Flux RSS
Sécurité
2589 documents trouvés, affichage des résultats 971 à 980.
| < Les 10 documents précédents | Les 10 documents suivants > |
(17/03/2010 16:54:59)
Failles de sécurité et bug pour les sites de la SNCF
L'information a été relayée par le Canard Enchaîné et concerne les données non protégées des clients du site. Garantissant que les coordonnées bancaires n'étaient pas concernées par le problème, l'hebdomadaire a affirmé que les données personnelles de tous les détenteurs de cartes de fidélité SNCF (12-25, escapade, famille nombreuse ...) pouvaient facilement être détournées à partir d'un simple numéro de carte et « un peu d'astuce ». Ainsi jusqu'à lundi dernier, jour où l'entreprise de transport ferroviaire a dit avoir corrigé ces erreurs, les noms, prénoms, adresses, dates de naissance et numéros de téléphones de tous les inscrits étaient accessibles aux pirates du mailing. Le Canard enchaîné a rappelé que l'entreprise était pourtant consciente de de ces risques depuis longtemps, elle en avait déjà fait part en juin 2008. Un exercice de communication qui tourne mal « Une explosion d'origine inconnue s'est produite aujourd'hui vers 8 heures à bord du TGV 1234, à proximité de Mâcon ». Voilà ce qu'ont lus les internautes qui se sont connectés au site de la SNCF hier , un peu après 11 heures. "Les premières estimations des pompiers feraient état de 102 morts et 380 blessés. Toutes les victimes ont été évacuées vers les hôpitaux de Mâcon. Les secours sont toujours sur place, ainsi qu'une cellule d'urgence médico-psychologique". Corrigée après 10 minutes, cette annonce a directement été qualifiée d'erreur par la société de transport ferroviare qui s'est empressée de publier un communiqué simple : « vous avez vu apparaître sur ce site une page relayant des informations sur un accident: celui-ci n'a jamais eu lieu ». La compagnie a ensuite expliqué qu'elle pratiquait couramment ce genre d'exercices, environs 10 fois par ans, mais qu'elle était peut être allée un peu trop loin cette fois-ci. (...)
(17/03/2010 11:09:59)Les serveurs virtualisés ne sont pas encore assez sécurisés selon le Gartner
D'ici 2012, environ deux serveurs virtualisés sur trois seront moins sécurisés que les serveurs physiques qu'ils remplacent, estime le Gartner. Les analystes du cabinet d'études se veulent davantage optimistes à plus long terme, prévoyant que ce taux tombera à un serveur virtualisé sur trois d'ici à la fin 2015. Ceci dit, les analystes pointent du doigt le fait que beaucoup de projets de déploiement de la virtualisation sont mis en oeuvre sans l'implication des équipes en charge de la sécurité informatique lors de la définition de l'architecture initiale. La virtualisation n'est pas une technologie faillible par nature, explique Neil McDonald, le vice-président de Gartner. Mais la plupart des charges virtualisées (ou workloads, c'est à dire le couple constitué par un système d'exploitation et les applications qui s'exécutent dans cet environnement) sont déployées sans une réelle prise en compte des questions de sécurité. Cet état de fait résulte de l'immaturité des outils et des modes opératoires employés, ainsi que de la formation limitée des équipes des entreprises, des consultants et des revendeurs. Photo : Neil McDonald, vice-président de Gartner (D.R.) [[page]] Si Gartner tire la sonnette d'alarme, c'est parce qu'à la fin de l'année 2009, seules 18% des "workload" des centres informatiques qui pouvaient être virtualisées l'ont été. En 2012, cette proportion devrait atteindre 50%. Or, puisque de plus en plus de workloads sont virtualisées, et que des workloads de niveaux de fiabilité différents sont combinées, et que les workload deviennent de plus en plus mobiles, les problèmes de sécurité doivent être surveillés de bien plus près. Selon le cabinet d'études, les risques de sécurité majeurs liés à la virtualisation sont au nombre de six : - Les équipes dédiées à la sécurité informatique ne sont pas assez impliquées en amont des projets de virtualisation, - Une mise en péril de la couche de virtualisation peut aboutir à une mise en péril de toutes les "workload" hébergées, - Le manque de visibilité et de contrôle sur les réseaux virtuels internes créés pour permettre aux machines virtuelles de communiquer entre elles rend inopérant les mécanismes existants de mise en oeuvre des politiques de sécurité, - Des workloads offrant différents niveaux de confiance sont consolidées sur un seul serveur physique, - sans les contrôles adéquats sur les accès à l'hyperviseur, - Il existe une perte potentielle de séparation entre les tâches de contrôle liées à la sécurité et celles liées aux réseaux. (...)
