EspaceRezo

Astuces, utilitaires, tutoriels, jeux, vidéos… que du bon pour apprendre et se divertir !

Affichage des articles marqués sécurité

Le site de Franck RiesterQuand on veut donner des leçons à tout le monde, il faut d’abord se les appliquer à soi-même.

Cette très jolie maxime, que je viens d’inventer, résume à elle seule le contenu d’un article très intéressant publié sur le site reflets.info. On y apprend que le site Internet de Franck Riester, député de Seine-et-Marne et célèbre rapporteur de la loi HADOPI, manque franchement de sécurité.

On y retrouverait un bon paquet de failles XSS, des fichiers de logs totalement ouverts, des pages PHP non sécurisées et de belles fuites de données personnelles.

Le site de Franck Riester

Image du site reflets.info.

Bien que je sois totalement conscient que ce monsieur a dû sous-traiter la sécurité de son site, je me pose beaucoup de questions sur sa crédibilité. Comment peut-on faire de grandes envolées lyriques à l’Assemblée Nationale pour condamner les négligences caractérisées des internautes qui ne sécurisent pas leur Box, alors que son propre site est rempli de ce même genre de négligences ?

Bon, je ne vous colle même pas l’adresse du site car vous risqueriez d’attraper des virus en vous connectant dessus… Le site de Franck Riester

Juste à temps

Alors là, il y a un gars qui a vraiment de la chance.

Il arrive toujours à la dernière minute dans tout ce qu’il fait et ça passe… enfin presque.

Une magnifique campagne de pub pour la sécurité ferroviaire.

Un raccourci pour débrancher un périphérique USBIl est plus que déconseillé de retirer une clé USB sans passer par le petit menu bien connu de déconnexion de Windows. Ainsi, on s’assure que l’ordinateur n’est plus en train d”écrire sur le périphérique.

La manipulation classique consiste à afficher les icônes cachées à droite de la barre de tâche, puis à cliquer sur l’icône “Retirer le périphérique en toute sécurité”. Il faut ensuite sélectionner le bon périphérique et attendre le message qui vous autorise à le débrancher.

Afin de gagner un peu de temps, surtout si vous utilisez souvent des périphériques USB, il est possible de se créer un petit raccourci qui prendra naturellement sa place sur le bureau. Ce raccourci ouvrira directement le menu “Supprimer le périphérique en toute sécurité”.

Replacez-vous sur le bureau, à un emplacement vide, sans icône. Cliquez avec le bouton droit de la souris et sélectionnez “Nouveau” puis “Raccourci”.

Dans le premier champ de texte, tapez :

Rundll32 shell32.dll,Control_RunDLL HotPlug.dll

Cliquez sur “Suivant” et donnez le nom que vous souhaitez au raccourci, dans le second champ texte.

Validez et la nouvelle icône, que vous pouvez  customiser par la suite librement, apparaît sur le bureau.

Penetrate, la bombe anti HADOPI ?Il court actuellement sur le Web la nouvelle d’une bombe anti-HADOPI. Il s’agit de Penetrate, une application Android censée craquer la plupart des clefs de protection wifi.

Penetrate, téléchargeable sur le Market, est un renifleur de réseaux wifi. Dès son lancement, un scanning est lancé et les réseaux wifi s’affichent au fur et à mesure de leur découverte. Si la clef est exploitable, un liseré vertical de couleur vert s’affiche à gauche du réseau découvert pour vous indiquer que vous pouvez copier le mot de passe.

Penetrate, la bombe anti HADOPI ?

Hormis le fait que cette application peut déranger par le sentiment d’insécurité informatique quelle génère, elle m’agace par le buzz, et donc la publicité gratuite, qu’elle retransmet à son créateur. Personnellement, je trouve ce buzz disproportionné et injustifié pour deux principales raisons :

D’une part, seules les clefs WEP et WPA(1) sont identifiées, d’autre part, toutes les box ou routeurs ne sont pas reconnus. Vous l’aurez compris, il s’agit d’une application comme il en existe des dizaines, rapidement développée, qui ne fait que le strict minimum. En d’autres termes, cette application est déjà dépassée car toutes les box génèrent d’origine une clef WPA-PSK.

