Accueil Le blog

6 conseils en matière de sécurité pour les auto-entrepreneurs

Hits: 9

Les travailleurs indépendants doivent aussi communiquer avec de nombreuses personnes qu’ils ne connaissent pas personnellement, et ouvrent des fichiers envoyés par n’importe qui, qu’il s’agisse d’un texte à traduire, d’informations techniques pour un projet de chiffrage, ou de la description d’une image qu’ils doivent dessiner. À cause de cette situation, les auto-entrepreneurs sont une cible facile pour les cybercriminels.

Une tâche malveillante

Par exemple, les chercheurs en sécurité ont récemment observé une campagne active qui vise les personnes sur les sites Internet conçus pour les auto-entrepreneurs, comme Fiverr et freelancer.com. Un groupe de cybercriminels contactait les gens enregistrés sur ces pages. Ces escrocs leur disaient qu’ils avaient un travail à leur proposer et, d’après la rumeur, qu’ils trouveraient tous les détails dans un fichier envoyé en pièce jointe.Il s’agissait d’un fichier .doc, non exécutable, et assez convaincant puisque quelques victimes l’ouvraient. Quels étaient les dangers avec un document Microsoft Office ?Il y a un élément en particulier qui peut être dangereux dans les documents Microsoft Office : le virus macro. Il s’agit d’un virus caché dans les macros associées aux fichiers MS Office. Lorsque les personnes ouvrent de tels fichiers, on leur demande d’activer les macros, et certaines le font. Dans le cas de la campagne récente, la prochaine étape consistait à installer un keylogger, ou un cheval de Troie avec un outil d’administration à distance (RAT), sur l’ordinateur de la victime.Grâce au keylogger, ou au RAT, installé sur votre ordinateur, les escrocs peuvent voir ce que vous écrivez, y compris vos identifiants et vos mots de passe, ce qui leur permet de voler vos comptes et votre argent.Une campagne malveillante similaire avait aussi été détectée sur LinkedIn et Alibaba.Travailler à son compte apporte de nombreux avantages, mais il y a aussi de gros inconvénients, et si on y ajoute l’intérêt croissant des cybercriminels, le tout peut rendre la situation insoutenable pour l’auto-entrepreneur. Parlons de ce que vous pouvez faire pour vous protéger des différentes menaces.

Conseils en matière de sécurité des informations pour les auto-entrepreneurs

  1. Si un client, ou un client potentiel, vous demande d’installer un logiciel, ne le faites pas, sauf si vous le téléchargez depuis une source officielle. Assurez-vous qu’il ne va pas permettre au client d’accéder à votre ordinateur. Il y a quelques années, une campagne malveillante a trompé les travailleurs indépendants afin qu’ils installent Airdroid, une application d’accès à distance officielle, sur leur smartphone, pour ensuite voler leurs mots de passe à travers l’application.N’ouvrez pas les fichiers .exe ou autres fichiers exécutables. Ils peuvent être malveillants. Si vous en avez absolument besoin, analysez d’abord le fichier à l’aide d’un antivirus, ou en utilisant un antivirus hébergé sur le Web comme Kaspersky Virusdesk ou Virustotal.N’autorisez pas les macros des documents Microsoft Word, des tableaux Excel, des présentations PowerPoint, etc. Les macros sont tout simplement des exécutables cachés dans les fichiers, et les escrocs aiment tromper les gens en leur envoyant des documents apparemment sans danger, qui contiennent en réalité un malware, tout comme dans le cas mentionné ci-dessus.Ne vous faites pas avoir par l’hameçonnage. Les escrocs pourraient être intéressés par la possibilité d’avoir accès à vos comptes sur des sites comme Freelancer ou Fiverr, puisque cela leur permettrait aussi d’avoir accès à l’argent que vous avez gagné grâce à ses pages. S’ils accèdent à vos comptes, votre réputation, que vous avez mis si longtemps à construire, pourrait en pâtir. Faites attention aux sites Internet mal écrits, et aux messages qui vous demande de vous reconnecter ou d’envoyer vos identifiants à une personne pour quelque raison que ce soit.Lorsque vous êtes directement payé, n’envoyez pas des photos de votre carte bancaire. Ne révélez pas non plus les informations relatives à la date d’expiration, ou le code CVC/CVV (les trois chiffres au dos de votre carte). Ces informations ne sont jamais nécessaires pour vous payer. Vous pouvez envoyer vos informations bancaires, comme le numéro de votre carte, lorsque quelqu’un doit vous payer, mais il vaut mieux le faire en utilisant des canaux chiffrés sécurisés comme WhatsApp, les conversations secrètes de Telegram, ou une application similaire.Installez une solution de sécurité fiable, comme Kaspersky Security Cloud, qui va vous protéger des malwares, de l’hameçonnage, des spams et de toutes autres cybermenaces.

kaspersky

Pourquoi la confidentialité en ligne est-elle bénéfique pour notre santé mentale ?