(12/03/2010 12:18:28)La sécurité du DNS fâche la gouvernance d'Internet
Lors d'un discours, tenu mardi à Nairobi pendant la session du comité consultatif de l'Icann, Rod Beckstrom, président et CEO de l'organisation, a déclaré qu'il était nécessaire de concentrer les efforts pour protéger le DNS, car le système est soumis à des attaques, le rendant fragile et vulnérable, et pourrait «être mis hors de service à tout moment ». »
Lors de cette séance, le dirigeant a souligné auprès des membres que plusieurs abus avaient été commis contre le DNS par certains pays, dont le nom n'a pas été dévoilé et a promis d'écrire aux membres du Comité consultatif pour s'enquérir de l'état du DNS chez eux. « Le système de nom de domaine, est, comme jamais auparavant, sous le feu d'attaques préoccupantes. J'ai personnellement consulté au niveau international plus de 20 responsables des registries et des registrars de premier niveau. Tous s'accordent à dire que les attaques contre les DNS ne cessent d'augmenter, de même que leur complexité. Ils sont extrêmement préoccupés par cette situation » a expliqué le responsable.
Inquiétude sur les acquis
Chris Disspain, président du conseil du ccNSO, a contesté cette déclaration, la qualifiant d'«incendiaire.» Selon lui, ces propos risquent de faire perdre aux gestionnaires des ccTLD (Country Code Top Level Domain) et aux représentants du comité consultatif les acquis obtenus en matière de sécurité des DNS. «Vos propos exprimés à des représentants gouvernementaux au sujet - selon vous - de l'état précaire de la sécurité du DNS, peuvent potentiellement remettre en cause les relations constructives et productives établies au sein de l'organisation de l'Icann et des participants tiers » souligne le responsable et d'ajouter « cela pourrait fortement inquiéter les gouvernements sur la manière dont des éléments sensibles concernant les ressources Internet sont exploités et gérés dans leur pays. » [[page]] Le conseil du ccNSO est également préoccupé des intentions de Rod Beckstrom de demander aux gouvernements un rapport sur l'état de leur DNS, afin notamment d'estimer s'il est en mesure de résister aux attaques. L'organisme technique estime en effet qu'un tel processus est de nature à compromettre la façon dont les gestionnaires de ccTLD (Country Code Top Level Domain) opèrent dans leur pays.
Même si Chris Disspain a admis la légitimité de Rod Beckstrom de répondre à ces questions, il estime que sa déclaration a discrédité les énormes efforts déployés par la communauté de l'Icann pour assurer la sécurité et la stabilité du système de DNS.
S'adressant au président de l'Icann, Chris Disspain a déclaré : « Nous suggérons à l'Icann de travailler avec toutes les parties internes et externes pour faire une analyse détaillée des mécanismes actuellement en place pour assurer la sécurité permanente des DNS. En premier lieu, nous l'invitons à partager avec nous et d'autres intervenants les faits ou les études qui l'ont conduit à faire ces déclarations. » (...)
Tribune de Jean-Marc Boursat, Devoteam : Cloud computing, attention à la sécurité
Le cloud computing ou l'informatique dans les nuages est un concept porteur en 2010. L'avenir de cette plate-forme est encore incertain pour certains, mais de nombreuses entreprises utilisent ou souhaitent utiliser des services Cloud ou du moins les technologies sous-jacentes. De ce fait, des RSSI, confrontés aux choix de leur entreprise, se posent (ou devraient se poser) la question : quelles sont les avantages et les inconvénients d'un point de vue sécurité du cloud omputing pour une entreprise ? En termes de disponibilité du service, un service cloud est souvent présenté comme une solution rapide à mettre en oeuvre, et ajustable aux besoins de l'entreprise. L'informatique traditionnelle nécessitait une étude de dimensionnement et un suivi précis des ressources pour anticiper les évolutions nécessaires et dans certains cas, la mise en place de solutions de partage de charge. Dans le cas du cloud computing, le fournisseur de services effectue ce travail pour le client. Ce dernier peut donc croire que le risque d'indisponibilité du service est transféré chez son fournisseur, mais ce raisonnement a une faille : la disponibilité du service dépend aussi (surtout) de la disponibilité du réseau d'accès. L'abandon d'une application hébergée en interne au profit d'un service cloud impacte le réseau d'entreprise. L'usage des ressources réseau doit donc être analysé en phase pilote pour anticiper les évolutions de bande passante en fonction des prévisions d'utilisation du service cloud. Cette analyse doit être complétée par une vérification du système de partage de charge du fournisseur de service surtout si l'accès passe par un proxy présentant l'ensemble des utilisateurs de l'entreprise comme un seul. Pour poursuivre la lecture de la tribune de Jean-Marc Boursat de Devoteam BU Sécurité, rendez-vous sur notre Blog Experts LeMondeInformatique.fr (...)
