Oreillette Bluetooth : un danger potentiel 1 million de fois plus faible que les mobiles GSM

Petit cours de physique ! L’intensité du rayonnement des ondes électromagnétiques est proportionnelle au carré de la puissance d’émission. On peut considérer que cette intensité mesure l’effet des ondes, bon ou mauvais. Concrètement, on utilise cette loi pour construire un four à micro-onde. L’effet est en l’occurrence la cuisson plus ou moins rapide des aliments.

Un téléphone mobile dont la puissance d’émission est de 1 W est donc potentiellement quatre fois plus dangereux qu’un téléphone sans fil DECT, dont la puissance est de 500 mW. Potentiellement ! Car cela ne préjuge en rien de la dangerosité de l’un ou de l’autre. De même, une oreillette Bluetooth, dont la puissance d’émission est de seulement 1mW, soit 1000 fois moins que le téléphone mobile, est potentiellement un million de fois moins dangereuse que le mobile lui-même.

Danger des ondes radios : tout dépend de la puissance d’émission et de la distance

Ce banal téléphone sans fil est-il dangereux ? Une chose est sure, sa puissance d’émission est 5 fois plus élevée que celle d’une borne Wifi, donc son impact potentiel est 25 fois plus élevé.

On ne dit pas que l’oreillette Bluetooth ne présente aucun danger, mais que si elle en présente un, celui-ci est négligeable par rapport au téléphone mobile collé à l’oreille. Il y a en effet aussi une question de distance. Par exemple, l’oreillette Bluetooth près de l’oreille doit être comparée au mobile placé dans la même position.

Car les effets des ondes électromagnétiques – donc leur dangerosité potentielle – sont également inversement proportionnels au carré de la distance de l’émetteur. Autrement dit, un mobile situé à 1 cm du cerveau aura un effet non pas 100 mais 10 000 fois supérieur au même mobile placé à 1 mètre. Difficile donc de comparer les risques que font courir une antenne relais de 20 W plantée à 10 mètres de votre balcon, et une oreille Bluetooth collée à votre oreille mais dont la puissance d’émission est de 1/1000 de Watts. Quoi qu’un calcul le permettrait probablement.

Le Wifi : un danger potentiel 25 fois plus faible qu’un téléphone sans fil DECT

Notre tableau comparatif réserve quelques surprises. Par exemple, la puissance d’un réseau Wifi domestique est 5 fois plus faible que celle d’un téléphone sans fil, donc potentiellement 25 fois moins dangereux. Pourtant, parce que le Wifi est une technologie récente, elle inquiète davantage les familles que les téléphones sans fils installés dans les foyers depuis des lustres.

Tableau comparatif de la puissance d’émission des différentes technologies

Décidément, Duqu étonne. Ce code malveillant, que Symantec qualifie de «précurseur au prochain Stuxnet» interroge les experts en sécurité depuis qu’il a été découvert. Et pour cause : particulièrement sophistiqué, il partage une partie de son code avec Stuxnet et semble n’infecter que des organisations précises, que Symantec estime à six dans huit pays différents. Pour l’instant…

On ne savait même pas, jusqu’alors, comment Duqu parvenait à infecter une machine. Mais les chercheurs en sécurité du laboratoire Crysys (université de Budapest) ont retrouvé la trace d’un « dropper » (Programme très léger chargé d’introduire le reste d’un virus sur une machine) qui a servi pour au moins une attaque. Et surprise, il exploite une faille du noyau de Windows jusqu’alors inconnue, contre laquelle il n’existe donc aucun correctif (zero-day). Le virus est caché dans un document Word (.doc) « conçu de manière à cibler l’organisation qui le réceptionne », selon Symantec.

Le script du programme était également précis. Duqu ne pouvait être installé que pendant huit jours, au cours du mois d’août. L’éditeur de solutions de sécurité précise que Microsoft a été contacté à la suite de cette découverte et qu’il s’apprête à diffuser un bulletin de sécurité, ainsi qu’un correctif.

Sources : 01net

Il n’y a eu officiellement aucune diffusion d’informations confidentielles à l’extérieur de la base à cause de ce virus, qui n’a pas non plus empêché les pilotes d’effectuer leurs missions. « Les spécialistes militaires ne savent pas si le virus (…) a été introduit volontairement ou accidentellement », ajoute Wired, rappelant que la majorité des missions effectuées par des drones étaient menées par des pilotes de la base de Creech.

