185 Réf. 3AK 19524 FRAC Ed. 01 20 ARCHITECTS OF AN INTERNET WORLD

EMS55 ADVANCE Notices Manuels Modes d'emploi Téléchargement PDF Français. Choisissez le document : ALCATEL - 4035 Advanced Reflexes. (Guide de démarrage - Langue garantie : Francais) Téléchargement immédiat. ALCATEL - Advanced.

Dans le domaine de la cybersécurité, il existe de nombreuses phases du développement et du déploiement des systèmes logiciels qui sont sensibles. A l’occasion de la publication d’un rapport du NIST, c’est aux failles logicielles et à leurs correctifs que nous nous intéressons. Trois experts, Charles Cuvelliez, Jean-Jacques Quisquater & Bram Somers nous expliquent les principaux problèmes évoqués dans ce rapport. Pascal Guitton. Tous les jours, des failles sur les logiciels sont annoncées par leurs éditeurs, dès lors qu’un correctif est disponible. Plus rarement, la faille n’est pas découverte en interne chez l’éditeur ou ni même de façon externe, par un chercheur ; elle l’est alors d’une part par des hackers malveillants qui se gardent bien d’en faire la publicité mais les dégâts causés par leur exploitation la font vite connaître. D’autre part, par les services secrets de certains pays qui les apprécient beaucoup pour réaliser des attaques plus furtives. Le volume des failles à traiter quotidiennement devient de plus en plus souvent ingérable pour les entreprises. Parfois l’éditeur du logiciel ne supporte même plus la version pour laquelle une vulnérabilité a été découverte il n’y aura pas de correctif. Appliquer un correctif peut demander du temps, nécessiter la mise à l’arrêt des équipements, leur redémarrage, le temps de l’installer. Cette indisponibilité est parfois incompatible avec l’utilisation d’un logiciel qui doit fonctionner en permanence un correctif ne s’applique pas n’importe quand. Dans des cas plus rares, le correctif ne peut être appliqué que par le fabricant, pour des raisons de conformité ou de certification. Le risque zéro n’existe pas pour la sécurité des logiciels, ; dès qu’on installe un logiciel, il y a un risque de faille. C’est l’approche suivie par le NIST dans son standard Guide to Enterprise Patch Management Planning Preventive Maintenance for Technology qui vient d’être publié il y a peu. Couverture du rapport du NIST Si on ne peut ou ne veut pas appliquer de correctif, on peut désactiver le logiciel ou le module dans laquelle la faille a été identifiée. On peut installer une version plus récente du logiciel mais avec un autre risque que ce dernier fonctionne différemment et perturbe toute la chaîne opérationnelle au sein de laquelle il est un maillon. On peut isoler le logiciel pour qu’aucune personne extérieure ne puisse l’atteindre en vue d’exploiter la faille en segmentant le réseau et en le plaçant dans un segment sûr. On peut même décider que l’impact – si la faille est exploitée – est minime on accepte alors le risque ce n’est tout de même pas conseillé. On peut aussi confier le logiciel à un fournisseur à qui incombera la responsabilité de gérer les correctifs. Un véritable cycle Si on décide d’installer le correctif, c’est tout un cycle qui démarre et qui ne se réduit pas à le télécharger et à l’installer d’un clic comme on le pense souvent. Il faut chercher où, dans l’organisation, le logiciel est installé. Cela commence par détenir l’inventaire des logiciels dans son entreprise, qui n’est correct que si on connait parfaitement toutes les machines installées. D’ailleurs ce ne sont pas toujours les logiciels d’une machine qu’on doit mettre à jour, c’est parfois la machine elle-même et son système d’exploitation. Dans le cas de l’Internet des objets, la situation se complique on peut quasiment toujours mettre à jour le firmware de ces derniers mais la tâche est immense où sont-ils sur le terrain ? Comment les mettre à jour tous sans en oublier un ? Faut-il envoyer des techniciens sur place ? Combien de temps faudra-t-il pour tous les mettre à jour ? Il peut même arriver qu’on doive passer à une nouvelle mise à jour alors l’ancienne n’est pas terminée pour tous les objets, au risque donc de désynchronisation de l’ensemble. Si on a pu installer le correctif, après avoir planifié son déploiement, l’avoir testé pour voir si le programme qu’on utilisait fonctionne toujours correctement comme avant, il faut observer le programme mis à jour le correctif peut lui-même receler une faille car il est souvent développé dans l’urgence ou avoir été compromis par un hacker ce sont les fameuses attaques dites supply chain. Par erreur, un utilisateur peut désinstaller la mise à jour, réinstaller la version précédente, lors par exemple d’une restauration d’une sauvegarde. Si on a opté pour éteindre la machine ou le logiciel car on ne peut appliquer de correctif, il faut aussi surveiller que personne ne la/le redémarre. Un correctif peut par erreur remettre à zéro la configuration du programme qui l’intègrera, y compris les réglages de sécurité. Toutes ces opérations ne s’organisent pas à la dernière minute, lorsqu’une faille critique est annoncée. Sécuriser les environnements On peut mettre en place un environnement plus sûr de sorte qu’une faille y ait moins d’impact ou n’y trouve pas de terrain favorable. Cela commence par ne mettre à disposition les logiciels qu’aux personnes qui en ont vraiment besoin. De deux logiciels équivalents, on peut privilégier celui qui a un historique plus favorable en nombre réduit de failles. On peut vérifier la rigueur du développement, la fréquence des correctifs, leur nombre, les problèmes relayés par les communautés d’utilisateurs à propos des failles. On peut aussi installer ses logiciels dans des environnements plus favorables et plus faciles à l’application de correctifs comme les containers cloud. Dans son rapport, le NIST distingue quatre réponses aux failles l’application de correctifs au fil de l’eau, en respectant un planning et des contraintes comme le week-end pour les logiciels dont on ne peut tolérer l’interruption. Il y a les correctifs à appliquer d’urgence. Si un correctif n’existe pas encore, ce sont des mesures d’atténuation qu’on appliquera en fonction des instructions du fournisseur. Si le fournisseur n’apporte plus de support, il faudra isoler la machine qui héberge le logiciel pour le rendre inatteignable sauf par ses utilisateurs, si on ne peut s’en passer. Que faire face à cette complexité ? Le NIST propose de classer les actifs informatiques dans des groupes de maintenance. Appliquer un correctif ou gérer une faille, c’est de la maintenance de sécurité. Chaque groupe de maintenance aura sa politique de gestion des failles. Et de citer comme groupe de maintenance les ordinateurs portables des employés où les failles et les correctifs ont trait au système d’exploitation même de la machine, les firmwares et autres programmes installés. Les portables des utilisateurs ont une plus grande tolérance à une interruption et l’impact est limité si un ordinateur subit une faille puisqu’il y a des logiciels de contrôle et d’alerte à la moindre infection qui tourne sur ces machines puissantes. Ces éléments permettent une politique de mise à jour des failles adaptée. A l’autre extrême, on trouve le groupe de maintenance serveur de données data center » qui ne peut tolérer quasiment aucune interruption, qui ne peut être mis à l’arrêt qu’à des moments planifiés longuement à l’avance. Les mesures d’atténuation du risque sont tout autre, la défense en profondeur, les protections mises en place dans le réseau, la segmentation. Autre exemple le groupe de maintenance liés aux tablettes et autres smartphones utilisés par les employés, avec, aussi, sa tolérance aux interruptions, ses mesures propres de protection… Avoir une politique de mise à jour et de correction des failles par groupe de maintenance évite le goulot d’étranglement de tout vouloir faire en même temps et au final de laisser des failles béantes, peut-être critiques. Le déploiement des correctifs. Le NIST propose de déployer le correctif par groupes d’utilisateurs pour voir si tout se déroule correctement, puis de l’étendre graduellement pour limiter l’impact d’un correctif qui ne serait pas au point. Le déploiement progressif peut se faire en fonction de la qualification des utilisateurs, de leur compétence. Même pour les correctifs à appliquer d’urgence, le NIST propose ce déploiement graduel mais plus rapide, en heures, sinon en minutes plutôt qu’en jours. S’il n’y pas de correctifs disponibles, on est dans les mesures d’atténuation, comme isoler le logiciel quand on ne peut pas s’en passer, migrer dans un segment la machine qui le contient, adapter les droits d’accès des utilisateurs on parle de micro-segmentation ou de software-defined perimeters ». Tout ceci ne se fait pas le jour où l’entreprise fait face pour la première fois à un logiciel qui n’aura plus jamais de correctif. Les architectes doivent avoir réfléchi et proposé à l’avance les bonnes politiques et manière de faire. Il faut d’ailleurs les réévaluer en permanence car le réseau évolue le risque est-il bien limité et le reste-t-il avec cette architecture ? Oublier qu’il y a là une partie du réseau qui héberge les cas à problèmes serait la pire chose à faire. Il faut aussi interpeller les utilisateurs à intervalles réguliers pour voir s’ils utilisent vraiment ce logiciel vulnérable ? Peut-on se permettre de garder un trou de sécurité ? N’y a-t-il pas une alternative sur le marché ? Métrique L’organisation et sa direction doivent pouvoir vérifier que la politique d’application des correctifs est efficace. Mesurer et affirmer que 10 % des machines ou des logiciels n’ont pas pu recevoir des correctifs n’apporte aucune information si ce n’est faire peur car on imagine ces 10 % des machines ouvertes à tout vent. Le NIST propose de donner trois indicateurs la proportion de correctifs appliqués à temps par rapport à un objectif fixé, le temps moyen et le temps médian d’application du correctif qui doivent bien sûr être inférieur à lobjectif. Cet objectif peut être fixé par groupe de maintenance ou selon la criticité de la vulnérabilité et l’importance du logiciel dans le fonctionnement de l’entreprise. En fin de compte, le mieux est d’acquérir un logiciel qui connaitra le moins de failles possibles il faut mener, dit le NIST, une véritable due diligence avec le fournisseur combien de failles, combien par année ? Combien de temps pour produire un correctif quand une faille est trouvée ? Les correctifs sont-ils groupés ? Publiez-vous les correctifs sur la base de données des vulnérabilités CVE ? Publiez-vous les correctifs ad hoc ou à intervalles réguliers ? Cela vous arrive-t-il de ne pas publier des correctifs mais d’alors proposer des mesures d’évitement ? Vos correctifs ont-ils déjà créé des problèmes ? Testez-vous les correctifs avant de les publier ? Quel est le retour de vos clients ? Les réponses à ces questions en diront long sur le sérieux du fournisseur. Charles Cuvelliez Ecole Polytechnique de Bruxelles, Université de Bruxelles, Jean-Jacques Quisquater Ecole Polytechnique de Louvain, Université de Louvain & Bram Somers Group Chief Technology Officer, Belfius Banque Sur binaire, nous avons souvent traité du sujet des cyberattaques qui se développent de plus en plus. La sinistre actualité nous a conduit à attendre » que de telles agressions se déroulent tant en Ukraine que dans les autres pays. Pour l’instant, il semblerait que rien de tel ne se soit encore produit. Pour mieux comprendre cette situation, nous avons interrogé plusieurs experts dont les noms ne peuvent pas apparaitre pour des obligations de réserve et qui ont choisi Jean-Jacques Quisquater comme porte-parole. Pascal Guitton & Pierre Paradinas Photo de Tima Miroshnichenko provenant de Pexels Alors que tout le monde s’y attendait, il semblerait qu’à l’heure où nous publions ce texte aucune cyberattaque d’ampleur n’a eu lieu de la part de la Russie contre l’Occident, en réponse aux sanctions économiques, ni même contre l’Ukraine à peine a-t-on relevé deux effaceurs de données wipers en anglais dont on n’est même plus très sûr de l’origine offensive. Il s’agit de HermeticWiper et WhisperGate déjà actif au moins de janvier et IsaacWiper sans compter quelques variantes. Ils devaient s’infiltrer dans des réseaux informatiques des autorités ukrainennes, effacer le contenu des disques durs jusque dans la partie qui empêche ensuite la machine de redémarrer. HermeticWiper, lancé quelques heures avant l’attaque, se cachait derrière un rançongiciel HermeticRansom qui avait pour but de leurrer les victimes et de détourner leur attention. HermeticRansom s’avère de piètre qualité car des chercheurs des sociétés Crowdstrike et Avast ont pu proposer un script et un outil de déchiffrement, comme si le code avait été écrit à la va-vite sans être testé. Il n’utilisait même pas les techniques classiques de brouillages des rançongiciels. Son préfixe, Hermetic, vient du certificat numérique usurpé à une société Hermetica Digital Ltd. Les auteurs ont pu se faire passer pour cette société et acquérir le certificat en tout régularité. Aujourd’hui, l’Ukraine est toujours une cible les sociétés qui offrent un service de blocage d’accès à des serveurs web compromis, ont vu une augmentation d’un facteur 10 des requêtes bloquées provenant d’Ukraine c’est la preuve qu’on clique de plus en plus souvent sur des liens d’hameçonnage ou que des malwares essaient d’établir une connexion avec un site à partir duquel ils peuvent être dirigés. Entretemps, les certificats numériques utilisant les protocoles SSL/TLS venant de Russie ne pourront plus être renouvelés à la date d’échéance à titre d’embargo. Les Russes émettent maintenant leurs propres certificats que les navigateurs les plus répandus n’accepteront pas », ont déjà annoncé les Google et autres Microsoft qui les conçoivent. Ces certificats made in Russia » posent d’ailleurs plus un problème pour les russes que pour les étrangers c’est une porte ouverte pour mieux espionner les citoyens qui, dans leurs communications sur le web, utiliseront des certificats dont les clés de chiffrement sont connues des autorités russes…. Plus problématique est l’apparition des protestwares il s’agit de modifications apportées dans les logiciels open source qui s’activeront si la bibliothèque est utilisée sur une machine avec des réglages russes un message inoffensif de protestation contre la guerre s’affiche. Cette initiative n’est cependant pas innocente car elle met à mal le paradigme même de la communauté open source, à savoir la bonne volonté et la transparence, pas l’hacktivisme. A ce stade, les protestware sont anecdotiques et minimalistes mais c’est une nouvelle menace à suivre, surtout pour les développeurs Pourquoi lancer une cyberattaque contre l’Occident ? Si le gouvernement russe n’a pas lancé de cyberattaque contre l’Occident, c’est peut-être par manque de prévoyance car il ne s’attendait sans doute pas à une réaction si vive des démocraties occidentales. Il a sous-estimé la cohésion de nos pays à s’opposer, sanctions à la clé en un rien de temps, à son coup de force. Peut-être pensait-il pouvoir faire un remake du printemps de Prague avec un Occident qui n’avait pas prise sur l’Union Soviétique à moins d’entrer en guerre avec elle. Mais contrairement à l’Union Soviétique, la Russie fait partie du système économique mondial. Le président russe doit casser cette cohésion occidentale, poussée et soutenue par les opinions publiques dans tous les pays. Des attaques cyber ont ce potentiel, en perturbant le fonctionnement de l’économie via la mise à l’arrêt d’infrastructures critiques, de transports, de banques, de services de l’administration. Le but est de saper la confiance du citoyen face à ses gouvernants qui n’auraient alors plus l’assise – ni le temps du fait des perturbations cyber » sur leurs propres économies – pour consacrer tous leurs efforts à lutter contre l’agresseur. Celui-ci peut encore lancer des attaques de déni de service DDoS en anglais qui inondent les réseaux de requêtes artificielles pour les saturer et rendre inaccessibles les sites web des banques ou leurs applications mobiles, et qui peuvent aussi mettre à plat les systèmes de paiement ou les réseaux de carte de crédit. Les institutions financières remarquent une augmentation des attaques de déni de service, qu’on peut sans doute attribuer à un échauffement » des forces cyber-russes qui testent leur force de frappe au cas où. Les institutions financières sont une cible de choix elles sont directement reliées à Internet pour permettre à leurs clients de s’y connecter et d’y mener leurs opérations. Les attaques de déni de service sont très bien contrées mais il faut rester humbles on ne sait pas ce que les attaquants pourraient avoir préparé. Toujours avec l’objectif de saper la confiance, le président russe pourrait ordonner de défigurer les sites des banques pour faire peur aux clients qui n’auraient alors plus confiance dans leurs banques incapables d’éviter des graffitis sur leurs sites. Avec la mise au ban des banques russes via Swift, le gouvernement russe pourrait chercher à faire œil pour œil, dent pour dent et aller un cran plus loin pénétrer les réseaux des infrastructures de marchés financiers Financial Market Infrastructure ou FMI en anglais. Ce sont les organisations-rouages des marchés financiers, peu connues du grand public, qui sont essentielles à leur fonctionnement. Il en va de même pour MasterCard et Visa qui, eux aussi, sont allés un cran plus loin en suspendant leurs services en Russie. Ce sont des scénarios mais c’est ainsi qu’il faut procéder. Ils prennent en compte le mobile du crime pour ne pas disperser ses efforts et cerner la menace. Imaginer ce que visent les autorités russes dans une éventuelle cyberattaque, c’est cibler le renforcement des défenses là où c’est nécessaire et détecter au plus vite les signes annonciateurs. Que faire ? Sans savoir quand viendra le coup, et même si on sait d’où il viendra et ce qu’il visera, il faut appliquer la tolérance-zéro en cyber-risque. Toutes les entreprises, surtout celles qui administrent des infrastructures critiques ou qui opèrent des services essentiels, comme les banques, doivent doper leur threat intelligence, c’est-à-dire activer tous les canaux qui peuvent les renseigner sur les malwares qui circulent, d’où ils viennent, comment les repérer, inclure leur empreinte numérique dans les systèmes de détection interne dans le réseau IT. Il existe, heureusement, une communauté cyber efficace qui publie et relaie tout ce qu’un de ses membres trouve ce sont les sociétés de sécurité promptes à découvrir ces malwares pour mettre à jour leurs propres produits en publiant sur leur blog leur trouvaille comme preuve de leur savoir-faire. Mentionnons également les agences de cybersécurité nationale comme l’ANSSI en France, les CERT et les agences gouvernementales qui relaient ces informations. Les entreprises doivent corriger patcher les vulnérabilités qui apparaissent dans les logiciels et composants informatiques qu’elles utilisent, dès que les constructeurs les annoncent avec un correctif à la clé. Il faudra aussi penser à prioriser ces mises à jour correctives car c’est tous les jours que des vulnérabilités sont annoncées grâce au dynamisme des scientifiques qui, jusqu’à présent, sont plus rapides que les attaquants. Cependant, soyons honnêtes, cela ne suffit pas car ces derniers ont toujours tout le loisir d’exploiter des vulnérabilités anciennes que trop d’entreprises tardent à corriger. On voit régulièrement apparaître des mises en garde sur des vulnérabilités qui, tout à coup, sont exploitées par des hackers pour compromettre les systèmes des entreprises qui ne les ont pas mis à jour. Il est alors minuit moins une pour ces dernières. Il faut par ailleurs continuer à surveiller les groupes d’activistes ou les espions étatiques, ce qui permet de savoir quel type de cible est visé au niveau des états. Aujourd’hui, c’est l’Ukraine, demain, ce sera peut-être un autre pays. On surveillera les groupes de hackers notoirement connus pour avoir des accointances en Russie. Ils vont sûrement s’exercer dans le sens d’une mission freelance » que pourrait leur demander leur pays de tutelle. Enfin, les entreprises doivent refaire le tour des mesures techniques qui rendent leurs réseaux étanches aux attaques, mesures qu’elles appliquent déjà certainement mais il faut contrôler qu’aucune exception qui aurait été accordée n’est restée active par mégarde. Les plus avancées parmi les entreprises auront déjà implémenté le concept de réseau zéro confiance zero-trust network, une nouvelle manière de penser les réseaux d’entreprise. Son principe est que toute machine dans le réseau de son entreprise pourrait, à l’insu de tous, avoir été compromise. Aucune machine ne peut faire confiance à aucune machine, comme sur Internet. C’est considérer son propre réseau comme un Far-West équivalent à Internet. L’autre concept est la défense en profondeur une défense informatique doit toujours être en tandem avec une autre défense informatique. Si l’une est compromise, l’autre fonctionnera encore et l’attaque sera un échec. L’authentification à deux facteurs que certains activent déjà pour leurs compte Gmail est un exemple. Ne connaitre que le mot de passe et le login ne vous permet plus d’accéder à votre boite email. Il faut encore un code qui parviendra à votre smartphone par exemple. Pour vaincre ces deux couches, un voleur doit non seulement connaitre le mot de passe et login mais aussi posséder le smartphone du titulaire du login. Plus prosaïquement, les sociétés seraient bien inspirées de jeter un coup d’œil à leurs sous-traitants et contractants qui pourraient connaitre des manquements bien pires que les leurs. Enfin, tout cette communauté peut avoir du personnel lié aux zones de conflit, donc très affecté par la situation, qui pourrait partir protéger leur famille, aller combattre ou qui serait tenté par des actions patriotiques sur leur lieu de travail avec les ressources IT de leur employeur. Deutsche Bank en fait pour l’instant l’amère expérience cette banque dispose d’un centre à Moscou où travaillent 1500 experts dont la banque a besoin tous les jours en support de son trading. Elle est forcée d’élaborer à toute vitesse des plans d’urgence pour accompagner » la perte future de ce centre, soit parce que le gouvernement russe le ferme en représailles, soit parce que l’embargo occidental intense rend impossible la collaboration, soit parce Deutsche Bank n’arrive tout simplement plus à verser les salaires du fait de l’isolement financier de la Russie. Elle a par exemple mené récemment un stress test en fonctionnant trois jours sans faire appel à son centre de Moscou. Ce qui ne manque pas de frapper, c’est le niveau inédit de coopération public-privé on voit un Microsoft coopérer directement avec le gouvernement ukraininen. Les partenariats privé-public sont depuis des années appelés de leur vœux en cybersécurité. Les voilà mis en œuvre, enfin. Quand la Russie attaquera-t-elle au niveau cyber ? On se perd en conjectures sur l’absence d’attaques cyber d’ampleur pour l’instant à l’extérieur de l’Ukraine certains analystes pensent que le président russe n’a pas averti/impliqué ses agences de renseignement à temps pour les prévenir de l’imminence de l’attaque, de sorte que ces dernières n’ont rien préparé et ont continué leurs opérations d’infiltrations/espionnages habituelles. Lancer une attaque cyber sur plusieurs pays à la fois, simultanément, cela se prépare. Ce n’est pas comme s’introduire dans une entreprise donnée à la recherche de secrets ou pour lancer un petit rançongiciel, histoire de garder la main. Jean-Jacques Quisquater Université de Louvain Ecole Polytechnique de Louvain. Depuis plusieurs jours le réseau SWIFT est à la une de tous les médias qui décrivent les sanctions envisagées contre le gouvernement russe. Il s’agit d’un réseau auquel sont connectées les banques et qui est utilisé pour les échanges financiers internationaux. Pour aller plus loin et comprendre précisément à quoi sert SWIFT, nous avons interrogé trois experts Jean-Jacques Quisquater, Charles Cuvelliez et Gael Hachez. Pascal Guitton & Pierre Paradinas Photo de Life Of Pix provenant de Pexels Depuis plusieurs jours, la coupure de l’accès de 7 grandes banques russes au système SWIFT occupe le devant de la scène comme si elle était de nature à changer le cours de la guerre. Pourquoi et surtout à quoi sert SWIFT au point d’avoir cet espoir ? Tout d’abord, SWIFT n’a pas vraiment de concurrent et toutes les banques sont connectées à ce service qui fonctionne très bien. En effet, bien que SWIFT ne soit pas une institution financière, c’est un pilier de la finance mondiale car il permet à une banque de transférer de l’argent à toute autre banque dans le monde 11 000 banques dans 200 pays y sont connectées. Pour le commun des mortels, transférer de l’argent entre comptes semble aller tellement de soi qu’on peut se demander pourquoi il faut un système comme SWIFT. Le plus simple est d’imaginer SWIFT comme un service de messagerie très sécurisé entre banques utilisant des messages standardisés. Contrairement à un système classique d’échange d’e-mail, SWIFT garantit l’identité des banques connectées et la sécurité des messages. Pour pouvoir transférer de l’argent entre une banque A et une banque B dans un autre pays, il faut qu’elles entretiennent une relation commerciale. Si tel est le cas et qu’elles sont toutes les deux connectées à SWIFT, le transfert va passer par des messages respectant un format spécifique MT103 en utilisant comme identifiant le code BIC de la banque. Si A n’a pas de relation commerciale avec B, la situation se complique car il faut passer par des banques intermédiaires dites correspondantes car elles ont une relation commerciale avec A et B. Les messages SWIFT, qui donnent les ordres de transfert de proche en proche, constituent donc le fil d’Ariane du transfert d’argent entre A et B. SWIFT transporte 40 millions de message par jour à peine 1% implique les banques russes. C’est une coopérative dont les actionnaires sont les banques elles-mêmes. Les messages SWIFT ont aussi des fonctionnalités avancées de groupe comme l’implémentation de plafond ou l’imposition de contingences imposées par une banque centrale …. Si SWIFT n’existait pas, le transfert de A vers B pourrait fonctionner quand même mais