(10/03/2010 10:05:05)EdenWall reçoit une aide pour développer son prochain firewall
L'éditeur français de pare-feu EdenWall bénéficie d'un sérieux coup de pouce. Son dossier a été retenu dans le cadre du dispositif Rapid (Régime d'Appui aux PME pour l'innovation duale) qui lui garantit un financement de plusieurs centaines de milliers d'euros de la DGA (Direction Générale de l'Armement) et de la DGCIS (Direction Générale de la Compétitivité, de l'Industrie et des Services). Objectif : « Développer un pare-feu capable de supporter jusqu'à un million d'utilisateurs simultanés. Cette solution sera développée à partir de notre technologie NuFW qui équipe les solutions que nous commercialisons déjà », explique Jérôme Notin, le directeur des opérations d'EdenWall. D'après le calendrier défini par l'entreprise, ses développements devraient aboutir à un produit opérationnel d'ici 24 mois Un produit performant et peu gourmand en ressources machines A la différence des pare-feu classiques qui filtrent les ports et les adresses IP, les produits d'EdenWall effectuent leur filtrage en identifiant les utilisateurs. Ce qui permet par exemple de sécuriser les connexions des travailleurs nomades indépendamment des machines qu'ils utilisent et du lieu où ils se trouvent. De plus, dans le cadre de RAPID, EdenWall va redévelopper l'algorithme qu'il utilise actuellement pour rendre sa solution beaucoup moins consommatrice en ressources machines. On imagine aisément l'intérêt pour des forces militaires en opération à l'étranger de limiter la quantité de matériel informatique qu'elles ont à transporter. L'éditeur / constructeur est aidé dans son entreprise par Dalibo, un spécialiste des bases de données. Ce partenaire doit solutionner les problèmes de goulets d'étranglement dans la journalisation des logs qu'engendre classiquement la montée en performance d'un pare-feu. Les forces armées parmi les futurs clients Bien que financée par des fonds publics, la solution qui va sortir des laboratoires d'EdenWall sera sa propriété. L'armée, et plus largement l'Etat, pourraient donc devenir ses clients. Une bonne affaire qui vient s'ajouter au fait qu'EdenWall compte bien faire fructifier ses travaux en commercialisant aussi son produit auprès des entreprises du secteur privé. « A l'heure actuelle, nous sommes déjà capables de sécuriser plusieurs centaines de milliers de connexions en répliquant des pare-feu. Demain, nous offrirons le même services, mais avec une seule machine à un coût beaucoup plus abordable », prévoit Jérôme Notin. Passé à l'indirect depuis quelques mois, l'entreprise prévoit logiquement de mettre son produit sur le marché notamment par le biais de partenaires intégrateurs. (...)
(08/03/2010 16:42:12)Microsoft prévoit de corriger 8 bugs Windows et Office cette semaine
Selon Andrew Storms, directeur des opérations de sécurité chez nCircle Network Security, ce ralentissement n'était pas inattendu. « Ceci est révélateur du cycle de correctifs de Microsoft. » Le mois dernier, les mises à jours concernaient plutôt les systèmes d'exploitation, ce mois-ci ce sont des patchs qui s'appliquent à certaines applications, » a t-il ajouté. « Traditionnellement le mois de mars n'est pas non plus une période de mise à jour pour Microsoft, » fait remarquer Andrew Storm, « alors que Février a toujours été très riche. » En Mars 2009, par exemple, Microsoft avait publié trois bulletins, tandis qu'en Mars 2008, il en a livré quatre. Les deux mises à jour sont néanmoins qualifiées d' «importantes», soit au second rang de gravité dans les quatre établis par Microsoft. Ces vulnérabilités permettent en effet à des attaquants d'insérer du code malicieux sur les PC non patchés, ce qui, à première vue, pourrait sembler plus critique que l'estimation de Microsoft. « Lorsque Microsoft qualifie un patch d'« important »mais indique également que la vulnérabilité permet l'exécution de code à distance, cela signifie généralement qu'il y a un certain état par défaut qui permettraient d'atténuer les attaques pour tous les utilisateurs, » a déclaré Andrew Storms. « Cela peut résulter d'un paramètre par défaut qui protège les utilisateurs, ou du fait que la vulnérabilité est contenue dans un composant qui n'est pas chargé par défaut». Une nouvelle faille dans les trois derniers OS Le premier patch va corriger