« Il revient à chaque fois »

Détecté pour la première fois il y a deux semaines, les techniciens de Creech auraient le plus grand mal à se débarrasser de ce virus. D’après Wired, le virus en question aurait vraisemblablement été introduit dans les ordinateurs de la base via des disques durs externes, que les pilotes utilisent pour transférer des informations d’un poste à un autre. « Nous l’éliminons, mais il revient à chaque fois. Nous pensons qu’il n’est pas très dangereux, mais en fait nous n’en savons rien », déclare un des interlocuteurs anonymes de Wired.

Les drones sont de plus en plus souvent utilisés dans les opérations américaines car il permet aux militaires américains d’espionner et frapper leurs cibles sans mettre en jeu la vie de leurs troupes. Depuis 2001, les drones ont tué plus de 2.000 militants de réseaux islamistes.

Une attaque de type « man in the middle »

L’attaque, complexe, ne serait cependant pas à la portée du premier venu. D’abord, le pirate devrait accéder au réseau local de sa victime afin d’intercepter les communications entre son PC et le Web, et notamment les cookies sécurisés HTTPS. Ensuite, le hacker devrait introduire le code de Beast dans le navigateur, par exemple grâce à une fausse publicité.

Sur l’ordinateur du pirate, un sniffer « écouterait » les connexions sécurisées par TLS tandis que Beast déchiffrerait les cookies. Selon les deux spécialistes, la procédure de décryptage prend environ 5 minutes par site.
Juliano Rizzo et Thai Duong ont contacté tous les éditeurs de navigateur afin de leur signaler cette menace. Pour le moment, seul Opera propose un correctif. Le risque ne concerne que TLS 1.0, mais les versions 1.1 et 1.2 du protocole, qui n’y sont pas exposées, ne sont utilisées que par une infime minorité des sites Web.
Avec leur étude, les chercheurs espèrent justement accélérer l’adoption des nouvelles moutures de ce protocole de sécurité… indispensable à des échanges de confiance sur le Web.

Source : 01net

ClamWin évolue très rapidement, notamment grâce aux utilisateurs qui envoient régulièrement aux développeurs de nouveaux virus pour les intégrer à la liste de souches connues : il reconnaît en moyenne une cinquantaine de nouveaux virus chaque jour.
Il ne possède pas encore de protection en temps réel contre les virus, mais cette option sera intégrée dans les prochaines versions.
Fonctionnalités:

• Analyses Anti-Virus Programmables
• Mise à jour automatique de la base de définitions de Virus.L’équipe de ClamAV met à jour quotidiennement les bases de données de virus et presque immédiatement après la sortie d’un nouveau virus ou d’une nouvelle variante d’un virus existant
• Détecteur de virus autonome
• Intégration via le menu contextuel à Microsoft Windows Explorer
• Greffon à Microsoft Outlook

Baptisé « Standalone System Sweeper », cet outil permet de démarrer une machine depuis un CD, un DVD ou une clé USB et de lancer un scan hors ligne du système afin de détecter les rootkits et autres applications malveillantes.

Le moteur de scan utilisé par cet utilitaire est celui de l’antivirus Microsoft Security Essentials.

L’outil est portable, autonome et disponible pour les versions 32 et 64 bits de Windows. Un assistant aide l’utilisateur à télécharger l’outil et à créer le support de démarrage, support qui doit disposer d’au moins 250 Mo de stockage.

Microsoft souligne cependant, comme c’est le cas avec Microsoft Safety Scanner, qu’il ne s’agit en aucun cas d’une solution de remplacement d’un antivirus complet comme Microsoft Security Essential. Il est uniquement destiné à être utilisé dans des situations où l’ordinateur ne peut plus démarrer suite à une infection de malwares.

Source : Developpez.com

Le voile commence à se lever sur le mode opératoire et l’origine de la vaste opération de piratage dont l’autorité de certification Comodo a été victime la semaine dernière. Une opération qui aurait pu, si elle n’avait pas été découverte et stoppée à temps, compromettre la sécurité et le fonctionnement de nombreux services en ligne.

Selon Comodo, les pirates sont parvenus à accéder frauduleusement au service Web de certification pour créer 9 faux certificats relatifs à 7 noms de domaines dont login.live.com, mail.google.com, www.google.com et login.yahoo.com. « L’attaque a été très bien préparée et les pirates avaient bien prévu leur coup avec une liste précise de cibles dont ils ont tenté d’obtenir des certificats de sécurité valides et soumettre des requêtes qui auraient pu être valables », a indiqué Comodo dans un communiqué.