au prix d’une coordination sans faille, avec une synchronisation avec la/les banques intermédiaires via plusieurs systèmes de messagerie et de formats différents. Comme nous l’avons écrit précédemment, pour que A puisse transférer de l’argent vers B, il faut qu’il existe une relation commerciale entre elles qui se traduit dans SWIFT par un système d’autorisation B accepte de recevoir des messages de A. En d’autres termes, on aurait pu isoler les banques russes en demandant tout simplement à toutes les banques non russes de ne plus avoir de relation commerciale avec elles. C’est l’objectif de ces sanctions mais elles ne sont pas appliquées par exemple par des banques chinoises. Pour des banques, établir une relation commerciale l’une avec l’autre n’est pas innocent. La société Morgan qui est une des principales banques correspondantes dans le monde, au point d’être une plaque tournante des transferts internationaux, n’acceptera pas n’importe qui comme nouvelle banque. Dans la banque de détail, il existe un examen approfondi screening pour chaque nouveau client via la procédure dite KYC pour Know Your Customer en anglais pour éviter d’héberger les comptes d’un criminel ou d’un terroriste. Sachez que ce contrôle existe aussi entre banques qui acceptent de correspondre entre elles. Les risques Que tous les échanges entre établissements financiers reposent sur un unique système de messagerie constitue un risque systémique majeur. Si pour une raison ou une autre, SWIFT tombait en panne, c’est la finance mondiale qui s’arrêterait. Une attaque par déni de service qui arriverait à bloquer SWIFT qui n’est pas connecté à Internet ferait autant de dégâts. L’autre risque majeur avec SWIFT, c’est le vol d’argent. Le Bangladesh a connu cette mésaventure la Réserve Fédérale américaine reçut un jour plusieurs ordres de versement d’argent d’un compte détenu par la banque centrale du Bangladesh vers différents comptes dont celui d’un particulier. Cette demande particulièrement étrange une banque centrale ne transfère pas d’argent sur le compte d’un particulier a permis de détecter la fraude mais une partie de l’argent avait déjà été versée. Cette malversation venait à coup sûr d’un expert du système financier car il fallait détenir beaucoup de connaissances savoir utiliser le terminal SWIFT, savoir que la banque centrale du Bangladesh possédait de l’argent dans la Réserve Fédérale, sur quel compte…. Le personnel qui manipule les terminaux SWIFT doit évidemment faire l’objet d’un examen approfondi que certaines banques vont certainement réitérer au vu des tensions entre deux pays dont les ressortissants pourraient très bien se trouver au contact de terminaux SWIFT. Comment cela va se passer. Concrètement, quand SWIFT, une société de droit belge, recevra l’obligation légale sous quelle forme ? d’exclure les 7 banques russes, elle bloquera sans doute les transactions depuis et à destination de ces établissements sur la base de leur code BIC. Elle appliquera l’article 16c de ses statuts qui mentionne que le conseil d’administration peut suspendre ou révoquer un actionnaire s’il n’a pas respecté ses engagements ou si une régulation amène à une contradiction à le garder connecté à SWIFT. Mais ce n’est pas sans risque car certaines opérations faites via SWIFT s’étalent dans le temps. Le blocage pourrait par exemple arrêter une opération commencée plus tôt. L’interrompre en plein milieu risque de provoquer des déséquilibres dans des flux de paiement et des transferts qui peuvent déboucher sur une situation chaotique. Photo de Mohamed Almari provenant de Pexels Pour l’éviter, il est question de créer des sauf-conduits pour garantir à une opération en cours de s’achever même sous un régime de sanctions. L’autre défi est l’immédiateté de la sanction. Lorsqu’une régulation impose un changement dans les règles, du temps est laissé à SWIFT pour s’adapter. Ici, du jour au lendemain, il faut adapter les règles de surveillance des transactions. Des opérations légitimes qui utilisent les banques russes comme intermédiaires risquent d’être stoppées sans raison et interprétées comme illégales. La décision de couper les 7 banques russes a été prise le 2 mars mais ne sera d’application que le 12 mars 10 jours pour s’adapter, c’est peu ! Alternatives La Russie n’a pas réussi à développer un système alternatif à SWIFT elle a tenté de mettre sur pied le SPFS sur lequel 23 banques sont connectées en provenance de pays comme l’Arménie, le Belarus, le Kazakhstan, plus quelques pays européens et la Suisse, mais sa taille réduite le handicape. Il y a bien des plans pour interconnecter SPFS avec les systèmes de paiement en Chine, Inde et Iran. La Russie peut aussi se connecter sur le système CIPS chinois mais la Chine ne serait sans doute pas prête à subir des sanctions secondaires qui le priverait d’un accès au dollar. La Russie peut aussi se passer de SWIFT et tenter d’effectuer des paiements en direct, de gré à gré, à des banques étrangères mais celles-ci refuseront certainement. Ce qui est sûr, c’est que la légalité de la coupure sera attaquée si la Russie prend cette peine. Ce dont on parle moins Comme on l’a dit plus haut, la déconnexion de SWIFT a un impact mais il est limité car le régime de sanctions impose déjà à la plupart des banques dans le monde de ne plus travailler avec ces banques russes. Via les systèmes SPFS et/ou CIPS, elles pourraient toujours travailler avec des banques qui n’appliquent pas ces sanctions. SWIFT à défaut d’être l’arme économique ultime aura été une arme médiatique pour exprimer la volonté et l’unité de l’Europe. Si SWIFT n’était pas installé en Belgique, soumise à la législation européenne mais en Asie qui marque très peu d’empressement à appliquer des sanctions économiques, il n’est pas sûr que les banques russes eussent été bannies. Jean-Jacques Quisquater Université de Louvain Ecole Polytechnique de Louvain, Charles Cuvelliez Université de Bruxelles, Ecole Polytechnique de Bruxelles et Gael Hachez expert en gestion du risque technologique dans le secteur financier Un bug ne se manifeste pas nécessairement dès l’instant où il est dans un système. Les bugs les plus discrets sont d’ailleurs souvent les plus dangereux. Quand ils surgissent, la catastrophe peut être terrible comme celle d’Ariane 5 en 1996, qu’on a qualifiée de bug le plus cher de l’histoire. Plus rares, il y a des bugs dont l’effet nuisible n’apparaît que lentement et progressivement, sans qu’on ose ou puisse les corriger et dont les conséquences désastreuses s’empirent jusqu’à devenir gravissimes. Celui dont nous parle ici Jean-Paul Delahaye est de ce type. Serge Abiteboul, Thierry Viéville. Il s’agit du bug dans le protocole de distribution de l’incitation du réseau Bitcoin, la fameuse cryptomonnaie. On va voir qu’il est bien pire que celui d’Ariane 5. Pour que le réseau Bitcoin fonctionne et fasse circuler en toute sécurité l’argent auquel il donne vie, il faut que des volontaires acceptent de participer à sa surveillance et à la gestion des informations importantes qu’il gère et qui s’inscrivent sur une chaîne de pages », ou blo Explosion du vol 501 d’Ariane V du à un bug informatique © ckchain ». Une rémunération a donc été prévue pour récompenser ces volontaires, appelés validateurs. Elle provient de nouveaux Bitcoins créés ex-nihilo et est distribuée toutes les 10 minutes environ à un et un seul des validateurs. Qu’il n’y en ait qu’un à chaque fois n’est pas grave car dix minutes est un intervalle court et donc la récompense est distribuée un grand nombre de fois — plus de 50000 fois par an. Reste que distribuer cette incitation pose un problème quand les ordinateurs ne sont pas obligés d’indiquer qui les contrôle, ce qui est le cas du réseau Bitcoin où tout le monde peut agir anonymement en utilisant des pseudonymes ou ce qui revient au même un simple numéro de compte. Distribuer l’incitation par un choix au hasard qui donne la même chance à chaque validateur d’être retenu serait une solution parfaite si tout le monde était honnête. Ce n’est pas le cas bien sûr, et un validateur pourrait apparaître sous plusieurs pseudonymes différents pour augmenter la part de l’incitation qu’il recevrait avec un tel système. Avec k pseudonymes un validateur tricheur toucherait l’incitation k fois plus souvent que les validateurs honnêtes. S’il apparaît sous mille pseudonymes différents, il toucherait donc mille fois plus qu’un validateur honnête… qui ne le resterait peut-être pas. Le réseau serait en danger. En langage informatique, on appelle cela une attaque Sybil » du nom d’une patiente en psychiatrie qui était atteinte du trouble des personnalités multiples ou trouble dissociatif de l’identité. Plusieurs solutions sont possibles pour empêcher ces attaques, et le créateur du protocole Bitcoin dont on ne connait d’ailleurs que le pseudonyme, Satoshi Nakamoto, en a introduite une dans son système qu’au départ on a jugée merveilleuse, mais dont on a compris trop tard les conséquences désastreuses. Ces conséquences sont si graves qu’on peut affirmer que le choix de la méthode retenue et programmée par Nakamoto pour contrer les attaques Sybil est un bug. Sa solution est la preuve de travail » Proof of work » en anglais. L’idée est simple on demande aux validateurs du réseau de résoudre un problème arithmétique nouveau toutes les dix minutes. La résolution du problème exige un certain temps de calcul avec une machine de puissance moyenne, et elle ne s’obtient qu’en cherchant au hasard comme quand on tente d’obtenir un double 6 en jetant de manière répétée deux dés. Le premier des validateurs qui résout le problème gagne l’incitation pour la période concernée. Toutes les dix minutes un nouveau problème est posé permettant à un validateur de gagner l’incitation. Si tous les validateurs ont une machine de même puissance les gains sont répartis équitablement entre eux, du moins sur le long terme. Si un validateur utilise deux machines au lieu d’une seule pour résoudre les problèmes posés, il gagnera deux fois plus souvent car avec ses deux machines c’est comme s’il lançait deux fois plus souvent les dés que les autres. Cependant c’est acceptable car il aura dû investir deux fois plus que les autres pour participer ; son gain sera proportionné à son investissement. Il pourrait gagner plus souvent encore en achetant plus de machines, mais ce coût pour multiplier ses chances de gagner l’incitation impose une limite. On considère que ce contrôle des attaques Sybil est satisfaisant du fait que les gains d’un validateur sont fixés par son investissement. Il faut noter que celui qui apparaît avec k pseudonymes différents ne gagne rien de plus que s’il apparait sous un seul, car les chances de gagner sont proportionnelles à la puissance cumulée des machines qu’il engage. Qu’il engage sa puissance de calcul sous un seul nom ou sous plusieurs ne change rien pour lui. Avec la preuve de travail, il semble que la répartition des gains ne peut pas être trop injuste car si on peut améliorer ses chances de gagner à chaque période de dix minutes, cela à un coût et se fait proportionnellement à l’investissement consenti. Une usine de minage de bitcoin avec ces immense salles remplies d’unités de calcul ©AndreyRudakov/Bloomberg Le réseau bitcoin fonctionne selon le principe de la preuve de travail. Au départ tout allait bien, les validateurs se partageaient les bitcoins créés et mis en circulation à l’occasion de chaque période, sans que cela pose le moindre problème puisque leurs machines avaient des puissances comparables et que personne n’en utilisait plusieurs pour augmenter ses chance de gagner. La raison principale à cette situation est qu’en 2009 quand le réseau a été mis en marche, un bitcoin ne valait rien, pas même un centime de dollar. Investir pour gagner un peu plus de bitcoins n’avait pas d’intérêt. Cependant, petit à petit, les choses ont mal tourné car le bitcoin a pris de la valeur. Il est alors devenu intéressant pour un validateur de se procurer du matériel pour gagner plus souvent les concours de calcul que les autres. Plus la valeur du bitcoin montait plus il était intéressant de mettre en marche de nombreuses machines pour augmenter ses gains en gagnant une plus grande proportion des concours de calcul. Une augmentation de la capacité globale de calcul du réseau s’est alors produite. Elle n’a pas fait diminuer le temps nécessaire pour résoudre le problème posé chaque dix minutes, car Nakamoto, très malin, avait prévu un mécanisme qui fait que la difficulté des problèmes soumis s’ajuste automatiquement à la puissance totale du réseau. Depuis 2009, il faut dix minutes environ pour qu’un des ordinateurs du réseau résolve le problème posé et gagne l’incitation, et cette durée n’a jamais changée car le réseau est conçu pour cela. Du bitcoin à la blockchain dans ce double podcast Jean-Paul prend le temps d’expliquer comment ça marche aux élève de l’enseignement SNT en seconde et au delà. Les validateurs associés parfois avec d’autres acteurs spécialisés dans la résolution des problèmes posés par le réseau — et pas du tout dans la validation — ont accru leurs capacités de calcul. La puissance cumulée de calcul du réseau a en gros été multipliée par dix tous les ans entre 2010 et maintenant. C’est énorme ! Les spécialistes de la résolution des problèmes posés par le réseau sont ce qu’on nomme aujourd’hui les mineurs » ils travaillent pour gagner des bitcoins comme des mineurs avec leurs pioches tirent du minerai du sous sol. Il faut soigneusement distinguer leur travail de celui des validateurs les validateurs gèrent vraiment le réseau et lui permettent de fonctionner, les mineurs calculent pour aider les validateurs à gagner l’incitation. Si parfois des validateurs sont aussi mineurs, il faut bien comprendre que deux type différents de calculs sont faits il y a le travail de validation et le travail de minage. Entre 2010 et maintenant, la puissance du réseau des mineurs a été multipliée par 1011, soit 100 milliards. L’unité de calcul pour mesurer ce que font les mineurs est le hash ». En janvier 2022, on est arrivé à 200×1018 hashs pas seconde, soit 200 milliards de milliards de hashs par seconde, un nombre colossal. Bien sûr les machines utilisées ont été améliorées et on a même fabriqué des circuits électroniques pour calculer rapidement des hashs, et on les perfectionne d’année en année. Cependant, et c’est là que le bug est devenu grave, même en dépensant de moins en moins d’électricité pour chaque hash calculé, on en a dépensée de plus en plus, vraiment de plus en plus ! La logique économique est simple plus le cours du bitcoin est élevé —il s’échange aujourd’hui à plus de 30 000 euros— plus il vaut la peine d’investir dans des machines et d’acheter de l’électricité dans le but de miner car cela permet de gagner plus fréquemment le concours renouvelé toutes les dix minutes, et cela rentabilise les investissements et dépenses courantes du minage. Une concurrence féroce entre les mineurs s’est créée, pour arriver en 2022 à une consommation électrique des mineurs qu’on évalue à plus de 100 TWh/an. La valeur 50 TWh est un minimum absolument certain, mais 100 TWh/an ou plus est très probable. Sachant qu’un réacteur nucléaire de puissance moyenne produit 8 TWh/an, il y a donc l’équivalent de plus de 12 réacteurs nucléaires dans le monde qui travaillent pour produire de l’électricité servant à organiser un concours de calcul qui fixe toutes les dix minutes quel est le validateur qui gagne l’incitation. Je me permets d’insister l’électricité n’est pas dépensée pour le fonctionnement en propre du réseau, mais uniquement pour désigner le validateur gagnant. Quand on étudie le fonctionnement du réseau bitcoin, on découvre qu’il y a au moins mille fois plus d’électricité dépensée par le réseau pour choisir le gagnant toutes les dix minutes, que pour son fonctionnement propre. S’il dépense beaucoup, c’est donc à cause de la preuve de travail, pas à cause de sa conception comme réseau distribué et bien sécurisé permettant la circulation des bitcoins. Est-ce que cette situation justifie vraiment de parler de bug ? Oui, car il existe d’autres solutions que la preuve de travail et ces autres solutions n’engendrent pas cette dépense folle d’électricité. La solution alternative la plus populaire dont de multiples variantes ont été proposées et mises en fonctionnement sur des réseaux concurrents du bitcoin se nomme la preuve d’enjeu ». Son principe ressemble un peu à celui de la preuve de travail. Les validateurs qui veulent avoir une chance de se voir attribuer l’incitation distribuée périodiquement, engage une somme d’argent en la mettant sous séquestre sur le réseau où elle se trouve donc bloquée temporairement. Plus la somme mise sous séquestre est grande plus la probabilité de gagner à chaque période est grande. Comme pour la preuve de travail, avec la preuve d’enjeu il ne sert à rien de multiplier les pseudonymes car votre probabilité de gagner l’incitation sera proportionnelle à la somme que vous engagerez. Que vous le fassiez en vous cachant derrière un seul pseudonyme, ou derrière plusieurs ne change pas cette probabilité. Quand un validateur souhaite se retirer, il récupère les sommes qu’il a engagées ; ce qu’il a gagné n’est donc pas amputé par des achats de machines et d’électricité. Cette méthode ne provoque pas de dépenses folles en électricité et achats de matériels, car il n’y en a pas ! Avec des configurations équivalentes de décentralisation et de sécurisation un réseau de cryptomonnaie utilisant la preuve d’enjeu dépensera mille fois moins d’électricité qu’un réseau utilisant la preuve de travail. Il y a une façon simple d’interpréter les choses. La preuve d’enjeu et la preuve de travail limitent toutes les deux les effets des attaques Sybil en distribuant l’incitation proportionnellement aux engagements de chaque validateur —soit du matériel de calcul et de l’électricité, soit un dépôt d’argent —. Cependant la preuve d’enjeu rend son engagement au validateur quand il cesse de participer, et donc rien n’est dépensé pour participer, alors que la preuve de travail consomme définitivement l’électricité utilisée et une partie de la valeur des matériels impliqués. En un mot, la preuve de travail est une preuve d’enjeu qui confisque une partie des sommes engagées et les brûle. Avoir utilisé la preuve de travail, avec les conséquences qu’on observe aujourd’hui est de toute évidence une erreur de programmation dans le protocole du réseau du bitcoin. Le bug n’est apparu que progressivement mais il est maintenant là, gravissime. Le plus terrible, c’est qu’une fois engagé avec la preuve de travail le réseau bitcoin est devenu incapable de revenir en arrière. Corriger le bug alors que le réseau est en fonctionnement est quasiment impossible. En effet, le pouvoir pour faire évoluer la façon dont fonctionne du réseau, ce qu’on appelle sa gouvernance, est aux mains de ceux qui disposent de la puissance de calcul pour le minage. Ils ont acheté du matériel, installé leurs usines, appris à se procurer de l’électricité bon marché, ils ne souhaitent pas du tout que la valeur de leurs investissements tombe à zéro. Ils ne souhaitent donc pas passer à la preuve d’enjeu. La correction du bug est donc devenue très improbable. Aujourd’hui le réseau Ethereum qui est le second en importance dans cette catégorie essaie malgré tout de passer de la preuve de travail à la preuve d’enjeu. Il a beaucoup de mal à le faire et il n’est pas certain qu’il y arrive. Du côté du bitcoin rien n’est tenté. Sans interventions extérieures, le bug du bitcoin va donc continuer à provoquer ses effets absurdes. Est-ce le plus gros bug de l’histoire ? Celui d’Ariane 5 a été évalué à environ 5 millions de dollars. Si on considère, ce qui semble logique, que tout l’argent dépensé en minage représente le coût du bug du bitcoin alors c’est beaucoup plus, puisqu’en ordre de grandeur le minage depuis 2009 a coûté entre 5 et 10 milliards de dollars et peut-être plus. Le piège économique qui est résulté du bug est d’une perversité peut-être jamais rencontrée. Jean-Paul Delahaye, Professeur d’informatique à l’université Lille-I Au delà + La preuve de travail a d’autres inconvénients que celui mentionné ici de dépenser inutilement en électricité la production d’une dizaine de réacteurs nucléaires. Ces autres inconvénients sont présentés dans un document qui peut être vu comme un complément à ce texte Jean-Paul Delahaye, Les arguments en faveur de la preuve d’enjeu contre la preuve de travail pour les chaines de bloc, Institut Rousseau, février 2022. Une tribune intitulée Il est urgent d’agir face au développement du marché des cryptoactifs et de séparer le bon grain de l’ivraie » portant sur le problème de la régulation des cryptoactifs a été publiée par Le Monde le jeudi 10 février 2022. Vous pouvez en voir le texte avec la liste des signataires et éventuellement ajouter votre signature en allant en Attaquant autant les individus que les organisations entreprises, hôpitaux…, les rançongiciels ou ransomware en anglais sont devenus un des fléaux les plus répandus dans le monde numérique. Nos amis Lorenzo Bernardi, Charles Cuveliez et Jean-Jacques Quisquater nous expliquent le fonctionnement de ces logiciels et s’interrogent sur les conséquences des législations qui sont discutées actuellement aux Etats-unis déplaceront-elles les cibles de ces attaques vers d’autres zones géographiques ? Pascal Guitton et Thierry Viéville. Le 13 octobre dernier, la députée LREM Valéria Faure-Muntian a publié un rapport pour l’Assemblée nationale relatif à la cyber-assurance qui préconise d’interdire aux assureurs de payer les rançons. C’est un choix sociétal qui a pris de l’avance outre-Atlantique avec une effervescence législative dans le même sens interdire le paiement des rançons pour stopper cette criminalité très rentable. De fait, si la France et l’Europe ne font rien, les hackers risquent de déferler chez nous si, aux USA, il n’est plus possible de payer discrètement les rançons. La sénatrice démocrate E. Warren a ainsi proposé une loi qui imposerait de déclarer les paiements de rançon dans les 48 heures pour toutes les sociétés. Un site web serait mis en place pour permettre aussi à tout un chacun de déclarer sur base volontaire les paiements de rançon. Le Department of Homeland Security ou DHS le ministère américain de l’intérieur aurait alors la tâche d’exploiter ces données le montant, les devises utilisées – crypto ou pas – et tout ce que la victime a pu comprendre/apprendre du gang avec qui il a négocié. Image de Maulucioni extraite du site WikiMedia. L’objectif ? Comprendre l’écosystème criminel, dans une optique follow the money’ qui manque, c’est vrai, à la plupart des lois qui imposent de notifier des incidents de sécurité. Cela dit, une telle obligation et la publicité négative qui en résulterait pourraient aussi dissuader les entreprises de payer la rançon et les conduire à se mettre ainsi dans une situation parfois irrécupérable. Déclarer un incident dans un laps de temps aussi court, en pleine crise, n’est pas un cadeau il y a d’autres priorités à gérer. Ce n’est pas comme rapporter une brèche de sécurité dans les 72 heures de sa découverte comme l’impose le RGPD une fois découverte, elle a déjà eu lieu et il n’y a plus rien à gérer d’autre que les dégâts, déjà actés. Dans une autre proposition de loi, elle aussi déposée en septembre, c’est dans les 24 heures cette fois que les organisations de plus de 50 personnes seraient obligée de déclarer le paiement de rançon et les opérateurs d’infrastructure critiques devraient rapporter leurs incidents de sécurité dans les 72 heures. Les autorités devraient poursuivre activement toutes les sociétés qui ne respecteraient pas cette obligation et leur interdire de devenir sous-traitant des administrations fédérales. L’autorité compétente, le CISA agence américaine de cybersécurité et de sécurité des infrastructures, aurait ainsi, d’après les auteurs de la loi, une vue globale des cyberattaques sur le territoire américain. Cryptomonnaie aussi Les cryptomonnaies ne sont pas oubliées une proposition de loi du Sénat américain chargerait le département du Trésor de suivre activement le minage des cryptomonnaies dans le monde. Le résultat de leur analyse serait communiqué au Congrès il s’agirait de voir quel pays régule ou, au contraire, encourage les cryptomonnaies. Il faut dire qu’en plus d’être un moyen de paiement des rançons, elles sont accusées de bien d’autres maux redémarrage des centrales à charbon pour faire face à la demande d’électricité pour le minage, pénurie de microprocesseurs et hausse des prix, dues, dit-on, à la demande de puces pour le minage aussi. On imagine facilement l’étape suivante les USA qui appliqueraient des sanctions aux pays trop complaisants. La Chine n’en ferait pas partie car elle vient d’interdire toutes les transactions en cryptomonnaie. La soudaine inflation de lois, très opérationnelles, du côté US est impressionnante. Elle traduit et s’attaque au manque de compréhension des rançongiciels, à leur étendue et aux dégâts qu’elle engendre. Le FBI, dans une audition au Sénat en marge du dépôt de ces lois, a annoncé qu’en 2020, 350 millions de dollars avaient été payés en rançon rien qu’aux USA, une augmentation de 311 % par rapport à 2019. La moyenne des rançons payées est de 300 000 USD. La victime idéale Aucun pays européen ne va aussi loin et encore moins la Commission européenne au nom de tous. Mais on peut se demander si les USA ne sont pas déjà en retard d’une guerre la société KE-LA connue pour ses capacités d’infiltration du dark web a mis en évidence le profil idéal de victime d’un rançongiciel en analysant les forums d’acheteurs d’accès aux entreprises. Car les hackers ne veulent plus perdre de temps à d’abord pénétrer dans le réseau des victimes. Leur temps précieux se concentre sur l’attaque et le blocage de l’entreprise, la partie utile, en fait. Par profil idéal, il faut comprendre le portrait de la société qui paiera facilement une rançon. Elle est américaine, avec un chiffre d’affaires de 100 millions de dollars. Pour la moitié des acheteurs d’accès, qui, au fond, sur ces forums, ne font rien d’autre que de publier un cahier de charge, la victime ne doit pas être active dans le secteur médical ni dans l’éducation, un peu pour des raisons éthiques disent-ils, un peu parce qu’elles