Vie privée sur le Web : souriez, vous êtes tracés !

L’été 2015 restera marqué par deux leaks massifs de données professionnelles et personnelles très largement relayés par la presse grand public. Deux événements encore relativement inhabituels, mais qui risquent de se reproduire et vont certainement changer profondément la perception des utilisateurs sur la sécurité de leurs données privées stockées en ligne

Notre vie privée représente un réel objectif que toute personne doit préserver. Attaquant isolé, entité terroriste ou encore gouvernement : personne ne devrait être en droit de voir nos informations personnelles. Alors que doit-on faire pour s'en protéger ?Une phrase évidente vient alors en tête : « L'utilisation de mots de passe forts est indispensable ». Oui, bonne réponse, mais attention aux pièges…

Le projet que nous allons vous exposer est parti d’un constat simple : un grand nombre de nos attaques utilisant la suite Metasploit n’arrivait pas à leur terme, en raison des protections mises en place par des solutions de protection de type antivirus, H-IPS, etc. L’objectif de cet article est de proposer une approche générique permettant de contourner rapidement ces protections tout en permettant d’utiliser, inchangés, les nombreux codes d’exploitation ASM/x86 publics ; quel que soit le vecteur d’attaque (fichier, service réseau, etc.).

Cet article présente le malware COZYDUKE (Cozybear/OfficeMonkey) analysé fin avril 2015 par les sociétés KASPERSKY et FSECURE. Il est notamment connu pour avoir visé des structures gouvernementales telles que la Maison-Blanche et le département d’État des USA. Dans la suite de l'article, nous verrons les principales interactions du dropper et du malware sur le système infecté.

Le traçage de la navigation des internautes pour alimenter les bases de données du monde de la publicité ciblée s'opère par différentes techniques qui sont présentées dans la première partie de cet article : pixels invisibles, cookies HTTP, cookies flash ou stockage web local. La deuxième partie décrit au lecteur des outils simples et une méthodologie qui lui permettront de le détecter et de l'analyser lui-même sur ses sites internet préférés. Elle explique également comment les acteurs publicitaires parviennent aujourd'hui à rompre le présumé anonymat des internautes non connectés pour leur adresser des publicités personnalisées par voie électronique, téléphonique ou postale (« cross canal ») ou sur leurs autres terminaux (« cross device »). La partie 3 de cet article propose des moyens de protection contre ces techniques de traçage. Enfin, en guise d'appendice, quelques aspects liés à la sécurité des cookies sont abordés. Cet article s’appuie en partie sur l’expérience du service des contrôles de la CNIL sur ces sujets.

Les techniques de traçage en ligne et le traitement des données qu’elles fournissent sont encadrés par des règles précises et complémentaires tendant à garantir aux internautes la maîtrise de leurs données, dans un environnement complexe où l’opacité tend à régner.

Depuis près d’un an, les internautes ont vu fleurir des « bandeaux cookies » sur les sites web. Mais si informer les internautes lors d’un dépôt de cookie est effectivement nécessaire, ce n’est pas suffisant. De nombreux sites ne sont aujourd’hui pas conformes. Dans cet article, nous expliquons comment peut être mis en place un bandeau conforme et les choix qu'il doit offrir à l’utilisateur.

Les systèmes d'enchères en Temps réel (Real-Time Bidding ou RTB en anglais) sont en pleine croissance et devraient représenter plus de 25% des ventes totales d'affichage publicitaire aux États-Unis en 2015 contre 10% en 2011. Ils permettent de vendre aux enchères, et en temps réel, les espaces publicitaires des sites Web aux plus offrants. Les publicitaires peuvent ainsi acheter les espaces publicitaires en fonction de la taille des bannières, du contenu des pages web ou encore des profils des visiteurs. Cet article explique le fonctionnement et l'économie des systèmes de RTB. Il montre également comment ils favorisent les échanges des données personnelles et le profilage des internautes.

Le « browser fingerprinting » désigne l’activité de collecte par un navigateur d'un certain nombre d'informations sur l'appareil d'un internaute pour bâtir une empreinte (fingerprint). De nombreuses études ont montré que cette empreinte est unique dans la très grande majorité des cas et évolue très lentement. Il est ainsi possible de l’utiliser pour tracer les internautes, sans laisser aucune trace sur l’appareil.

Les protocoles ont la vie dure. Certains, comme le DNS, subsistent depuis des décennies. Ils sont enrichis, améliorés, mais aussi incompris, détournés, parfois pour pallier l'ossification lente de l'Internet. Cet article couvre plusieurs attaques DNS récentes, rendues possibles par la complexité cachée du DNS. Il soulève ainsi la question du bien-fondé de la croissance perpétuelle des protocoles.

Il est fascinant d’observer que nombre d'attaques sophistiquées et parfois spectaculaires, débutent souvent grâce à la crédulité d’une seule personne, bien loin d’une prouesse technique. Phase de pénétration initiale, simple mais diablement efficace, le spear phishing vise une population à fort privilège et permet à l'attaquant de mettre un premier pied dans le système d’information d’une cible, en toute discrétion. En l’illustrant de cas concrets, nous remonterons aux sources de cette méthode d’ingénierie sociale et présenterons ses principaux rouages, ainsi que les parades limitant le risque de compromission.

En septembre dernier, Apple sortait la dernière mouture de son système d’exploitation, iOS 8. Celle-ci incluait une nouveauté intéressante et unique à ce jour en terme de protection de la vie privée : la génération aléatoire d’adresses MAC lors du scan de point d’accès Wi-Fi, qui met en défaut les techniques de traçage habituelles. Ceci nous oblige à nous interroger sur la question du traçage des smartphones. Cette protection est-elle efficace ? Est-elle suffisante ?

S’il est un sujet qui enflamme régulièrement les esprits de nos amis les geeks, c’est bien la question de la propriété intellectuelle et industrielle. Il faut dire qu’une majeure partie de l’environnement informatique actuel – que ce soit le matériel ou le logiciel – s’est construit pour être, par essence, en opposition avec la propriété industrielle et intellectuelle classique.