Petit rappel :
les clefs WPA dans leur première version, ont remplacé les clefs WEP trop facilement piratables. Le WPA a lui aussi montré trop rapidement ses limites en matière de sécurisation et un patch a permis de lancer la deuxième version du WPA dénommée très simplement WPA2. Ce deuxième opus s’avère très protecteur avec sa clef chiffrée sur 128 (à 256) bits et il est apparu nécessaire d’humaniser les mots de passe en convertissant la suite de caractères à entrer par un mot ou une phrase. En effet il est plus facile de se souvenir du mot de passe “JadoreMaBelle-mère” plutôt que “WQFd43kH0047-sG” non ? Cette technique est connue sous l’acronyme PSK (pre-share key). L’article de Wikipedia avertit toutefois que “Utiliser une suite aléatoire de caractères hexadécimaux reste plus sûr”.

J’ai quand même voulu essayer cette application pour vérifier la protection de mon réseau wifi. Sans surprise, Penetrate s’est avérée incapable de révéler ma clef de cryptage.

Alors Penetrate est-elle vraiment la bombe anti-HADOPI qu’on veut nous faire croire ? Je dirais plutôt qu’il s’agit d’une application utile seulement pour tester le niveau de sécurisation de son réseau wifi, en quelque sorte, de tester la conformité avec la loi HADOPI. Ensuite désinstaller Penetrate et… l’oublier !

What is NFC ?Dans notre monde actuel dominé par l’Informatique, il est des sigles dont on entend parler mais dont la signification reste un mystère. J’ai ressenti ce malaise cognitif lorsque j’ai lu l’acronyme NFC sur un forum. Bon sang ! Oui, c’est… c’est quoi au juste ?

Eh bien, habituez-vous à l’entendre car dans un avenir très proche il va faire partie intégrante de notre vie ! Cette technologie va nous suivre partout et elle sera non seulement nécessaire mais indispensable !

De quoi s’agit-il ? La Communication en champ proche est la traduction française de Near Field Communication. Elle utilise des ondes radio sur une très courte distance pour communiquer avec d’autres appareils ; un peu comme les anciens transmetteurs infrarouge que l’on trouvait sur les PDA (Personal device assistant) pour “beamer” des informations de petite capacité comme les cartes de visites ou de petits documents binaires voire des photos de petite taille.

Le NFC va plus loin dans son utilité car ce genre de communication est tout à fait adapté en terme de sécurité pour remplacer les cartes bancaires. Vous savez déjà (vous devez savoir) que l’on peut payer de petits achats simplement en faisant glisser sa carte bancaire sur un petit appareil électronique que la caissière vous tend. Désormais, vous glisserez votre téléphone sur un appareil télé-relié pour vous acquitter de vos achats, pour payer votre passage dans le bus ou le métro, payer sa place de cinéma et plus encore car ce nouveau mode de paiement va se généraliser.

Mais plutôt qu’un long discours, je vous propose de vous rendre sur le site de clubic.com où se trouve une vidéo dans laquelle est clairement expliquée cette nouvelle technique de paiement.

Pour en savoir plus, sachez qu’il existe en France une association chargée de promouvoir le NFC : l’Association Française du Sans Contact Mobile.

Sinon, n’oubliez pas la célèbre encyclopédie en ligne wikipedia.org.

Forcer Firefox à retenir vos mots de passePour des raisons de sécurité, il peut arriver qu’un site Internet, qui contient des données bancaires ou des informations sensibles, force votre navigateur préféré qu’est Firefox à ne pas retenir votre mot de passe.

Il devient assez gênant de devoir retaper son mot de passe plusieurs fois par jour pour, par exemple, consulter son compte Paypal.

En fait, c’est la fonction AutoComplete=”Off”, présente sur les pages webs, qui est à l’origine de ce désagrément. Voici une petite astuce pour la contourner :

1- Rendez vous dans le dossier suivant : C:\Program Files\Mozilla Firefox\components.

2- Cliquez-droit sur le fichier nsLoginManager.js et sélectionnez “ouvrir avec” puis Bloc-notes ou encore Wordpad.