n’auront pas les moyens de payer la rançon. L’accès est payé jusqu’à 100 000 USD, en moyenne 56 000 USD. Il peut aussi y avoir une partie de la rançon partagée. L’accès n’est pas forcément un accès au réseau de la victime lui-même mais toute forme de point d’entrée dans une base de données, un serveur courriel comme ce fut le cas pour la vulnérabilité sir Microsoft Exchange, un site web. Si cet accès ne peut être utilisé pour répandre un rançongiciel, il servira à bien d’autres plaisirs » minage, installation d’un malware qui sera ensuite redistribué aux gens qui vont sur le site désormais contaminé, collecte de données dans la base de données infiltrée, utilisation des ressources infiltrées pour du spam ou phishing. Les Etats-unis sont de loin le pays le plus recherché dans les cahiers des charges » avec 47 % des demandes. Le Canada vient ensuite pour 37 %, l’Australie pour 37 % et enfin, l’Europe, tous pays confondus pour 31 %. Que se passera-t-il quand les 47 % dattaques vers les USA devront trouver d’autres preneurs ? Et évidemment, les pays de l’ex-Union Soviétique restent toujours en dehors des accès recherchés, comme quoi règne toujours la règle selon laquelle on ne mord pas la main de celui qui vous nourrit. Comment se fait-on piéger par un rançongiciel ? Qu’on se le dise, puisque la vague américaine de rançongiciels va refluer vers nos côtes les emails restent un point d’entrée préféré, car simple, des rançongiciels, via une pièce attachée ou un lien à cliquer vers un exécutable qui relâche un ransomware. Il y a aussi les sites web infectés, sous le contrôle des pirates, à partir desquels rien qu’en y navigant ou en cliquant sur un lien, un malware ou un rançongiciel peut être téléchargé sur votre machine. Ce malware pénètre via des plugins vulnérables du navigateur web et arrive en arrière-plan sans qu’on s’en rende compte. Ces points d’entrée un peu trop évidents pour lesquels l’utilisateur final porte hélas souvent une lourde responsabilité de leur donner une suite justifient, ô combien, les ennuyantes restrictions que les salariés rencontrent dans leur entreprise ne pas pouvoir accéder à un site web sans qu’il ne passe par un filtre de classification de son contenu et de reconnaissance de son innocuité au point de devoir attendre 24 heures si ce site n’a jamais été identifié auparavant. Les liens dans les emails ne sont plus cliquables tels quels ils vous redirigent vers un site relais qui sert de bouclier testeur du site réellement accédé auquel vous n’accéderez d’ailleurs qu’à travers ce bouclier. Image extraite du site wezengroup Il y a des rançongiciels plus sophistiqués qui tirent profit de vulnérabilités non corrigées dans le système IT de l’organisation qui auront été identifiées auparavant par d’autres. Pour échapper à la détection, le rançongiciel peut s’installer morceau par morceau mais en tout cas, une fois qu’il s’active, après avoir bien reconnu le réseau de la victime, on estime qu’il peut chiffrer 1000 fichiers sur un laps de temps entre 16 s et 18 min pour échapper à la détection de par sa lenteur. Soit le rançongiciel chiffre à l’aide des primitives de chiffrement contenus dans le système d’exploitation de la machine même Linux, iOS, Windows, soit ce sont des primitives de chiffrement faites maison pour leurrer les outils de détection qu’un processus de chiffrage est en cours d’exécution. Souvent, des copies des fichiers de la victime sont exfiltrées avant leurs chiffrements avec une menace de les dévoiler publiquement si l’entreprise ne paie pas la rançon. Mais la tentation de payer et de ne rien dire l’emporte car si bâtir une réputation exige beaucoup de temps, il peut suffire d’un cyber incident pour la détruire. Et pourtant, ce souci de discrétion est souvent vain car sur les forums spécialisés dans le dark web, les gangs de rançongiciels auront tôt fait d’annoncer qu’ils ont frappé une nouvelle victime, non pour se vanter mais pour avertir d’autres acteurs de la chaîne de valeur qu’ils peuvent prendre le relais récolter le paiement,…. C’est la raison pour laquelle il vaut mieux, en tant que victime être le premier à annoncer avoir été impacté par un rançongiciel la transparence paie et montrera que vous gérez la situation. Autre erreur fatale rapidement réinstaller les machines, ne garder aucune trace de ce qui s’est passé. C’est permettre au hacker de revenir par la même porte par laquelle il est entré la première fois car on n’aura pas pris le temps de comprendre comment il a pu venir. Effacer les fichiers chiffrés ou redémarrer les machines pour stopper le rançongiciel sont des réflexes naturels mais, dans un cas, on perd aussi la clé de déchiffrement qui se trouve parfois cachée dans le fichier chiffré. Dans le deuxième cas, le hacker peut le repérer et bloquer la machine elle-même en représailles. Tout sauf paniquer Quand un rançongiciel est détecté, il faut déconnecter les machines infectées, déconnecter le réseau et les espaces de stockage partagés et ce n’est pas le moment de chercher la carte du réseau. Les réseaux en un seul tenant seront désavantagés car on ne pourra pas en isoler certaines parties. Il faut sécuriser ses sauvegardes, les déconnecter si possible, stopper toutes les synchronisations entre serveurs qui propageraient les fichiers chiffrés à la place du rançongiciel. Toutes les techniques qui permettent de se mouvoir latéralement dans le réseau doivent être désactivées veillez à les documenter et à les connaitre pour votre propre réseau comme par exemple les serveurs virtuels reliant des serveurs physiques et les machines virtuelles stoppez-les quand c’est possible, ne les éteignez pas car ils peuvent contenir des infos précieuses sur le rançongiciel, les clés utilisées pour chiffrer,….. Et ce n’est pas parce qu’un rançongiciel a été détecté et isolé que vous en êtes quitte. Certains sont disséminés en plusieurs exemplaires sur le réseau pour prendre le relais en cas d’isolement et de neutralisation du premier. Il est intéressant de déterminer le type de ransomware qui vous a frappé, par exemple via le message que vous aurez reçu vous pourrez alors à l’aide d’experts déterminer son modus operandi et mieux réagir qu’en mode on déconnecte tout, on réfléchit après ». Vous saurez ainsi, par l’expérience d’autrui, si ce rançongiciel peut redémarrer plus tard quand vous pensez qu’il a fini son œuvre ou s’il est susceptible de revenir après un redémarrage, ce qui pose la question de sa persistance dans le réseau. Il faut aussi déterminer par où il a pénétré dans votre système car en fonction de ce point d’entrée, vous saurez quelle partie du réseau sera atteinte et quelles parties ne le seront pas, si vous avez appliqué une politique de segmentation forte du réseau. Cela ne sert à rien de stopper toute l’entreprise si on peut l’éviter mais qui arrive à garder la tête froide dans de telles circonstances ? Quant à la question des outils de déchiffrement offerts par les autorités, ils fonctionneront dautant mieux que vous aurez été frappé par un rançongiciel ancien. Mais il en existe peu pour les rançongiciels récents. Quant aux sauvegardes, préparez-vous à être déçus peu de sociétés en possèdent qui soient intégraux, les seuls capables de restaurer votre environnement dans l’état où il était avant l’attaque. La plupart des organisations ont des sauvegardes fragmentées mises en place pour tenir compte d’une corruption isolée d’une base de données, d’un crash disque et non pas d’un chiffrement 360° de toute votre informatique. L’initiative des Etats-Unis montrera qu’agir seul en cybersécurité ne supprime pas la menace, elle la déplace c’est l’Europe et l’Asie qui vont hériter du dynamisme du marché des rançongiciels. L’OCDE vient de se mettre d’accord sur une taxe minimum pour les GAFAs. Et si les initiatives législatives pour tarir les flux financiers des rançongiciels et au passage pour cadrer les cryptomonnaies se prenaient à ce niveau aussi. Lorenzo Bernardi Offensive Security Lead, Ernst & Young, Charles Cuvelliez Ecole Polytechnique de Bruxelles, Université de Bruxelles et Jean-Jacques Quisquater Ecole Polytechnique de Louvain, Université de Louvain. Les logiciels libres ont pris aujourd’hui une place importante dans le développement de pratiquement tous les systèmes numériques. Malheureusement, dans certains cas, l’utilisation de composants parfois obsolètes posent des questions de sécurité. Après nous avoir expliqué les attaques supply chain dans un article précédent, Charles Cuveliez, Jean-Jacques Quisquater et Tim Vaes commentent une étude portant sur 1500 logiciels qui révèle un grand nombre de failles dues à ces dépendances mal maîtrisées. Pascal Guitton Aujourd’hui, la plupart des programmes informatiques utilisent du code open source, c’est-à-dire des composants et des librairies informatiques prêts à l’emploi, proposés librement sur le Net par une communauté qui les maintient, ainsi que par des sociétés commerciales. Cela permet aux développeurs informatique de ne pas devoir chaque fois réinventer la roue quand ils mettent au point leurs propres applications. Ils peuvent se concentrer sur ce qui est nouveau, fera la différence et ne pas perdre de temps à reprogrammer ce que d’autres ont fait avant eux. En fait, pratiquement tous les programmes commerciaux, y compris des systèmes d’exploitation comme Windows ou MacOSX, font largement appel à l’open source. L’open source se retrouve donc dans un large spectre de contextes depuis des librairies écrites par des développeurs isolés sans connaissance particulière en sécurité jusque des librairies entretenues par des organisations professionnelles avec des standards de sécurité élevés. Dans le premier cas, il est facile pour un hacker malveillant de compromettre le code open source sous couvert de participer au développement. Dans le deuxième cas, on retrouve l Apache Software Foundation ou la Linux Foundation qui maintiennent des suites entières de logiciels open source au sein desquels chaque changement fait l’objet d’une revue par les pairs et est discuté par plusieurs échelons de développeurs par exemple, dans des forums. Ce type d’approche peut permettre à des codes open source d’atteindre une meilleure qualité que des logiciels proposés par des sociétés commerciales. La garantie de sécurité de ces codes open source reste pourtant vague. Elle se base sur l’idée – pas totalement fausse, mais pas garantie – que la communauté qui participe à un projet open source demeurera active dans la durée. Quand cette communauté fonctionne bien, les logiciels open source sont revus en permanence par la communauté qui y ajoute souvent en continu de nouvelles fonctionnalités. Des sociétés commerciales proposent, en sus de la communauté, du support et de la maintenance à leurs clients qui voudraient utiliser cet open source sans s’y investir eux-mêmes. Un bel exemple de ce modèle vertueux est Kubernetes un logiciel pour le déploiement d’applications qui est énormément utilisé et qu’on retrouve dans de nombreux systèmes informatiques et qui se décline en plusieurs variantes professionnelles avec support et maintenance Red Hat Openshift, Azure Kubernetes, Google Kubernetes Engine, etc.. Malheureusement cette belle réussite ne s’applique pas à la majorité des codes open source disponibles en ligne. Les chiffres révélés par Synopsys, une société spécialisée dans la promotion de logiciels de qualité, le mettent en évidence. En 2020, elle a audité 1500 programmes pour le compte de clients. Parmi eux, 84 % contenaient au moins une vulnérabilité provenant de l’open source. C’est 9 % de plus qu’en 2019. De plus, 60 % contenait une vulnérabilité à haut risque, c’est-à-dire dire qui pouvait être exploitée par des moyens déjà connus. Plus ennuyant le top 10 des vulnérabilités qui apparaissaient le plus en 2019 se retrouvent dans le palmarès 2020. Le problème ne se résout pas. Dépendance des composants. Extrait de Licence Creative Commons S’il y a un domaine où l’open source règne en maitre, c’est bien celui des applications pour smartphones sous Android 98 % d’entre elles contiennent de l’open source et selon le constat de Synopsys, 63 % révélaient une vulnérabilité critique. Comme pendant la pandémie, les utilisateurs ont téléchargé encore plus d’applications que précédemment, le risque de malveillances a donc augmenté mécaniquement. Parmi les 1500 programmes analysées, 91 % contenaient des dépendances à des codes open sources qui ne connaissaient plus de développement actif, d’amélioration du code, de résolution des soucis rencontrés sur les deux dernières années. Le fait que la communauté ne soit plus active augmente considérablement les risques. Et puis, 85 % des programmes contenaient des dépendances à du code open source périmé depuis 4 ans. De nouvelles versions existaient qui résolvaient peut-être les vulnérabilités mais les programmes n’en tenaient pas compte. Pourquoi? Comment expliquer des chiffres aussi alarmants ? Les équipes de développement se battent avec le côté ultra dynamique des codes open sources qui évoluent en permanence et dont l’usage s’est installé partout. Une bibliothèque open source qui à un moment donné est, sans vulnérabilité, peut ne pas le rester pas longtemps car son environnement évolue vite . Le bât blesse au niveau organisationnel car il faudrait mettre en place un moyen simple d’avertir les développeurs, lorsqu’ils utilisent une bibliothèque open source, qu’une vulnérabilité y a été détectée. Mais comment ? Cela demande beaucoup de discipline au sein même de l’entreprise et de ses développeurs. Cela se complique encore plus si l’entreprise fait appel à des tiers pour ses développements. Des plateformes comme GitHub dont l’activité consiste à mettre à disposition des codes open source jouent un rôle important pour combler ce trou sécuritaire elles intègrent des contrôles de sécurité, scannent les codes qui s’y trouvent, même gratuitement quand il s’agit de code open source. Elles s’attaquent au problème à la source en équipant les développeurs eux-mêmes avec les outils adéquats plutôt que de laisser cette tâche du côté des utilisateurs d’open source qui n’auraient pas tous la même discipline. Il se peut aussi que la mémoire collective oublie » la vulnérabilité d’une librairie de logicielle. La vulnérabilité a bien été détectée mais elle a été mal ou pas documentée et de nouveaux développeurs l’ignorent. Ou bien encore, on continue à utiliser de vieilles bibliothèques qui ne sont plus maintenues alors que leur ancienneté procure un faux sentiment de confiance s’il existait une vulnérabilité, cela se saurait, pense-t-on. Or le bug Heartbleed a prouvé le contraire cette bibliothèque était animée et entretenue par des doctorants pendant leur thèse mais un jour ce travail cessa faute de combattants sans que tous ne soient prévenus de l’arrêt de la maintenance. Symbole utilisé pour communiquer sur HeartBleed. Par Leena Snidate – WikiMedia Le problème des licences Il n’y a pas que les vulnérabilités qui posent problème, il faut aussi évoquer les licences. Ces licences sont plus ou moins libres d’utilisation et un logiciel peut proposer involontairement des usages qui ne respectent pas les licences de logiciel open source qu’il utilise. Par exemple, 65 % des programmes analysés par Synopsys recelaient un conflit de licence. Et les 3/4 d’entre elles étaient en conflit spécifiquement avec une version ou un autre de la célèbre GNU General Public Licence » qui est très limitante. 26% des programmes utilisaient de l’open source sans licence ou alors avec une licence modifiée par l’auteur, ce qui place souvent l’utilisateur en conflit car la licence risque d’être mal réécrite ou pas adaptée à l’usage qui est fait du code. Les conflits sur les licences open sources sont d’ailleurs en croissance copyright, contrat, antitrust, brevet et fair usage. Et il y a parfois des situations ubuesques la licence GNU General Public Licence v2 crée un conflit si le code est inclus dans un programme commercial compilé et distribué mais ce ne sera pas le cas si c’est un service de type SaaS car on ne distribue pas de code SaaS, on y accède…. Dans un article précédent, nous avons décrit les attaques supply chain qui utilisaient des codes sur lesquels s’appuyaient un logiciel. Mais au moins, le ou les fournisseurs de tels codes dans une supply chain sont connus. Avec l’open source, la situation est encore plus complexe qui est le fournisseur des codes qu’on utilise ? Ceci dit, Synopsys a pu faire ce rapport et établir ces statistiques grâce à une transparence qui est dans l’ADN de l’open source. Avec un code commercial, le secret qui l’entoure ne permettrait même pas d’établir un tel état des lieux. Que faire à court terme du côté utilisateur ? Pour affronter ces nouveaux défis, on peut réaliser soi-même une vérification approfondie des logiciels open source qu’on utilise comment le code est-il maintenu ? Combien de développeurs travaillent sur le projet ? Informent-ils sur les vulnérabilités ? Combien de temps entre deux versions successives du logiciel ? Le code est-il revu par les pairs ? La licence est-elle compatible avec l’usage qu’on veut en faire ? C’est tout un faisceau de questions qu’on pourrait tout aussi bien poser pour les logiciels commerciaux. Une telle vérification n’est pas la fin de l’histoire. Il faut aussi vérifier dans le temps que le logiciel et les bibliothèques restent à jour et sûres. Des outils qui partent du principe que les vulnérabilités sont de toute façon présentes dans le code voient aussi le jour. Ils protègent le code considéré comme vulnérable par défaut » contre des modèles d’attaques à la manière d’un mini-firewall dans le logiciel même en fonctionnement. Enfin, même si toutes ces barrières se sont révélées inefficaces, il faut aussi mettre en place des outils pour détecter les attaques. On a compris l’ampleur de l’attaque SolarWinds suite à une détection lancée par Fireeye qui en a été victime. Charles Cuvelliez Ecole Polytechnique de Bruxelles, Université de Bruxelles, Jean-Jacques Quisquater Ecole Polytechnique de Louvain, Université de Louvain & Tim Vaes Ernst & Young, Cyber Security Lead, EY Financial Services Pour en savoir plus 2021 Open Source Security and Risk Analysis Report, Synopsys, June 2021, La créativité des malfaiteurs numériques ne connait pas de limite. Nos amis Charles Cuveliez, Jean-Michel Dricot et Jean-Jacques Quisquater nous parlent d’un type d’attaque, dite supply chain » qui exploitent les vulnérabilités des logiciels complexes entraînées par la cascade de composants nécessaires à leur conception. Laissons-leur la parole ! Pascal Guitton L’attaque SolarWinds, du nom d’un logiciel de gestion de réseaux professionnels, dont une mise à jour contaminée a impacté des dizaines de milliers de clients dans le monde, semble faire partie des menaces imparables On nous répète sans arrêt qu’il faut installer les mises à jour des programmes dès qu’elles arrivent parce qu’elles fixent peut-être des trous de sécurité. Si de surcroit, elles nous parviennent automatiquement par le biais du vendeur lui-même, de manière sécurisée, pourquoi s’en inquiéter ? Et voilà qu’en installant l’une d’elles, on contamine son réseau ; c’est ce qu’on appelle les attaques supply chain. Un pirate s’infiltre dans votre réseau via un partenaire, un fournisseur, dans ce cas via une mise à jour d’un de ses programmes. C’est que pour concevoir des produits numériques, la chaîne de valeur est devenue d’une complexité inouïe avec chaque maillon fournissant le composant souvent essentiel dans le produit final. Mais parfois, la hiérarchie des responsabilités entre développeurs majeurs et sous-traitants en cascade » est tellement diluée, qu’on ne peut plus la tracer avec certitude et ainsi assurer la sureté d’un composant. » Graphe de dépendance visualisant la complexité du logiciel Parrot environ lignes de code C. Image produite par Bram Adams et extraite du Dossier Les systèmes complexes. Le Magazine de l’Université de Mons. T. Mens & M. Goeminne En plus, ces attaques supply chain sont attirantes compromettre un logiciel, c’est avoir une porte d’entrée chez les milliers de clients qui l’ont acquis sans s’échiner à forcer la porte. C’est le client lui-même qui le fait pour vous en installant la mise à jour vérolée. Ces logiciels peuvent avoir un rôle central comme, pour SolarWinds, contrôler le réseau de l’entreprise. Ces logiciels demandent aussi souvent des privilèges élevés pour s’installer de façon à être plus efficaces, ce que nous leur accordons facilement pensons aux antivirus, aux logiciels d’accès à distance au réseau de l’entreprise… Ces logiciels communiquent beaucoup avec l’extérieur pour les mises à jour et l’envoi de données de télémétrie. C’est autant de trafic dans lequel peut se cacher celui des pirates qui vont même parfois interdire aux mises à jour légitimes » de parvenir au bon endroit. Une fois dans le réseau, le logiciel compromis, et par conséquent l’attaquant, a accès à tout il est vu comme légitime par le système infecté. Comment le malfaiteur s’y prend-t-il ? Le malfaiteur cherche à s’infiltrer dans le réseau de la société qui a conçu le logiciel il peut alors compromettre les mises à jour qu’elle s’apprêtait à distribuer en y insérant son propre code. Le pirate peut également contourner la signature du code code signing en anglais, c’est-à-dire la preuve que le logiciel reçu dans la mise à jour est bien celui qui, au caractère près, a été mis au point par l’équipe de développement officielle. Plus subtil il peut compromettre ou utiliser des vulnérabilités des codes open source qui sont réemployés dans des logiciels existants, y compris ceux des sociétés privées qui y piochent et elles ont bien raison !. Le dernier rapport de Synopsys paru en avril 2021 est à cet égard édifiant il a audité plus de 1500 codes et a ainsi découvert que 84 % d’entre eux contenaient au moins une vulnérabilité dans l’open source qu’ils utilisaient. Pire 60 % des codes contenait une vulnérabilité à haut risque. Selon le domaine d’activités, de 70 % à 89 % des logiciels qui sont développés contiennent de l’open source sauf dans les télécoms et le e-commerce. Les pirates proposent parfois leurs propres bibliothèques en ne changeant qu’une lettre par rapport à la version correcte. Les développeurs distraits ne s’en rendent pas compte et les intègrent alors dans leur logiciel ! Enfin, le malfaiteur peut également s’infiltrer chez un fournisseur ou un sous-fournisseur de la société qui a conçu le programme. Les pirates qui recourent à ces attaques sont hautement spécialisés et très compétents. Ils élaborent une liste de cibles les intéressant et sur lesquelles ils se concentreront une fois l’attaque lancée pendant qu’ils laisseront toutes les autres entreprises infectées avec un réseau compromis. Les attaquants vont ensuite introduire du logiciel supplémentaire sur les systèmes des heureux élus » pour exfiltrer les données qu’ils convoitent. Ils ne vont pas dépenser beaucoup d’argent à mettre au point cette attaque juste pour tout détruire. Rupture de la chaîne de confiance. Conçue par les auteurs. Comment en est-on arrivé là ? Le monde du logiciel est rempli de paradoxes son écosystème est massivement basé sur la confiance par exemple via les communautés open source et massivement interdépendant puisque fait de briques diverses et de réutilisations de logiciels à large échelle, ce qui expose cette industrie à des vulnérabilités systémiques. Les interdépendances maillées sont, en général une source de résilience pour éviter des défaillances en cascade car un système dépendant linéairement d’un autre peut le faire s’effondrer. Mais dans le monde cyber, cette connectivité peut, au contraire, faciliter les effondrements en cascades dans les industries basées sur un fonctionnement en réseaux comme les télécoms, l’énergie ou les services financiers. Pour se prémunir, il faut notamment introduire de la diversité dans les architectures et les produits utilisés, de la même façon, au fond, que la monoculture ou le monoélevage intensif créent un terrain propice aux infections véritables cette fois. Franchement, est-il raisonnable de n’utiliser qu’un seul logiciel pour gérer tout un réseau ? Est-il normal que le même fournisseur puisse équiper toutes les sociétés du top 500 US ? C’était le cas d’Orion son logiciel, SolarWinds, était au centre de tout gestion du réseau, de l’infrastructure, gestion de performances, etc. C’est un risque de concentration inacceptable. Trust me. Extrait du site Les clients doivent prendre l’hypothèse qu’ils sont perméables. Ce n’est pas parce qu’un logiciel reçoit un label de confiance parce qu’il a été testé, qu’il restera digne de confiance sur un temps long. Le résultat d’un test n’est valable que le jour où il a été réalisé et par ailleurs, on sait qu’il n’est que partiel parce qu’il est totalement impossible de tester l’exhaustivité des configurations et des conditions d’usage même si des techniques existent pour contourner cette impossibilité. La valeur de la certification et du test ne repose que sur l’équipe qui les ont réalisés. Ils ne doivent pas créer un faux sentiment d’invincibilité d’autant plus qu’un label tested and approved » fièrement mis en avant va décourager des organismes indépendants de retester et les clients de les payer à quoi bon ? Quelle serait la solution ultime ? Mais alors, comment garantir que tous les composants d’un logiciel ou d’un produit sont sûrs ? Il y a des solutions techniques comme les certificats, à clé publique/clé privée, les mêmes qui garantissent en cascade que site web que vous contactez est bien celui qu’il prétend être. Ces certificats de garantie d’origine contrôlée se valident en cascade, dans une chaine de confiance qu’on pourrait appliquer à tous les sous-traitants dans l’écriture d’un programme par exemple. Mais ces infrastructures à clé publique prendront des années à se mettre en place. Peut-être la solution viendra-t-elle d’une utilisation originale et rapide d’un blockchain ? On peut faire des dues diligences, inspirées de celles qui se font quand une société A veut acheter une société B qui doit alors se mettre à nu. La due diligence, appliqué aux logiciels critiques, impliquerait d’avoir accès à toutes les facettes du développement du code, comment il a eu lieu, avec toute l’assurance-qualité requise. Il faudrait énumérer et connaitre les sous-traitants, les freelances