AWS : bonne nouvelle les datacenters d’Amazon bientôt en France

C’est une bonne nouvelle d’un point de vue utilisateurs, car le rapprochement en région parisienne plutôt que Dublin ou Francfort signifie moins de temps de transit, moins d’interconnexions d’opérateurs.
D’autant que de nombreuses offres et sites Web sont hébergés dans les datacenters historiques Américains. 

Ceci dit, le cloud d’Amazon, AWS, appartient toujours à une société Américaine, donc patriot act et access possible pour les autorités US.

Reste à voir à quel tarif Amazon placera les datacenters Français (plus ou moins cher que l’Irlande ?)

Ça fait quand même d’AWS, leader du cloud public, une option de plus dans le portefeuille de solutions.
Et, c’est aussi un plus car il sera alors possible d’exiger de vos fournisseurs hébergeant leur plate-forme dans AWS de localiser votre instance en France…

AccessURL.com un nouveau moyen de partager ses identifiants : bien ou mal ?

Dans la série faites ce que je dit, pas ce que je fais, bienvenu à AccessURL !

capture-accessurl

Ce service, qui repose sur un plugin Chrome (uniquement), propose de partager en toute sécurité votre accès à des sites web privés.

Exemples : Votre abonnement sur LeMonde.fr, l’extranet de votre fournisseur que tous vos collègues voudraient utiliser, Netflix ou autres services de streaming vidéo servis chauds.

 

Un site protégé, un service de partage gratuit, un tiers… Qu’est-ce qui pourrait mal de passer ?

En entreprise déjà c’est une faute, vous avez signé un règlement intérieur ou la charte informatique, et il est bien possible la nature même de votre métier fasse de vous un collaborateur informé, qui a le devoir de protéger les données et les accès. Donc au mieux ça passe inaperçu, l’IT vous fait passer un message bienveillant, ou un incident se produira et…


À titre personnel
« je fait ce qui me plaît », et il est bien possible que vous ayez raison car le site que vous détournez commencera probablement par un avertissement de sécurité puis une suspension de compte (pour double connexion depuis plusieurs adresses IP publiques, pour activités suspectes) mais y réfléchira à ceux fois avant de vous résilier…  La mauvaise presse (plaintes sur les réseaux sociaux pour incompréhension), le coût de recrutement de nouveaux clients, la concurrence : pas simple à gérer comme situation. De plus, vous n’avez pas à vous préoccuper d’Hadopi, ça ne les intéresse pas.

Car si le prêt de compte personnel est interdit dans les petites lignes du contrat, vous ne l’avez pas lu d’une part, et d’autre part AccessURL fait tout pour que cela ait l’air tout à fait naturel et facile à faire. Donc autorisé, donc légal en apparence, puisque aujourd’hui on s’en tient souvent aux apparences.share-key-1524927-639x426

Les choses pourraient s’aggraver, si à la manière des forums de partage et téléchargement qui font payer à l’acte avec du micro-paiement, vous sous-louez l’accès à un abonnement ou à du contenu protégé.

Ceci dit, dans les conditions d’utilisation, AccessURL indique clairement collecter des informations personnelles, et se dégage de toute responsabilité en cas d’utilisation inappropriée de ce service, ou de violation de droits d’auteurs. De même qu’en cas de perte financière ou de fuite de données, y compris si le propriétaire d’AccessURL est prévenu d’un incident ou d’une procédure, vous n’êtes pas couvert.

 

Regardons AccessURL.com d’un peu plus près

magnifying-glass-1195481-639x720D’après de simples informations publiques (aucun site web n’a été maltraité pendant la rédaction de cet article)…

  • Le site est chez un hébergeur qui à plutôt bonne réputation : Digital Ocean, à San-Francisco visiblement.

