MISC N°
Numéro
81

Vie privée sur le Web : souriez, vous êtes tracés !

Temporalité
Septembre/Octobre 2015
Image v3
Vie privée sur le Web : souriez, vous êtes tracés !
Article mis en avant

Résumé

Fini les vacances, retour aux choses sérieuses avec une surprise attendue : un dossier proposé par la Commission nationale de l'informatique et des libertés. Au cœur du sujet, les traceurs. Les cookies restent certainement la technique la plus simple et la plus utilisée pour stocker des données spécifiques à l’utilisateur (authentification, session, panier d’achat…). Mais le sujet est plus vaste: il concerne l’ensemble des techniques qu’un site web peut utiliser pour tracer un utilisateur et lui créer profil. Ce stockage controversé empiète sur la vie privée de l’utilisateur : la CNIL a donc établi des règles.

Dans ce numéro...


L’été 2015 restera marqué par deux leaks massifs de données professionnelles et personnelles très largement relayés par la presse grand public. Deux événements encore relativement inhabituels, mais qui risquent de se reproduire et vont certainement changer profondément la perception des utilisateurs sur la sécurité de leurs données privées stockées en ligne
Notre vie privée représente un réel objectif que toute personne doit préserver. Attaquant isolé, entité terroriste ou encore gouvernement : personne ne devrait être en droit de voir nos informations personnelles. Alors que doit-on faire pour s'en protéger ?Une phrase évidente vient alors en tête : « L'utilisation de mots de passe forts est indispensable ». Oui, bonne réponse, mais attention aux pièges…
Le projet que nous allons vous exposer est parti d’un constat simple : un grand nombre de nos attaques utilisant la suite Metasploit n’arrivait pas à leur terme, en raison des protections mises en place par des solutions de protection de type antivirus, H-IPS, etc. L’objectif de cet article est de proposer une approche générique permettant de contourner rapidement ces protections tout en permettant d’utiliser, inchangés, les nombreux codes d’exploitation ASM/x86 publics ; quel que soit le vecteur d’attaque (fichier, service réseau, etc.).
Cet article présente le malware COZYDUKE (Cozybear/OfficeMonkey) analysé fin avril 2015 par les sociétés KASPERSKY et FSECURE. Il est notamment connu pour avoir visé des structures gouvernementales telles que la Maison-Blanche et le département d’État des USA. Dans la suite de l'article, nous verrons les principales interactions du dropper et du malware sur le système infecté.
Le traçage de la navigation des internautes pour alimenter les bases de données du monde de la publicité ciblée s'opère par différentes techniques qui sont présentées dans la première partie de cet article : pixels invisibles, cookies HTTP, cookies flash ou stockage web local. La deuxième partie décrit au lecteur des outils simples et une méthodologie qui lui permettront de le détecter et de l'analyser lui-même sur ses sites internet préférés. Elle explique également comment les acteurs publicitaires parviennent aujourd'hui à rompre le présumé anonymat des internautes non connectés pour leur adresser des publicités personnalisées par voie électronique, téléphonique ou postale (« cross canal ») ou sur leurs autres terminaux (« cross device »). La partie 3 de cet article propose des moyens de protection contre ces techniques de traçage. Enfin, en guise d'appendice, quelques aspects liés à la sécurité des cookies sont abordés. Cet article s’appuie en partie sur l’expérience du service des contrôles de la CNIL sur ces sujets.
Les techniques de traçage en ligne et le traitement des données qu’elles fournissent sont encadrés par des règles précises et complémentaires tendant à garantir aux internautes la maîtrise de leurs données, dans un environnement complexe où l’opacité tend à régner.
Depuis près d’un an, les internautes ont vu fleurir des « bandeaux cookies » sur les sites web. Mais si informer les internautes lors d’un dépôt de cookie est effectivement nécessaire, ce n’est pas suffisant. De nombreux sites ne sont aujourd’hui pas conformes. Dans cet article, nous expliquons comment peut être mis en place un bandeau conforme et les choix qu'il doit offrir à l’utilisateur.
Les systèmes d'enchères en Temps réel (Real-Time Bidding ou RTB en anglais) sont en pleine croissance et devraient représenter plus de 25% des ventes totales d'affichage publicitaire aux États-Unis en 2015 contre 10% en 2011. Ils permettent de vendre aux enchères, et en temps réel, les espaces publicitaires des sites Web aux plus offrants. Les publicitaires peuvent ainsi acheter les espaces publicitaires en fonction de la taille des bannières, du contenu des pages web ou encore des profils des visiteurs. Cet article explique le fonctionnement et l'économie des systèmes de RTB. Il montre également comment ils favorisent les échanges des données personnelles et le profilage des internautes.
Le « browser fingerprinting » désigne l’activité de collecte par un navigateur d'un certain nombre d'informations sur l'appareil d'un internaute pour bâtir une empreinte (fingerprint). De nombreuses études ont montré que cette empreinte est unique dans la très grande majorité des cas et évolue très lentement. Il est ainsi possible de l’utiliser pour tracer les internautes, sans laisser aucune trace sur l’appareil.
Les protocoles ont la vie dure. Certains, comme le DNS, subsistent depuis des décennies. Ils sont enrichis, améliorés, mais aussi incompris, détournés, parfois pour pallier l'ossification lente de l'Internet. Cet article couvre plusieurs attaques DNS récentes, rendues possibles par la complexité cachée du DNS. Il soulève ainsi la question du bien-fondé de la croissance perpétuelle des protocoles.
Il est fascinant d’observer que nombre d'attaques sophistiquées et parfois spectaculaires, débutent souvent grâce à la crédulité d’une seule personne, bien loin d’une prouesse technique. Phase de pénétration initiale, simple mais diablement efficace, le spear phishing vise une population à fort privilège et permet à l'attaquant de mettre un premier pied dans le système d’information d’une cible, en toute discrétion. En l’illustrant de cas concrets, nous remonterons aux sources de cette méthode d’ingénierie sociale et présenterons ses principaux rouages, ainsi que les parades limitant le risque de compromission.
En septembre dernier, Apple sortait la dernière mouture de son système d’exploitation, iOS 8. Celle-ci incluait une nouveauté intéressante et unique à ce jour en terme de protection de la vie privée : la génération aléatoire d’adresses MAC lors du scan de point d’accès Wi-Fi, qui met en défaut les techniques de traçage habituelles. Ceci nous oblige à nous interroger sur la question du traçage des smartphones. Cette protection est-elle efficace ? Est-elle suffisante ?
S’il est un sujet qui enflamme régulièrement les esprits de nos amis les geeks, c’est bien la question de la propriété intellectuelle et industrielle. Il faut dire qu’une majeure partie de l’environnement informatique actuel – que ce soit le matériel ou le logiciel – s’est construit pour être, par essence, en opposition avec la propriété industrielle et intellectuelle classique.