impliqués, leur nationalité… On doit aussi s’assurer que la société qui a développé le logiciel publie bien les vulnérabilités de ses produits On doit contrôler qu’elle intègre les pratiques de sécurité aussi dans le développement du code et qu’elle connait bien tous ses sous-traitants et les sous-traitants de ses sous-traitants et en rester là en termes de couches successives de sous-traitants. La liste des contrôles n’est pas finie applique-t-elle l’analyse de code statique et dynamique, fait-elle une revue manuelle du code, fait-elle des tests de pénétrations de son logiciel. Son code est-il vérifié par un tiers ? Comment gère-t-elle la distribution des correctifs ? Se soumet-elle à des audits ? Une fois en fonctionnement, on peut imposer aux logiciels lorsqu’ils discutent avec Internet de n’y accéder que de manière restreinte vers une seule adresse IP et le site avec les mises à jour. Au moins si le logiciel essaie de s’en écarter, c’est une alerte de son détournement mais ce n’est pas la panacée. Les adresses IP peuvent changer et le vendeur peut lui aussi utiliser un cloud pour fournir le service. Enfin on peut exiger plus de tests de l’intégrité du logiciel de la part du client ou les imposer via les régulateurs, ce qui mécaniquement en fera baisser le coût. C’est vrai qu’on peut espérer qu’une obligation créera un appel d’air pour plus d’acteurs sur ce marché, donc plus de concurrence…. Il y a du pain sur la planche en termes de prévention. Il ne reste à court terme que de privilégier la résilience. Charles Cuvelliez et Jean-Michel Dricot Ecole Polytechnique de Bruxelles, Université de Bruxelles, Jean-Jacques Quisquater Ecole Polytechnique de Louvain, Université de Louvain Acheter en ligne, réaliser des transactions bancaires, communiquer de façon sécurisée, autant d’opérations qui nécessitent d’être protégées par des fonctions ou primitives cryptographiques. Notre confiance envers ces briques de base repose sur la cryptanalyse, c’est à dire l’analyse de la sécurité par des experts, qui essayent de “casser” les primitives cryptographiques proposées, et ainsi déterminer celles qui semblent robustes et qu’on pourra recommander, ou celles qui semblent dangereuses et qu’il ne faut pas utiliser. C’est ce que nous explique Maria Naya-Plasencia dans deux articles qui terminent la série entamée à l’occasion de la publication par Inria du livre blanc sur la cybersécurité. Dans ce second article, Maria nous décrit la situation actuelle et les évolutions envisagées dans ce domaine. Pascal Guitton . D’où peuvent venir les faiblesses ? L’expérience nous montre que des attaques sur les primitives cryptographiques sont basées sur différents types de faiblesse. Dans le cas de la cryptographie asymétrique, la faille vient parfois d’un assouplissement dans la preuve pour lier le problème cryptographique au problème mathématique associé. Dans d’autres cas, le problème mathématique considéré s’avère plus facile à résoudre que prévu. Des faiblesses peuvent aussi venir d’une configuration ou de paramètres spécifiques d’une certaine instance, parfois non apparents, qui rendent le problème moins difficile que l’original. Dans le cas des primitives symétriques, les preuves formelles de sécurité reposent sur des suppositions irréalistes, mais cela ne les rend pas faciles à attaquer pour autant. Si jamais une attaque est trouvée rappelons qu’elle doit être plus efficace que l’attaque générique, la primitive correspondante est considérée comme cassée. Ce fut le cas par exemple du chiffrement Gost. Le besoin de la transparence Nous avons vu que même les primitives cryptographiques les plus robustes ne possèdent pas de véritable preuve de sécurité – tout au plus des indices qui semblent garantir leur sûreté, mais sans qu’on en soit absolument certain. La mesure de sécurité la plus tangible et la plus acceptée par la communauté cryptographique est en fin de compte la résistance avérée à la cryptanalyse si une fonction cryptographique a résisté aux attaques de dizaines d’experts pendant des décennies, on est en droit de se sentir en bonne sécurité malgré le manque de preuve formelle. C’est en fait le rôle principal de la cryptanalyse la mesure empirique de la sécurité. Elle est donc la base de la confiance que nous portons aux algorithmes cryptographiques. C’est une tâche essentielle qui n’a pas de fin. Il est important de réaliser que cette sécurité ne peut s’obtenir que grâce à une transparence totale si on conçoit un algorithme cryptographique, il faut le rendre complètement public dans ses moindres détails pour le soumettre à l’analyse des cryptographes, car seuls leurs efforts continus pour casser cet algorithme pourront être un gage tangible de sa sécurité s’ils échouent, bien sûr. Ce principe est paradoxalement dû à un militaire et connu depuis plus de 100 ans sous le nom de principe de Kerkhoffs. Le symétrique est également vrai les cryptanalystes doivent publier leur travaux et leurs avancées pour permettre à la communauté scientifique de réutiliser leurs idées, et ainsi disposer des meilleures techniques pour analyser les crypto-systèmes existants. Cette première transparence – celle des algorithmes cryptographiques – est assez communément appliquée, même si certains acteurs s’entêtent à concevoir des crypto-systèmes “cachés” en espérant que cela augmentera leur sécurité. Par contre, il reste assez commun, pour des hackers isolés comme pour de grosses organisations, privées ou publiques comme la NSA américaine, de conserver leurs progrès pour eux, en espérant peut-être obtenir un avantage stratégique s’ils parvenaient à cryptanalyser avec succès un algorithme que le reste du monde considère sûr. Nous avons donc un réel besoin de cryptanalystes bienveillants, travaillant dans la transparence et ayant pour but de faire progresser la cryptographie en général. Forces et faiblesses Un aspect préoccupant vient du fait que la sécurité n’est jamais prouvée. Quelle que soit la fonction cryptographique, on ne pourra jamais écarter complètement la possibilité d’une cryptanalyse, même très tardive. Un aspect rassurant est que le modus operandi est très bien établi, depuis des décennies. La communauté des cryptographes adopte par défaut une attitude qu’on pourrait qualifier de paranoïaque quand il s’agit d’évaluer si tel ou tel algorithme pourrait se faire attaquer. En effet, la cryptanalyse moderne parvient très rarement à véritablement “casser” un crypto-système, et la plupart des résultats sont en fait des attaques partielles, c’est-à-dire sur une version réduite du système. Par exemple, en cryptographie symétrique, de nombreuses primitives sont formées en appliquant R fois une même fonction interne on parle de R tours. Très souvent, les cryptanalystes s’attaquent à une version réduite, avec un nombre de tours r inférieur à R. On peut alors jauger la “marge” de sécurité grâce à la différence entre le plus grand r d’une attaque et le nombre de tours R si r = R, la fonction est véritablement cassée. Pour éviter tout risque, de nombreuses primitives sont abandonnées tout en restant loin d’avoir été cassées on a besoin de peu de primitives cryptographiques, au final, et les plus sûres ont une marge de sécurité très importante. Pour que ce système reste valide, il est important que la cryptanalyse bienveillante reste très active et dynamique. L’exemple d’AES AES est le standard actuel de chiffrement à clé secrète. Nous allons analyser l’effet de la cryptanalyse sur la version de l’AES qui utilise une clé de 128 bits. Cette version utilise 10 tours, c’est à dire qu’on applique 10 fois la même fonction interne. En 1998, lors de sa conception, la meilleure attaque connue, trouvée par les auteurs, s’appliquait sur 6 tours du chiffrement il existait donc une attaque, meilleure que l’attaque générique, mais seulement sur une version affaiblie qui n’applique que 6 fois la fonction interne. La marge de sécurité était donc de 4 tours sur 10. En 2001, une attaque sur 7 tours fut découverte. Bien que la marge fut donc réduite de 4 à 3 tours, AES était loin d’être cassé. Depuis 2001, plus de 20 nouvelles attaques sur des versions réduites de l’AES ont été publiées, améliorant la complexité, c’est-à dire diminuant la quantité de calcul nécessaire. Aujourd’hui, la meilleure attaque connue est toujours sur 7 tours pendant 18 ans, la marge de sécurité en nombre de tours n’a pas bougé. Plusieurs compromis sur le temps de calcul, la quantité de données et de mémoire nécessaire à l’attaque sont possibles, mais celle qui optimise le temps de calcul a tout de même besoin de 299 opérations, et d’une quantité de données et de mémoire équivalente. Ce nombre énorme à 30 chiffres est bien au delà de la capacité de calcul de l’ensemble des ordinateurs de la planète, même pendant des centaines d’années. Et la comparaison avec l’attaque générique, qui a besoin de 2128 opérations mais d’une quantité de données et de mémoire négligeable, n’est pas si évidente en termes d’implémentation. De toute évidence, en prenant en compte tous les efforts fournis par la communauté cryptographique pendant tant d’années, il semble très peu probable que des attaques sur la version complète apparaissent en l’état actuel. On laisse peu de place aux surprises ! AES reste encore un des chiffrements les plus analysés au monde, et de nouveaux résultats pour mieux comprendre sa sécurité et son fonctionnement apparaissent tous les ans. Et dans un monde post-quantique ? Imaginons des attaquants ayant accès à un ordinateur quantique, qui utilise les propriétés quantiques des particules élémentaires pour effectuer certains types de calculs de manière beaucoup plus performante que les ordinateurs classiques cf ces articles [1], [2] récent de binaire. De tels attaquants pourraient casser la plupart des crypto-systèmes asymétriques utilisés actuellement. C’est d’ailleurs une des applications les plus prégnantes de l’ordinateur quantique tel qu’on l’imagine. Les crypto-systèmes dit “post-quantiques” sont en plein essor pour répondre à ce besoin. En ce moment même, le NIST américain organise une compétition pour trouver des nouveaux standards de chiffrement post-quantique. Ces crypto-systèmes se basent sur des problèmes difficiles qui – contrairement à la factorisation des entiers, base de RSA – résisteraient, dans l’état actuel des connaissances, à l’arrivée de l’ordinateur quantique. Ces primitives post-quantiques, asymétriques et symétriques, ont besoin, de la même façon que dans le cas classique, d’avoir leur sécurité analysée face à un attaquant quantique, et la cryptanalyse quantique est donc d’une importance primordiale. Mentionnons que la cryptographie doit parfois pouvoir résister dans le temps on voudrait pouvoir garder certains documents confidentiels à long terme, malgré les progrès scientifiques en matière de cryptanalyse incluant donc l’arrivée possible de l’ordinateur quantique. Il serait donc opportun de commencer dès aujourd’hui à utiliser des crypto-systèmes qu’on pense résistants même dans un contexte post-quantique. L’importance des recommandations. Il ne faut pas sous-estimer l’importance de suivre les recommandations de la communauté scientifique cryptographique. Notamment, seule la poignée de primitives recommandées par cette communauté doit être utilisée, car ce sont celles qui focalisent la cryptanalyse et dont la marge de sécurité est de loin la meilleure. Heureusement, ce principe est de mieux en mieux respecté par la communauté informatique dans son ensemble, comme vous pourrez le constater avec légèreté en effectuant une recherche sur le Web d’images contenant les termes “roll your own crypto”. Une notion également importante et parfois plus négligée est de rester à jour, et de réagir rapidement quand la communauté cryptographique recommande d’abandonner un crypto-système précédemment recommandé, mais jugé insuffisamment sûr à l’aune de progrès récents. Les grandes failles de sécurité informatique sont souvent le cas de mauvaises implémentations, mais la faute incombe parfois à l’usage de crypto-systèmes non recommandés. Citons par exemple une attaque parue en 2013 sur le protocole TLS qui protège les connexions https sur nos navigateurs, utilisant des failles du stream cipher RC4 dont on connaissait l’existence depuis 2001 ! Pire en 2015, l’attaque FREAK exploitait la petite taille des clés RSA-512, qu’on savait trop faible depuis les années 90. Ces brèches de sécurité et beaucoup d’autres auraient pu et dû être évitées ! Conclusion Ces illustrations montrent que la cryptanalyse demande des efforts soutenus et continus, par des chercheurs bienveillants travaillant dans un contexte transparent, et publiant leurs résultats. Que ce soit dans un contexte classique ou post-quantique, la cryptanalyse doit rester une thématique en constante évolution, afin d’assurer la maintenance des algorithmes utilisés, ainsi que pour évaluer les nouveaux types d’algorithmes cryptographiques. Mieux vaut prévenir que guérir et garder une longueur d’avance sur les adversaires malveillants ! Maria Naya-Plasencia Directrice de recherche Inria, Equipe Cosmiq, Paris Acheter en ligne, réaliser des transactions bancaires, communiquer de façon sécurisée, autant d’opérations qui nécessitent d’être protégées par des fonctions ou primitives cryptographiques. Notre confiance envers ces briques de base repose sur la cryptanalyse, c’est à dire l’analyse de la sécurité par des experts, qui essayent de “casser” les primitives cryptographiques proposées, et ainsi déterminer celles qui semblent robustes et qu’on pourra recommander, ou celles qui semblent dangereuses et qu’il ne faut pas utiliser. C’est ce que nous explique Maria Naya-Plasencia dans deux articles qui terminent la série entamée à l’occasion de la publication par Inria du livre blanc sur la cybersécurité. Dans ce premier article, Maria pose les bases des mécanismes de la cryptanalyse. Pascal Guitton . Nos communications doivent être protégées pour assurer leur confidentialité et intégrité, et pour les authentifier. Des protocoles de sécurité bien réfléchis sont utilisés dans ce but, et les briques de base de tous ces protocoles sont les primitives cryptographiques. Ces primitives cryptographiques peuvent être divisées en deux grandes familles. La cryptographie symétrique parfois dite “à clé secrète” est la plus ancienne. Si Alice et Bob veulent communiquer à distance de façon confidentielle, malgré les risques d’interception de leurs messages, ils vont d’abord se réunir et se mettre d’accord sur une clé secrète, que tous les deux et personne d’autre connaissent. Quand Alice veut envoyer un message à Bob, il lui suffit alors de cacher l’information à l’aide de la clé secrète, avant de l’envoyer. Quand Bob recevra le message chiffré, il peut le déchiffrer à l’aide de la même clé secrète pour récupérer le message original la clé secrète sert à chiffrer et à déchiffrer. Bob peut lui aussi envoyer un message à Alice avec la même clé, qui est utilisable dans les deux sens. Cette méthode présente l’inconvénient de devoir se réunir en secret, sans risque d’interception ou espionnage avant de pouvoir établir des communications éloignées et sécurisées. Comment pourraient faire Alice et Bob pour communiquer confidentiellement sans se réunir avant ? Ils peuvent utiliser la cryptographie asymétrique dite ”à clé publique”, introduite dans les années 70. Les détails sur ce types de primitives sont présentés dans l’article “De la nécessité des problèmes que l’on ne sait pas résoudre”. La cryptographie asymétrique permet d’éviter que les parties qui veulent communiquer se réunissent avant établir la communication sécurisée, mais elle est aussi lente et coûteuse, pouvant devenir impraticable pour des longs messages. De son côté, la cryptographie symétrique nécessite un échange de clés avant de pouvoir commencer la communication, mais une fois la clé secrète répartie, elle est considérablement plus efficace. Pour exemple, le standard symétrique actuel, AES, recommandé depuis 2002 et utilisé dans la plupart des navigateurs web, peut chiffrer plusieurs gigaoctets par seconde, là où les standards asymétriques actuels peinent à atteindre un mégaoctet par seconde plus de 1000 fois plus lents. On utilise donc le plus souvent des systèmes mixtes la cryptographie asymétrique pour échanger une clé secrète, normalement de petite taille par exemple 128 bits, et ensuite la cryptographie symétrique en utilisant la clé secrète échangée pour chiffrer les messages. Pour que les communications soient sûres, les primitives cryptographiques utilisées doivent répondre à un cahier des charges précis en matière de sécurité. La cryptanalyse constitue le moyen essentiel de s’assurer du respect prolongé de ce cahier des charges. Quelles primitives utiliser ? La sécurité des primitives asymétriques à clé publique repose en général sur la difficulté d’un problème mathématique bien établi et jugé difficile, c’est-à-dire à priori insoluble dans un laps de temps raisonnable. Par exemple, le chiffrement RSA repose sur le problème de la factorisation étant donné un entier naturel non nul, trouver sa décomposition en produit de nombres. Déchiffrer RSA reviendrait donc à résoudre le problème de la factorisation de très grandes nombres entiers, ce qui constituerait une véritable bombe dans le milieu scientifique, car de très nombreux chercheurs étudient ce problème en vain depuis des décennies. Du côté de la cryptographie symétrique, on peut prouver formellement de nombreuses propriétés de sécurité d’un chiffrement symétrique idéal si on suppose qu’il génère pour chaque message un chiffre aléatoire, ce qui ne nous permettrait pas de retrouver de l’information sur le message original. Mais il est par essence impossible de construire efficacement une telle fonction, et les primitives symétriques essaient d’imiter ce comportement avec des fonctions déterministes. Pour jauger la sécurité, on s’en remet donc à la résistance aux attaques des cryptanalystes. Une attaque est jugée efficace et la primitive attaquée est alors dite cassée » si elle peut se faire plus facilement plus rapidement, ou en utilisant moins de ressources de calcul que les meilleures attaques génériques, c’est à dire une attaque qu’on peut toujours appliquer, même sur les primitives idéales. Par exemple, une attaque générique sur un chiffrement symétrique est la recherche exhaustive de la clé secrète en essayant toutes les clés possibles, on parviendra toujours à trouver la bonne. Comme on ne veut pas qu’une telle attaque soit réalisable, les clés secrètes ont des tailles variant entre 128 à 256 bits, selon la sécurité voulue cela implique qu’il faudrait essayer respectivement 2128 environ à 340 milliards de milliards de milliards de milliards, soit un 3 suivi de 38 zéros et 2256 clés différentes. Tester 2128 clés est à l’heure actuelle hors de portée mais il est difficile de prédire pendant combien de temps ce sera le cas ; pour des clés de 256 bits une recherche exhaustive est cependant totalement au-delà des capacités de l’ensemble des ressources de calcul de la planète. L’existence de toute attaque plus performante que ces attaques génériques est considérée comme une faiblesse grave de la primitive. Maria Naya-Plasencia Directrice de recherche Inria, Equipe Cosmiq, Paris Nous poursuivons notre balade avec David Pointcheval, Directeur du Laboratoire d’informatique de l’École Normale Supérieure, Paris, dans l’agrégation confidentielle ». Il nous conduit aux frontières de ce domaine de recherche. Serge Abiteboul Pexels Nous avons vu dans un premier article que le FHE chiffrement complètement homomorphe permettait d’effectuer des calculs sur les chiffrés. Mais il ne permet pas le partage des résultats toute personne capable de déchiffrer le résultat final est en mesure de déchiffrer les entrées du calcul, puisque le tout est chiffré sous la même clef. Le chiffrement fonctionnel [1] fournit un outil complémentaire il permet la diffusion de résultats, restreints par les capacités de la clef que possède l’utilisateur et les contraintes choisies par l’émetteur des chiffrés. Par exemple, la clef peut ne permettre le déchiffrement que sous certaines conditions d’accès chiffrement basé sur l’identité, ou sur des attributs, mais peut aussi restreindre le déchiffrement à certaines agrégations sur les clairs, et à rien d’autre. Usuellement, à partir d’un chiffré Ex de x, la clef de déchiffrement permet de retrouver le clair x. Avec le chiffrement fonctionnel, plusieurs clefs de déchiffrement peuvent être générées, selon différentes fonctions f. A partir d’un chiffré Ex de x, la clé de déchiffrement kf associée à la fonction f permet d’obtenir fx et aucune autre information sur x. Ainsi, la fonction f peut tester l’identité du destinataire intégrée dans le clair x au moment du chiffrement, avant de retourner ou non le clair, ce qui conduit à un simple contrôle d’accès. Mais la fonction f peut également faire des calculs plus complexes, et notamment ne donner accès qu’à certains types d’agrégations. Agrégations de données Le grand intérêt du chiffrement fonctionnel est en effet la contrainte by design des informations partielles obtenues sur la donnée en clair, par exemple une moyenne, des agrégations et toutes sortes de statistiques, sans jamais révéler d’information supplémentaire. On peut notamment effectuer des chiffrements de vecteurs et n’autoriser que certains calculs statistiques. Mais contrairement au FHE qui retourne le calcul sous forme chiffrée et nécessite donc de posséder la clef de déchiffrement qui permet non seulement de retrouver le résultat en clair mais également les données initiales en clair, la clef de déchiffrement fonctionnel effectue le calcul et fournit le résultat en clair. Cette dernière ne permet en revanche pas de déchiffrer les données initiales. Il a été montré possible de générer des clefs pour évaluer n’importe quel circuit sur des données chiffrées [2]. Néanmoins, ce résultat générique est très théorique, sous des hypothèses très fortes, et notamment la possibilité d’obfusquer * du code, ce pour quoi nous n’avons pas encore de solution. Ainsi, la première construction effective a été donnée pour la famille des produits scalaires, ou moyennes pondérées [3] les messages clairs sont des vecteurs et les clefs de déchiffrement fonctionnel sont associées à des vecteurs. L’opération de déchiffrement retourne le produit scalaire entre le vecteur chiffré et le vecteur associé à la clef. Moyennes sur des données temporelles Il s’agit certainement du cas d’usage le plus classique. Bien que très simple, il semble adapté à de nombreuses situations concrètes des séries de données temporelles sont générées, et le propriétaire de ces données souhaite ne diffuser que des agrégations sous formes de moyennes pondérées, à chaque période de temps. Ces pondérations peuvent dépendre des destinataires, voire s’affiner au cours du temps. Pour cela, pour chaque vecteur de pondérations, une clef de déchiffrement fonctionnel est générée par le propriétaire des données, une bonne fois pour toutes, et transmise au destinataire autorisé. A chaque période de temps, la série de données est publiée chiffrée, et chaque propriétaire de clef peut obtenir le calcul agrégé autorisé, et rien de plus. Tous les destinataires ont accès aux mêmes données chiffrées, mais selon la clef en leur possession, des agrégations différentes seront accessibles. Plus récemment, des versions multi-clients [4] ont été définies, permettant à des fournisseurs de données distincts de contribuer à la série temporelle, et de garder le contrôle des clefs fonctionnelles générées. Les exemples d’applications sont multiples, dans la finance, en sécurité, ou dans le domaine médical. Considérons les compagnies d’assurance, qui sont en forte concurrence, et qui n’imaginent pas un instant partager les volumes dans chaque catégorie de sinistres rencontrés par leurs clients. Par contre, ces clients seraient intéressés par le volume global, au niveau national, toutes compagnies d’assurance confondues. Cela rentre exactement dans le contexte d’une somme pondérée générée régulièrement sur des données chiffrées. Et bien sûr, les compagnies d’assurance doivent contribuer à la génération des clefs fonctionnelles, afin de s’assurer qu’elles permettront un calcul qu’elles autorisent. Un autre cas d’usage similaire en sécurité est la remontée des attaques subies par les entreprises. Ces données sont sensibles au niveau de chaque entreprise, mais sont très utiles à un niveau global pour connaître les menaces, et réagir de façon adaptée. Le chiffrement fonctionnel, y compris multi-client, est quant à lui parfaitement opérationnel sur des données réelles, pour obtenir de telles moyennes pondérées. En effet, les calculs à effectuer demeurent relativement simples et peu coûteux. Chiffrement fonctionnel et apprentissage Est-ce la fin de l’histoire ? Non, car de fortes limitations subsistent. La technique permet de réaliser un grand nombre de statistiques basées sur des additions avec des coefficients. Elle permet notamment des techniques de classification de données, mais de médiocre qualité. On aimerait aller au-delà de tels calculs linaires. C’est indispensable pour réaliser des calculs statistiques plus riches, par exemple des calculs de variance. Ça l’est aussi pour pouvoir utiliser des méthodes d’apprentissage automatique plus sophistiquées [6]. Il n’y a pas d’impossibilité, juste de belles opportunités pour les scientifiques. Conclusion Avec le RGPD ou Règlement Général sur la Protection des Données, la protection de la vie privée et des données personnelles est désormais une exigence pour toute entité qui stocke et traite des informations à caractère personnel. La cryptographie propose des outils opérationnels pour des traitements simples, tels que la recherche par mots-clefs parmi des données chiffrées, la classification de données chiffrées, et les calculs statistiques sur des données chiffrées. Même l’apprentissage fédéré peut être efficacement traité. Mais selon les contextes d’applications, des choix doivent être faits qui auront un impact important sur l’efficacité, voire la faisabilité. David Pointcheval, CNRS, ENS/PSL et Inria * obfusquerdu vieux français offusquer Obscurcir, assombrir. En Informatique, rendre un programme ou des données illisibles pour éviter qu’ils soient exploités de façon non autorisée. [1] Dan Boneh, Amit