« 11 DIGITAL-OCE.bar2.SanFrancisco1.Level3.net (4.14.106.166)  288.779 ms »

 

 

  • Le service (ou du moins le frontal web) tourne sur un VPS, donc le trafic est capé à quelques To. Attention, « quelques To » ça fait déjà beaucoup de volume quand même, ça n’est pas ridicule, mais c’est une limitation et un choix économique.
Site http://www.accessurl.com Netblock Owner Digital Ocean, Inc.
Domain accessurl.com Nameserver ns-cloud-e1.googledomains.com
IP address 45.55.24.192 DNS admin cloud-dns-hostmaster@google.com
IPv6 address Not Present Reverse DNS unknown

 

  • Pour un site qui met en avant un haut niveau de sécurité et de confidentialité, il aurait été préférable de masquer la version du serveur web, et le système d’exploitation. A moins bien sur que ces informations soient forgées pour induire en erreur.
Netblock owner IP address OS Web server Last seenRefresh
Digital Ocean, Inc. 101 Ave of the Americas 10th Floor New York NY US 10013 45.55.24.192 Linux nginx/1.10.0 Ubuntu 27-Sep-2016
  • Et il serait utile d’affiner les configuration d’ngnix… car tel quel le site emploie un algorithme d’échange de clés permettant l’interception des communications (man in the middle) type Logjam. Plutôt gênant en environnement hostile, mais bon, vous êtres en train de donner volontairement vos codes d’accès à un correspondant, donc pourquoi pas votre voisin de hotspot wifi aussi ?

« This server supports weak Diffie-Hellman (DH) key exchange parameters. Grade capped to B. »

 

  • Le certificat SSL du site est bien sur émis par Let’s Encrypt. Donc gratuit, et d’une durée de vie courte (renouvelé automatiquement par un automate). Ça n’est pas un problème en soit, mais ça donne une idée des moyens investis sur la sécurité.
certif-letsencrypt-accessurl

 

  • Les informations sur le propriétaire du domaine accessurl.com sont masquées, impossible donc d’entrer en contact « directement » avec le propriétaire en dehors de l’adresse email de support indiquée sur le site lui même.
Administrative Contact Information:
Name Contact Privacy Inc. Customer 124788088
Organization Contact Privacy Inc. Customer 124788088
Address 96 Mowat Ave
City Toronto
State / Province ON
Postal Code M4K 3K1
Country CA
Phone +1.4165385487
Email seis1ecfm@contactprivacy.email

Tout ça n’est pas très rassurant, mais dans l’absolu il n’y a rien de bien extraordinaire ou absolument critique qui ressorte (à cette profondeur d’analyse).

 

Quelques questions à se poser

Comment AccessURL gagne-t-il sa vie ?

  • antique-cash-register-1501597-639x426De la publicité ? à priori non.
  • En revendant des informations personnelles ? peut-être.
  • En revendant vos comptes privés ? ça serait suicidaire, mais pas impossible.
  • Rien en attendant d’avoir atteint une masse critique, puis passage en mode « régie publicitaire » comme beaucoup de services gratuits ?
  • Rien en attendant une proposition de rachat par un plus grand éditeur ? possible.

La réponse est importante, car elle conditionne la viabilité de ce service tout autant que sa confidentialité.

Comment ça marche ?

Voilà une tentative d’explication et de déduction, sans avoir fait de reverse engineering (à peine surveillé les flux), en sachant qu’AccessURL déclare se baser sur les cookies de session, et ne pas fonctionner en mode navigation incognito… cf. son site web.

On peut imaginer que quand vous êtes connecté à votre site privé, et que vous demandez la création d’un lien de partage au plugin, le cookie de session que vous avez (et qui est légitime) est chiffré et envoyé chez accessurl.com. Le chiffrement étant déclaré être de l’AES, c’est un algorithme symétrique donc une « clé » (mot de passe) seule permet à la fois de chiffrer et déchiffrer les données. Simple et efficace pour ce niveau de besoin de protection des données.

La clé de chiffrement est encodée dans l’URL généré pour le partage de l’accès, ainsi que l’identifiant du cookie chiffré à récupérer sur accessurl.com. Puisque AccessURL déclare ne pas avoir connaissance de la clé, ça doit vouloir dire qu’elle n’est pas envoyée sur leur serveur mais reste côté clients.

Comme c’est cet URL de partage que vous transmettez à votre correspondant (toujours côté client donc), son plugin Chrome AccessURL n’a plus qu’à intercepter cet URL télécharger le cookie chiffré, puis le déchiffrer en déduisant la clé de l’URL de partage, et ré-ouvrir une session authentifiée sur le site d’origine.