une ou plusieurs vulnérabilités dans Windows XP, Vista et Windows 7, et modifie les récents Service Packs pour Windows XP et Vista, SP3 et SP2, respectivement. Les versions 32 et 64 bits des trois systèmes d'exploitation sont affectés par ce bug, d'après la description laconique qu'en fait Microsoft. Le second patch procède à l'annulation d'un ou plusieurs bugs dans Excel 2002, Excel 2003 et Excel 2007 sur Windows, Excel 2004 et Excel 2008 sur Mac, et d'autres fichiers Excel et composants associés aux systèmes de conversion de fichiers dans les suites Office. Andrew Storms a souligné que le patch réparerait aussi la version Excel d'Office 2007 SP2. « C'est le plus récent et le plus important à être patché, » a déclaré Andrew Storms, ajoutant que « des indices dans le préavis pointes sur un problème de format de fichier, probablement dans l'outil de convertisseur de fichiers livré avec Office. » Andrew Storms s'est même étonné : « Mais que se passe-t-il? » a t-il demandé. «Le format de fichier le plus récent datant de 2007, était censé être le plus sûr». « Les deux updates réparent des bugs qui ne peuvent être exploités que si les utilisateurs sont incités à ouvrir un fichier malveillant, » a déclaré dans son blog Jerry Bryant, cadre supérieur au Centre de recherche sur la sécurité de Microsoft (MSRC). « Il n'y a pas de vecteurs d'attaque agissant en réseau, » a promis M. Bryant. [[page]] Aucuns des patchs ne correspond aux alertes de sécurité largement diffusées par Microsoft mais pour lesquelles l'éditeur n'a encore fourni aucun correctif, y compris l'un datant de novembre 2009. À l'époque, Microsoft a reconnu qu'un bug dans le SMB (Server Message Block), un fichier réseau et un protocole de partage d'impression développés par Microsoft, pourrait être utilisé par des attaquants afin de paralyser des machines tournant sous Windows 7 et Windows Server 2008 R2. « Les mises en garde les plus récentes, comme celle du mois dernier concernant un bug dans Internet Explorer et une autre publiée lundi sur une faille dans le VBScript, sont également exclues de la liste de correctifs, » a fait remarquer Andrew Storms. Pour éviter le bug du VBScript, qui peut être exploité via Internet Explorer, Microsoft donne un conseil hors du commun: « Ne pas appuyer sur la touche F1». Un patch retardé L'absence de patch pour le bug SMB a conduit Andrew Storms à spéculer sur le fait que Microsoft avait peut-être eu des problèmes pour créer et tester son correctif, ou avait trouvé plus de bugs que prévu pendant son enquête. « Peut-être ont-ils trouvé d'autres problèmes qu'ils voulaient résoudre en même temps, » a t-il déclaré. Il manque également ce mois-ci une mise à jour d'Adobe, qui a lié la livraison de ses correctifs trimestriels pour Acrobat et Reader à celle du patch de Microsoft. Les prochaines mises à jour d'Adobe ne sortiront donc que le 13 avril. Quant à Jerry Bryant du MSRC, il a rappelé aux utilisateurs que plusieurs éditions de Windows seront pratiquement mise de force à la retraite faute de support, à commencer par Vista RTM (privé de support après le 13 avril), Windows XP SP2 et Windows 2000 (privés de support après le 13 juillet), et a vivement encouragé les utilisateurs de ces versions à se mettre à niveau. (...)
(08/03/2010 10:21:47)Gestion des accès, le marché mondial va progresser de 8% en 2010 selon Gartner
Dans sa quête des marchés, ou des niches de marchés, susceptibles de progresser fortement, le cabinet Gartner livre une projection sur le marché de l'identité et de la gestion des accès (en anglais IAM pour Identify Access Management). Il devrait se monter à 9,9 milliards de dollars en 2010 en progression de 8% par rapport à 2009. Il devrait passer à 11,9 milliards de dollars d'ici fin 2013. Plusieurs facteurs vont encourager ce secteur, le cabinet d'études cite : l'audit de conformité, les exigences analytiques, l'efficacité opérationnelle et une meilleure intégration. Clairement, le Gartner estime que ce secteur va sortir de la crise. «La technologie de l'IAM est une composante essentielle des stratégies de sécurité des entreprises, et les clients de Gartner ont indiqué qu'environ 8 pour cent de leurs budgets de sécurité sont dédiés à l'IAM", note Ruggero Contu, analyste principal chez Gartner. (...)
| < Les 10 documents précédents | Les 10 documents suivants > |