Magazines précédents

Les derniers articles Premiums

Les derniers articles Premium

Quarkus : applications Java pour conteneurs

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Initié par Red Hat, il y a quelques années le projet Quarkus a pris son envol et en est désormais à sa troisième version majeure. Il propose un cadre d’exécution pour une application de Java radicalement différente, où son exécution ultra optimisée en fait un parfait candidat pour le déploiement sur des conteneurs tels que ceux de Docker ou Podman. Quarkus va même encore plus loin, en permettant de transformer l’application Java en un exécutable natif ! Voici une rapide introduction, par la pratique, à cet incroyable framework, qui nous offrira l’opportunité d’illustrer également sa facilité de prise en main.

De la scytale au bit quantique : l’avenir de la cryptographie

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Imaginez un monde où nos données seraient aussi insaisissables que le célèbre chat de Schrödinger : à la fois sécurisées et non sécurisées jusqu'à ce qu'un cryptographe quantique décide d’y jeter un œil. Cet article nous emmène dans les méandres de la cryptographie quantique, où la physique quantique n'est pas seulement une affaire de laboratoires, mais la clé d'un futur numérique très sécurisé. Entre principes quantiques mystérieux, défis techniques, et applications pratiques, nous allons découvrir comment cette technologie s'apprête à encoder nos données dans une dimension où même les meilleurs cryptographes n’y pourraient rien faire.

Les nouvelles menaces liées à l’intelligence artificielle

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Sommes-nous proches de la singularité technologique ? Peu probable. Même si l’intelligence artificielle a fait un bond ces dernières années (elle est étudiée depuis des dizaines d’années), nous sommes loin d’en perdre le contrôle. Et pourtant, une partie de l’utilisation de l’intelligence artificielle échappe aux analystes. Eh oui ! Comme tout système, elle est utilisée par des acteurs malveillants essayant d’en tirer profit pécuniairement. Cet article met en exergue quelques-unes des applications de l’intelligence artificielle par des acteurs malveillants et décrit succinctement comment parer à leurs attaques.

Body