Hits: 8

Ce qui m’a frappé lorsque je lisais ce livre, est que certaines des choses soulignées par Hari au sujet de notre société brisée, et des méthodes dont nous disposons pour y remédier, sont aussi liées à notre vie privée. En réalité, cette information est assez surprenante, même s’il semblerait que s’occuper de notre vie privée en ligne pourrait avoir un effet positif sur notre état mental. Dans cet article assez personnel, je souhaiterai décrire deux aspects de la vie privée qui sont directement liés à notre état de santé moral, et au fait que nous nous sentions bien, ou pas. Je souhaiterai souligner que je parle en mon propre nom, et que la position officielle de l’entreprise peut être différente.Réseaux sociaux : coupé des autres personnes

Il s’agit d’un paradoxe du monde moderne : les réseaux sociaux nous permettent d’être en contact avec nos amis et nos proches qui vivent dans les quatre coins du monde à n’importe quel moment, et pourtant, dans l’histoire de l’humanité, nous ne nous sommes jamais sentis aussi seuls et coupés des autres qu’actuellement.Hari n’est pas le seul à souligner cette déconnexion ; de nombreuses sources indépendantes font le même constat, et c’est notamment le cas de l’enquête que nous avons réalisée. Les réseaux sociaux ne peuvent pas remplacer la communication normale que vous avez dans la vie réelle avec les personnes qui sont importantes à vos yeux. Même en termes de molécules, la communication sur les réseaux sociaux n’est pas la même que lorsque vous maintenez une conversation en face-à-face avec une personne en chair et en os. Dans ce dernier cas, une hormone, l’ocytocine, est libérée, et avec la sérotonine et la dopamine, elles sont responsables de votre sentiment de bonheur.Nous avons souvent publié sur notre blog des articles relatifs à la confidentialité et à la sécurité sur les réseaux sociaux, notamment en vous conseillant de modifier les paramètres de votre compte sur Facebook, LinkedIn, Twitter, Instagram, et autres. La plupart de ces changements cherchent à empêcher les étrangers à voir les informations auxquelles ils ne devraient pas pouvoir accéder. Nous avons aussi parlé du partage à outrance, et de ses conséquences négatives. Cependant, plus je creusais dans les paramètres de confidentialité des réseaux sociaux, plus je trouvais des informations sur la fuite des données des réseaux sociaux, qu’il s’agisse du scandale Cambridge Analytica ou de la fuite des données d’Ashley Madison, et plus je considérais l’idée de ne pas avoir de compte sur les réseaux sociaux, ou du moins de réduire le temps que j’y passais.Je ne suis pas quelqu’un qui fonce tête baissée ; j’ai beaucoup réfléchi à cette idée, et j’en suis arrivé à la conclusion suivante : je ne vais pas supprimer mon compte sur Facebook, Twitter, LinkedIn et sur tous les autres réseaux sociaux. Ils ont tous certains avantages. Facebook me permet de me souvenir des dates d’anniversaire, et de communiquer avec d’anciens collègues journalistes ou des connaissances lorsque j’ai besoin de leur aide pour obtenir certaines informations pour la rédaction des articles que je publie ici. LinkedIn est probablement positif pour ma carrière professionnelle, du moins c’est ce que les gens disent. Je n’ai pas eu l’occasion de tester par moi-même, même si ce réseau social m’a aidé à trouver des offres d’emploi pour ma femme. Twitter est un réseau social que de nombreux chercheurs en sécurité de l’information utilisent, et il s’agit d’une bonne source d’informations dans notre secteur.Pour moi, la solution est de configurer les paramètres de confidentialité des réseaux sociaux aussi strictement que possible, de réduire au maximum le temps que j’y passe, et de ne pas les considérer comme un moyen de communication avec mes amis et mes proches. J’ai supprimé mes comptes sur Instagram et Swarm, parce qu’à cause d’eux, je me sentais continuellement triste et jaloux des autres. Après avoir mis en place ces changements, et passé moins de temps à faire défiler les informations, je me suis rendu compte que j’étais moins triste, et que j’avais plus de temps pour vraiment voir mes amis, ce qui me remontait vraiment le moral.Il s’agit d’une solution personnelle qui a fonctionné pour moi, mais qui ne vous sera peut-être pas utile.  Je souhaiterai au moins que vous vous posiez la question suivante : Avez-vous vraiment besoin de tous ces comptes sur tous ces réseaux sociaux ? Voulez-vous vraiment passer autant de temps à les consulter ? Réduire la communication et les partages sur les réseaux sociaux est une méthode permettant d’améliorer votre confidentialité en ligne et de vous sentir mieux. Si vous êtes prêt à adopter une mesure radicale, alors il serait beaucoup plus efficace d’effacer votre compte.Publicités : coupé des valeurs importantes