Après avoir découvert le pot aux roses, Comodo a immédiatement procédé à l’annulation des certificats pirates qui, selon l’organisme, auraient été émis depuis l’Iran après étude du registre d’adresses IP utilisées pour créer les certificats. Faut-il y voir un acte de représailles après l’affaire du ver Sutxnet qui a, selon les autorités iraniennes, infecté plus de 30 000 postes de travail appartenant à des systèmes d’information industriels ?

Source : Journal du Net

Quarante-neuf minutes et deux dollars pour trouver un mot de passe… Thomas Roth, un chercheur allemand, veut prouver que le cloud computing sert de plate-forme de travail pour les pirates informatiques. Qu’ils peuvent utiliser les machines virtuelles d’Amazon comme supercalculateur, et casser des mots de passe par force brute.

Jusqu’ici, le coût du ticket d’entrée pour ce type d’attaques informatiques était trop élevé et, donc, rédhibitoire. Et ce, du fait de ressources matérielles trop importantes. Le seul moyen de contournement était le recours à l’informatique distribuée. Une méthode efficace, mais contraignante, et surtout tributaire du nombre de volontaires acceptant de participer à l’opération. Aujourd’hui, « grâce » au cloud, tout est possible, seul, et pour une poignée de dollars.

Un million de mots de passe testés par seconde !

Le chercheur avait déjà démontré de quelle façon les machines virtuelles d’Amazon peuvent être utilisées comme des nœuds de calcul : avec 22 gigas de mémoire, deux processeurs Xeon dernière génération ainsi que les deux fameux processeurs graphiques Nvidia Tesla. Ces derniers, reconnus pour leur capacité de traitements simultanés, étant utilisés pour l’occasion comme calculateur.

Ce sont d’ailleurs essentiellement ces processeurs graphiques qui rendent possible le cassage des mots de passe. Au final, le chercheur est parvenu en quarante-neuf minutes à déchiffrer des mots de passe sur six caractères, pour un coût dérisoire : moins de deux dollars !

Depuis, Thomas Roth a perfectionné le processus. Lors de la prochaine conférence Black Hat, il prétend renouveler la performance (toujours sur Amazon EC2) et atteindre, cette fois, le chiffre record d’un million de mots de passe testés par seconde pour casser une clé Wi-Fi WPA-PSK !

Un supercalculateur grâce au cluster

Ce qui est nouveau, surtout, c’est la possibilité de travailler en cluster chez Amazon. Cette nouvelle offre permet de répartir la tâche de cassage sur plusieurs machines. Cette fois, un attaquant aurait la possibilité d’avoir un supercalculateur à portée de main. Un mot de passe sur huit caractères ne devrait donc pas poser de difficultés. Une différence colossale avec les tests réalisés un an et demi plus tôt, quand une telle opération coûtait près de 9 000 dollars et prenait… 122 jours.

Même si tout est bien expliqué sur le blog du chercheur, ce type d’attaque reste quand même réservé à une population d’initiés. Cependant, elle démontre au moins une chose : la longueur des mots de passe reste un critère de sécurité important. Et l’étaler sur dix caractères, voire davantage, n’est désormais plus un luxe.

Désormais, quand les agents de la DGCCRF (1) mèneront un contrôle chez un cybermarchand, ils devront non seulement vérifier s’il est en conformité avec le droit du commerce, mais aussi s’il respecte la loi en matière de protection des données fournies par les consommateurs. C’est la conséquence du protocole de coopération signé ce jeudi 6 janvier entre la Direction générale et la Cnil.

Les agents de la DGGCRF ont reçu une formation à la fin de l’année dernière afin de savoir quel type d’infractions ils auront la charge de relever. Elles sont variées : il peut s’agir de collecte de données de mineurs sans l’accord des parents, d’informations sensibles (orientation politique ou sexuelle) ou non justifiées au vu du service fourni, mais aussi d’absence d’informations sur l’exploitation des données recueillies ou leur sécurisation.

Toutes les infractions relevées par les agents de la DGCCRF seront transmises à la Cnil, qui se chargera de donner les suites nécessaires, du simple rappel de la réglementation à l’engagement de poursuites.

