Demander un nombre au hasard à un LLM/GPT fournit des réponses surprenantes et… prévisibles ! Essai sur 10 d’entre eux : la réponse à la grande question sur la vie, l’univers et le reste est désormais 27, et non plus 42, c’est officiel. Nuançons un peu, car on sent poindre un mouvement d’inquiétude voire d’effroi parmi nos lecteurs : il ne s’agit que d’une constatation totalement empirique mais intéressante remarquée ces derniers temps sur LinkedIn, qui parfois nous gratifie de posts emplis d’informations réellement professionnelles ou techniques. Cette fois c’est au sujet des LLM dont on vous répète en long, en large et en travers qu’il s’agit d’outils déterministes et statistiques. En voici une courte expérience…
Continuer la lectureArchives de catégorie : Fondamentaux & gouvernance
Dérogation ou acceptation du risque ?
Dans le cadre des normes ISO 27001 et ISO 27005, les notions de dérogation et acceptation du risque sont liées mais distinctes. Il est bon de se rappeler des bases et des définitions exactes et leur application en sécurité des systèmes d’information. Un vocabulaire précis permet souvent un raisonnement précis.
En résumé, l’acceptation du risque est une notion issue de l’analyse de risque et relève donc de la gestion du risque. Elle peut être temporaire ou permanente. La dérogation est issue d’une non conformité (en général à la PSSI) et ne peut être que temporaire.
Continuer la lectureColored Teams
On en voit souvent de toutes les couleurs en sécurité de l’information, mais il se trouve qu’on a également utilisé un code de couleur pour identifier des équipes intervenant dans des exercices de SSI ou pour désigner des équipes établies.
Continuer la lectureLa rap de la sécurité
Un bon point pour ChatGPT : il sait rapper 😋. Voici deux exemples…
Continuer la lectureEvolutions
Web 3.0
L’autre Web 3.0
- Quick Google (HTTP/3)
- Evolutions de TLS, avec chiffrement total !
Due care, due diligence
J’ai toujours eu du mal avec ces deux notions. D’origine juridique, elles s’appliquent également en sécurité informatique. En sécurité informatique, les concepts de « due care » et « due diligence » peuvent être appliqués de la manière suivante :
Continuer la lectureMatrice RACI
RACI est un l’acronyme en anglais de Responsible, Accountable, Consulted, Informed. Si l’on devait traduire la matrice RACI en français cela donnerait :
- Responsible pour Réalisateurs ;
- Accountable pour Autorité, Approbateur ou responsable (mais le terme est alors ambigu) ;
- Consulted pour Consultés ;
- Informed pour Informés.
Source : Matrice RACI : définition et exemples pour définir les rôles et responsabilités – Cadremploi
Code Covid-19
if True:
home()
Covid 19
Difficile de rester confiné pendant plusieurs semaines sans ronger son frein. Je vais essayer de comptabiliser ici les bonnes et les mauvaises initiatives durant cette période. Les bonnes sont les gestes d’entraide, les mauvaises sont les attaques profitant du sujet.
Continuer la lectureLogique et mathématique
Un ordinateur, c’est bien beau, mais c’est rien qu’une machine. Une machine avec des performances extraordinaires, dans son domaine, mais une machine quoi qu’on en dise : une machine répondant aux lois mathématiques (et donc à la logique mathématique).
Continuer la lectureForce majeure
J’ai vu passer une question intéressante sur LinkedIn : un virus informatique (enfin, un programme malveillant) peut-il être considéré comme un cas de force majeure afin de s’exonérer de ses responsabilités ? Un tribunal français a dit : non.
Continuer la lectureC’est sûr, l’open source ?
Puisqu’on vous dit que oui car tout le monde peut regarder dans le code que tout va bien et que de toutes façons y a pas de méchant dans les développeurs qui font de l’open source c’est bien connu.
Continuer la lecturePrix de l’innovation
Une idée géniale : si ton système n’a pas de faille de sécurité, alors introduis-en une ! Des attaquants ont profité d’un driver de Gigabyte, signé et légitime mais qui présentait une vulnérabilité non corrigée, pour lancer des attaques.
Continuer la lectureZero trust
Ne faites confiance à personne ! Je l’ai souvent entendu dans la vie, et c’est la première chose qu’on apprend quand on fait de la sécurité informatique. Le concept (marketing ou pas) de Zero Trust a vite émergé depuis que la SSI est devenue industrielle, mais c’est quoi ?