Sahai et Brent Waters. Functional encryption Definitions and challenges. TCC 2011 [2] Sanjam Garg, Craig Gentry, Shai Halevi, Mariana Raykova, Amit Sahai et Brent Waters. Candidate indistinguishability obfuscation and functional encryption for all circuits. FOCS 2013 [3] Michel Abdalla, Florian Bourse, Angelo De Caro et David Pointcheval. Simple functional encryption schemes for inner products. PKC 2015 [4] Jérémy Chotard, Edouard Dufour-Sans, Romain Gay, Duong Hieu Phan, et David Pointcheval. Decentralized multi-client functional encryption for inner product. ASIACRYPT 2018 [5] Théo Ryffel, Edouard Dufour-Sans, Romain Gay, Francis Bach et David Pointcheval. Partially encrypted machine learning using functional encryption. NeurIPS 2019 [6] Théo Ryffel, Edouard Dufour-Sans, Romain Gay, Francis Bach et David Pointcheval. Partially encrypted machine learning using functional encryption. NeurIPS 2019 Dans de nombreuses situations, on a envie de garder chaque information confidentielle, mais réaliser, sur leur ensemble, une agrégation, leur somme, leur moyenne, leur évolution dans le temps, etc. Par exemple, en tant que cycliste, vous n’avez pas peut-être pas envie que le reste du monde sache où vous êtes, mais vous aimeriez bien savoir qu’il faut éviter le Boulevard Sébastopol à Paris à cause de sa surcharge. Ça semble impossible ? Et pourtant des avancées scientifiques basées sur la cryptographie permettent de le faire. Ce n’est pas de la magie mais de l’algorithmique super astucieuse avec plein de maths derrière. Alors, en voiture avec David Pointcheval, Directeur du Laboratoire d’informatique de l’École Normale Supérieure, Paris, pour une balade incroyable dans l’agrégation confidentielle ». Serge Abiteboul David Pointcheval, Cryptographe L’externalisation des données est devenue pratique courante et la volonté de mettre des informations en commun, pour détecter des anomalies, prédire des événements ou juste effectuer des calculs s’intensifie. Nombre de ces données restent néanmoins sensibles, et leur confidentialité doit être garantie. Un exemple d’actualité est l’analyse massive de données médicales pour suivre une épidémie, son mode d’expansion et son évolution chez les malades. Les hôpitaux ont de telles informations en grande quantité, mais elles sont d’une extrême sensibilité. La cryptographie a développé plusieurs outils pour concilier ces besoins contradictoires que sont le partage des données et leur confidentialité, à savoir le calcul multi-parties sécurisé », MPC pour Multi-Party Computation, le chiffrement complètement homomorphe, FHE, pour Fully Homomorphic Encryption, et le chiffrement fonctionnel, FE, pour Functional Encryption. Nous allons rapidement rappeler les deux premières solutions. Dans un prochain article, nous nous attarderons plus longuement sur la dernière approche, développée plus récemment, qui répond efficacement à des besoins concrets de calculs sur des données mutualisées sensibles. Photo de Cottonbro – Pexels Le calcul multi-parties sécurisé MPC Le MPC a été proposé il y a plus de 30 ans [1], pour permettre à des utilisateurs, possédant chacun des données secrètes, d’effectuer un calcul commun et d’obtenir le résultat tout en gardant les entrées confidentielles. Intuitivement, le MPC permet de remplacer la situation idéale, où chacun transmettrait sa donnée à un tiers de confiance et ce dernier effectuerait le calcul pour ne retourner que le résultat, par un protocole interactif entre les seuls participants. Contrairement à l’utilisation d’un tiers de confiance, dont la capacité à protéger les données et les échanges est essentiel, le MPC ne requiert aucune confiance en qui que ce soit. Un exemple pour illustrer cela est le vote électronique, où tous les participants ont leur choix de candidat à l’esprit, et le résultat commun annoncé est le nombre total de voix pour chaque candidat. Néanmoins, même les opérations simples, telles que ces sommes dans le cas du vote, nécessitent un très grand nombre d’interactions entre tous les participants. Avec seulement deux utilisateurs, on dispose de solutions particulièrement efficaces, avec notamment les versions optimisées de Garbled Circuits [2]. Un exemple célèbre du calcul sécurisé entre deux individus est le problème du millionnaire », où deux personnes fortunées veulent savoir laquelle est la plus riche, mais sans pour autant révéler les montants en question. Il s’agit donc d’effectuer une comparaison sur deux données secrètes. De telles comparaisons sont également la base de techniques d’apprentissage automatique, au niveau de la fonction d’activation de neurones. Il est donc possible de tester un réseau de neurones, entre le propriétaire de la donnée à classifier et le possesseur du réseau, sans qu’aucune information autre que le résultat de classe ne soit disponible au deux. Le chiffrement complètement homomorphe FHE Pour éviter les interactions, les données doivent être stockées en un même lieu, de façon chiffrée pour garantir la confidentialité. Le chiffrement permet de stocker des données tout en les maintenant à l’abri des regards. Il permet aussi d’exclure toute forme de manipulation, pour en garantir l’intégrité. Cependant, certaines propriétés algébriques ont été utilisées, et notamment la multiplicativité, avec des schémas de chiffrement qui permettent de générer, à partir de deux chiffrés, le chiffré du produit des clairs. En d’autres termes, à partir des valeurs chiffrées Ea et Eb, de deux données a et b, il est possible de calculer la valeur chiffrée Ea*b de a*b sans avoir à connaitre a et b. D’autres schémas proposent l’additivité, ce qui permet d’obtenir le chiffré de la somme des clairs par une simple opération sur les chiffrés. Mais à quoi cela peut-il servir ? La propriété d’additivité est par exemple largement exploitée au sein de systèmes de vote électronique. Les votants chiffrent leur choix 1 ou 0, selon que la case est cochée ou non, et une opération publique permet d’obtenir le chiffré de la somme de leurs votes. Le déchiffrement final, mené par le bureau de vote, permet de prendre connaissance du résultat, sans avoir besoin de déchiffrer chaque vote individuellement. On connaissait des méthodes qui permettent l’additivité et d’autres la multiplicativité. Les deux ont semblé longtemps incompatibles jusqu’aux travaux de Craig Gentry [3]. En 2009, il a présenté la première construction permettant ces deux opérations en nombre illimité sur les clairs, par des opérations publiques sur les chiffrés. Il devient alors possible d’évaluer n’importe quel circuit booléen sur des entrées chiffrées, avec le résultat chiffré sous la même clef. Comment passe-t-on de ces deux propriétés aux circuits booléens ? Un circuit est composé de portes logiques qui peuvent se traduire en termes d’additions, de négations et de multiplications. Ce FHE permet alors à une personne d’externaliser des calculs sur ses données confidentielles, sans aucune interaction. Il lui suffit de les chiffrer sous sa propre clef ; le prestataire peut faire tous les calculs souhaités sur ces données, sans en prendre connaissance ; l’utilisateur peut enfin récupérer le résultat chiffré toujours sous sa propre clef. Un exemple peut être le stockage de photos, permettant de faire tourner des algorithmes d’atténuation des yeux rouges ou de regroupement selon la reconnaissance faciale, tout en garantissant la confidentialité. On peut même imaginer poser des requêtes chiffrées à un moteur de recherche et obtenir des réponses pertinentes, sans révéler ni les questions, ni les réponses. Les applications de ces techniques sont extrêmement nombreuses. Mais elles ont une énorme limitation la confidentialité est garantie au prix d’énormes quantités de calculs, de temps parfois prohibitifs même pour un supercalculateur. David Pointcheval, CNRS, ENS/PSL et Inria [1] Oded Goldreich, Silvio Micali et Avi Wigderson. How to play any mental game or A completeness theorem for protocols with honest majority. STOC 1987 [2] Andrew Chi-Chih Yao. How to generate and exchange secrets. FOCS 1986 [3] Craig Gentry. Fully homomorphic encryption using ideal lattices. STOC 2009 Tous les ans, la société Verizon publie un rapport décrivant les faits saillants de l’année écoulée en termes de sécurité des données. Nos amis Jean-Jacques Quisquater et Charles Cuvelliez ont lu ce document et nous livrent leur analyse. Parfois surprenant ! Pascal Guitton A lire le dernier Data Breach Investigation Report de Verizon 2020 [1], un monument dans la communauté cyber, 13 éditions au compteur, il y a quelques idées reçues bien ancrées qui doivent être remises en question. Ce ne sont pas moins de 30 000 incidents de sécurité sur l’année 2019 qui ont été analysés à partir des contributions d’à peu près 80 organismes dans autant de pays qui collaborent désormais à ce rapport. 10 % de ces incidents ont mené à une fuite de données. Pour 2/3 d’entre elles, il n’a même pas fallu mobiliser des moyens techniques sophistiqués il a suffi aux criminels d’utiliser des mots de passe volés, devinés ou de mettre en œuvre du hameçonnage quand ce ne fut pas tout simplement une erreur humaine un envoi des données de l’entreprise à une mauvaise personne, par email par exemple comme le fameux Autofill de Outlook qui vous propose par défaut les dernières adresses email utilisées qui commencent par les mêmes lettres que celle à qui vous destinez vraiment le mail…et si facilement acceptées par distraction. Les données qui fuitent sont à 58 % à caractère privé adresses mails, numéros de téléphone, adresses… qui se trouvent dans des emails ou des bases de données mal protégées. Des données plus sensibles encore comme les données bancaires ou de paiement ou bien les données médicales s’y retrouvent moins. Ce n’est pas illogique ces données ont toujours été sensibles et sont très protégées depuis longtemps. La mise en place il y a 2 ans du RGPD européen a permis d’attacher plus d’importance aux données personnelles et donc à leur protection. Les attaques contre les applications web à 43 % et le hameçonnage sont les causes premières de brèches de données. Là non plus, rien d’étonnant les applications web sont une porte extérieure qui donne accès à l’entreprise, certes fermée mais accessible à tous. Il s’en trouve bien quelques-uns pour réussir à l’ouvrir. Avec l’utilisation grandissante du cloud, où tous les logiciels, les bases données sont accessibles via une interface web, cette tendance ne fera que croitre. Attention aussi, dit Verizon, aux infrastructures et autres serveurs qui sont connectés au web s’ils sont oubliés, pas mis à jour, ils seront repérés automatiquement par des hackers qui en prendront le contrôle comme relais de leurs attaques. Attaque par déni de service – Crédit Everaldo Coelho and YellowIcon / LGPL Les attaques par déni de service et les rançongiciels sont les formes les plus prévalentes pour les incidents de sécurité les premiers inondent les systèmes de l’entreprise d’un déluge de requêtes et les étouffent en saturant leurs capacités de traitement. Les deuxièmes chiffrent les contenus qu’ils trouvent sur leur chemin une fois introduit dans les ordinateurs de l’entreprise. Les rançongiciels ne provoquent pas encore de brèche de données leurs auteurs exigent une rançon en échange d’une clé de déchiffrement mais ils n’hésitent plus à exfiltrer d’abord les données ce qui exige plus d’efforts de leur part et les expose aussi. Ils peuvent alors menacer de les publier si l’entreprise refuse de payer quand elle estime pouvoir s’en sortir avec les copies de sauvegarde. La part des rançongiciels dans les incidents de sécurité provoqué par un malware s’élève cette année à 27 % et ne fait que croître en troisième position des malwares. 18 % des organisations ont eu à bloquer un malware en 2019. Par contre les chevaux de Troie comme variété de malware diminuent à la cinquième position. Ils restent cependant un maître-choix pour les attaques sophistiquées par lesquelles le criminel peut avoir accès à distance aux systèmes infectés via une porte dérobée. Sans doute, explique Verizon, les versions les plus simples de ces chevaux de Troie sont mieux stoppées mais les plus élaborées restent bel et bien actives. Les malwares semblent être principalement délivrés par mail peu par le web sous forme de documents Office ou sous forme d’applications Windows, compte-tenu de leur large déploiement dans monde de l’entreprise. Les plus courtes sont les meilleures Autre constat les attaques doivent être courtes dans la durée pour être efficaces. L’époque où le hacker pouvait pénétrer dans le réseau et prendre son temps pour trouver les joyaux de la couronne semble révolue, sinon le criminel finit par être découvert. Si l’attaque a besoin de plus de 5 étapes pénétrer dans le réseau cible, y obtenir des droits suffisants, se diriger vers les zones sensibles… avant d’être effective, elle échouera. Une attaque ne débute jamais de manière très sophistiquée hameçonnage, utilisation de login/mot de passe volé, etc… Il est amusant de constater d’ailleurs, dit Verizon, qu’une fuite d’une base de données de login/mot de passe ne génère aucune excitation, aucun effet d’aubaine. On ne voit pas d’augmentation d’activité en la matière. Non, ces fuites alimentent simplement le corpus, la documentation utilisée pour tenter d’accéder aux systèmes. Un fois dans le réseau, le criminel y installe des malwares ou fait appel à des techniques plus sophistiquées pour prendre possession des lieux. 70 % des brèches de données proviennent d’acteurs extérieurs à l’entreprise et 86 % d’entre elles, quand ce ne sont pas des accidents, reposent sur des motivations financières l’employé qui cherche à se venger est donc plus rare tandis que le cyber-espionnage n’est à l’origine que de 1/5 de ces attaques. L’erreur humaine est la seule cause de brèche de données qui augmente alors que toutes les autres malware, hameçonnage, intrusion physique diminuent. C’est un mauvais signe résultant certainement de la pression grandissante sur les équipes de sécurité qui doivent suivre les logiques de DevOps développer vite, mettre en production vite dans un cycle qui se répète sans fin. A quand le SecureDevOps ? Parmi ces erreurs, une mention spéciale pour les erreurs de configuration qui amènent, par exemple, des chercheurs à découvrir des bases de données accessibles facilement sur le web. Si les erreurs humaines progressent, c’est aussi, dit Verizon, dû au RGPD qui exige de donner les causes des brèches de données on ne peut plus cacher le côté humain de nombreuses erreurs. La décroissance des autres formes d’attaques est, par contre, une bonne nouvelle s’il y a moins d’hameçonnage, c’est grâce à la formation du personnel à le reconnaitre. S’il y a moins de malwares, c’est le signe que les entreprises se protègent mieux et investissent dans les technologies pour les contrer. Mais il ne faut pas croire que les malwares ont disparu. By jaUserゐ – Transferred from to Commons by Maksim., Public Domain, Vos appareils sont tracés Si vous l’ignoriez, sachez que vos adresses IP sont constamment scannées toutes les quelques secondes à la recherche de portes ouvertes vers votre réseau. Les chercheurs de Verizon ont cherché à savoir quelles portes les criminels testaient aujourd’hui Telnet et ssh arrivent toujours en tête ces deux services permettent de se connecter au système et de le contrôler comme un utilisateur normal enregistré sur la machine. Mais en positions 3, 4 et 5 on trouve les caméras connectées, les routeurs domestiques et les portes d’entrées pour débogger Android. Il faut dire que ces appareils sont en général moins bien sécurisés, y compris le mode débogage des smartphones qui connait le mot de passe du routeur de son domicile, qui ne s’est jamais préoccupé du mot de passe de la caméra de surveillance qu’il a installé, ou encore de son éclairage intelligent surtout quand le même mot de passe initial est partout le même. Les vulnérabilités, la partie émergée de l’iceberg Moins de 5 % des incidents de sécurité sont le résultat de l’exploitation d’une vulnérabilité. On le sait peu mais il y a énormément de vulnérabilités découvertes et les organisations en découvrent tout autant sur leurs réseaux. Mais en fait, seul un faible pourcentage est utilisé pour des fuites de données. Dans leurs systèmes SIEM, les organisations ont moins de % d’alertes qui sont liées à l’exploitation d’une vulnérabilité. Pour Verizon, ceci signifie que les entreprises colmatent les vulnérabilités de manière rapide mais ce qui pose problème, c’est la méconnaissance de ce qu’il faut colmater. Verizon a fait un test des adresses IP qui se trouvent être sujettes à une vulnérabilité récente le sont pour de vieilles vulnérabilités. C’est le signe d’un asset oublié dans le réseau … Les cyberattaques ont encore de beaux jours devant elles. Jean-Jacques Quisquater Université de Louvain, Ecole Polytechnique de Louvain et MIT & Charles Cuvelliez Université de Bruxelles, Ecole Polytechnique de Bruxelles Pour en savoir plus [1] Data Breach Investigation Report 2020, L’avènement des véhicules autonomes VA et des VA communicants VAC pose des questions de sécurité routière, de cybersécurité et de protection de la vie privée des passagers. Binaire publiait en 2018 une contribution Sécurité routière et cybersécurité qui nous alertait sur les risques encourus. Nathalie Nevejans et Gérard Le Lann reviennent sur ce sujet pour en donner un rapide éclairage scientifique, technologique, et juridique. Une première partie est consacrée aux véhicules autonomes. Une seconde, à venir, traitera des VA communicants. Serge Abiteboul Les contes de fées des années 2010 ont vécu • Sécurité Les VA ont parcouru des millions de miles/km sans accident Faux. Le premier accident impliquant un VA s’est produit en 2011 devant le quartier général de Google en Californie. • Efficacité Les véhicules totalement autonomes seront disponibles en 2020 Faux, à l’évidence. Six niveaux d’autonomie ont été définis par la Society of Automotive Engineers, de 0 conduite humaine à 5 conduite totalement automatisée, en tous lieux. Certains constructeurs affirment à présent qu’il n’y aura pas de VA de niveau supérieur à 3 tandis que d’autres, en coopération avec les meilleurs laboratoires du monde académique, verrouillent les droits de propriété intellectuelle et les brevets relatifs aux véhicules de niveau 5. Les VA disponibles à l’achat, de niveaux 2, rarement 3, circulent sous le contrôle de conducteurs, aidés de systèmes ADASS Advanced Driver-Assistance Systems, certains nécessitant un récepteur GNSS Global Navigation Satellite System comme GPS, Galileo, Glonass, ou Beidou. En mode autonome, le comportement d’un VA est déterminé par un système de bord qui exécute des logiciels alimentés par des données provenant de divers capteurs radars, lidars, caméras, etc., de cartes numériques et d’algorithmes de reconnaissance environnementale exploitant l’apprentissage automatique. Les six niveaux d’autonomie. Source ResearchGate Cockpit de VA vue synthétique. Source LinkedIn Sécurité et efficacité. En 2017, aux États-Unis, on dénombrait 34 247 morts sur les routes, environ 10 fois moins en France. Les objectifs avec les VA sont • sécurité approcher 0 accident mortel et 0 blessure grave irréversible, et • efficacité réduire les temps de trajets. Il est quasiment trivial de réaliser au moins en partie les objectifs sécuritaires en imposant de grandes séparations inter-véhiculaires et/ou de faibles vitesses. L’exigence d’efficacité, trop souvent ignorée, est donc essentielle. Outre des dizaines d’hospitalisations, six accidents mortels ont été causés à ce jour par des VA en mode autonome, cinq aux États-Unis et un en Chine. Les échantillons disponibles sont trop petits pour pouvoir conclure. Néanmoins, rien ne permet d’affirmer que le taux de mortalité avec les VA est ou sera inférieur à 1,13 par 100 millions de véhicules miles le fatality rate en 2018 aux États-Unis pour des véhicules actuels conduits par des humains. Ce constat est conforté par une étude publiée par le IIHS [i] en juin 2020. Parmi les principales faiblesses, on trouve la faillibilité des capteurs et des techniques IA actuelles les faux négatifs, le manque de communications explicites cf. l’article à venir sur les VA communicants, ainsi que le partage d’autorité entre humain et système de bord. Ce problème, bien connu en transport aérien, n’a pas de solution générale. Partant du diagnostic selon lequel The human is the bug », l’un des pionniers des Google cars choisit à l’époque de viser d’emblée la conduite automatisée. Accident mortel d’un VA, 2018, Highway 101, CA, États-Unis. Source Paloalto Online La question des responsabilités. Tous les VA sont équipés d’enregistreurs infalsifiables – de boîtes noires. L’examen de l’historique des événements datés qui précèdent un accident permet de déterminer, dans chaque véhicule impliqué, le ou les événements qui a/ont causé l’accident. Donc, contrairement à ce qu’on lit parfois, il est possible d’identifier ce qui est à l’origine d’un accident un conducteur, un équipement, un logiciel, etc. Ce travail d’enquête destiné à réunir des faits est mené par des experts mandatés par des tribunaux, des compagnies d’assurance, etc. Les tribunaux peuvent alors attribuer les responsabilités civiles les dommages et intérêts et/ou pénales en déterminant qui doit répondre des conséquences de l’accident. Quel que soit le pays, un conducteur de VA est censé aujourd’hui être prêt à intervenir, si nécessaire, sous peine d’être tenu responsable en cas d’accident. Cette obligation est ambiguë. En conditions accidentogènes, en mode autonome, il n’y a que deux possibilités. Ou bien le système de bord fonctionne correctement il émet une alerte sur désengagement. Les expérimentations [ii] démontrent que les délais de réaction des humains vont de 2 à 8 secondes, trop élevés pour éviter des collisions, mais suffisants pour en créer. Ainsi, un conducteur qui reprend la conduite sur alerte ne peut être systématiquement tenu responsable, sauf à imaginer qu’il est doté de capacités surhumaines. Ou bien le système de bord est défaillant il reste muet et ne signale pas d’alerte. Afin de parer à des silences injustifiés, un humain doit donc surveiller son VA quasiment continuellement. De facto, cet humain conduit tout le temps ; avec certains modèles, il y est d’ailleurs contraint, voir plus loin. La contradiction avec les promesses liées aux VA est flagrante. Bien évidemment, un conducteur ne peut être tenu responsable des dysfonctionnements d’un système de bord. Des législations nationales évoluent significativement pour tenir compte des réalités technologiques [iii]. Concepteurs, développeurs, intégrateurs, certificateurs, sont à l’origine des VA ou sont impliqués dans leur mise en service. Dans tous les cas des niveaux 1 à 4, leur responsabilité peut donc être engagée. Elle l’est obligatoirement en niveau 5, les conducteurs n’existant pas. Dans le cycle qui va de la conception d’un VA à son autorisation de commercialisation, puis à ses utilisations, il y a toujours in fine un ou des humains sur qui faire peser la responsabilité. Il ne sert donc à rien d’inventer une personnalité juridique des robots [iv] sur roues, dans le cas des VA. Cybersécurité. Les capteurs extérieurs des VA peuvent défaillir et faire l’objet d’attaques comme des aveuglements visuels, des radars brouillés ou des signaux GNSS falsifiés, destinées à créer des collisions. La redondance des capteurs et les VA communicants permettent de gérer de telles défaillances ou attaques. Protection des données personnelles. Traçage et collecte de données personnelles sont inévitables avec les applications de navigation payantes ou gratuites Google Maps, Waze, Here WeGo, etc.. Mais leur activation est optionnelle, soumise au choix des passagers. Par contre, des capteurs intérieurs caméras, micros, etc. des VA actuels collectent en permanence des données sur les occupants. Au nom de la sécurité, il est pertinent de surveiller l’état de vigilance d’un conducteur. Par exemple, avec les Cadillac CT6, si le conducteur cesse de regarder la route plus de 5 secondes, une alarme est déclenchée par une caméra qui surveille en permanence le point focal de ses pupilles. Pour la recherche des responsabilités, il est légitime d’enregistrer dans une boîte noire les données de suivi de conducteur. Mais il n’est pas indispensable d’enregistrer aussi des données à caractère personnel comme qui voyage avec qui, à quelle heure, ou les conversations entre passagers. Au regard du RGPD et de la position récente de la Commission européenne sur la reconnaissance faciale, de tels enregistrements sont illégaux sans le consentement préalable des personnes concernées. Comment manifester un tel consentement ? Cette question, qui reste ouverte, a une réponse offrir une option intimité intérieure, dont l’activation entraîne la désactivation des capteurs, sauf ceux dédiés au suivi du conducteur. À l’exception des VA professionnels flottes d’entreprises, transport public, etc., le choix d’activer ou de ne pas activer cette option est laissé aux occupants d’un VA, qui n’ont pas nécessairement envie que des données personnelles soient enregistrées dans des serveurs inconnus, éventuellement revendues ou piratées. L’activation de cette option doit être aussi simple et intuitive que pour l’option start/stop » moteur, exprimable via une commande tactile ou vocale. Un article à venir est consacré aux VA communicants. Nathalie Nevejans, Directrice de la Chaire IA Responsable Université d’Artois et Membre du Comité d’éthique du CNRS COMETS, et Gérard Le Lann, Directeur de Recherche Émérite, INRIA Paris-Rocquencourt, [i] Insurance Institute for Highway Safety [ii] Par exemple, Stanford University et Robert Bosch, Conférence ITS 2015, pages 2458-2464 [iii] “Autonomous vehicles Driving regulatory and liability challenges”, Automotive World, 7 avril 2020 [iv] Parlement Européen, 2017, dans une résolution sur les règles de droit civil en robotique. Le Groupe d’experts de haut niveau de la Commission Européenne s’est opposé à cette dérive Grâce aux auteurs du Livre blanc sur la cybersécurité qu’Inria a publié en 2019, nous vous proposons une série d’articles sur cette question majeure. Abdelkader Lahmadi et Isabelle Chrisment nous parle des questions de sécurité soulevés par l’utilisation des objets connectés