Il est dit que nous sommes en moyenne exposés à plus de 4 000 publicités par jour. Nous ne les remarquons pas toutes sciemment, mais elles sont bien là : panneaux publicitaires sur les routes, bannières sur les sites Internet, annonces textuelles sur les moteurs de recherche, publications promues sur les réseaux sociaux, et bien d’autres. Sans oublier que beaucoup de personnes portent des vêtements qui font de la publicité aux marques. Le monde moderne veut que nous achetions tous des choses, et des centaines de milliers de professionnels du marketing et de vendeurs très qualifiés travaillent quotidiennement pour nous faire croire qu’acheter tel ou tel nouveau produit d’une marque va nous rendre plus heureux, ou encore mieux, nous aider à réaliser nos rêves.Peut-être est-ce un peu vrai. Par exemple, acheter un vélo pourrait vous rendre plus heureux grâce au bonheur qu’une promenade à vélo peut vous apporter. Cependant, vous n’allez pas être beaucoup plus heureux si vous achetez un vélo neuf, cher et équipé de plusieurs options qui sont supers et extraordinaires, au lieu d’un vélo plus ancien et simple. Vos promenades dans le parc seront presque les mêmes. Votre nouveau vélo sophistiqué pourrait vous donner plus d’importance auprès des gens dans la rue, mais cet aspect n’est pas vraiment important pour les gens qui tiennent à vous.Pourtant les publicités vous incitent à acheter de plus en plus de nouveaux objets sophistiqués. Peu importe le modèle de votre voiture, il y aura toujours une voiture avec plus de chevaux et mieux équipée. Les publicités personnalisées vont vous encourager à y jeter un coup d’œil, voire à l’essayer, pour que vous ayez vraiment envie de l’avoir. Les annonces personnalisées que nous voyons sur les moteurs de recherche et sur les réseaux sociaux sont les plus lourdes, puisqu’elles sont spécialement conçues pour nous. Les choses dont elles font la promotion ne sont pas vraiment ce que nous voulons, mais ce que la société veut que nous ayons. C’est ce que l’on appelle les valeurs extrinsèques, alors que nos vraies valeurs sont intrinsèques.Nos valeurs intrinsèques ne consistent généralement pas à avoir, mais à faire (comme apprendre à jouer d’un instrument) et à nous préoccuper. Il s’agit de faire des choses importantes pour les gens qui nous importent, ou pour la société en général. Parfois, il s’agit de quelque chose en devenir.La poursuite de ces valeurs intrinsèques, ces idées qui nous sont chères, est un des éléments qui nous rendent heureux, et nous donnent envie de vivre notre vie. Cependant, les valeurs intrinsèques sont souvent cachées, éclipsées par les valeurs extrinsèques, puisque personne ne fait la promotion de nos valeurs intrinsèques. Il relève de notre responsabilité de les chercher en nous et de les trouver. Les valeurs extrinsèques sont promues sur chaque site Internet et à chaque coin de rue. Sur Internet, là encore, les publicités sont spécialement conçues pour nous convaincre.Quelles informations sont utilisées pour rendre les publicités en ligne intéressantes ?  Il s’agit de nos publications sur les réseaux sociaux, de nos « J’aime », des données sur notre emplacement, ou encore des choses que nous avons cherchées. C’est ce que nous écrivons dans notre Gmail, et ce dont nous avons parlé sur Facebook Messenger. C’est ce que nous appelons désormais le big data.Comment éviter les publicités ciblées ? En ne fournissant pas beaucoup d’informations à ceux qui travaillent pour ces entreprises, et en ne leur permettant pas de nous suivre. Rebonjour la confidentialité.En réalité, je ne dis pas qu’il faut définitivement abandonner Gmail, c’est bien trop pratique. J’utilise ce service, et je compte bien continuer à le faire. Là encore, l’objectif de cet article est de vous amener à vous demander si vous avez vraiment besoin des services que vous utilisez, et qui recueillent vos données pour les utiliser à des fins publicitaires. Lesquels pouvez-vous facilement remplacer par des services qui protègent plus votre vie privée ?J’ai décrit la démarche que j’ai suivie pour les réseaux sociaux ; maintenant vous devez trouver la vôtre. Réduire le temps passé sur les réseaux sociaux signifie que vous verrez moins d’annonces, et donnerez moins vos données personnelles utilisées pour vous cibler. Cependant, certains moteurs de recherche et nouveaux sites Internet veulent aussi vous proposer des publicités personnalisées. Vous pouvez éviter cette situation en utilisant un logiciel qui empêche le suivi, et des services qui respectent votre vie privée. Par exemple, j’ai récemment arrêté d’utiliser Google en tant que moteur de recherche afin de me servir de la plateforme de recherche DuckDuckGo qui respecte ma vie privée. Il y a encore des publicités, parce qu’il s’agit de leur gagne-pain, mais cette plateforme ne vous suit pas, et n’a pas un gigantesque réseau publicitaire, comme c’est le cas avec Google Ads. Cela signifie que d’autres sites Internet ne vont pas vous afficher des publicités selon les recherches que vous avez faites.Résultats