Continuer la lectureVocabulaire (autre)
HIPS/HIDS
Vault
credential stuffing
backdoor
Faille de sécurité
Vulnérabilité
Enregistreur de frappe
Attaque par rebond (lien ?)
Chevaux de Troie
Élévation de privilèges
2019 vu par SecureLink
En quelques mots, voici ce qui s’est passé en 2019 selon SecureLink (Orange Cyberdéfense) :
- Explosion des fuites de données. En conséquence, le prix des données en vente sur le darknet chute ;
- Les entreprises concentrent les attaques (le modèle doit être plus rentable, notamment pour les ransomwares) ;
- Statistiquement, les malwares sont relativement contenus ;
- Enfin, https ne fait pas tout : 1/3 des sites (en 2019) utilisent un certificat émis par une PKI qui n’existe plus !
Sources
2020
Saison des vœux oblige, les éditeurs de sécurité nous souhaitent une année 2020 pleine de malwares et de problèmes de sécurité. Plusieurs sociétés nous font part de leurs prévisions.
Selon CheckPoint
CheckPoint a fait l’exercice (fin 2019) pour envisager ce que pourraient être les attaques de 2020. Difficile et périlleux, mais ils ont une approche intéressante : rapprocher les évolutions technologiques en cours (ou attendues) et les menaces afférentes. Logique, puisque le crime suit l’usage !
Continuer la lecture2019
Quelques sources d’informations stratégiques pour 2019.
Continuer la lectureBrèves (juillet 2019)
Trop stylé
Une belle attaque, bien élégante : le canal intermédiaire. Que faire si on ne peut pas utiliser un canal que l’on souhaite espionner ou écouter ? Réponse : en utiliser un autre.
Rendons ça moins abscons : si vous souhaitez écouter le haut parleur d’un smartphone, via une application malveillante, mais que vous n’y avez pas droit, vous pouvez utiliser… l’accéléromètre1 !
Ce dernier ne demande pas d’autorisation particulière : toute application Android peut y accéder. Et des chercheurs ont réussi à s’en servir pour capter la réverbération du son. Moi, je trouve ça génial.
Pas assez cher, mon fils
La FTC (Federal Trade Commission) souhaite coller 5 milliards de $ à Facebook, suite à ses déboires concernant les données personnelles exploitées sans grande éthique.
Cela représente environ 9% de son misérable chiffre d’affaire, ce qui commence à faire beaucoup quand même, surtout que certaines voix s’élèvent pour dire que ça n’est pas assez.
En y repensant, c’est p’t’être pas assez, mais ça ne concerne que les Etats-Unis, cette affaire. Il y a aussi le RGPD qui rôde et qui va sans doute commencer à taper sur les doigts, comme avec British Airways ou Marriott.
Brèves (juin 2016)
Tape m’en cinq !
Nouveau type d’attaque, encore embryonnaire, mais amusante : des chercheurs ont créé une « table » simulant une interaction tactile sur des smartphones.
Pour l’instant, l’exploitation est difficile, car le paramétrage dépend de chaque type de smartphone, et l’utilisateur doit poser son téléphone sur la table (ou sur l’objet) contenant la surface spécialement créée à cet effet. Par ailleurs, des remédiations logicielles ou matérielles sont possibles, mais je trouve l’idée assez maligne.
- Source : ZDNet.
Docker, API et configuration
Docker n’échappe pas à la grande mode des erreurs de configuration, comme sur S3 ou MongoDB.
Malheureusement, là aussi les conséquences peuvent être importantes : prise de contrôle des ressources de l’hôte, des conteneurs, installation de malwares ou de cryptomineurs, etc. TrendMicro1 détaille l’affaire, mais qui nous rappelle qu’il ne suffit pas de s’arrêter à « ça marche » quand on met en place un système informatique…
Traces
Je me doutais qu’il était possible de trouver beaucoup d’infos sur un système depuis l’extérieur. Des chercheurs ont placé la barre très haut2 rien qu’en JavaScript. Ce genre de bidouille, déjà prisée des départements marketing et des pirates, permet de tout savoir sur le navigateur qu’un quidam est en train d’utiliser pour visiter un site contenant ce(s) script(s).