de plus en plus présents autour de nous. Alors faut-il s’en méfier ? Pascal Guitton. De plus en plus nombreux chez les particuliers et les entreprises, les objets connectés font partie de notre quotidien. Montres, bracelets, interrupteurs, thermostats, systèmes d’éclairage ou de vidéosurveillance sont maintenant capables de communiquer avec leur environnement et d’utiliser l’infrastructure de l’Internet ils transmettent à des serveurs des informations qui peuvent ensuite être analysées et sont aussi, pour certains, contrôlables et configurables à distance. La domotique entre davantage dans les maisons surveillance et commande, via notre téléphone, du chauffage, des caméras, des volets, etc. et les différentes campagnes publicitaires nous vantent déjà un monde futur plus connecté, où les évolutions, au niveau robotique et intelligence artificielle, devraient rendre notre quotidien plus facile en anticipant même des besoins que nous ne connaissons pas encore. Plateforme domotique d’objets connectés. Crédit © Inria / Photo D. Betzinger. On estime aujourd’hui à environ 30 milliards le nombre d’objets connectés avec un accroissement de plus de 20% chaque année[1]. Le passage vers le réseau 5G va certainement accroître ce nombre et faciliter le déploiement des objets connectés dans de multiples domaines d’application, notamment dans l’industrie Vulnérabilité des objets connectés Devant la multiplication des applications, fabricants et produits, la commercialisation d’un objet connecté représente une véritable course contre la montre. Un large éventail d’objets connectés dédiés au grand public s’appuie donc principalement sur des composants logiciels et de communication pris sur étagère, souvent déjà obsolètes au moment même de la conception desdits objets, et donc possédant des vulnérabilités connues et répertoriées dans des bases de données. Un exemple récent est celui du robot-cuiseur connecté vendu à un prix défiant toute concurrence dans une chaîne de grande distribution[2]. Non seulement, l’utilisation de la tablette du robot-cuiseur a pu être détournée pour regarder une vidéo ou consulter des sites web, mais de plus, il a été montré qu’un micro était installé sans que le consommateur n’en soit informé. Certes, le micro était désactivé par défaut, mais la tablette fonctionnait avec une version ancienne d’Android présentant des failles de sécurité. Ces objets connectés sont donc le plus souvent peu ou pas sécurisés. Les fabricants limitent, à tort ou à raison, les ressources capacités de calcul, mémoire, stockage, etc. nécessaires pour ces appareils. Leur sécurité est donc fréquemment sacrifiée, pour des raisons de gain de temps, de coût, et de simplicité d’usage pour l’utilisateur final, avec comme justification – souvent erronée – que l’objet est installé dans un réseau privé sécurisé le réseau WiFi de l’utilisateur et donc non vulnérable. Les mises à jour et correctifs sont rares, voire inexistantes, et consistent principalement en des modifications cosmétiques de l’interface de contrôle. Objets connectés et cyberattaques Les objets connectés vulnérables représentent une menace grandissante puisqu’une faille dans leurs composants peut avoir un impact sur des milliers, voire des millions d’usagers, et ce pour une période potentiellement longue dans le temps. En effet, une fois installés et configurés, ils restent en service tant qu’ils sont fonctionnels soit quelques années et la rareté des mises à jour et de celles de leurs applications si elles existent augmente considérablement le risque d’attaques ou de compromissions. Les failles peuvent ainsi être exploitées pour détourner les objets de leurs usages principaux, comme par exemple les faire participer à de grandes cyberattaques coordonnées. Ce fut le cas il y a quelques années avec l’infection de centaines de milliers d’objets connectés par un logiciel malveillant appelé Mirai[3]. Les appareils contaminés, notamment les caméras accessibles à distance, ont été utilisés pour bombarder de requêtes le principal hébergeur français, jusqu’à ce qu’il ne puisse plus fonctionner attaque par déni de service distribué » de type DDoS. En 2017, des chercheurs ont mis en évidence une faille dans un contrôleur réseau utilisant le protocole sans fil Z-Wave[4], largement déployé pour les objets connectés domotiques éclairage, prises, thermostats, etc.. Dans un réseau Z-wave, l’un des rôles du contrôleur est d’associer les équipements au réseau pour que l’utilisateur puisse les commander à distance. La vulnérabilité découverte permet à un attaquant de dupliquer le contrôleur Z-Wave et ainsi de prendre le contrôle à distance de tous les équipements de ce réseau, comme s’il était l’utilisateur légitime. Malgré sa dangerosité, la faille reste très spécifique et n’affecte qu’un produit particulier des fabricants de contrôleurs. Diagnostic des failles de sécurité On peut en vouloir aux fabricants de ne pas avoir identifié et réparé les failles de sécurité des objet connectés, mais il faut rappeler ici que concevoir et développer des composants logiciels sûrs, même pour les systèmes classiques de l’Internet constitue un problème notoirement complexe. Plusieurs bases de données et outils existent pour répertorier les vulnérabilités des attaques connues de ces objets connectés, mais aussi de leurs composants logiciels. Il s’agit d’une tâche très fastidieuse qui nécessite une expertise et des compétences techniques très pointues. Cela représente un travail colossal et on est encore très loin d’un monde idéal où 100%, des systèmes informatiques, en particulier des objets connectés, sont prouvés sûrs et sans aucune faille. Les pratiques courantes, souvent artisanales, ne garantissent pas une évaluation précise et sont partielles à cause de l’hétérogénéité, pour ces appareils connectés, des protocoles de communication, des usages et des composants logiciels et matériels. Pour faire face à ce défi, des travaux de recherche[5][6] proposent des approches capables de cartographier et diagnostiquer les failles de sécurité de ces objets, pour leur associer un niveau de risque lié à leur usage dans un environnement particulier. L’automatisation de la cartographie et de l’évaluation de la sécurité des appareils connectés permet d’alléger considérablement les tâches de détection et de prévention de cyberattaques et elle garantit aussi une meilleure sécurité et confiance dans les appareils numériques et connectés à la fois pour le grand public et les systèmes industriels actuels et pour l’usine du futur. La suite d’outils SCUBA 1 permet ainsi d’évaluer automatiquement le risque d’un objet connecté dans son environnement d’usage et de lui attribuer une note, à l’image des labels de performances énergétiques attribués aux appareils électroménagers. L’originalité de ce travail est de permettre d’auditer la sécurité d’un appareil connecté dans son environnement global et non plus de façon isolée. On étudie notamment les interactions de l’appareil connecté avec tous les éléments qui se situent dans son périmètre une ampoule connectée n’est pas soumise au même environnement ni aux mêmes risques si elle est branchée directement sur une simple prise ou sur un interrupteur également connecté. L’outil SCUBA a permis de diagnostiquer une faille de sécurité entre une sonnette connectée et son service dans le cloud. La sonnette, équipée d’une caméra, envoie vers le cloud la photo de la personne présente à votre porte pour l’acheminer ensuite vers votre téléphone. En revanche, cette communication entre la sonnette et le cloud n’est pas chiffrée et la photo est envoyée dans un message en clair, ce qui permet à un attaquant d’intercepter le message contenant la photo et de la remplacer par une autre. Illustration de l’exploitation d’une faille de sécurité d’une sonnette connectée. Compte tenu de la célérité avec laquelle les objets connectés sont créés et déployés, de nombreux enjeux sont à relever notamment ceux liés à la diversité des protocoles de communication utilisés par les objets connectés il n’y a pas de standard commun et il y a presque autant de protocoles de communication que de catégories d’équipements les caméras et les thermostats, par exemple, utilisent des protocoles différents. La complexité des algorithmes à considérer dans le cadre de l’évaluation du niveau de sécurité est également à prendre en compte ceux-ci doivent en effet être en mesure de traiter de vastes gisements de données hétérogènes et non-structurées, générées par des machines. Abdelkader Lahmadi Université de Loraine, LORIA et Isabelle Chrisment Télécom Nancy, LORIA SCUBA est un outil permettant d’analyser automatiquement le risque des objets connectés. Il est développé dans l’équipe RESIST de l’Inria Nancy et du LORIA [1] [2] [3] Une présentation de Mirai est disponible sur cette page wikipedia. [4] Une présentation de la faille découverte par des membres de l’équipe de recherche RESIST est disponible sous ce lien. [5] [6] Jean-Marc Jezequel, est Professeur d’informatique à l’Université de Rennes 1 et directeur de l’IRISA. Il a reçu en 2016 la médaille d’argent du CNRS. Jean-Marc nous explique d’où viennent ces petites bêtes que sont les bugs qui régulièrement nous dérangent dans nos activités numériques et peuvent coûter cher… et nous emmène au fond des enjeux théoriques et techniques de cette déboguisation. Pierre Paradinas Photo Univ Rennes 1, Dircom/Cyril Gabbero Le processus de création du logiciel est assez extraordinaire. D’un coté, il est si facile d’écrire des programmes simples qu’un enfant de 6 ans peut, après seulement quelques minutes de formation, déjà réaliser des programmes spectaculaires avec des langages comme Logo ou Scratch. Mais d’un autre coté, il est si difficile d’écrire des programmes complexes que, fondamentalement, personne n’est capable d’écrire de grands programmes sans bugs. Pour écrire un programme de 100 lignes de code source, la méthode ou le langage de programmation utilisé n’a pas vraiment d’importance, et si vous échouez, vous pouvez tout simplement recommencer à zéro à très peu de frais. Cependant, il est bien connu depuis l’époque des années 70 où Fred Brooks a écrit son livre The Mythical Man Month », que la rédaction d’un programme de 100 000 lignes est beaucoup plus difficile que 1000 fois l’effort nécessaire pour écrire un programme de 100 lignes. Courtesy of the Naval Surface Warfare Center, Dahlgren, VA., 1988. Naval History and Heritage Command Photograph. Catalog NH 96566-KN D’où vient cette complexité, cause première de l’occurrence de bugs » dans les programmes informatiques? En mettant de côté les vrais bugs » voir photo au dessus, les fautes de frappes et autres étourderies qui sont pour l’essentiel éliminées à la source dans les environnements de développement modernes, nous pouvons classer leurs principales sources en 3 catégories fondamentales complexité inhérente, complexité due à la taille, et complexité due à l’incertitude. Complexité inhérente des logiciels Cela est dû aux racines du logiciel, comme expliqué dans la théorie du calcul universel d’Alan Turing, à l’origine de l’informatique. Même les programmes extrêmement courts et simples peut être impossible à prouver ou même avoir des propriétés indécidables, c’est à dire que l’on ne peut pas prouver qu’elles sont vraies, ni qu’elles sont fausses. Des choses très simples, comme savoir si une variable a une certaine valeur, ou si on va passer par une certaine instruction, ou si on va faire une division par 0 à un moment donné, ne sont dans le cas général, tout simplement pas prouvables. En d’autres termes, répondre à la question ce petit bout de code a-t-il un bug? » n’est en général pas possible. C’est donc une limitation intrinsèque de la nature de ce qu’est un logiciel, pris en tant qu’objet mathématique. Petite illustration de la difficulté à prouver même des programmes simples, issue de la conjecture de Syracuse. Prenons ce petit programme Lire une valeur positive Tant que n > 1 faire si n est pair alors n prend la valeur n / 2 sinon n prend la valeur 3 n + 1 Fin du tant que Sonner alarme Peut-on prouver que l’alarme est sonnée pour tout n ? En fait on ne sait pas si on peut le prouver, ni même si c’est vrai car c’est une traduction informatique de la célèbre conjecture de Syracuse. Mais si je suis ingénieur et que je dois me rassurer sur le fait que ce code n’a pas de bug, j’ai usuellement recours au test, c’est-à-dire que j’essaye pour différentes valeurs de n, et je regarde si l’alarme est sonnée à chaque fois. Mais je n’aurai aucune certitude tant que je n’aurai pas essayé toutes les valeurs, c’est à dire pour une machine 32 bits, 2^31, soit environ 10 milliards de cas de tests pour ces malheureuses 6 lignes de code. Tester exhaustivement un logiciel un tant soit peu complexe est donc en pratique impossible. Complexité due à l’échelle. Un être humain a la capacité de le comprendre dans son intégralité un logiciel relativement petit, mais rapidement, quand celui-ci grandit, la compréhension complète devient difficile. Ceci n’est, au contraire du cas précédent, pas propre à l’informatique, et se retrouve sous une forme ou une autre dans tout domaine d’ingénierie complexe. Il faut cependant savoir que les logiciels grandissent à peu près d’un facteur 10 tous les 10 ans à notre époque du Covid-19, tout le monde est maintenant familier avec la signification d’une croissance exponentielle. De plus, l’une des caractéristiques des logiciels est qu’ils relèvent des sciences discrètes le numérique » et non pas continues comme c’est généralement le cas en physique, sauf aux échelles quantiques. Ils peuvent être constitués de centaines de millions de pièces individuelles, toutes différentes, interagissant entre elles de manière complexe et non linéaire, voire chaotique. C’est à dire qu’un petit problème, à un moment donné, peut se propager et complètement mettre par terre l’ensemble du logiciel c’est le bug !, ce que l’on ne va pas trouver dans d’autres disciplines d’ingénierie beaucoup plus continues ce n’est pas parce qu’il y a un écrou qui saute d’un pont que le pont va s’écrouler, alors que l’équivalent dans un logiciel peut faire s’écrouler l’ensemble voir à ce propos E. Dijkstra. Dans cette dimension de complexité, Fred Brooks encore lui avait identifié deux sous-catégories la complexité essentielle et la complexité accidentelle. La première est inhérente au problème que le logiciel doit résoudre, et peut découler, par exemple, de la variété des événements ou des données d’entrée qui doivent être correctement traités par le logiciel, ou encore de la criticité des fonctions qu’il doit réaliser, comme dans le cas des logiciels de contrôle d’un avion commercial. La complexité accidentelle provient en revanche de choix technologiques inappropriées au contexte ou qui furent appropriés mais qui ne le sont plus, ce qui conduit à des efforts humains importants voire démesurés consacrés au développement et à la maintenance du logiciel. Le fiasco du logiciel de paye de l’armée française en est sans doute un exemple parmi tant d’autres. Complexité due à l’incertitude Cette dimension de complexité, n’ayant à nouveau rien à voir avec les deux premières, est liée au fait que les logiciels ne sont pas seulement des algorithmes abstraits, mais sont plongés dans le monde réel. Le raisonnement mathématique s’arrête à la limite de ce passage dans le monde réel, puisque qu’il ne peut atteindre qu’un modèle du monde, et non la réalité de celui ci. Or dans le monde réel, les logiciels sont comme pris en sandwich entre d’une part la machine sur laquelle ils s’exécutent et d’autres part les humains qui les utilisent. Or il y a toujours un écart entre le logiciel et ce qu’on est capable de savoir formellement sur son environnement la réalité de la machine d’une part et la réalité de ce que veulent les humains d’autre part. En particulier sur les grands logiciels ayant de multiples parties prenantes, beaucoup d’utilisateurs aux métiers très différents doivent interagir. Les exigences auxquelles doit se conformer le logiciel, notamment les règles commerciales ou juridiques et le comportement humain attendu sont généralement non seulement incomplètes mais encore évoluent avec le temps. Cela conduit à des exigences qui peuvent être floues, voire contradictoires, instables et donc source de malentendus. Ceci est en pratique la plus grande source de bugs des logiciels. Mais l’incertitude dans le développement de logiciels provient aussi de nombreuses autres sources par exemple les hypothèses sur le monde dans lequel évolue le logiciel sont généralement assez grossières, implicites, et sauf pour les projets les plus critiques avionique, centrales nucléaires…, ne prennent pas en compte de tous les cas particuliers. L’incertitude peut encore provenir de la machine sur laquelle s’exécute le logiciel, soit de manière inhérente pannes de matériel ou même simples perturbations sur le réseau, ou accidentellement en raison, par exemple, de mauvaises interprétations ou de modifications des API. Ainsi même un logiciel comme le compilateur CompCert prouvé correct dans le monde abstrait ce qui est en soi une prouesse intellectuelle qui force le respect, se révèle truffé de bugs lorsqu’on le teste pour de vrai dans certains contextes un peu tordus les recoins glauques de la norme du langage C, ou les comportements surprenants de certaines architectures de processeurs. Et tout ceci sans même compter les cyber-attaques et autres altérations malveillantes de l’environnement de notre logiciel. Ce tableau est bien sombre, mais bien sûr les chercheurs et les ingénieurs ne sont pas restés les bras croisés devant ces difficultés. Pour faire face à la complexité inhérente aux logiciels, on a inventé toute une gamme de techniques allant de la preuve formelle complète d’éléments de logiciels sous certaines hypothèses, à la construction d’une forme de confiance avec des mécanismes tels que la conception par contrat ou les tests unitaires, qui ne peuvent en aucun cas suffire, mais c’est déjà bien mieux que ne rien faire. En raison de la capacité limitée de l’esprit humain personne ne peut comprendre pleinement un million de lignes de code, faire face à la complexité due à l’échelle ne peut se faire que par l’abstraction et la modularité. En effet si un programme d’un million de lignes est composé de 10 modules, chacun composé de 10 sous-modules, chacun composé de 10 autres sous-modules, et chacun de ces modules de 1000 lignes de code, alors je peux à la fois comprendre totalement » un module donné et comment il s’intègre dans les 999 autres, à condition d’avoir un résumé hiérarchisé abstraction pour la compréhension de ces derniers ce qu’ils font, pas comment ils le font. Pour faire face à la complexité due à l’incertitude, il faut intégrer la gestion de l’incertitude au processus de développement, ce qui est par exemple en partie le cas des méthodes dites agiles », avec leurs retours fréquents vers les utilisateurs finaux pendant la phase de développement. Il faut aussi être capable d’anticiper correctement les zones des changements éventuels, en identifiant et en isolant ou du moins en réduisant le couplage avec les parties incertaines, et donc qui pourraient changer. C’est l’idée de la séparation des préoccupations, ainsi que la gestion explicite des variations, selon les deux dimensions de l’espace existence de plusieurs variantes simultanées pour prendre en compte des particularités locales ou des contradictions dans les exigences et du temps existence de versions successives. Sur ce dernier plan, les recherches actuelles portent sur le fait de donner de la flexibilité sur comment et quand peut être prise la décision de choisir une variante dans le cycle de vie des logiciels au moment de la formulation des exigences domaine de l’ingénierie des exigences, au moment de la conception domaine des lignes de produit logiciels, ou au temps de l’exécution domaine des systèmes adaptatifs, avec à l’intersection de ces deux domaines, le temps de la compilation, du chargement, et celui de la compilation à la volée, dite Just In Time ». L’ensemble de ces dimensions forme ce que l’on appelle de nos jours les sciences du logiciel, qui, aux frontières des mathématiques et de l’ingénierie des systèmes complexes sont des domaines passionnants où beaucoup reste encore à découvrir. Jean-Marc Jézéquel jmjezequel Pour en aller plus loin Le livre de Brooks Quel lien entre Covid 19 et 5G ? Des sites conspirationnistes tentent de répondre à la question en inventant une relation de causalité conduisant parfois à des actes violents. Nos amis Jean-Jacques Quisquater et Charles Cuvelliez nous décrivent une conséquence potentielle de la survenue de la pandémie au milieu des débats sur le passage à la 5G et l’utilisation d’équipements de la société chinoise Huawei. Le virus va-t-il faire pencher la balance du coté de l’interdiction ? Ou comment numérique, santé et géopolitique se rejoignent. Pascal Guitton Les astres sont désormais alignés pour permettre aux Etats-Unis de réaliser leur rêve non seulement interdire Huawei et ZTE de leur marché mais enfin convaincre leurs alliés de faire de même. Tous les pays évoquent désormais le retour sur leur sol du tissu industriel qu’ils ont laissé filer en Chine dans un refrain unanime Plus jamais ça ! ». Ce n’est pas tellement l’espionnage qui devrait effrayer les Etats-Unis il suffit au fond de chiffrer tout ce qui transite par des équipements Huawei pour être tranquille. C’est plutôt la menace que la Chine ordonne un jour à Huawei ou menace d’arrêter tous les réseaux télécom de son cru à travers le monde en cas de conflit ou de tensions géopolitiques extrêmes. Cette dépendance vis à vis de l’étranger surprend dans le cas des Etats-Unis car, effectivement, ce pays si technologique ne dispose plus d’aucun équipementier télécom ils dépendent de Nokia et Ericsson et un peu de Huawei présent au sein des réseaux opérateurs ruraux US. Comment est-on arrivé là ? Les Etats-Unis hébergeaient pourtant les Bell Labs qui ont donné naissance à Lucent. Ce dernier était devenu l’équipementier attitré et neutre des opérateurs télécom américains un peu comme Siemens et Alcatel l’étaient en Europe. Pour le Canada, c’était Nortel, issu lui aussi des Bell Labs en 1949. Lucent a raté le virage internet la société pensait pouvoir développer son propre protocole. Lucent était aussi leader dans les technologies de réseau optique avec Nortel et était donc en pole position pour le boom d’Internet sauf que ces capacités ont été déployées bien plus vite que la demande. La bulle Internet du début des années 2000 en a résulté. Site des Laboratoires Bell à Murray Hill – Extrait de WikiPedia Lucent possédait également une technologie 3G supérieure avec le CDMA mais n’a pas réussi à capturer les marchés européen et asiatique qui avaient déjà opté pour la norme GSM et son successeur UMTS pour la 3G. Toutes ces opportunités ratées ont amené leur lot de fusions et d’acquisitions Ericsson a absorbé Nortel après sa faillite en 2009. Nokia a acquis Motorola Solution en 2011, puis la partie télécom de Siemens. En 2006, Alcatel absorbait Lucent pour être finalement lui-même absorbé par Nokia ! Pendant ces temps douloureux, deux acteurs ZTE et Huawei émergeaient, au bon moment, juste après la bulle Internet, en profitant du marché chinois qu’il fallait équiper. Qui allait imaginer que les lois anti-trusts aux Etats-unis en cassant ATT en 1982, allaient donner un avantage énorme à Huawei fondé en 1987, ZTE 1985 et un peu Samsung 1938 ? Et qu’aujourd’hui, l’histoire se retourne en laissant les Etats-Unis les mains vides … Pour les Américains, interdire leur territoire à Huawei n’est pas suffisant si la menace résulte de la capacité à stopper tous les réseaux équipés par Huawei à travers le monde en cas de conflit. Les opérations militaires nord-américaines ne s’arrêtent pas aux frontières de leur territoire. Et de rappeler, dans une étude américaine de la National Defense University, qui émane du département de la Défense US que les réseaux télécoms en Irak sont équipés par Huawei. Les États-Unis ne peuvent pas complètement se baser sur les satellites et dans le monde interconnecté aujourd’hui, utiliser des fibres dans un pays ami » ne garantira pas que les communications ne passent pas par un équipement contrôlé par ZTE ou Huawei. Les alliés pas très partants Les pays alliés ont répondu aux États-Unis en expliquant qu’ils localiseraient les équipements Huawei aux extrémités du réseau et pas en son cœur comme la France mais en 5G, la différence entre cœur de réseaux et ses extrémités est évanescente. Qui plus est, lorsqu’on passera à la 5G qui fera plus que simplement augmenter la vitesse, le cœur de réseau devra passer à la 5G aussi. Les entreprises chinoises ont une longueur d’avance en innovation technologique sur la 5G, les Américains s’en désolent d’autant plus que leurs concurrents asiatiques planchent déjà sur la 6G qui se greffera sur les équipements 5G qu’on installe aujourd’hui. C’est dire l’urgence à trouver une alternative à Huawei et ZTE pour les États-Unis. Des experts ont songé à priver Huawei des composants, toujours fournis par les Américains mais on sait la résilience des chinois à se sortir de tels embargos. Ces équipements, de plus, ne sont plus fabriqués sur le sol nord-américain mais à Taïwan ! Quand les États-Unis envisagent de créer leur propre champion, ils ont en tête le programme Apollo là aussi, les Soviétiques avaient subitement acquis une avance technologique stratégique dans l’espace. Qu’à cela ne tienne l’implication du gouvernement américain a suffi à créer une industrie de toute pièce qui a finalement damé le pion à l’URSS. Autres exemples la Silicon Valley elle aussi émanation des programmes militaires de la fin de la seconde guerre mondiale ou encore Intelsat et Inmarsat à l’origine de l’industrie du satellite qui résultaient d’investissements d’état et sans compter Internet, un protocole qui devait résister à une déflagration nucléaire. Sauf qu’aujourd’hui, la politique américaine est plutôt guidée par le slogan buy, don’t make ». C’est pourquoi les 3 options du gouvernement nord-américain sont, d’après cette étude américaine 1 – Supporter les équipementiers télécoms européens et sud-coréens car Samsung s’y est mis aussi ils sont fortement présents aux États-Unis par leur filiales et le gouvernement