Avoir plus de temps pour parler en chair et en os avec les personnes qui sont importantes à mes yeux, et voir moins de publicités qui encombrent mon esprit, a été une méthode plutôt efficace pour moi, et peut-être qu’elle pourrait aussi vous servir. Personnellement, cela m’a permis de me rendre compte que certaines personnes autour de moi avaient les mêmes problèmes, et en cherchant à les résoudre ensemble, ou du moins en les partageant, ces problèmes sont devenus moins importants, et plus faciles à supporter.Je pense que je pourrai dire qu’après avoir lu le livre d’Hari, et avoir apporté quelques changements dans ma vie, je suis plus heureux qu’avant, et ce processus correspond à merveille avec mon idée d’améliorer la confidentialité de mes informations en ligne. Dans le cadre de cette reconnexion avec les valeurs importantes, je souhaite créer quelque chose qui aurait au moins la chance d’améliorer la vie des autres. C’est pourquoi j’écris cet article, et j’espère vraiment qu’il pourra aider au moins quelques personnes.

kaspersky

Protection des données : le RGPD va coûter cher à l’Europe, selon le patron du CES de Las Vegas

Hits: 8

La France a des start-up très dynamiques, mais le Règlement européen sur la protection des données (RGPD) adopté en mai par l’Union européenne va brider considérablement la capacité d’innovation européenne, affirme Gary Shapiro, l’organisateur du prestigieux CES de Las Vegas.

Pour la sixième année de suite, le Consumer Electronics Show (CES) de Las Vegas organise à Paris une convention de start-up, dans le cadre du Mondial de l’Auto à la Porte de Versailles. Une manière de répéter, en plus petit, le grand déplacement de janvier au salon de Las Vegas, où la France aura encore «quasi-certainement» la plus forte délégation de start-up, après les États-Unis, selon Gary Shapiro.

«L’Europe va perdre du terrain sur la Chine et les États-Unis»

«La France a beaucoup d’entrepreneurs, mais elle va rater la plupart des futures vagues technologiques, parce que l’Union européenne avec le RGPD est extraordinairement concentrée sur la défense de la vie privée des individus», a dit Gary Shapiro à l’AFP, à la veille de la manifestation parisienne. «Or la donnée c’est la nouvelle richesse, on a besoin de la donnée partout maintenant», a-t-il ajouté.

«On ne devrait pas avoir le droit de garder toutes ses données privées. S’il y a une voiture devant vous qui rentre dans une autre voiture, est-ce que c’est une donnée privée ? Et si vous êtes passé dans un nid de poule, est-ce que c’est une donnée privée ?», argumente-t-il. Du fait des règles protectrices de la vie privée posées par le RGPD, «l’Europe va perdre du terrain sur la Chine et sans doute aussi sur les États-Unis» en matière d’innovation, a-t-il estimé. «Aux États-Unis, la vie privée est importante aussi, mais il y a un équilibre entre la défense de la vie privée et l’innovation», a ajouté le patron du CES de Las Vegas.

La France, bientôt un terrain fertile pour faire émerger des licornes ?

Pourtant, l’Europe et la France en particulier n’ont rien à envier aux États-Unis en matière de capital humain, pense le responsable américain, qui est aussi l’un des grands lobbyistes de l’industrie électronique grand public auprès de l’administration américaine. Si les licornes – les start-up valant plus d’un milliard de dollars après une croissance fulgurante – sont encore rares en France, leur développement «viendra, c’est juste une question de temps», si l’Europe ne cède pas à une fièvre régulatrice, estime Gary Shapiro. «Les capitaux internationaux arrivent en France (…) Carlyle (fonds d’investissement américain) par exemple investit fortement en France», dit Gary Shapiro, par ailleurs grand admirateur d’Emmanuel Macron.

L’an dernier, 337 entreprises françaises avaient fait le déplacement à Las Vegas, auquel ont assisté environ 5 500 Français, selon le CES. «Je ne pense pas qu’il y ait un autre événement international où les Français sont aussi nombreux, à part peut-être la Coupe du monde de foot», sourit Gary Shapiro. Le «vrai» CES de Las Vegas en janvier fera une nouvelle fois la part belle cette année à l’intelligence artificielle, a indiqué Gary Shapiro. La 5G, les villes intelligentes et en particulier leur résilience au changement climatique, les sports et l’e-sport, ainsi que la blockchain feront également partie des thématiques majeures de l’événement. Cette année, 74 entreprises sont présentes mercredi au «CES Unveiled» de Paris à la Porte de Versailles.

frenchweb

ESXi tourne sur ARM 64 !