Donc le plugin doit être activé dès que le site que vous entrez dans la barre d’URL matche accessurl.com… D’après ceci je dirais que c’est Chrome qui se charge d’appeler le plugin, et pas le plugin qui traite tous les URLs que vous entrez et y recherche accessurl.com, à condition que ce soit bien implémenté par l’auteur. La différence tiens à la protection de votre vie privée, en évitant entre autres que ce plugin ne collecte tous les sites que vous visitez par exemple…

Les URLs partagés sont de cette forme :

https://accessurl.com/POrK#nq5dqb

https://accessurl.com/BMk6#io6mm7

https://accessurl.com/4WDZ#erveqy

Ce qui laisse à penser qu’ils sont formatés et découpés en deux sous chaines:

https://accessurl.com/ AAAA # BBBBBB avec AAAA un pointeur vers le cookie chiffré transmis via accessurl.com, et BBBBBB la clé de chiffrement.

 

4 et 6 caractères c’est très peu, le pointeur AAAA n’est donc peut-être pas direct (lookup, 2-3 tree), et la clé BBBBBB je crains qu’elle soit tout simplement « BBBBBB » sans artifice.

Note : un mot de passe sur 6 caractères, avec le jeu de caractères présent dans ces exemples, prends 56 millisecondes à deviner en brute-force aujourd’hui. Donc encore moins demain avec les gains en puissance de traitement.

 

Alors AccessURL.com : bien ou mal ?

balance-1172800-639x433C’est bien de constater qu’il y a toujours de la place pour l’innovation en matière de sécurité, et à voir la couverture médiatique accordée à AccessURL les internautes utilisateurs sont toujours friands de solution qui simplifient la vie, et simplifient la sécurité. Ce qui veut dire que les acteurs du web et de la cyber sécurité ont encore une bonne marge de progression, pour arriver à éradiquer le mot de passe comme moyen d’authentification, et passer à quelque chose de mieux. Le plus rapidement possible SVP…!

C’est bien aussi, car ça évite de donner par email, fichier word ou post-it ses identifiants et mots de passe à un correspondant (niveau zéro de l’échange sécurisé). Tout du moins dans un monde idéal qui ne prête pas de mauvaises intentions, ou d’implémentation fragile à AccessURL.

AccessURL est très probablement le fruit d’un one man show. Qu’il convient de saluer pour l’idée et l’implémentation car il y a un produit réel et qui fonctionne (actuellement à peu près bien, et l’intention de cet article n’est pas de descendre AccessURL).

Mais en même temps, c’est mal. Car d’après le peu d’information disponibles, on ne peut avoir aucune garantie sur la pérennité du service, sont évolution ou sa maintenance (disponibilité, sécurité opérationnelle etc), d’autant que le modèle de revenus est inconnu.

En réfléchissant aux pistes menant à des problèmes de sécurité ou des dérives d’utilisation des sites privés, j’aurai tendance à déconseiller d’utiliser AccessURL pour quoi que ce soit qui puisse vous mettre en difficulté financière ou juridique.

Il existe d’autre moyens de partager des comptes privés, notamment chez les gestionnaires de mots de passes, qui ne font pas l’économie des écarts aux conditions d’utilisation des sites privés, mais ont pignon sur rue et affichent un niveau de confiance bien supérieur…

L’entreprise, le RSSI, le Cloud et la cyber-sécurité

InfographieAssises-2015-Web-V4
Source: ITSocial.fr

Les fuites massives de données, ou comment faire une bonne affaire en bourse

Yahoo reconnaît une fuite de 500.000.000 comptes mail

Certes, ce n’est pas la première fois pour Yahoo Mail (1), mais quand même, ça tombe pile openphotonet_phoneindex1pendant le bouclage du rachat par  l’opérateur américain Verizon. Et quel beau carnet d’adresses, avec des mots de passes réels facilement déchiffrables. De quoi enrichir les dictionnaires des outils de hacking avec quelques nouveautés.

Le montant du rachat semble être de 4.800.000.000 dollars, ou peut-être un peu moins après cette affaire ? Les chiffres sont vertigineux, à la hauteur des enjeux financiers pour les opérations de haut vol dans l’industrie, lorsqu’il s’agit d’acteurs majeurs.