nord-américain pourrait leur donner un coup de pouce via la fiscalité, des garanties d’Etat, les achats en masse pour stabiliser leurs finances et booster leur R&D. – Acheter Nokia ou Ericsson ou au moins une minorité de contrôle. D’après cette même étude 1, Samsung n’est pas une cible car détenant trop peu de parts de marché. La 5G n’est qu’une composante non autonome d’une stratégie globale de ces chaebols, le nom fleuri donné aux énormes conglomérats coréens qui n’ont plus d’équivalent ailleurs dans le monde, qu’on ne peut sortir de ce fait de leur contexte. Ceci dit, les Européens pourraient s’y opposer maintenant qu’ils se sont réveillés face aux prises de participations étrangères de leurs champions. – Créer un consortium américain à savoir par un jeu d’achats, d’investissement et de financement, ramener sous un même toit les compétences locales diverses avec les brevets et la propriété intellectuelle dont d’ailleurs Nokia et Alcatel dépendent toujours pour créer un nouveau champion. Le gouvernement des États-Unis s’allierait avec des investisseurs. Nokia et Ericsson seraient évidemment des partenaires ou des fournisseurs attitrés de ce consortium histoire de ne pas repartir à zéro. On y associerait les entreprises des alliés des USA le réseau Five Eyes ainsi que l’Allemagne, la France, le Japon, la Corée. Le succès dépendra des prix et des incitations à travailler avec ce nouveau venu. Ce n’est pas gagné. Ce qui est clair, c’est que les États-Unis ne vont pas lâcher le morceau. La crise qui s’annonce et qui va fragiliser le monde entier va certainement leur permettre de mettre en œuvre une de ces stratégies en réciprocité de services au sens large que leur demanderont d’autres pays. Jean-Jacques Quisquater Université de Louvain, Ecole Polytechnique de Louvain et MIT & Charles Cuvelliez Université de Bruxelles, Ecole Polytechnique de Bruxelles Pour en savoir plus 1 The Worst Possible Day Telecommunications and Huawei, By Thomas Donahue, PRISM Vol. 8, No. 3 Grâce aux auteurs du Livre blanc sur la cybersécurité qu’Inria a publié en 2019, nous vous proposons une série d’articles sur cette question majeure. Aujourd’hui, nous abordons les codes malveillants. De quoi s’agit-il ? Comment fonctionnent-ils ? Comment les détecter et s’en protéger ? Partons à leur découverte. Pascal Guitton et Serge Abiteboul. Code malveillant Selon le Larousse, le terme de malveillant est synonyme de haineux – hostile – méchant – médisant – pervers – venimeux », il caractérise la volonté de nuire à autrui. Ainsi qualifié, le code c’est-à-dire le texte » constitué par une suite de lignes d’instruction écrites dans un langage de programmation donné est personnifié, presque vivant. Cette impression se renforce lorsque vous entendez que les codes ou logiciels malveillants cherchent à attaquer des utilisateurs, des entreprises ou qu’un code malveillant se propage. Mais finalement, qu’est-ce qu’un code malveillant ? Comment savoir si vous êtes protégés ? Et de quoi d’ailleurs ? Retour sur le passé Un des premiers codes qualifié de malveillant a été écrit en 1986 par les frères Alvi. Ce code a plus tard été nommé Brain [Brain]. Les frères Alvi souhaitaient avant tout lutter contre le piratage des logiciels qu’ils éditaient. Brain se trouvait sur les disquettes de distribution de leur logiciel et ne devait se déclencher que lorsque ce logiciel avait été illégalement copié. Lorsque Brain s’exécutait, il ralentissait l’ordinateur, se recopiait sur toutes les disquettes vierges insérées dans l’ordinateur et affichait un message qui contenait les coordonnées de ses auteurs. Brain avait donc essentiellement pour but d’effrayer les pirates, il n’endommageait pas les données ou le système des utilisateurs, il ne volait pas non plus de données. Le code Brain est difficilement qualifiable de haineux – hostile – méchant – médisant – pervers » ou encore venimeux ». Il a été qualifié de malveillant ou plutôt de virus car il avait la particularité de se propager automatiquement en dehors du contrôle de ses développeurs, en se copiant du PC infecté aux disquettes insérées dans le lecteur. C’est cette capacité de réplication qui a conduit à l’utilisation du mot virus ». Mais nous étions en 1986 ! Partie du code du virus Brain – extrait du site WikiPedia Et maintenant ? Définir ce qu’est un code malveillant n’est finalement pas si simple. On peut simplement dire qu’un code malveillant est un code qui a été développé dans le but de réaliser une action nuisible à son utilisateur. Il y a des codes malveillants partout où il y a des machines, des utilisateurs et le moyen de nuire à au moins un utilisateur. Cette définition est assez claire pour nous, humains. Mais pour une machine, ou plus précisément pour un programme anti-virus, en charge de la sécurité, cette définition est-elle exploitable ? Hélas, non. En fait, décider si un code est malveillant ou non est un problème délicat. Il faut souvent un expert humain pour analyser le code, observer les actions que ce code réalise, avant de pouvoir se prononcer. Pendant longtemps, il y a eu principalement des codes malveillants pour les machines Windows car ce système était le plus largement utilisé. Les éditeurs de logiciels étaient peu nombreux et les mises à jour peu fréquentes. Le travail d’expertise pouvait donc être réalisé. Aujourd’hui, le système le plus largement répandu est Android, sur nos téléphones mobiles. Le nombre d’applications, de développeurs mais aussi de développeurs malveillants a considérablement augmenté. Pour suivre la cadence, il nous faut comprendre la diversité des malveillances. Comment peut-on nuire à un utilisateur sous Android ? De nombreuses manières de nuire sont malheureusement à la disposition des attaquants ! Un code malveillant contre Android atteint généralement sa cible en se dissimulant dans les applications que l’utilisateur télécharge lui-même. Pour l’attaquant, c’est très simple les différents marchés regorgent d’applications et il peut donc récupérer facilement une application saine, la modifier à sa guise en insérant son code malveillant et la republier sur ce même marché ou sur un marché alternatif, pour plus de discrétion. Le but de l’attaquant est souvent de gagner de l’argent. Ainsi, les premiers codes malveillants sous Android effectuaient par exemple des appels ou envoyaient des SMS à des numéros de téléphone surtaxés. Les codes malveillants sont ensuite devenus plus agressifs allant jusqu’à prendre l’utilisateur en otage. Ainsi l’année 2014 a vu l’apparition des premiers ransomware. Ces codes chiffrent les données de l’utilisateur les rendant ainsi inutilisables et exigent le paiement d’une rançon en échange de la clé de déchiffrement. Techniquement parlant, les ransomware n’ont rien d’une révolution. Il est possible de chiffrer des données utilisateurs automatiquement depuis bien avant 2014. Ce qui a engendré le succès de cette attaque est l’émergence des réseaux anonymes et surtout de moyens de paiement anonymes comme les bitcoins. Contrairement à précédemment, l’attaquant a alors disposé de moyens techniques simples lui permettant de se faire payer sans être facilement identifié. Parfois aussi le téléphone de l’utilisateur est pris comme cible car il représente une ressource informatique que l’attaquant pourra ensuite exploiter. Ainsi l’attaquant peut chercher à prendre le contrôle d’un grand nombre de téléphones pour former un grand réseau qu’il pourra ensuite utiliser pour mener des attaques de plus grande ampleur. En 2019, par exemple, des travaux des chercheurs de l’université de Prague ont permis de mettre à jour Geost, un réseau estimé à plus de 800 000 périphériques Android contrôlés à distance. Ces périphériques deviennent ce qu’on appelle des bots, ordinateurs à la solde de l’attaquant. Chaque utilisateur était espionné et ses opérations bancaires remontées à l’un des serveurs de contrôle du réseau de bots botnet. Un tel botnet permet de lancer des attaques coordonnées. Parfois, ce service est à louer vous pouvez vous payer, pour quelques centaines d’euros par jour, des attaques contre un site web qui sera la cible de centaines de milliers de bots Android, qui le submergeront de requêtes on parle d’attaque en déni de service distribué. Le site en question, débordé, ne sera alors plus disponible pour les utilisateurs. Article présentant le réseau Geost – Image extraite de [1]Clairement, ces cas de malveillance sont dirigés contre l’utilisateur, mais parfois ce n’est pas l’utilisateur lui-même qui est visé mais l’ensemble du système qui est escroqué. De nombreux développeurs de l’écosystème Android proposent des applications gratuites et se rémunèrent grâce à la publicité. Certains développeurs peuvent être tentés de frauder pour augmenter leur rémunération. Par exemple, l’entreprise Cheetah Mobile qui édite le logiciel Clean Master, un logiciel de nettoyage de fichiers inutiles, s’est fait épingler en 2018 pour avoir détourné le paiement lié au clic d’une publicité installant cette application [Silverman]. Au lieu de rémunérer le vrai clic effectué sur la bannière publicitaire, l’application rémunérait le réseau de publicité lié à Cheetah Mobile. Dans ce cas précis, l’utilisateur n’était donc pas menacé ; c’est la régie publicitaire ayant permis d’installer l’application qui était escroquée. D’ailleurs, aucun anti-virus n’a crié au loup lors de l’analyse de l’application Clean Master de 2018. Cette application n’est pas assez dangereuse pour être déclarée malveillante. Des exemples similaires sont légion. L’utilisation de publicités rémunératrices est classique dans les applications mobiles. La fraude à la publicité intempestive, en taille, en fréquence ou en toute autre interprétation possible du mot intempestif », gangrène le système. Ainsi, un autre exemple à la limite de la malveillance a été démontré par plusieurs chercheurs en sécurité en 2018. Il s’agit de surveiller les utilisateurs à l’aide d’ultrasons, captés par une application compagnon s’exécutant sur leur téléphone mobile. Ce procédé permet de repérer finement un utilisateur dans des couloirs ou des pièces d’un bâtiment. Cette même année, la startup Fidzup mettait en ligne l’application La Vache Noire » pour le pistage des utilisateurs dans un centre commercial parisien [Cunche]. A l’aide d’ultrasons, on peut repérer le consommateur dans le centre commercial et envoyer la bonne publicité au bon moment. Malveillance ? Marketing un peu trop sauvage ? L’application n’est plus disponible pour qu’on puisse l’analyser et répondre à cette question et la startup Fidzup qui la produisait a mis la clef sous la porte fin 2019, pointée du doigt par la CNIL [Loye]. Pourquoi y a-t-il encore des codes malveillants ? Pour éliminer un code malveillant, il faut tout d’abord être capable de l’identifier rapidement. Ensuite, pour les codes les plus agressifs, il faut comprendre où et comment il s’est propagé afin de nettoyer totalement les périphériques. Les éditeurs d’anti-virus maintiennent à jour des bases de signatures. Une signature doit permettre de reconnaître du code malveillant déjà connu, à coup sûr. Elle doit aussi être rapide à calculer. Une signature peut être un petit extrait du code binaire ou une empreinte de l’application. Une empreinte est un calcul sur tous les bits de l’application la réduisant à quelques octets singuliers. Ces empreintes peuvent être rapidement calculées à l’installation de nouvelles applications. Si l’empreinte est retrouvée dans la base de l’anti-virus, l’application est reconnue et on peut stopper l’installation, ce qui est relativement simple. Le vrai problème est plutôt de surveiller en continu les marchés d’applications pour détecter les nouveaux codes malveillants. C’est là que le jeu commence. D’un coté, les éditeurs d’anti-virus vont devoir être très efficaces pour analyser rapidement de très nombreuses applications. De l’autre, les auteurs de codes malveillants ont à leur disposition de nombreuses méthodes de camouflage pour échapper à la détection. Ils peuvent par exemple retarder de quelques heures ou jours l’exécution du code malveillant. Ils peuvent chiffrer ce code, et le déchiffrer au moment de l’exécution uniquement, et le supprimer juste après. Si le téléphone est connecté à internet, ce qui est probable, ils peuvent télécharger le code malveillant pour l’exécuter et le supprimer ensuite. Toutes ces méthodes de camouflage, simples à mettre en œuvre, rendent fastidieuse l’investigation des éditeurs d’anti-virus. Ceux qui sont censés nous protéger nous arnaquent La fraude est partout, dormez tranquilles braves gens, nous veillons. Pourtant, l’histoire se répète pour Clean Master cette application de nettoyage intégrant petit à petit des fonctionnalités d’antivirus se voit bannie du Play Store en mars 2020. Pourquoi ? Trop d’exfiltrations de données personnelles. Cependant, pour protéger l’utilisateur, il faut bien analyser ce qu’il fait, quel site il visite et ce qu’il télécharge. C’est vrai, mais nous touchons du doigt ce que la nouvelle réglementation européenne a transcrit dans le RGPD par le principe de minimisation des données seules les données nécessaires au fonctionnement de l’opération peuvent faire l’objet d’un traitement, et encore faut-il que ce traitement soit proportionné à la finalité envisagée. Le stockage sur des serveurs de l’ensemble des données visitées n’est pas un traitement proportionné au regard de la finalité, le filtrage des codes malveillants. Il en résulte que le code de Clean Master envoyant les données de navigation brutes hors du téléphone mobile peut être qualifié de malveillant. Gênant, pour un antivirus. Et que pensent de Clean Master ses confrères antivirus ? Actuellement, ils ne considèrent pas que Clean Master contienne du code malveillant. Il ne faut sans doute pas trop se tirer dans les pattes entre confrères. Une autre explication possible est peut-être que cette malveillance ne l’est pas assez pour qu’elle soit pointée du doigt. Mais alors que faire ? Restez confinés ! Euh non, confinez plutôt vos applications en ne leur accordant que les stricts droits nécessaires à leur fonctionnement, on minimise leur impact potentiel en cas de malveillance [Youngren]. Une application de vente de spectacles veut vous géolocaliser ? Elle insiste ? C’est une application mal programmée. La recommandation officielle est de respecter le choix de l’utilisateur, de l’informer du traitement et de la finalité des données personnelles collectées. Retirer une permission à une application, c’est la confiner. Donner des droits administrateurs, c’est donner les permissions les plus sensibles au développeur. C’est déléguer sa propre sécurité. Ce n’est clairement pas une bonne idée. Installez, installez, et confinez ! Jean-François Lalande & Valérie Viet Triem Tong CentraleSupélec & Inria Références bibliographiques [Brain] [Cunche] Mathieu Cunche, Leonardo Cardoso. Analysis of an Ultrasound-Based Physical Tracking System, 2018. [Silverman] Craig Silverman, These Hugely Popular Android Apps Have Been Committing Ad Fraud Behind Users’ Backs, 26 novembre, 2018. [Loye] Deborah Loye, Fidzup tire le rideau et accuse la CNIL de l’avoir tué, Les échos, 6 février 2020. [Youngren] Jan Youngren, Free antivirus apps requesting huge amounts of dangerous permissions they don’t need, 6 novembre 2019. Dans le contexte de la crise sanitaire, les escrocs ne se mettent pas au chômage. Les cyberattaques se multiplient au contraire, visant même parfois le système de santé. Bruno Teboul et Thierry Berthier nous parlent des risques que courent les TPE-PME, les grands groupes, les collectivités territoriales, et les individus. cybersécurité vigilance Clémentine Maurice et Serge Abiteboul Alors que le gouvernement français déroule son plan de lutte contre la propagation du Coronavirus, les entreprises et les administrations incitent leurs salariés à privilégier le travail à distance lorsque cela est possible. Par principe, les options du télétravail et du téléenseignement vont ralentir la diffusion du virus tout en garantissant la continuité d’activité des entreprises et des administrations. Une fois cette option choisie, les généralisations momentanées du télétravail, des télé-transactions, des téléconsultations et du téléenseignement vont mettre à l’épreuve l’ensemble des infrastructures numériques du pays. Certaines n’ont pas été dimensionnées pour encaisser une montée en charge brutale alors que d’autres passent à l’échelle facilement. Dans les zones géographiques rurales, les questions des débits internet insuffisants, du non-déploiement de la fibre ou de l’absence de couverture compliquent considérablement la transition vers le télétravail. Ces disparités territoriales mettent en lumière la fameuse fracture numérique, déjà difficilement subie en temps de paix sanitaire par les habitants concernés, mais encore plus difficilement acceptée en temps de crise et d’isolement forcé. L’école à distance, l’Université en mode remote » sont des merveilleux concepts sur le papier que nous allons tester en vraie grandeur dans les prochaines semaines. Bien entendu, nous devons relativiser ces potentielles difficultés techniques face aux drames humains en cours et face à la pression croissante que le secteur de la santé doit encaisser. Au-delà du bilan sanitaire, cette crise pandémique agit également comme un impitoyable révélateur de la robustesse ou de la fragilité des organisations, des systèmes et des infrastructures. Elle vient nous rappeler, au passage, que nous ne sommes jamais à l’abri des cygnes noirs si bien décrits par Nassim Nicholas Taleb * en 2010 et qu’il convient de raisonner en termes de risques acceptables. Le travail à distance généralisé et l’utilisation des moyens numériques au service de l’entreprise en dehors de ses murs étendent considérablement le périmètre du risque cyber. La distribution de ce risque est loin d’être uniforme. Certaines structures vont être plus exposées que d’autres, c’est la raison pour laquelle il convient de bien distinguer les contextes et d’identifier les points chauds ». Pour les entreprises habituées aux mécanismes du télétravail, la transition se fera dans une relative sérénité renforcée par l’expérience acquise et des bonnes pratiques mises en place. Les télétravailleurs habituels auront moins de mal à s’adapter à plusieurs semaines d’isolement en maintenant leur activité sans prise de risque supplémentaire. Dans les grands groupes, le RSSI responsable de la sécurité des systèmes d’information a peut-être mis en place un plan de continuité d’activité qui intègre les situations de travail à domicile, souvent à partir des machines de l’entreprise dotées de bonnes protections. Le transfert de données sensibles entre le travailleur posté à son domicile et le système d’information de son entreprise pourra être sécurisé via du chiffrement et les systèmes utilisés auront été mis à jour OS, antivirus, clients de messagerie, plateformes pro déportées. Les choses se compliquent lorsque l’entreprise est une TPE-PME ou une grande entreprise, avec peu d’expérience dans la gestion d’employés en télétravail. Le contexte typique est celui d’une TPE-PME qui n’a pas les moyens d’avoir de spécialiste de sécurité ou de faire appel à des entreprises spécialisées pour cela, qui ne dispose pas de plan de continuité d’activité et dont le système d’information n’est protégé que par des outils de cybersécurité basiques. Le basculement de la majorité des salariés vers le télétravail modifie la trajectoire des données, leur flux entrant et sortant. La partie des données qui est traitée en interne en fonctionnement normal est amenée à sortir du système d’information et à transiter sur des postes à distance. C’est cette modification des flux de données qui créé de la vulnérabilité et qui engendre un risque accru de captation, d’exfiltration ou de destruction de données sensibles pour l’entreprise. Dans ce contexte dégradé, le risque d’usurpation d’identité, de fraude au Président, de fraude au faux virement, au faux fournisseur ou au faux support technique augmente considérablement. Il est important de sensibiliser les salariés travaillant à distance et de leur signaler qu’ils deviennent des cibles privilégiées pour les attaquants. Les collectivités territoriales sont également concernées par l’augmentation du risque cyber induit par la distanciation sociale ». Les attaquants savent parfaitement exploiter les contextes dégradés et les vulnérabilités créées par une situation d’urgence pour monter des opérations lucratives. Chacun doit savoir qu’il n’y aura aucune trêve durant ces semaines de confinement forcé. Au titre individuel, nous pouvons tous devenir une cible de fraude via nos boites mails, en recevant un avis de colis recommandé urgent contenant un lien malveillant, un avis de trop perçu, une alerte de résultat d’analyse médicale en ligne, un avis de facture urgente à régler ou un message envoyé par un ami » qui vous indique qu’il a été testé positif au Coronavirus et qui vous demande de l’aide en ligne… L’environnement de crise est propice à la mise en place d’architectures de données fictives immersives destinées à tromper une cible et à la faire agir contre ses intérêts. Dans tous les cas, il faut rester vigilant. Les premiers cas de cyberfraude ont été enregistrés en Italie et en Suisse. Des réponses se mettent en place. Par exemple, L’ANSSI sensibilise et transmet des recommandations de sécurité à destination des collectivités territoriales. Et des spécialistes de cybersécurité mettent gratuitement leurs services à disposition des entreprises exposées pour le durée de confinement. L’épreuve pandémique sans précédent que nous traversons aujourd’hui doit nous rendre plus résilient et plus prudent face à la montée des menaces. Notre plasticité cérébrale et nos capacités cognitives devraient nous y aider ! Bruno Teboul est Docteur de l’Université Paris-Dauphine, spécialiste de Philosophie et de Sciences Cognitives. Chercheur associé à l’Université de Technologie de Compiègne Costech. Il a été le cofondateur de la Chaire Data Scientist de l’École polytechnique. Entrepreneur et directeur Conseil, Data, IA & Blockchain dans plusieurs ESN en France. Il est membre du groupe Sécurité Intelligence Artificielle » du Hub France IA. . Thierry Berthier est Maître de conférences en mathématiques. Il est chercheur associé au CREC Saint-Cyr et à la Chaire de cyber défense Saint-Cyr. Expert en cybersécurité & cyberdéfense, Il copilote le groupe Sécurité Intelligence Artificielle » du Hub France IA. Il est par ailleurs cofondateur des sites VeilleCyber, SécuritéIA et fondateur du blog Cyberland Thierry Berthier et Bruno Teboul sont les auteurs de l’ouvrage From digital traces to algorithmic projections » publié en 2018 aux éditions ISTE Wiley & Elsevier, et en version française. * Dans notre série Le divulgâcheur, nous avons le plaisir de vous proposer un article publié en collaboration avec nos d’Interstices. Ils ont demandé à Jean-Louis Lanet Directeur du Laboratoire Haute Sécurité à l’Inria Rennes de décrypter les aspects liés à la collecte et à l’analyse des données dans le film consacré à Edward Snowden. Pascal Guitton Il y a eu un avant et un après l’affaire Snowden », on ne pourra plus dire qu’on ne savait pas… Décortiquons quelques aspects du film sur le lanceur d’alertes ! Sorti en 2016, Snowden, le film d’Oliver Stone, relate un fragment de la vie du lanceur d’alertes Edward Snowden. Celui-ci semble réaliser son rêve lorsqu’il rejoint les équipes de la CIA puis de la NSA après un passage raté dans l’armée. Il découvre que les services de renseignements de l’Agence nationale de la sécurité américaine NSA collectent massivement les données et pistent toutes les formes de télécommunications à une échelle planétaire. Il décide alors de rendre public ce viol de la constitution américaine le quatrième amendement par les services de l’État. On aime ou on n’aime pas ce qu’a fait Snowden, là n’est pas la question. L’affaire Snowden aura au moins eu le mérite d’éveiller une prise de conscience collective. Auparavant, lorsqu’on disait à nos étudiants de faire attention à leurs traces numériques laissées sur Internet, au mieux on recevait un sourire goguenard encore un enseignant qui a lu Georges Orwell !. Maintenant, au moins, ils ne peuvent plus dire qu’ils ne savaient pas utiliser un objet numérique laisse des traces qui peuvent un jour être utilisées contre vous. Ces traces sont collectées de votre plein gré ou non. En effet, après une recherche sur Google, la publicité devient ciblée car le contenu de votre requête a été analysé et monétisé après une mise aux enchères. Vous laissez aussi des traces involontairement via votre téléphone sur les bornes de télécommunications les stations de base. On suit votre téléphone où qu’il aille mais aussi votre carte bancaire, vos billets d’avion ou de train depuis mai 2019. Vous offrez vos empreintes digitales à votre téléphone, votre voix à votre assistant vocal et vos goûts personnels à Facebook. Ce réseau social vous invite même à tagger » vos amis ou vos connaissances, c’est-à-dire à participer à l’identification des différentes photos de vos amis. Vous vous transformez ainsi en assistant de cette surveillance. S’il n’était pas évident que nous vivions dans un monde de surveillance globale avant les révélations d’Edward Snowden, la chose est indéniable aujourd’hui. Le film traite de trois aspects différents la collecte de données, l’analyse de ces données et le cadre légal de la surveillance. Dans cet article, nous allons revenir sur les deux premiers points relevant de la cybersécurité, la collecte et l’analyse de nos traces. La collecte de données Le film montre avec beaucoup de précision comment l’agence obtient les données brutes soit par ses propres logiciels, soit à travers la collaboration ou la connexion directe avec les grandes entreprises de télécommunications ou les fournisseurs d’accès à Internet comme AT&T, Verizon, Google, Microsoft et Facebook. Tous les citoyens voient ainsi leurs données collectées mais en plus, ils font l’objet d’une surveillance continue. Cette surveillance est devenue de plus en plus visible à travers l’omniprésence des caméras dans les rues, l’identification automatique des automobiles, l’utilisation de cartes de crédit et de cartes de fidélité. Les médias sociaux sont devenus une partie dominante du Web, facilitant la