Hits: 10

Cela fait partie des nombreuses annonces du VMworld dont la general session qui se déroule actuellement inaugure la nouvelle édition de cette année 2018. Je reviendrai cette semaine notamment sur les nouvelles versions de vSphere 6.7 update1 et de vROps 7.0, ne vous inquiétez pas (laissez-moi juste le temps d’atterrir après 3 semaines de congés et quelques centaines de mails à dépiler ^^). Cependant, je ne pouvais passer à coté de cette petite révolution dévoilée par Pat Gelsinger et son équipe : VMware ESXi pour processeurs ARM !

Et quasiment tout ce qu’on connait de ESXi sur x86 est là : vMotion bien sûr mais aussi Fault Tolerance et HA ! On en saura sans doute plus dans les heures/jours qui viennent, mais rendez-vous quand même compte que c’est une sorte de deuxième naissance depuis la création de VMware Workstation à la fin des années 90. C’est en effet un tout nouveau vmkernel qu’il a fallu concevoir, sans doute à partir d’une feuille blanche pour un maximum d’optimisation spécifiques à la plateforme hardware.

Si on ajoute à cela la valse des failles sur les processeurs Intel actuellement (je vous parlerai de la dernière en date, L1TF, qui aura à terme des conséquences importantes sur la puissance CPU de nos serveurs), la feuille de route d’ARM visant directement les performances comparables à celle d’Intel d’ici 2/3 ans et les plans affichés de certains constructeurs de produire du hardware avec processeur ARM en “server-grade” … nul doute que cette annonce vient à point nommé pour l’IT et notamment tout le secteur faisant abondamment usage de l’Open Source (recompilable à souhait sur la plupart des plateformes hardwares). MMmmh ? Quoi ? J’entends des Docker, OpenStack, Kubernetes … ? Oui par exemple 😀

Cette rentrée va être passionnante !

vblog

Windows 10 v1809, est-il temps d’adopter Linux ?

Hits: 19

Microsoft Love Linux

La dernière version de Windows 10, October 2018 Update ou encore Windows 10 v1809 est à l’origine d’un bug sans précédent. Le contrôle qualité de Microsoft a été si médiocre que le système d’exploitation a pu supprimer sans autorisation et sans avertissement des données « utilisateur » des différentes bibliothèques de Windows 10.

La situation est vraiment « grave » car sans avoir les bons réflexes et les bons outils, les données supprimées peuvent être perdues à tout jamais. Ce fiasco montre que la maintenance et désormais les nouveautés de Redmond ne peuvent plus être considérées comme fiables. La prudence est obligatoire et la sauvegarde doit devenir un réflexe pour éviter le pire.

Si le niveau de gravité de ce bug est une première, ce n’est malheureusement pas la première fois que Microsoft dévoile des défaillances. Cette situation depuis la naissance de Windows 10 a permis à Linux de prendre du poids en tant qu’alternative sérieuse à Windows. Les discutions autour de son adoption sont nombreuses mais franchir réellement le pas n’est pas si simple.

Distribution Linux Ubuntu de Canonical

Distribution Linux Ubuntu de Canonical

Que nous parlions de Linux ou de Windows, les petits problèmes sont inévitables mais un bug de suppression de données est certainement quelque chose que personne n’imaginait avec une mise à jour majeure de Windows.

Microsoft est resté silencieux durant plusieurs jours avant de publier une analyse détaillée de ce qui s’est passé avec cette version 1809.

En parallèle le géant a déclaré que seuls quelques appareils avaient été victimes de cette défaillance. La firme a parlé « d’un centième d’un pour cent des installations de la v1809 » tout en ajoutant que « toute perte de données est grave ».

Windows 10, Linux est-il une alternative viable ?

Depuis cet épisode, les messages de frustration se multiplient ainsi que les menaces de passer à Linux. Nous parlons de menace car aucun chiffre ne permet de confirmer un important engouement pour ce système d’exploitation.

Windows 10 October 2018 Update

Windows 10 October 2018 Update

Une chose est par contre nouvelle. Le passage sous Linux est aujourd’hui une option que beaucoup de personne entrevoient. Les bugs de Windows 10 sont en cause mais pas seulement. Différentes discutions reprochent à Microsoft de ne plus proposer un OS digne de ce nom.

Windows 10 s’accompagnerait d’un tas de logiciels préinstallés jugés inutiles et polluants.  Sa maintenance serait lourde, lente et non fiable. Aux yeux de certains l’OS ralentirait la productivité sur PC. Il serait un vrai casse-tête à l’origine de défaillances, d’interruptions de travail et de pertes de données.

Linux est-il la solution ? la réponse est complexe et pas si simple. Changer de système d’exploitation n’est pas une opération anodine. Il y a des conséquences importantes dans plusieurs domaines, citons, par exemple, les applications à utiliser et la compatibilité matérielle et logicielle à assurer.

Qu’en pensez-vous ? Une distribution Linux est-elle envisageable pour votre PC ?

ginjfo

Mageia 6.1 : les images ISO Live disponibles

Hits: 10


 3

Mageia 6.1 : les images ISO Live disponibles

La distribution Linux Mageia a maintenant sa révision 6.1. Comme on s’en doute, elle récupère l’ensemble des mises à jour sorties depuis Mageia 6, sous forme de nouvelles images ISO.

