Demander un nombre au hasard à un LLM/GPT fournit des réponses surprenantes et… prévisibles ! Essai sur 10 d’entre eux : la réponse à la grande question sur la vie, l’univers et le reste est désormais 27, et non plus 42, c’est officiel. Nuançons un peu, car on sent poindre un mouvement d’inquiétude voire d’effroi parmi nos lecteurs : il ne s’agit que d’une constatation totalement empirique mais intéressante remarquée ces derniers temps sur LinkedIn, qui parfois nous gratifie de posts emplis d’informations réellement professionnelles ou techniques. Cette fois c’est au sujet des LLM dont on vous répète en long, en large et en travers qu’il s’agit d’outils déterministes et statistiques. En voici une courte expérience…
Continuer la lectureArchives de catégorie : Tendances & prospective
Evolutions
Web 3.0
L’autre Web 3.0
- Quick Google (HTTP/3)
- Evolutions de TLS, avec chiffrement total !
2019 vu par SecureLink
En quelques mots, voici ce qui s’est passé en 2019 selon SecureLink (Orange Cyberdéfense) :
- Explosion des fuites de données. En conséquence, le prix des données en vente sur le darknet chute ;
- Les entreprises concentrent les attaques (le modèle doit être plus rentable, notamment pour les ransomwares) ;
- Statistiquement, les malwares sont relativement contenus ;
- Enfin, https ne fait pas tout : 1/3 des sites (en 2019) utilisent un certificat émis par une PKI qui n’existe plus !
Sources
2020
Saison des vœux oblige, les éditeurs de sécurité nous souhaitent une année 2020 pleine de malwares et de problèmes de sécurité. Plusieurs sociétés nous font part de leurs prévisions.
Selon CheckPoint
CheckPoint a fait l’exercice (fin 2019) pour envisager ce que pourraient être les attaques de 2020. Difficile et périlleux, mais ils ont une approche intéressante : rapprocher les évolutions technologiques en cours (ou attendues) et les menaces afférentes. Logique, puisque le crime suit l’usage !
Continuer la lecture2019
Quelques sources d’informations stratégiques pour 2019.
Continuer la lectureBrèves (juillet 2019)
Trop stylé
Une belle attaque, bien élégante : le canal intermédiaire. Que faire si on ne peut pas utiliser un canal que l’on souhaite espionner ou écouter ? Réponse : en utiliser un autre.
Rendons ça moins abscons : si vous souhaitez écouter le haut parleur d’un smartphone, via une application malveillante, mais que vous n’y avez pas droit, vous pouvez utiliser… l’accéléromètre1 !
Ce dernier ne demande pas d’autorisation particulière : toute application Android peut y accéder. Et des chercheurs ont réussi à s’en servir pour capter la réverbération du son. Moi, je trouve ça génial.
Pas assez cher, mon fils
La FTC (Federal Trade Commission) souhaite coller 5 milliards de $ à Facebook, suite à ses déboires concernant les données personnelles exploitées sans grande éthique.
Cela représente environ 9% de son misérable chiffre d’affaire, ce qui commence à faire beaucoup quand même, surtout que certaines voix s’élèvent pour dire que ça n’est pas assez.
En y repensant, c’est p’t’être pas assez, mais ça ne concerne que les Etats-Unis, cette affaire. Il y a aussi le RGPD qui rôde et qui va sans doute commencer à taper sur les doigts, comme avec British Airways ou Marriott.
Brèves (mai 2019)
Conteneurs Docker
Excellent : après la découverte d’une grosse boulette sur les distributions Alpine Linux, dont les images Docker permettaient l’accès root sans mot de passe (durant 3 ans !), les chercheurs ont poussé leur recherche dans les 1000 images les plus utilisées1. Au total 194 images (sur 1000) sont dans le même cas (root sans mot de passe).
Source
Responsabilité partagée
Bien que n’ayant pas tous les détails, voici un bel exemple d’illustration de ce qu’est la responsabilité partagée, quand on est dans le cloud.
Une base de données non protégée, hébergée chez AWS, a fait fuiter des millions d’informations sur des « influenceurs » d’Instagram2 (qui appartient à Facebook…) y compris des données privées. Or c’est au propriétaire de la base, une société nommée Chtrbox, qu’il appartient de sécuriser sa base de données.
Patch XP et Windows 7
Bien que le support de ces versions de Windows soit théoriquement terminé (au moins pour le grand public), Microsoft a sorti des patchs de sécurité sur ces produits en mai 20193456.
Pourquoi ?
En raison d’une faille de sécurité sur RDP (Remote Desktop Protocol) si grave qu’on redoute un nouveau WannaCry, rien de moins (à savoir un programme malveillant se propageant sous la forme de ver réseau).
Sources
- CVE-2019-0708 (Microsoft)
Intelligence artificielle
L’intelligence artificielle est un concept nouveau depuis 30 50 ans (mince, c’est encore plus vieux que je ne le pense). Quand j’ai commencé l’informatique, on parlait déjà d’intelligence artificielle, et déjà on était déçu des résultats, au point que l’acronyme IA se trouvait souvent remplacé par Informatique Avancée qui correspondait mieux à la nature profonde du sujet. Le marketing ou nos peurs primaires nous empêchent souvent de bien comprendre ce que recoupe cette notion d’intelligence artificielle. Mais parler d’intelligence artificielle est nettement plus vendeur que de parler de classification automatique de motifs complexes1.