Une telle opération, si elle est vérifiée, représente une exploitation intéressante de la cyber sécurité dans le monde des affaires. Parce qu’elle touche un groupe connu du grand public, ce qui en augmente d’autant les effets.

[mise à jour du 7/10/16 : verizon demande effectivement un rabais de 1.000.000.000$

Et c’est un bon moyen de garder à l’esprit que les risques ne sont pas que portés par les départements informatiques, il sont aussi et même surtout, portés par leur propriétaires réels que sont les départements marketing, juridique et commercial pour une entreprise comme Yahoo qui évolue dans le monde de la communication (régie publicitaire en tête).

 

Principe de précaution

  • Changez votre mot de passe Yahoo Mail
  • Vérifiez si vous avez des actions Yahoo! (YHOO) en portefeuille (assurance vie ? compte titres ?)
  • Changez éventuellement le mot de passe de tous les autres sites ou vous utilisez l’adresse Yahoo Mail comme identifiant, car si votre caution-tripping-hazard-1444098-639x510compte de messagerie est exploité, il a pu être utilisé pour « réinitialiser votre mot de passe » sur d’autres plateformes et en gagner l’accès
  • Activez, partout où c’est possible à commencer par Yahoo Mail, la double authentification (par SMS, avec code à usage unique type Google Authenticator ou votre app similaire préférée)
  • C’est l’occasion de (re)découvrir le site qui vous aide à vérifier si votre adresse email à été compromise : haveibeenpwned.com , vous y inscrire en veille sécurité et éventuellement y faire un petit don pour ce service inestimable

En ce moment Yahoo Mail invite à vérifier que votre compte est sécurisé

yahoo-secure-my-account

Voilà ce qui s’affiche après une connexion à une boite mail existante.

En répondant Yes, secure my account, vous êtes invité à saisir un nouveau mot de passe, puis vérifier les moyens de récupération (adresses email secondaires, numéros de téléphones).

Il n’y a pas de fumée sans feu

 

 

 

(1): 5.000.000 comptes fuités le 10/09/2014.

 

Le point d’équilibre entre sécurité et facilité

Pourquoi est-ce si difficile de trouver le bon équilibre entre sécurité et facilité ?

Probablement parce-que, contrairement au man-standing-on-finger-jpg

principe réducteur que pose ce titre, il n’y a pas un seul point fixe d’équilibre entre sécurité et facilité d’utilisation.

Comment pourrait-il y en avoir d’ailleurs ? Chaque utilisateur, chaque métier est régit par ses propres besoins « en libertés » et sous « contraintes » de sécurité. De plus, côté client s’impose la transparence, c.a.d. la sécurité maximale et invisible pour ne pas altérer la qualité de la relation.

Et maintenant, à quelle vitesse, dans une entreprise agile, évoluent ces paramètres ?

 » Vitesse lumière Mr. Spock « 

Les contraintes

La liste est longue, prenons les grandes familles de contraintes possibles.

bibliotheque-et-livres

  • Légales, qui se déploient au gré des avancées de l’Union Européenne, puis des déclinaisons en droit local.
  • Stratégiques, à l’appréciation du comité de sécurité (ou Risk Manager, RSSI, Inspecteur/Auditeur/Contrôleur interne).
  • Systémiques, quand un ensemble d’acteur évolue dans un domaine sensible (santé, défense).
  • Réglementaires, quand le règlement intérieur ou les chartes d’usages appliquent les restrictions souhaitées par les directeurs. J’aurai plutôt tendance à classer ici les préconisations, par exemple celles de l’Agence Nationale de la Sécurité des Systèmes d’Information.
  • Techniques. Aussi surprenant que ça puisse être, quelque fois, la limitation est d’origine technique. Par exemple quand un sous ensemble du système d’information n’est pas intrinsèquement suffisamment sécurisé, et doit faire l’objet d’une mise à l’écart des accès et ressources externes.
  • Sociales, il arrive que certaines populations utilisatrices du système d’information ne soient pas à même d’apprécier les risques encourus. Alors l’entreprise, l’institution publique, est obligée de prendre des mesures de précaution, comme dans l’enseignement (utilisateurs mineurs et de tous ages).