Les actuels utilisateurs n’ont donc pas à la télécharger puisque les nouvelles versions des paquets ont déjà été installées. Les nouveaux, eux, auront un système à jour, ou en tout cas avec peu de téléchargements.

Parmi les paquets mentionnés dans le billet de blog, on trouve Firefox 60.2, Chromium 68, LibreOffice 5.3.7.2, Plasma 5.12.2, GNOME 3.24.3, Xfce 4.12.0, VLC 3.0.2 et un kernel 4.14.70. Les pilotes NVIDIA sont également à jour, avec un meilleur support des cartes à GPU Pascal.

Pour rappel, Mageia privilégie toujours les paquets LTS (Long Term Support) lorsqu’ils sont disponibles. On le voit ici avec le kernel et Firefox notamment.

Les versions ISO à jour ne le sont cependant que pour les versions Live. Les moutures Plasma et GNOME sont en 64 uniquement, tandis que la Xfce laisse encore le choix du 32 bits.

nextinpact

Mozilla Patches Critical Vulnerability in Thunderbird 60.2.1

Hits: 19

Mozilla has released Thunderbird version 60.2.1 to resolve numerous security updates in the mail program. One of these vulnerabilities is labeled as Critical as it could potentially lead to remote code execution.

In total there were seven vulnerabilities fixed in this update, with 1 being critical, 2 high, 3 moderate, and 1 rated as low. According to Mozilla, the critical vulnerability was related to memory corruption that they felt could be exploited to perform code execution.

“Memory safety bugs present in Firefox 61 and Firefox ESR 60.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort that some of these could be exploited to run arbitrary code.”

The other bugs are ones that could cause Thunderbird to crash, while the one rated as low is titled “CVE-2018-12383: Setting a master password post-Firefox 58 does not delete unencrypted previously stored passwords” and is strangely for Firefox and not Thunderbird.

According to the security advisory, the CVE-2018-12383 vulnerability could potentially allow users easy access to unencrypted passwords. 

“If a user saved passwords before Firefox 58 and then later set a master password, an unencrypted copy of these passwords is still accessible. This is because the older stored password file was not deleted when the data was copied to a new format starting in Firefox 58. The new master password is added only on the new file. This could allow the exposure of stored password data outside of user expectations.”

If you use Mozilla Thunderbird, it is strongly suggested that you upgrade to this latest version.

bleepingcomputer

Rappel : Faute d’hébergeur, le site sera bientôt fermé

Hits: 17

Le site fermera le 1er décembre 2018 faute d’hébergeur. Ce message sera réitéré tous les mois jusqu’à extinction du serveur d’hébergement.

Je tiens à remercier toute l’équipe de shost.ca pour son sérieux, sa réactivité et sa prestation gratuite, mais très complète, parfois copiée, mais non égalée qui propulse mon blog wordpress depuis 2015 !

Elle m’a permis de faire revivre mon blog vitrine d’une époque lointaine ou j’avais le statut d’indépendant IT.
Le site à depuis été “recyclé” en revue de presse à destination de tous et surtout des néophytes du monde informatique, relayé sur les réseaux sociaux grâce à un lecteur de contenu et d’autopublication RSS.

Merci également aux 97000 lecteurs et lectrices qui se sont perdus sur le site et qui ont généré quelque 220 000 visites !

Un grand merci à celles et ceux (peu nombreux) qui m’ont parfois fait part de leur enthousiasme à lire certains articles, à demander des compléments d’information sur certains dossiers du site (de la 1re vie du blog!) ou à m’inviter à en rédiger sur des sujets IT et/ou High-Tech.

Anaël ROLAND

Cisco Releases Alerts for 14 High Severity Bugs

Hits: 10

Cisco on Tuesday released security alerts for 25 vulnerabilities affecting some of its products; almost two-thirds of them have a high severity score.

Most of the security problems announced by the networking hardware maker are denial-of-service (DoS) bugs affecting components in its IOS and IOS XE Software products.

Only two advisories refer to other products: Catalyst 6800 Series Switches ROM Monitor and Webex Meetings Client.

Other vulnerabilities included in the alert notes could be exploited to lead to memory leaks, command injection, privilege escalation, authentication bypass, arbitrary code execution, and root shell access.

The severity level for some of the vulnerabilities is high because they can be exploited remotely by an attacker, without having to authenticate.

One of the simplest DoS vulnerabilities a remote attacker could exploit is in devices with the IOS XE Software web interface. They could cause the equipment to reload by simply sending a specially crafted HTTP request to its web UI.

The report shows that many of these problems are due to incorrect input validation or processing of packets.

