A la faveur d’une actualité digne d’un bon roman de gare, notre rédaction a souhaité faire un point et éclairer un peu votre lanterne sur les tenants et les aboutissants de tout ce mic-mac politico-numérique.
Alors que « Skyfall », le dernier opus de James Bond nous montrait un MI-6 dont les défenses numériques sont un modèle de porosité, nous étions tenté de croire que seule la fiction pouvait permettre à un illuminé, fût-il ancien agent, de percer toutes les défenses de ce fleuron de l’espionnage et du contre-espionnage Anglais. Un coup je te prends le contrôle du PC de « M » dans sa voiture et je te pirate tout le MI-6 comme si j’étais dans le navigateur de fichiers de mon PC, un coup je te fais exploser une bombe qui projette un métro sur James Bond…
Ok tout cela c’est de la fiction n’est-ce pas ? Avant de réponse à cette inquiétante question, posons-nous une autre question : comment la NSA peut-elle, a-t-elle les moyens d’espionner plusieurs millions de conversations téléphoniques, emails et autres contenus numériques de M. Toutlemonde, Miss Everybody ou Frau Jeder, tout ça sans bouger les oreilles ? Est-ce de la fiction aussi ? Avant de réponse à cette angoissante question hâtons-nous d’examiner les différents points d’entrée de la NSA (ou de son équivalent Chinois, Russe ou Français) dans nos vies :
1 – Les virus
Comment les gouvernements Américain et Israëlien sont-ils parvenus à pirater une centrale nucléaire Iranienne en 2009 ? Est-ce encore un coup des scénaristes de James Bond ? De Fleming lui-même ? Non, c’est tout bêtement un virus envoyé par e-mail à un employé ou importé sur une clé USB. Une fois le premier PC infecté, celui-ci se répand au travers de toutes les failles de sécurité connues de Windows, des différents logiciels habituellement installés sur les ordinateurs d’un société et hop le tour est joué, vos centrifugeuses s’arrêtent…
Les virus constituent le principal vecteur d’infection de l’intérieur, et donc le premier point d’entrée pour un espion. Au delà du virus il convient de noter la négligence des employés et plus encore celle de leurs employeurs pour lesquels les questions de sécurité du poste de travail ne sont pas suffisamment traitées.
2 – Les attaques
Nous avons parlé à plusieurs reprises dans nos articles des attaques du type dDos (déni de service distribué), qui consistent à recruter des milliers ou des millions de machines infectées pour lancer des attaques contre un unique serveur. Ce serveur peut-être n’importe où et ne peut presque en aucun cas se protéger contre une attaque de grande envergure. Selon la qualité de la sécurité, du développement des programmes informatiques qui fonctionnent dessus l’attaquant peut prendre plus ou moins de pouvoir sur ce serveur.
Ce genre d’attaque poursuit 2 objectifs principaux : dans un cas il s’agit de nuire purement et simplement à son adversaire en le réduisant au silence (dysfonctionnement du site internet), dans l’autre cas il consiste à prendre le contrôle de la machine et à travers elle obtenir un accès aux bases de données, de fichiers et aux autres serveurs de l’adversaire. Quand cet adversaire est une grande entreprise, les accès sont complexes, quoique. Lorsqu’il s’agit d’un gouvernement, malheureusement les compétences et les moyens engagés dans la protection des accès est loin d’être à la hauteur et les piratages sont parfois découverts plusieurs mois après (comme à Bercy en 2011).
3 – Les mots de passe
Par le même biais que dans le cas des virus, les mots de passe des utilisateurs sont incroyablement peu sécurisés. Le mot de passe le plus utilisé par les gens dans le monde est aussi le moins sécurisé (à savoir « password ») et pour « deviner » ce mot de passe, il faut à une machine moins de temps qu’il ne vous en faut pour lire cette phrase. La stratégie des administrateurs de réseaux d’entreprise consiste à obliger les utilisateurs à saisir un nouveau mot de passe tous les 3 à 6 mois et à utiliser des majuscules et des minuscules ainsi que des chiffres, ce qui est bien mais pas top. Si vous êtes dans ce cas, avez-vous testé votre mot de passe sur ce site ?
4 – Facebook et Twitter
Une fois n’est pas coutume, le maillon faible est l’humain lui-même. La quasi totalité des informations dont un espion a besoin, vous lui fournissez directement en une de votre mur Facebook. Une fois étudié votre style de vie, vos hobbies, vos films préférés, le nom de votre chat, de vos parents et votre date de naissance il a 9 chance sur 10 de trouver votre mot de passe dans une de ces informations figurant sur votre profil. Temps de recherche : 10 minutes.
5 – Les micros
Cela paraît un peu surréaliste mais finalement, le mieux pour espionner les conversations des diplomates reste de truffer les murs de micros, comme dans les bureaux des délégations européennes dans les différents sièges des Nations Unies, ou même du Parlement Européen ! Il est encore plus facile d’écouter aux bonnes portes que d’étudier des millions de gigaoctets de données… Une simple analogie avec votre réseau Wi-Fi vous fera comprendre qu’écouter vos conversations privées est aussi simple que d’écouter aux portes, en plus ca peut se faire de loin…
A la lumière de ces informations vous constaterez que le plus petit dénominateur commun entre ces points d’entrée est l’humain. Comme dans les catastrophes aériennes le responsable est toujours l’humain, même surentrainé et doué d’une infinie patience. Il est toujours plus facile de faire porter la responsabilité sur la machine ou le concepteur de la machine, cependant vous vérifierez facilement qu’il est encore plus facile de changer ses habitudes que de trouver de mauvaises excuses :
1 – Changez votre mot de passe régulièrement et testez-le,
2 – Ne donnez pas d’informations sur vous, en particulier votre date de naissance,
3 – Vérifiez votre antivirus, mettez-le à jour et lancez une analyse,
4 – Idem avec l’anti spyware,
5 – Ne partagez pas votre mot de passe,
6 – Remettez régulièrement en question vos habitudes : sont-elles un risque pour ma sécurité ? ma vie privée ?,
7 – Changez votre mot de passe Wi-Fi et vérifiez que vous utiliser le chiffrement WPA2.
Si vous cherchez les bonnes pratiques, consultez nos articles et dossiers et demandez de l’aide !
Aucun commentaire