 

Les libertés

La liberté, que l’on considère ses motivations profondes, telles que le libre arbitreabove-adventure-aerial-air, l’autonomie, le processus créatif, est dans une certaine mesure une nécessité pour la performance des entreprises. Sinon à quoi bon déployer une démarche d’entreprise agile, de transformation digitale, et vouloir être innovant sans liberté ?

Liberté nécessaire aussi car l’hyper informatisation, le sur-équipement fait que le moyen de contournement est souvent à portée de main. A moins d’avoir recours aux restrictions drastiques appliquées dans le secteur défense, à la R&D, voire chez les Opérateurs d’Importance Vitale. Exemple : abandon du téléphone mobile avant d’entrer dans la zone démilitarisée, réseaux internes et externes physiquement séparés, passerelles sous haute surveillance…

Donc ici inutile de nous lancer dans une liste, vous êtes libres de l’imaginer.

 

Les solutions ?

Actuellement, l’empilage de mesures, de couches de sécurité, de technologies de prévention, afin d’arriver à une granularité à peu près satisfaisante est franchement en train d’atteindre ses limites.

640px-swiss_cheese_model_of_accident_causation
Image par Davidmack, CC BY-SA 3.0 / Wikipedia

La preuve en est les éditeurs champions de la sécurité, qui en arrivent eux aussi à prêcher l’éducation, la formation des utilisateurs et à désigner le facteur humain comme vecteur de risque principal. Et ceux quelque soit leurs offres et les différents moyens de déploiement (on premise, cloud). Ok donc, la technologie ne suffit plus, et les fournisseurs de solution produisent d’importants efforts de R&D face aux évolutions des menaces (ransomware, APT), en étant plutôt suiveurs du moins pour le moment. Le côté positif est qu’à présent l’offre est suffisamment vaste pour outiller la problématique  (sans la résoudre durablement).

Reste que la nécessité de protection du système d’information, des données, des secrets ou de la sûreté si on pense aux processus industriels et SCADA  ne laisse aucune marge de manœuvre, et implique le déploiement du maximum de solutions que les moyens ou la raison permettent. Plus, bien entendu, les efforts de formation (des collaborateurs) et d’éducation (du grand public).

 

1789 – 2016 La prise de la Bastille

Une révolution dans le domaine de la sécurité informatique semble inévitable, car pris un par un: le firewall et l’antivirus sont dépassés. Les GPOs, les modèles RBAC … ne sont finalement qu’un ensemble de règles et outils bas niveau. Les firewall NG (IPS, Applicatifs), les HostIPS ne sont qu’une étape, déjà franchie donc quasi obsolète.

Une nouvelle étape est atteinte avec la vision globale des menaces, des vecteurs d’attaque, de leurs effets sur le

2 système d’information. Elle se matérialise dans l’offre de quelques éditeurs (FireEye).

Ce concept de clairvoyance au travers de toutes les couches systèmes, réseaux, équipements du SI ou personnels,

Ajouté d’une capacité de stockage et traitement de données massives (HP: le big data appliqué à la sécurité),

Consommés par une intelligence artificielle (IBM: Watson for Cyber Security)…

IA et Big data, voilà ce qui semble bien être l’avenir de la sécurité informatique. Ce qui, en soit, mérite une série d’articles dédiés à ce sujet…

Constructeurs, éditeurs, intégrateurs, reprenez l’initiative aux pirates, c’est à votre tour de vous lancer à l’assaut du bastion de la sécurité…!

 

 

La transformation digitale et l’IT en entreprise

Big data, intelligence artificielle, consumérisation des services IT, cloud, amasser des données, en traiter toujours plus, plus vite.
Mieux connaître pour s’adapter, devancer le marché et les attentes des clients.

C’est la voie de l’avenir ouverte par les entreprises natives dans un monde digital, c’est une opportunité pour les entreprises naturellement innovantes, c’est une transformation obligatoire voire urgente pour les autres.

Ce processus transformation à son lot de nouveaux défis humains, informatiques, sécuritaires ou réglementaires, car eux aussi sont transposés vers de nouveaux contextes, nouvelles métaphores, nouvelles compétences.

Si elle est réalisée en restant hermétique à ces considérations, via une approche superficielle ou excessive, l’entreprise se retrouve alors dans un paradoxe : à la fois plus performante et plus fragile.