Vieux pots
C’est dans les vieux pots1 qu’on fait les meilleures confitures. En 2016, la vulnérabilité la plus utilisée sur Windows date de 20102 ! Pour la petite histoire, à l’époque, il s’agissait d’une faille Windows inconnue du public et des spécialistes, sans correctif, et qui a servi à l’opération contre les centrifugeuses nucléaires iraniennes. Probablement utilisée par des équipes de très haut niveau, ayant des moyens considérables, soit pour découvrir cette faille soit pour l’acheter (puisqu’il existe un marché pour cela).
Continuer la lectureStart-up
start-up n.f. inv. : Jeune entreprise mono-produit s’auto-qualifiant d’innovante, dans le secteur des nouvelles technologies, et qui fera faillite dans les 3 ans1 qui suivent sa création.
Loterie internationale
Curieux esprit de la glorification des start-up, pour lesquelles « l’important [est] de lever [des fonds] et de se faire racheter des millions en créant un modèle disruptif et scalable« 2. Or une start-up fera faillite 9 fois sur 103, ou même pire.
C’est un peu comme le loto : on peut gagner le gros lot, mais rarement, et surtout au prix d’énormes efforts qui la plupart du temps conduiront au chômage.
Un petit exemple
Il y en a plein, mais celui-ci est emblématique car il s’agit d’une entreprise rachetée par Facebook himself, tbh, application quasi-inconnue avant sont rachat fin 20174, devenue phénomène de mode et finalement abandonnée5 en juillet 2018.
En sécurité aussi
La mode start-up touche forcément aussi la sécurité informatique, puisque ça touche toute l’informatique. Voir aussi acqui-hiring.
Bulle internet
Les start-up contribuent, à leur façon, à la bulle internet, ou plutôt aux bulles internet, car elles sont récurrentes (on en a eu dans les années 2000, on en a encore en 2018).
Un article intéressant d’informatiquenews.fr (bien que peu détaillé comme souvent) nous donne les principales raisons de l’échec6 pour une startup :
- Le produit proposé ne répond à aucune demande du marché… Incroyable, non ? Il ne suffit pas d’être innovant pour vendre. Tout le monde n’est pas Apple qui veut ! Apple est une des rares marques à pouvoir créer du besoin.
- Le manque de cash. Ce qui rejoint un peu le point précédent : on manque de cash faute de débouché économique, et donc si le modèle économique est pourri, la startup ne s’en relèvera pas.
- Le 3e est que l’équipe dirigeante n’est pas compétente (ou n’existe parfois même pas). DevOps, c’est bien, mais il faut savoir où aller…
Manque de contrôle
Tout cela ne fait que montrer un manque inquiétant de contrôle sur ce que font les startups : du fait de leur mode de financement, elles échappent aux contrôles habituels de sociétés côtés en bourse (non pas qu’il soit suffisant mais c’est déjà une première sécurité).
Par ailleurs, la technicité des solutions masque souvent la réalité industrielle de l’entreprise : en gros, l’utilisation d’outils informatiques compliqués rend peu visible ce qui se passe vraiment en termes de métier, de produit, de stratégie. Les startups vendent trop souvent du rêve, et vendent un produit qui n’existe pas, qui n’est pas construit ou qui n’est pas au point (et dont, dans certains cas, on en sait pas s’il sera un jour au point).
Escroquerie
Cette opacité peut même conduire (facilement ?) à des escroqueries, comme dans le cas de Theranos7, à côté desquelles l’art moderne est un modèle de probité.
2018
Pour le SANS Institute, les cinq grands types de cyberattaques les plus dangereuses attendues1 pour 2018 sont :
- Le piratage des données stockées dans le cloud : plus il y en a, plus ça intéresse les pirates. Le crime suit l’usage.
- La désanonymisation des données : en lien avec la quantité astronomique de données que nous produisons et la capacité à les traiter à grande échelle, des données a priori anonymes peuvent être réattribuées à leur propriétaire (et à leur véritable identité).
- La monétisation des compromissions (minage de cryptomonnaies) : le vol de ressources informatiques se rentabilise via le détournement des ressources pour du minage.
- L’exploitation de failles matérielles : vous avez entendu parler de Spectre ? On pensait ces vulnérabilités peu fréquentes, mais on n’en est plus aussi sûr que cela, et leurs conséquences peuvent être énormes tout en étant très difficile à corriger.
- La perturbation de services essentiels : l’appât du gain ne rentre pas forcément en ligne de compte, mais des considérations géo-stratégiques conduisent des Etats à produire ce genre d’attaque.
2017
Quels sont les événements marquants (en sécurité de l’information) en 2017 ?
Pour le NCA (National Crime Agency) britannique1:
- L’impact des ransomwares ;
- Le volume des fuites de données, comme celle d’Equifax ;
- La multiplication des attaques sur les chaines de production industrielles ;
- Les actions de manipulation d’opinion publique à grande échelle, comme lors des élections américaines.
Pour l’ANSSI, les grandes tendances2 sont :
Continuer la lecture