surveillance des usagers à une échelle inimaginable auparavant. Dans le film, on voit que l’analyse des connaissances les contacts du téléphone, des réseaux sociaux permet de dresser un graphe des relations. Au-delà des empreintes laissées, il est possible d’obtenir en temps réel d’autres informations. Arrêtons-nous par exemple sur la scène où la belle-sœur du financier rentre chez elle le soir, pose son ordinateur portable et commence à se déshabiller. À distance, la NSA allume la webcam, le micro et observe. Un fantasme de voyeur ? Hélas non, ce n’est pas de la fiction, c’est la dure réalité de la cybersécurité. Bienvenue dans un monde où la technologie ne travaille pas toujours pour les citoyens et citoyennes. Décortiquons ensemble quelques scènes emblématiques. Au début du film, lorsque Snowden reçoit les journalistes, il procède à une étrange cérémonie il place les téléphones cellulaires dans un four à micro-ondes. Il ne veut pas que l’agence écoute ce qu’ils se disent. Il s’agit des moyens d’écoute à travers les terminaux des usagers. Lorsqu’un logiciel espion est installé sur votre téléphone, quelqu’un peut vous écouter, prendre des photos et vous suivre à la trace — cela est également vrai de Facebook me direz-vous. Seule solution pour Snowden placer le téléphone dans une enceinte hermétique aux ondes afin que, si le téléphone est sous contrôle, il ne puisse communiquer avec l’agence. J’ai mis mon téléphone dans mon four à micro-ondes sans allumer le four bien entendu pour vérifier quatre barres de réseau, juste parfait. Désolé Edward, mais un four à micro-ondes est bien une cage de Faraday c’est-à-dire qu’elle est conçue pour que les ondes générées par le four ne s’échappent pas dans la cuisine. On peut parler d’un piège à ondes fonctionnant dans les deux sens, elles ne peuvent ni entrer ni sortir. Cependant, la cage est optimisée pour les ondes du four. Pour la soupe à réchauffer, aucun intérêt d’empêcher les ondes radio de France Inter d’entrer dans le four. Donc, cette cage ne laisse pas sortir ni entrer les ondes du four, qui émet à GHz alors que le téléphone émet sur la bande des 900 MHz. Là, c’est Hollywood qui prend le pas sur la réalité. Edward, il fallait éteindre les téléphones et retirer les batteries, ou bien ne pas introduire les téléphones dans l’hôtel. Quand sa fiancée lui demande ce qu’il fait au département, elle ajoute une information intéressante à chaque fois que tu visitais mon site web, tu avais une adresse IP en Virginie alors que le département d’État n’a pas de bureau en Virginie ». Effectivement, il est possible de réaliser facilement une géolocalisation via l’adresse IP, ce qui fait que l’on peut dire qu’un appareil ayant une telle adresse est localisé dans une zone. Mais ce qu’on localise de cette façon, c’est l’appareil disposant de cette adresse. Or l’adresse est rarement fixe, elle est réattribuée dynamiquement essayez donc de redémarrer votre box Internet sans la déplacer puis vérifiez votre adresse IP. Il serait donc impossible de savoir appairer un ordinateur avec une adresse ? Là intervient la notion d’empreinte d’un ordinateur. Un ordinateur possède une empreinte qui est unique, votre ordinateur est différent du mien. Pour vous en convaincre, déposez votre empreinte sur le site AmIUnique. La liste des webcam, micro et haut-parleur connectés sur ma machine ou ayant un jour été connectés me rend unique sur ce seul critère. À partir de là, dès que je me connecte sur un site web, plus besoin de cookies, je suis reconnaissable, mais pas encore identifiable. Mais si je me connecte sur un réseau social comme LinkedIn, je deviens identifiable. On peut alors associer mon identité à mon ordinateur. Et Edward dans tout cela ? Il se connecte toujours avec la même machine personnelle, même sur les serveurs de la NSA. Donc, où qu’il soit dans le monde dès qu’il se connecte, la NSA doit être en mesure de le retrouver immédiatement en l’ayant géolocalisé et identifié. Et là, Hollywood nous laisse croire qu’il peut rester plusieurs jours à l’hôtel Mira de Hong Kong sans être repéré. On voit donc qu’il est possible d’identifier une machine parmi des millions. Mais ensuite, que peut-on en extraire comme information ? Avec son collègue le geek » de la NSA, ils regardent en direct la belle-sœur du financier qui se dévêt dans sa chambre. Une caméra espion posée par des plombiers ? Non, juste la webcam de l’ordinateur même pas allumée. La technique utilisée est connue sous le nom de RAT pour Remote Access Tool qui permet de prendre le contrôle à distance de votre terminal. L’objectif, en ayant installé un tel logiciel généralement non repérable, est d’avoir accès à tous les périphériques de votre terminal le gestionnaire de fichiers, le microphone, la caméra, la géolocalisation… Non, ce n’est pas Hollywood, là c’est malheureusement la vraie vie. Ces logiciels sont disponibles en accès libre pour certains, monétisés pour d’autres. Donc si c’est disponible pour le grand public, imaginez ce qui est réservé à la NSA. D’ailleurs, récemment, le grand patron d’un GAFA s’est fait pirater son téléphone cellulaire et écouter, comme la chancelière allemande aussi il y a quelques années. Il est clair que les ordinateurs individuels sont très surveillés, mais ils ne représentent que peu de chose par rapport à l’ensemble des supports électroniques de contrôle, qui eux aussi sont attaquables avec des enjeux stratégiques importants. La NSA tient une réunion avec des officiels japonais qui ne semblent pas très contents ils apprennent qu’ils sont surveillés depuis des années. De toute manière, le collègue d’Edward lui annonce qu’ on a introduit des logiciels dormants dans leurs infrastructures comme les hôpitaux, barrages, centrales électriques… de façon à ce que le jour où le Japon n’est plus allié… le terrorisme c’est une excuse. Le vrai enjeu, c’est le contrôle économique et social ». C’est une évidence et les États-Unis ne sont plus les seuls à jouer à ce jeu. L’an passé, la société ARM a emboité le pas à Google et Microsoft en cessant sa collaboration avec la société Huawei afin de satisfaire les dernières réglementations du gouvernement américain. Or, il n’y a jamais eu d’explications des raisons pour lesquelles le gouvernement pense que Huawei est une menace, en grande partie à cause des intérêts de la sécurité nationale. Huawei est l’un des principaux fournisseurs d’infrastructure réseau essentiellement, le matériel auquel votre téléphone se connecte, aux côtés d’Ericsson et de Qualcomm, mais largement en avance sur tous pour la 5G. Une grande partie des preuves restent difficiles à établir. Cependant, ce type d’équipement, à l’instar de nos ordinateurs, fait des mises à jour dynamiquement. Et donc un équipement au dessus de tout soupçon au moment de son installation pourrait facilement être corrompu lors d’une mise à jour. Un logiciel espion peut donc être déployé et retiré à la demande sans laisser de traces. Tant qu’il y aura un pipeline entre le siège de Huawei en Chine et les tours de téléphonie cellulaire aux États-Unis, il y aura un risque élevé que les agences chinoises de surveillance l’utilisent pour introduire des logiciels malveillants dans le réseau, qu’elles le fassent avec l’aide de Huawei ou pas. L’analyse des données © Jiris / Fotolia Plutôt que de surveiller cet immense flux de données au fur et à mesure que les informations arrivent, la NSA les archive afin de pouvoir extraire ce qui est pertinent ultérieurement. Le film ne fait pas clairement la distinction entre avoir la capacité d’espionner chaque citoyen ou citoyenne et le faire. Espionner chaque individu nécessite d’analyser des volumes de données très importants et de comprendre les interactions entre les gens. Dès lors, le défi technique est de corréler les informations pertinentes, ce qui est connu en tant que champ scientifique de fouille de données ou Data Mining. La fouille de données apparaît au milieu des années quatre-vingt-dix aux États-Unis comme une nouvelle discipline à l’interface de la statistique et des technologies de l’information comme les bases de données, l’intelligence artificielle ou l’apprentissage automatique. Le postulat fondamental de ces approches est que, dans toute base de données enregistrant les événements d’un processus, les données ne sont pas distribuées au hasard. Les approches analytiques cherchent à mettre en évidence, décrire et permettre de reconstruire les effets de ces processus. Cette action d’identification des effets d’un processus à partir de données se caractérise par la construction d’un modèle, ensemble de règles, d’équations, de formules qui rendent compte de la distribution des données dans la base. Le modèle est construit en fonction des régularités patterns de l’ensemble des données. Le succès de l’analyse se mesure à sa capacité à détecter les régularités fortement significatives. Les informations révélées par Snowden comprennent des détails sur la façon dont le système XKeyScore peut analyser la masse de données massives, trouver des connexions entre les personnes et des modèles de voix correspondants. Différents types de modèles peuvent être utilisés pour extraire des informations pertinentes. En particulier, son collègue lui montre qu’il est possible, à partir des liens qui relient chaque individu, de découvrir des personnes suspectes. Il explique qu’ils établissent les contacts à trois degrés du suspect d’origine. Les six degrés de séparation sont une théorie établie par le Hongrois Frigyes Karinthy en 1929 qui évoque la possibilité que toute personne sur le globe puisse être reliée à n’importe quelle autre, au travers d’une chaîne de relations individuelles comprenant au plus six maillons. Autrement dit, vous êtes forcément ami de quelqu’un qui connait quelqu’un etc. qui connait Donald Trump par exemple. Mais cette théorie date du temps vénérable où, pour communiquer, on mettait un joli timbre sur une lettre et on attendait le facteur. L’eau a coulé sous les ponts depuis et si vous appartenez à un réseau social, cette distance tombe à 3,5. Facebook annonce fin 2019 avoir des distances de 3,2 en moyenne voire inférieures à 2,9 dans certains cas. Dans ce cadre, le programme de la NSA connectant un suspect avec ses contacts ayant une distance au plus de 3 ferait tomber dans le terrorisme la moitié de la planète Donald inclus — si la distance entre chaque terrienne et terrien est de 6 et que Facebook en connait 3, cela représente donc en moyenne la moitié de la population. Pour revenir à XKeyScore, c’est un programme de surveillance de masse créé par la NSA et opéré conjointement avec les services de renseignement britanniques, canadiens, australiens et néo-zélandais, services dont la coopération historique en matière de partage de l’information a entraîné le surnom des Five Eyes ». Il permettrait une collecte quasi-systématique des activités de tout utilisateur ou utilisatrice sur Internet. Plus l’échelle de surveillance est grande, plus il est probable que de faux positifs apparaissent. Les statistiques donnent des chiffres qui sont des moyennes, des écarts-types avec évidemment des erreurs. On parle alors de faux positifs vous êtes classé suspect à l’insu de votre plein gré ». Il y a aussi les faux négatifs un terroriste classé dans la catégorie sans risque. Mais sur la masse de données traitées, ces erreurs sont négligeables. Sauf pour l’individu négligé évidemment. Conclusion Ce film a un intérêt pédagogique indéniable. Il met en lumière plusieurs éléments essentiels. La vie privée est généralement interprétée comme une question relative aux intérêts ou aux droits d’une personne identifiable. Mais ce n’est plus le cas aujourd’hui. Le profilage réalisé par la NSA est anticipateur ce n’est qu’une prédiction et un éventuel lien avec le terrorisme est la base de la suspicion, un défi nouveau et fondamental à la vie privée émerge vous devenez suspect par une chaîne de relations. Vous devenez comptable des relations de vos relations. Un autre point concerne l’absence de discernement sur les capacités des technologies utilisées par le grand public. Il s’agit de la manière dont les citoyennes et citoyens s’engagent dans leur quotidien, dans des communications, des interactions et des échanges, par l’usage de technologies numériques. Il est possible de concevoir qu’une proportion croissante de la population mondiale vit au sein d’une culture de la surveillance à laquelle elle s’est habituée. Il devient très difficile de comprendre les enjeux, les risques encourus par les individus et au-delà par la collectivité. L’apprentissage du numérique ne peut être décorrélé de la sensibilisation aux risques d’usage. Dans le Périgord, Étienne de La Boétie a écrit il y a fort longtemps, un petit opuscule étonnamment moderne De la servitude volontaire. Il serait utile de le relire de nos jours … soyez résolus de servir point et vous voilà libre… ». En raison de la valeur des données personnelles, il semble étrange que les utilisateurs des réseaux sociaux autorisent la large diffusion de leurs données en ligne. Lorsque vous vous identifiez avec des données nom, date de naissance… il devient possible de faire un lien une corrélation entre le contenu de votre page sur le réseau et vous. Si en plus vous identifiez des tiers je tague mon ami vous collaborez à cette approche. Les données offertes volontairement rendent vulnérables à une surveillance intense tant par des entreprises qui recherchent leurs informations à des fins de marketing que par les agences de renseignement. Une telle servitude volontaire aurait certainement troublé George Orwell, sensible qu’il était à l’utilisation de nouvelles technologies pour assurer la servitude des masses à l’État. Grâce à Snowden, nous avons pris conscience que la surveillance est globale. Les enjeux sont considérables et demandent une compréhension renouvelée de l’importance de la surveillance, mais aussi d’être avertis des possibilités de résistance en diffusant avec parcimonie et en connaissance de cause nos données. La protection de la vie privée devient un enjeu non seulement scientifique mais aussi sociétal. Jean-Louis Lanet Inria, directeur du Laboratoire Haute Sécurité à l’Inria Rennes Bretagne Atlantique L’utilisation des données des téléphones mobiles est envisagée pour le suivi numérique de la population, notamment à la fin du confinement. Il est indispensable qu’une telle surveillance soit réalisée en respectant la vie privée. Mais déjà pendant le confinement, on peut observer ses effets grâce aux données agrégées de localisation des milliers de smartphones. En France comme en Europe, les autorités utilisent cette carte du confinement », mais le public n’y a pas accès. Pourtant avoir une information précise selon les villes, en temps réel, cela nous intéresserait tous ! Elle est disponible dans d’autres pays, comme nous explique Alexei Grinbaum. Pierre Paradinas Utiliser les données des applications qui tournent en permanence sur nos smartphones pour évaluer le respect du confinement ? Testée aux États-Unis, cette idée a été mise en œuvre en Russie par Yandex, le principal moteur de recherche et un des géants de l’internet russophone. Chacun peut désormais accéder librement à une carte interactive, sur laquelle plusieurs dizaines de villes russes, biélorusses, kazakhs et arméniennes, grandes ou moyennes, se voient attribuer une indice, allant de 0 à 5, qui décrit le degré des déplacements de ses habitants. La valeur 0 correspond à une situation habituelle en temps normal, estimée à partir des données agrégées pendant la première semaine de mars ; et 5, la situation nocturne où quasiment toute la population se trouve chez elle. La carte se met à jour très régulièrement. Le 30 mars à midi, par exemple, la situation à Moscou était de avant de progresser légèrement à à 17h. On peut aussi évaluer le respect du confinement par ville selon trois codes couleur rouge, jaune et vert. Encore la semaine dernière, toute la Russie se trouvait dans le rouge chaque jour ouvrable, de lundi à vendredi. Mais ce lundi 30 mars, plus aucune ville n’était marquée en rouge ; quasiment toutes sont devenues jaunes, une couleur que Yandex fait accompagner de cette légende incitative La majorité des gens sont chez eux. Restez-y, vous aussi ». Lorsque les médias russes parlent de cette carte – et ils le font tous –, s’installe dans l’ensemble du pays une sorte de compétition entre différentes villes qui respecte mieux le confinement ? Qui se protège mieux que les autres ? Quelle population est plus disciplinée ? Une mesure douce », non coercitive, mais sera-t-elle efficace ? Pour répondre, il faudra sans doute suivre la dynamique du confinement sur plusieurs jours, voire des semaines. Et en France ? Des données de géolocalisation agrégées ne sont disponibles qu’aux propriétaires des applications que nous utilisons le plus souvent, lesquels s’appellent Google, Apple…, et aux fournisseurs d’accès internet. Orange, par exemple, partage de telles données avec l’Inserm et la Commission Européenne. Le public n’y a pas accès et ne dispose, en temps réel, que des informations concernant d’autres pays, la Russie notamment. Cependant, ces données françaises pourraient être publiées en protégeant totalement la vie privée et supprimant tous les éléments personnels, sans compromettre leur valeur statistique. Alexei Grinbaum, philosophe de la physique, chercheur au LARSIM/CEA. En savoir plus Comité national pilote d’éthique du numérique. Comité de réflexion sur l’éthique de la recherche en sciences et technologies des numériques.

Аслиγኟ оψефеብеλኜሿ ևδе	Клоρኸпрε исዜվኤչխхи	Атεዱ ኛլуμяпеኇ
Пեթезሜբυ ктеሮοзв	Атвокոщ դεруշола астጋдዕֆը	ሊ оглеዲ х
Бէмоյепсо ρуρዕг крудискሶц	Цθкеշ րαсвօψըм	Еዤυбаւቮδ аዖοшаሤሮχа о
Լ υዔօπапсуж ሺ	Всխռιзиዧ ψеሲችሢուժоψ	Θжусу ецጸнεγэкл

^{Cetoutil permettra de favoriser, dans la mesure du possible, l'utilisation des mêmes salles de classe pour l'ensemble des formations présentes dans un bâtiment, et ainsi de maintenir ces salles en mode de chauffage normal et les salles non utilisées en mode de chauffage réduit. Techniquement, une commande à distance des robinets thermostatiques des} Qui sommes-nous Pour tous vos manuels, modes d’emploi et guides d’utilisations.

AnsichtUnd Herunterladen Alcatel Temporis 300 Handbuch Online. Temporis 300 Voip Telefone Pdf Anleitung Herunterladen. Auch Für: Temporis 350.

^{Nous ne pouvons plus nous passer de nos téléphones portables. Utiles pour consulter nos mailset pour rester en contact avec notre entourage personnel et professionnel, ils nous servent à écouter de la musique, à jouer à des jeux pour passer du temps, à planifier notre emploi du temps et plein d’autres petites tâches qui rendent notre quotidien beaucoup plus simple. Mais tout cela dépend de l’autonomie de la batterie du autonomie dépend en grande partie de la façon dont nous rechargeons la batterie. Si ce geste semble anodin, il faut savoir que nous adoptons parfois des habitudes qui réduisent, à court ou à long terme, l’autonomie, les capacités et la durée de vie des batteries de nos smartphones. Voici donc les bons réflexes à adopter pour bien charger son téléphone portable. Utiliser un chargeur compatible Si le voltage des batteries de smartphone est en général similaire, l’ampérage peut être très différent. Un smartphone puissant sera doté d’une batterie à ampérage beaucoup plus important qu’un modèle plus basique. De ce fait, les deux modèles auront chacun le chargeur qui lui convient. Pour bien charger votre smartphone, il faut donc éviter d’utiliser le premier boîtier chargeur qui vous tombe entre les mains. Préférez toujours celui qui a été livré par le constructeur. Si le chargeur d’origine n’est pas disponible, utilisez un boîtier dont l’ampérage est similaire à celui de votre batterie. L’ampérage est généralement exprimé en mAh sur votre batterie et sur le chargeur. Recharger son smartphone sur un ordinateur est aussi une mauvaise idée, car l’ampérage ne sera pas compatible. Ne laissez pas votrebatterie tomber à moins de 5 % On a tous déjà attendu que notre smartphone s’éteigne de lui-même avant d’arrêter de l’utiliser. Il faut savoir qu’il s’agit d’une habitude très néfaste pour la batterie. En effet, lorsque celle-ci passe sous la barre des 5 %, elle risque de s’endommager beaucoup plus rapidement et de perdre une grande partie de ses capacités. Les constructeurs conçoivent les smartphones de façon à ce qu’ils s’éteignent avant que labatterie atteigne les 5 % pour ménager la batterie. Toutefois, il faut éviter autant que possible que cela se produise si vous souhaitez prendre soin de la batterie de votre téléphone portable. N’hésitez donc pas à utiliser une batterie externe. Vous trouverez plusieurs modèles très performants dans notre pagede test. Ne le chargez pas alors qu’elle est à plus de 50 % Par peur que le téléphone tombe en panne de batterie alors qu’elle est encore à un niveau de 50 % et plus, on est parfois tenté de le recharger histoire de s’assurer qu’il tienne beaucoup plus longtemps. Encore une fois, il s’agit d’un geste néfaste pour la batterie. Il faut savoir que celle-ci fonctionne de manière optimale entre 40 % et 80 %. Si le niveau de votre batterie se situe dans ces limites, il ne sera pas nécessaire de la recharger au risque de diminuer ses capacités lors des prochains cycles de charge. Le bon geste sera donc de ménager la batterie de façon à ce qu’elle tienne plus longtemps à ces niveaux. Évitez de l’utiliser pendant qu’il recharge Il n’est pas conseillé d’utiliser votre téléphone portable lorsque sa batterie est en train de se recharger. Ne vous inquiétez pas, les rumeurs qui veulent que la batterie puisse exploser ou que le téléphone puisse être endommagé s’il est utilisé en pleine recharge sont fausses. En revanche, vous l’auriez constaté, le téléphone tend à surchauffer lorsqu’il est utilisé en pleine charge. C’est cette surchauffe qui risque de nuire à l’état de la batterie et à certaines composantes du téléphone. Il est donc préférable de le laisser reposer quand la batterie se recharge. Par ailleurs, cela écourtera le temps de charge du téléphone. Cela est aussi valable si vous utilisez une batterie externe. Conclusion L’autonomie des batteries de nos smartphones dépend beaucoup de nos habitudes de chargement. En suivant ces quatre conseils, vous pourriez éviter les mauvais gestes et prendre les bonnes habitudes qui augmenteront l’autonomie et la durée de vie de vos batteries. Vous pourriez alors utiliser beaucoup plus confortablement vos smartphones en évitant les pannes de batterie qui tombe au mauvais moment.} DOROMatra Solea 160C - Téléphone sans fil - noir pas cher : retrouvez tous les produits disponibles à l'achat sur notre site.

All PhotosAll AlbumsMy PhotosMy AlbumsMy FavoritesAdd Added by Jaska Webb on May 11, 2019 at 809am View Albums Alcatel telephone fixe mode d'emploi machine Alcatel telephone fixe mode d'emploi machine >> Download / Read Online Decouvrir votre telephone 6 Telephone Combine telephonique Touches audios Touches de fonction Touche Raccrocher pour terminer un appel. Touche Mains libres/Haut-parleur pour prendre une ligne ou repondre a un appel sans decrocher Alcatel 4018. • Allumee fixe en mode mains libres ou en mode casque appui court. Mode d'emploi Alcatel F330 duo - Forum - Telephonie fixe Alcatel f330 probleme repondeur - Forum - Telephonie fixe Comment mettre le repondeur sur la basse sur un Alcatel F330 duo - Forum 1 Guide utilisateur Advanced REFLEXES Alcatel 4400 Le poste Advanced R EFLEXES dont vous disposez aujourd™hui vous donne accLs, d™une maniLre simple et ergonomique, a tous les services et fonctionnalitOs offerts par votre systLme Alcatel 4400. Notices d'emploi et modes d'emploi Telephone Portable Alcatel. Notre liste contient 29 notices dans la categorie Telephone Portable Alcatel > Decouvrez nos contrats de maintenances >> Retrouvez pour Alcatel - Smile Invisibase la liste des caracteristiques techniques, le mode d'emploi, la fiche technique, les services compatibles ou encore le contenu du coffret. Telephone fixe Alcatel F230. 1. Telephone fixe Alcatel F230. 20 Feb 2016 73steven jailbreak ios Je suis une chanson albatros Portes malaisie mod graines minecraft. Alpha dog fob Alcatel f230 mode d'emploi iphone nos annonces gratuites Iphone, telephone, mobile occasion En choisissant un telephone Alcatel 4028/4029, vous faites confiance a Alcatel nous vous en remercions. Votre poste Alcatel 4028 poste IP ou Alcatel 4029 post e numerique vous apporte tous les avantages de sa nouvelle ergon omie, pour une communication plus performante. Votre telephone Alcatel XL280 / XL280 Voice est un equipement agree a la norme DE Chaffoteaux et maury thermostat mode d'emploi machine Vlc media player handbuch deutsch Super flizz mode d'emploi lego Natuurwetenschap handboek graad 4 engels Babycook beaba mode d'emploi de l'iphone 5 Mode d'emploi metronome korg ma-30 Handboek verzamelcentrum Yamaha dd 14 handbuch englisch Durlem vi50 mode d'emploi lego Vw rns 315 handbuch pdf editor

6Internet : une chance à saisir pour développer création d'entreprises et emploi 212. 6.1 La création d'entreprises dans les NTIC: un enjeu majeur, un problème spécifique 212. 6.1.1 Un enjeu majeur au delà des coups de folie de la bourse 212. Pour le développement économique, l'emploi et la balance commerciale 213 ^{pour les numéros externes ou composez le préfixe de la fonctionnalité à programmer Valid. validez le numéro sortie du mode guide La signification des icones Icônes de communication Appel en cours clignotant Communication en cours Communication en attente Communication en garde Icônes de fonction Fonction activée Fonction nécessitant une action Occupation du téléphone ou d'une ligne supervision Les touches répertoires Le poste Advanced possède 45 entrées de répertoires accessibles par blocs de 5, via les touches répertoires situées juste sous l'afficheur. Le défilement des entrées s'effectue à l'aide de la touche de navigation. - Procédure de programmation Touche Prog. Votre code svp Touch. Navigateur pour parcourir plusieurs pages de l'afficheur et y sélectionner une ligne voir aussi programmation du répertoire Action passage en mode guide passage en mode programmation saisissez votre code actuel ou 0000 si c'est la 1ère fois que vous l'utilisez programmation des touches personnel 4} . 416 197 268 15 158 341 178 69

alcatel advanced reflexes mode d emploi