L’IT si peu citée à propos de transformation digitale doit pourtant y contribuer, car elle y joue un rôle majeur, quitte à se réinventer, car où est l’IT dans une entreprise née digitale ? Omniprésente et invisible, un autre paradoxe de ce phénomène.

Faut-il alors une transformation organique de l’IT pour plus de transversalité, d’accompagnement humain et d’agilité, plutôt qu’un bastion depuis toujours numérique…!

Certainement, en réussissant une nouvelle évolution du métier pour les professionnels de l’informatique.

Mieux connaître pour s’adapter, devancer le marché et les attentes des clients (internes aussi).

Les coffres-forts numériques et les petites lignes du contrat 

 

Vos identifiants sont strictement personnels et confidentiels

Processed by: Helicon Filter;C’est tellement évident que cette petite phrase n’est plus systématiquement écrite sur les formulaires d’inscription, mais reléguée aux petites lignes des CGU (conditions générales d’utilisation).

De même que « jamais un employé de … ne vous demandera votre mot de passe ou code confidentiel ».

Prenons quelques exemples pour commencer.

 

Votre banquebank-safe-lease

Vous offre un coffre fort numérique pour stocker dans l’espace client vos fichiers importants (impôts, actes notariés etc). Comme par exemple Digiposte du CIC Quoi que peut-être moins courant ces derniers temps, les banques ont repris leur offre de location de coffre privé en le dématérialisant.

 

Votre cloud

Où l’hébergeur vous assure la Disponibilité, l’Intégrité, la Confidentialité des données hébergées. L’endroit idéal pour stocker votre fichier excel des mots de passe, ou mieux encore le coffre keepass,  pour le distribuer et l’utiliser sur tous vos appareils.

 

Votre gestionnaire de mot de passe

Au sens large : le trousseau iCloud d’Apple, ou celui de Firefox/Edge/Chrome a peut être déjà appris plus d’identifiants que vous ne le souhaitez sans vraiment vous en rendre compte.

Ou avec votre accord explicite dans la famille des gestionnaires de mot de passe spécialisés  à la keepass/1password/dashlane/lastpass… et dans ce cas pas forcément gratuitement, ce qui est déjà un mieux car vous avez explicitement passé un contrat pour cela avec une entreprise dont c’est le cœur de métier.

 

Tout le reste

Je ne vous apprends rien en disant que votre smartphone sait tout sur vous n’est-ce pas ?

Avec les apps de centralisation et stockage de cartes de fidélité type FidMe &  cie, les « cliquez ici pour mémoriser ces identifiants », et autres « rester connecté ». Plutôt léger (cookies de sessions) par rapport aux gestionnaires de mot de passe, mais avec le même objectif d’alléger votre charge cognitive.

Les petites lignes du contrat

Maintenant que vous avez la puce à l’oreille, à propos de qui peut avoir vos identifiants et mots de passe, vos références, demandez vous a qui d’autre à part vous même avez vous promis de les garder secrets et strictement confidentiel, de ne pas les transmettre à un tiers, et prendre toutes les mesures nécessaires pour ne pas les divulguer ?

Indices: tous vos fournisseurs de services, financiers, sites et institutions diverses qui ont blindé leur contrat et CGs…

Avant un clic sur « j’accepte les conditions », ou en retrouvant les CGs que vous avez déjà signé: Bonne lecture…!

 

Corollaire

Bon, bien sur, en cas de vol massif d’identifiants chez un fournisseur spécialisé dans les coffres forts numériques, difficile de vous en vouloir puisque c’est une défaillance de votre prestataire. Et plutôt que d’essayer de gérer votre stock de mots de passe seul ou avec de fausses bonnes solutions (le fichier excel) : en passant un contrat de service (abonnement payant) avec un des leaders du marché, vous avez déjà davantage de recours possibles pour prouver que vous avez pris les mesures nécessaires afin de protéger vos comptes. Donc il peut-être intéressant de ne pas comparer que le coût d’abonnement avant de souscrire, en vérifiant par exemple la réputation, l’historique des incidents avec la communication associée et les améliorations qui ont suivi, ou encore ce que propose votre fournisseur de coffre en cas d’incident.