Alert NameImpactCVE
Cisco IOS and IOS XE Software OSPFv3 Denial of Service VulnerabilityHighCVE-2018-0466 
Cisco IOS XE Software and Cisco ASA 5500-X Series Adaptive Security Appliance IPsec Denial of Service VulnerabilityHighCVE-2018-0472 
Cisco IOS XE Software Web UI Denial of Service VulnerabilityHighCVE-2018-0469 
Cisco IOS XE Software HTTP Denial of Service VulnerabilityHighCVE-2018-0470 
Cisco IOS and IOS XE Software SM-1T3/E3 Service Module Denial of Service VulnerabilityHighCVE-2018-0485
Cisco IOS XE Software NAT Session Initiation Protocol Application Layer Gateway Denial of Service VulnerabilityHighCVE-2018-0476 
Cisco IOS Software Precision Time Protocol Denial of Service VulnerabilityHighCVE-2018-0473 
Cisco IOS and IOS XE Software IPv6 Hop-by-Hop Options Denial of Service VulnerabilityHighCVE-2018-0467
Cisco IOS XE Software Command Injection VulnerabilitiesHighCVE-2018-0477
CVE-2018-0481
Cisco IOS XE Software Errdisable Denial of Service VulnerabilityHighCVE-2018-0480
Cisco IOS and IOS XE Software Cluster Management Protocol Denial of Service VulnerabilityHighCVE-2018-0475
Cisco IOS XE Software Cisco Discovery Protocol Memory Leak VulnerabilityHighCVE-2018-0471 
Cisco Webex Meetings Client for Windows Privilege Escalation VulnerabilityHighCVE-2018-0422

The DoS vulnerability month

On Monday, Cisco published a list comprising over 80 products that are affected by the recently disclosed FragmentSmack DoS bug.

For some of the products, the company plans to make available patches in September and October but removing the FragmentSmack threat is an operation that stretches at least until February 2019.

bleepingcomputer

Qu’est-ce qu’un réseau Wi-Fi invité, et pourquoi en avez-vous besoin ?

Hits: 18

Le monde actuel est tellement connecté aux services en ligne, que lorsque vous recevez des invités, ils vont sûrement vous demander « Quel est le mot de passe de la connexion Wi-Fi ? » juste après avoir pris de vos nouvelles. L’hôte accueillant ne va probablement pas se rendre compte que la sécurité de son réseau pourrait être en danger s’il révèle cette information.

Par exemple, les invités pourraient accidentellement télécharger un programme malveillant, ou connecter un téléphone, ou un ordinateur, déjà infecté au réseau. De nombreux malwares peuvent se répandre dans un réseau local, et si un appareil infecté est connecté à votre Wi-Fi, il va essayer de tout contaminer sur son passage.

Pourquoi configurer un réseau Wi-Fi invité ?

Si vous mettez en place une connexion Wi-Fi pour vos invités, vous pouvez être accueillant tout en garantissant votre sécurité. Un réseau Wi-Fi invité est tout simplement un point d’accès séparé sur votre routeur. Tous vos appareils domestiques sont connectés à un point, et se rejoignent sous la forme d’un réseau. Le réseau Wi-Fi invité est un point différent qui fournit une connexion Internet, mais ne permet pas d’accéder à votre réseau local. Comme son nom l’indique, les invités se connectent à ce réseau.

Tout le monde tire profit de la situation si vous avez un réseau pour vos invités ; vos amis et vos connaissances ne perdent pas le contact avec le monde extérieur, et vos données sont protégées. Si un malware a fini de quelque façon que ce soit dans le smartphone d’un de vos invités, il ne pourra pas attaquer le dossier de vos photos de famille ou d’autres fichiers importants.

Comment configurer un réseau Wi-Fi invité ?

Configurer un réseau à part pour vos invités est plus facile à faire que ce qu’il n’y paraît. Pour commencer, vous n’avez pas besoin de mettre un autre câble, ou de payer deux fois votre fournisseur d’accès à Internet. Il est fort probable que le routeur de votre connexion Wi-Fi vous permette de mettre en place un réseau supplémentaire pour vos invités ; vous n’avez qu’à entrer dans les paramètres, et activer cette fonction. Pour ce faire, saisissez l’adresse IP de votre routeur dans la barre d’URL de votre navigateur. En général, il s’agit de 192.168.1.1, ou de 192.168.0.1, mais ce n’est pas toujours le cas. L’adresse devrait figurer dans le manuel d’utilisation du routeur.

Saisissez le nom d’utilisateur de l’administrateur et le mot de passe dans la fenêtre qui s’ouvre. Si vous n’avez jamais eu l’occasion de les changer, alors ces informations pourraient figurer sur le contrat que vous avez avec votre fournisseur d’accès à Internet, ou là encore, dans le manuel d’utilisation. Afin d’améliorer votre sécurité, nous vous recommandons de les changer, et d’utiliser un gestionnaire de mots de passe pour ne pas les oublier.