Protéger les données aussi en dehors de nos frontières

Présent lors de la signature de ce protocole d’accord, Frédéric Lefebvre, secrétaire d’Etat chargé du Commerce, de l’Artisanat et des PME, a indiqué qu’il s’agissait d’une première étape.

« Pour renforcer la collaboration entre les deux autorités, je souhaite aménager rapidement la loi afin qu’il soit aussi de la responsabilité des agents de la DGCCRF de constater les manquements à la protection des données », a-t-il déclaré.

En 2010, la Cnil a effectué plus de 300 contrôles auprès d’entreprises et d’administrations collectant des fichiers. Dans le même temps, les enquêteurs de la DGCCRF ont effectué 10 582 contrôles sur 9 000 sites de commerce électronique. Cette coopération va donc permettre à la Cnil d’étendre son champ d’inspection.

Mais si le consommateur peut désormais espérer avoir une meilleure protection de sa vie privée sur le territoire, il manque encore de certitudes sur le traitement de ses données à l’étranger.

Alex Türk, président de la Cnil, reconnait : « notre autorité de contrôle est arrivée au bout de ses droits, maintenant nous devons trouver des solutions pour établir un cadre international ».

Sa demande pourrait prochainement s’exaucer. Fréderic Lefebvre a annoncé que la protection des données personnelles figurerait à l’ordre du jour du prochain G8, qui se tiendra en mai prochain.

(1) Direction générale de la concurrence, de la consommation et de la répression des fraudes.

La génération des 20-30 ans ne comprend pas qu’on la prive de ses moyens de communication, et l’entreprise n’admet pas que l’on puisse utiliser ses outils de productivité pour des usages personnels. D’où un conflit de générations qui induit cette question : faut-il interdire Facebook ? L’informatique, elle, applique les consignes de la direction, même si elle n’est pas d’accord sur le principe.

Pour la génération Y, qui a grandi avec internet et le web 2.0, les réseaux sociaux sont une pratique qui peut parfois tourner à l’obsession, comme nous le confie P., 22 ans : « Je vérifiais en permanence si on avait commenté ou aimé mes statuts. » Or, l’abus de ces outils a forcément des effets néfastes sur la concentration et la productivité.

Une étude menée auprès d’étudiants américains montre que ceux qui font des allers-retours sur Facebook pendant leurs révisions obtiennent des notes inférieures de 20 %. Couper l’accès au réseau est la solution radicale pour éviter ces abus. On se retrouve alors dans la situation d’il y a quinze ans, où seule une catégorie de privilégiés (direction, cadres…) avait un accès téléphonique vers l’extérieur. Aujourd’hui, un employé trouverait inconcevable de ne pas pouvoir composer le « 0 ».

Les mentalités évoluent

D’autant qu’interdire Facebook ne résout pas tous les problèmes. Tout comme Viadeo ou Linkedin, il est accessible sur les smartphones. Faudrait-il aussi brider les accès 3G dans l’entreprise ?

Marie-Claude Poelman, DSI de Nature et Découvertes, applique les consignes de la direction, elle coupe Facebook. Pour autant, elle préconise des solutions moins radicales, comme installer dans les salles de pause des PC en libre-service, connectés à internet mais déconnectés du réseau de l’entreprise. Pour prendre en compte les besoins des nouvelles générations, elle suggère de mettre en place un « facebook privé » permettant aux nouveaux entrants de s’exprimer et aux anciens de se former aux nouveaux usages.

Les quinquas laissent progressivement la place aux quadras, plus réceptifs aux nouvelles technologies, aux rênes des entreprises : la mutation des mentalités est en cours. Pour la génération des 20-30 ans, la frontière entre vie privée et vie professionnelle se brouille. « Dans quelques années, il n’y aura plus de différence entre les outils privés et ceux de l’entreprise. Un collaborateur aura des objectifs à atteindre et il travaillera avec ses propres outils et de n’importe où » commente Marie-Claude Poelman.

Dans un contexte économique incertain, les perspectives de carrière sont pauvres, et les jeunes cherchent le bien-être au travail. L’entreprise saura-t-elle garder ses meilleurs éléments si par ailleurs elle les bride ? Aux Etats-Unis, nombre de grandes entreprises, réalisant le potentiel des réseaux sociaux, ont ouvert Facebook avec une « charte d’utilisation des médias sociaux ». Dans certains cas, leur attitude est positive : « Tentez d’ajouter de la valeur », chez IBM, « Rendez-nous fiers » et « Créez de l’enthousiasme », chez Intel.

Source : 01net