3- A l’aide la fonction recherche (CTRL+F), trouvez le paragraphe suivant :

if (element && element.hasAttribute("autocomplete") &&
element.getAttribute("autocomplete").toLowerCase() == "off")
return true;

4- Et ajoutez “//” (sans les guillemets) devant chacune des lignes comme ceci :

// if (element && element.hasAttribute(”autocomplete”) &&
// element.getAttribute(”autocomplete”).toLowerCase() == “off”)
// return true;

5- Enregistrez, fermez la fenêtre et redémarrez Firefox.

Il vous proposera désormais d’enregistrer vos mots de passe sur n’importe quel site Web, sécurisé ou non.

Attention : la mise en place de cette astuce n’est pas recommandée si vous n’êtes pas le seul utilisateur de l’ordinateur.

Astuce découverte sur : Codablog.fr.

http://www.dailymotion.com/video/xf4bsn

Le député PS de la Nièvre Christian Paul a annoncé, lors de l’émission “Ça vous regarde” sur la Chaîne Parlementaire, que la gauche abrogerait la loi HADOPI si elle revenait au pouvoir en 2012.

Voici donc l’extrait de l’émission où il fait cette déclaration.

On remarque au passage la forte irritation de Franck Riester, l’ancien rapporteur de la loi HADOPI à l’Assemblée Nationale. Ce dernier est aujourd’hui membre de la Commission de Protection des Droits de l’HADOPI.

Hadopi.fr va ouvrir ses portesPour faire suite au billet de Bob sur la riposte des pirates envers les ayants droits, nous avons appris depuis peu que lundi prochain, le site officiel de l’HADOPI (hadopi.fr), va ouvrir ses portes. Vous imaginez bien que cette inauguration ne va pas se passer sans vagues. Le site s’attend déjà à une attaque DDoS de grande envergure, venant principalement des Etats-unis et de la France.

Chose très étonnante et qui m’a bien surpris : la réaction, intelligente, de l’Hadopi face à cette menace. En effet Eric Walter, secrétaire général de l’Hadopi, a avoué que lors d’une telle attaque le site ne résisterait pas. Tient donc, l’Hadopi n’a pas dépensé des millions pour essayer de rendre leur site invulnérable face à une attaque en masse des internautes ? C’est très étonnant, mais en même temps, avec les sommes considérables que va engendrer la mise en place de cette loi, il ne doit pas rester grand chose sur le budget…

Cette future protestation démontre autre chose : il y a quelques années, il n’y avait que quelques personnes très informées et expérimentées qui prenaient part à ce genre d’initiatives. Le reste des internautes ne s’en intéressait guère. Aujourd’hui ce n’est plus le cas. Les attaques de type DDoS sont réalisables et réalisées par des gens comme vous et moi, qui souhaitent montrer leur mécontentement par ce moyen.

Cette vulgarisation du “piratage” (un bien grand mot) informatique a été rendue possible, en grande partie, grâce à des logiciels “grand public” comme LOIC, grâce auxquels un enfant de 5 ans pourrait réaliser une attaque DDoS en rentrant simplement le nom d’un site et en cliquant sur un bouton.

Certains jugeront ces actions efficaces, d’autres futiles. D’ailleurs, le Parti Pirate Français appelle à la raison et souhaite qu’il n’y ait pas d’attaques sur le site car il les juge contre-productives. Si l’on considère que ces actions ne font que bloquer les serveurs et ne détruisent pas le matériel, il serait envisageable de les comparer à des mouvements de grève. Du coup, lorsque l’on touche à nos libertés, doit-on participer à des attaques DDoS comme on descendrait dans la rue ?

La riposte des pirates envers les ayants droitsFace aux agressions répétées des majors de l’audiovisuel, les pirates du monde entier se mobilisent pour contre attaquer et imposer un bras de fer assez inédit.

Mais revenons à la base du problème. Depuis quelques mois, les “ayants droits“, c’est à dire les grandes compagnies de musique, de cinéma, de jeux vidéo…, multiplient les actions contre les sites et les utilisateurs de fichiers pirates. Sur le fond, on ne peut pas les blâmer car ils sont dans leur rôle. Par contre, c’est au niveau de la forme et donc des moyens qu’ils utilisent que cela pose problème.