[kpm-banner]

Dans les paramètres du routeur, cherchez Autoriser l’accès invité ou Réseau invité. Ces fonctions sont généralement cachées dans l’onglet Wi-Fi. Si vous avez des difficultés à trouver la fonction en question, consultez à nouveau le guide, ou cherchez sur Google, en utilisant le nom du modèle de votre routeur. Il est possible que l’option vous permettant de configurer un réseau Wi-Fi invité n’existe pas si votre routeur est ancien ou bas de gamme. Les routeurs sont généralement équipés de cette fonction.

Après avoir choisi l’onglet adéquat, veuillez saisir le nom de votre réseau invité, dit SSID dans le panneau de configuration de certains routeurs. Il s’agit du nom que vos invités verront dans la liste des connexions disponibles.

L’accès au réseau Wi-Fi invité va immédiatement fonctionner avec certains routeurs, alors qu’avec d’autres il vous faudra y passer plus de temps. Dans tous les cas, même si le réseau Wi-Fi invité est déjà actif, nous vous recommandons de vérifier qu’il est bien configuré :

  • Choisissez un mot de passe pour le nouveau réseau. Vous pouvez généralement le faire tout de suite, sous le nom du réseau. Seules les personnes qui connaissent le mot de passe peuvent désormais se connecter à votre réseau Wi-Fi invité.
  • Sélectionnez le type de chiffrement pour que les informations transmises par Wi-Fi ne puissent pas être interceptées. Choisissez WPA2 (WPA2-PSK ou WPA2-Personal dans certains réglages) parmi les options disponibles, puisqu’il s’agit d’un algorithme fiable que tous les appareils sans fil modernes prennent en charge.
  • Assurez-vous que vous n’avez pas sélectionner Autoriser les invités à se connecter aux ressources du réseau local, ou une option similaire. Peut-être que cette option ne va pas s’afficher, mais si vous la voyez, ne l’activez pas. De cette façon, vos invités ne peuvent pas voir vos fichiers, et autres informations que vous gardez sur vos ordinateurs. C’est principalement ce que vous voulez faire en utilisant un réseau Wi-Fi invité. Certains routeurs adoptent une approche complètement différente, puisqu’ils affichent l’option Isoler, qui permet d’isoler le réseau Wi-Fi invité de votre réseau local. Sélectionnez cette option si vous l’avez ;
  • Si vous disposez de l’option Autoriser l’accès aux paramètres, ou d’une fonction similaire, veuillez la désactiver. Si vous l’activez, alors les utilisateurs du réseau Wi-Fi invité pourront accéder aux paramètres de votre routeur et le configurer différemment ; ils pourront même modifier leur propre autorisation d’accès.

Tout est prêt ! Vous venez de configurer un réseau Wi-Fi invité qui vous fournit un accès Internet sécurisé tout en protégeant vos appareils locaux.

Pourquoi il est préférable de connecter vos appareils de l’IdO à un réseau Wi-Fi invité

Avoir un réseau Wi-Fi invité est une bonne idée si vous avez beaucoup d’amis, mais aussi si vous avez plusieurs appareils intelligents chez vous. Smart TVs, théières intelligentes, consoles de jeux vidéo, et autres appareils similaires ont besoin d’une connexion Internet. Ces appareils sont généralement beaucoup plus vulnérables que les ordinateurs qui disposent des dernières mises à jour. Cela signifie que s’ils sont piratés alors qu’ils sont connectés au réseau principal, les intrus peuvent accéder aux autres appareils.

Quand il s’agit d’appareils intelligents, de nombreux experts affirment que leur piratage n’est pas une possibilité mais une certitude. Alors qu’il est possible de gérer la situation lorsqu’une ampoule intelligente devient un botnet, ce n’est pas le cas quand un ordinateur se transforme en zombie. Les botnets sont entre autres utilisés pour propager divers malwares, et si votre ordinateur a été transformé en zombie, ce code malveillant a tout simplement un libre accès à la mémoire.

En connectant tous vos appareils de l’IdO à un réseau Wi-Fi invité correctement configuré, au lieu de le connecter au réseau principal, vous augmentez votre protection contre ce genre d’attaques. Même si les cybercriminels arrivent à pirater un de vos appareils de l’IdO, ils ne pourront pas accéder à votre réseau principal, et mettre en danger vos ordinateurs et smartphones.

Il est certain qu’une machine à laver intelligente connectée à un réseau Wi-Fi invité pourra quand même être impliquée dans un botnet, et participer à des attaques DDoS, ou miner de la crypto-monnaie ; c’est un risque assez normal lorsque vous achetez des appareils intelligents. Mais dans ce cas, les données bancaires et autres informations sensibles que vous gardez dans votre ordinateur, seront protégées.

Un dernier conseil avant de terminer cet article : en réalité les créateurs de botnets prennent souvent pour cible les routeurs. N’oubliez pas de mettre régulièrement à jour le micrologiciel de votre routeur personnel. Les dernières versions permettent généralement de corriger les vulnérabilités qui peuvent être piratées.

kaspersky