En effet, outre un acharnement au niveau judiciaire, certaines entreprises qui travaillent pour ces majors, n’hésitent plus à utiliser des moyens très agressifs pour attaquer directement les sites qui hébergent ou qui font la promotion de contenus pirates. Des attaques DDOS ont été utilisées. Elles consistent à bombarder les sites en question de demandes de connexion pour arriver à mettre les serveurs hors service.

Lancée sur le célèbre 4chan, par un groupe baptisé sobrement “Anonymous“, la contre attaque s’est opé­rée de la même manière mais après la distribution massive d’un logiciel très simple d’utilisation permettant de réaliser ces attaque DDOS. Ce sont donc des milliers d’internautes de tous pays qui ont lancé simultanément des requêtes sur les sites américains de la RIAA, la MPAA et AiPlex. Le résultat a été assez impressionnant et les sites en question sont tombés rapidement, restant paralysés de nombreuses heures.

La riposte des pirates envers les ayants droits

On imagine bien les dégâts économiques de  telles attaques, surtout qu’il est difficile et coûteux de s’en protéger. Cette forme de guérilla informatique est d’autant plus efficace que les participants sont nombreux.

De plus, il apparaît assez clairement ces temps-ci, que la relative liberté qui règne sur Internet soit de plus en plus en danger. Tous les arguments sont bons (défense des ayants droits, sécurité nationale, protection des mineurs…) pour justifier un filtrage du réseau. Au lieu de trouver des réponses adaptées à chaque argument, certains préfèreraient cadenasser le Web. On les comprend : celui qui maîtrise Internet, maîtrise l’Information.

Cette main mise est monnaie courante dans les pays totalitaires et commence à pointer le bout de son nez en… France. HADOPI en est un exemple mais cette notion de filtrage pourrait aller encore plus loin si l’on en croit certaines rumeurs alarmantes

Je ne serai donc pas étonné que le type d’attaques décrit plus haut, visant à perturber le fonctionnement de certains sites favorables à une forme de censure, se multiplie et apparaisse rapidement au niveau national. Je l’imagine bien comme le nouveau hobby des défenseurs de la Liberté sur Internet.

Vous trouverez plus d’informations sur cette véritable guerre du Net sur pandalabs.pandasecurity.com, sur mashable.com et sur l’excellent article de Fabrice Epelboin sur fr.readwriteweb.com.

Protégez vous des Keyloggers avec KeyScramblerMalgré les antivirus qui deviennent au fil du temps de plus en plus performant, il est possible que votre ordinateur soit infecté par un Keylogger.

Un Keylogger, par définition, est un petit programme invisible qui enregistre vos frappes de clavier (mots de passes, coordonnées bancaires…) pour les envoyer à des réseaux pirates.

Ainsi, toutes les protections présentes sur les sites Internet sécurisés, où apparaissent un petit cadenas jaune en bas à droite ou encore un “https” au lieu du fameux “http”, n’ont plus d’intérêt.

Une solution existe : il s’agit de KeyScrambler. C’est un logiciel qui intègre un plugin pour Firefox et qui a pour effet de rendre votre texte inexploitable par les pirates. Il crypte vos frappes de façon aléatoire et fait ainsi croire à votre ordinateur que vous tapez sur certaines touches, alors que vous tapez sur d’autres.

Une fois installé, et après avoir redémarré votre machine, lancez Firefox. Activez-le avec le raccourci “CTRL + Shift + K“. Une petite fenêtre s’ouvrira dans laquelle apparaîtra votre texte crypté.

J’ai voulu tester par moi-même ce que cela donnait. J’ai donc téléchargé Revealer Keylogger Free qui est un programme qui enregistre l’intégralité de vos frappes, sans risque, et qui a joué le rôle d’un Keylogger.

Puis j’ai réalisé le petit test suivant… Revealer keylogger étant actif, j’ai tapé “Espacerezo” dans la barre de Google. Puis, j’ai activé KeyScrambler et j’ai de nouveau tapé “Espacerezo” dans la barre de Google. Le résultat est assez surprenant :

Protégez vous des Keyloggers avec KeyScramblerCe logiciel trompe bien les programmes qui peuvent espionner vos frappes sur le clavier. Il intéressera particulièrement les mordus du respect de la vie privée.

Protégez-vous efficacement contre les keyloggers grâce à KeyScrambler.

Astuce découverte sur Pcastuces