du 21 janvier 2019
Date

Choisir une autre édition

Emmanuel Macron s’attaque une nouvelle fois à l’anonymat

Au Palais des congrès de Souillac dans le Lot, devant les maires réunis pour le deuxième acte du grand débat national, Emmanuel Macron a plaidé pour une fin progressive de l’anonymat.

Par « hygiène démocratique du statut de l’information », le chef de l’État estime « qu’on doit aller vers une levée progressive de toute forme d'anonymat et (…) vers des processus où on sait distinguer le vrai du faux et où on doit savoir d’où les gens parlent et pourquoi ils disent les choses ». Selon lui, une telle levée, « participe de cette transparence » car « aujourd’hui, on a beaucoup d’informations, tout le temps, mais on ne sait pas d’où elle vient. »

Nul ne sait exactement ce qui est projeté. Néanmoins, en novembre dernier lors de son discours pour l’« appel de Paris pour la confiance et la sécurité dans le cyberespace », le même avait considéré que « nos gouvernements, nos populations ne vont pas pouvoir tolérer encore longtemps les torrents de haine que déversent en ligne des auteurs protégés par un anonymat devenu problématique ».

Sur l’anonymat en particulier, il affirmait alors qu’il doit « continuer à permettre la liberté d'expression », néanmoins, « il ne doit pas permettre à des criminels ou des terroristes d'échapper aux poursuites ». Et Emmanuel Macron de vanter l’essor de voies de coopérations judiciaires efficaces « pour lever cet anonymat et rechercher des preuves électroniques lorsqu'elles existent ».

Plus tôt, lors de la présentation du plan Macron-May, le président de la République voulait cette fois s’attaquer au chiffrement, avec la volonté d’« améliorer les moyens d’accès aux contenus cryptés, dans des conditions qui préservent la confidentialité des correspondances, afin que ces messageries ne puissent pas être l’outil des terroristes ou des criminels » (la page en cache, la page initiale étant introuvable).

On remarque, dans la bouche présidentielle, un glissement d’une fin de l’anonymat plaidée d’abord pour des raisons de lutte contre la criminalité, au rêve de savoir « d’où les gens parlent et pourquoi ils disent les choses ».

chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

La nouvelle version du navigateur est disponible pour Windows, macOS, Linux, Android et iOS.

Les nouveautés sont nombreuses et leur liste n’a pas changé depuis la bêta : CSS Properties, API Values, API Native File System pour appeler la fenêtre locale d’ouverture/enregistrement des fichiers, des options de personnalisation supplémentaires pour la page Nouvel onglet, du ménage dans les flags, etc.

Les options de personnalisation commencent tout juste leur déploiement. Si vous ne souhaitez pas attendre, il faudra activer les deux flags suivants, qui débloqueront les thèmes : 

  • chrome://flags/#ntp-customization-menu-v2
  • chrome://flags/#chrome-colors-custom-color-picker

Deux autres fonctions sont en cours de déploiement. D’une part, la possibilité de surligner un numéro de téléphone pour que l’appareil Android ciblé puisse appeler directement. D’autre part, le partage du presse-papier, qui nécessite la dernière version de Chrome sur l’ordinateur et le smartphone Android, avec synchronisation du compte active.

Enfin, Chrome 78 pour ordinateurs corrige 37 failles de sécurité, dont trois critiques.

Sur Android et iOS, la nouvelle mouture se concentre sur le mode sombre, enfin disponible. La version iOS ajoute la présentation en cartes pour les favoris, l’historique, les onglets récents et la liste de lecture.

Copié dans le presse-papier !

Ces derniers mois, le navigateur de Mozilla a renforcé son action contre le pistage en ligne, notamment dans les options activées par défaut.

Le résultat est là : « Depuis le 2 juillet, nous avons bloqué plus de 450 milliards de requêtes de pistage tentant de vous suivre en ligne », précise la fondation. Ce, malgré des réglementations comme le RGPD. 

« L'industrie publicitaire utilise des dark patterns pour pousser les internautes au consentement » constate Mozilla, qui justifie ainsi ses actions renforcées, face à un secteur qui peine à s'autoréguler et à respecter les droits de chacun.

Avec Firefox 70, les équipes veulent tout d'abord améliorer l'information de l'utilisateur, avec un nouveau rapport précisant le nombre d'éléments bloqués chaque jour et leur typologie : cookies, empreintes, modules sociaux, cryptominage, etc.

La liste détaillée n'est pas donnée, mais Firefox en profitera pour mettre en avant des services de Mozilla comme Monitor (permettant de vérifier si votre mot de passe a fuité en ligne) ou Lockwise (pour stocker vos mots de passe). Des outils améliorés pour l'occasion. On imagine que d'autres pourront trouver leur place à cet endroit. La future offre de VPN payant par exemple ?

Quoi qu'il en soit, la protection contre le pistage renforce sa lutte contre les modules sociaux et leur pistage « cross-site ». 

Les équipes précisent également que les performances JavaScript sont améliorées, alors que WebRender est disponible pour plus d'utilisateurs sous Windows (les IGP Intel sont pris en charge). Sous macOS, le navigateur se veut plus économe en énergie, surtout quand il lit des vidéos.

La gestion du thème sombre suit désormais les paramètres des OS, l'import de mots de passe est fonctionnel depuis macOS et des bugs ont bien entendu été corrigés. Pour les développeurs, la liste des améliorations apportée se trouve ici

Copié dans le presse-papier !

L’évènement ressemble dans les grandes lignes à celui survenu en 2017, avec la même cible : CCleaner. À l’époque, l’outil appartenait encore à son créateur, Piriform, depuis racheté par Avast. Un malware avait pu être distribué pendant un mois.

Selon l’éditeur, la nouvelle attaque a été rendue possible par le vol d’identifiants VPN d’un employé. Facteur aggravant, le compte en question n’était pas protégé par une double authentification.

L’attention a été attirée par une soudaine élévation des privilèges sur le compte piraté, qui ne possédait pas de droits administrateurs, mais avait réussi à les obtenir.

La brèche a été repérée le 23 septembre, mais les preuves retrouvées remontent jusqu’au 14 mai, soit plus de cinq mois. L’éditeur se montre assez franc, avouant s’être replongé dans ce qu’il avait jugé être « des faux positifs » renvoyés par ATA (Advanced Threat Analytics), service commercialisé par Microsoft. Des éléments qui prenaient alors un sens nouveau.

Selon Avast, la connexion a été laissée volontairement active après coup, afin de suivre l’activité du ou des pirates, et de remonter jusqu’à la source si possible. Elle n’a donc été fermée que le 15 octobre, le temps de vérifier le code de CCleaner, qui semblait tant intéresser l’attaquant.

Ce code avait été mis hors ligne à la découverte de l’incident. Après vérification de son intégrité, le certificat utilisé a été révoqué et un nouveau a été ajouté. Enfin, une mise à jour a été envoyée automatiquement aux installations existantes le 15 octobre. L’entreprise a en outre remis à zéro tous les mots de passe des employés.

Ce type d’attaque n’est pas nouveau. Un outil aussi utilisé que CCleaner représente un vecteur d’infection idéal pour des pirates, à condition qu’ils puissent modifier les binaires depuis l’infrastructure de l’éditeur concerné.

L’incident est rare, mais est potentiellement dévastateur. On se souvient notamment de la contamination du client BitTorrent Transmission pour macOS en 2016.

Copié dans le presse-papier !

Premiers changements, la possibilité de gérer les enregistrements de la caméra et l'intégration des pages d'assistance de l'univers « Maison ».

Dans l'accueil de ce dernier, une tuile invite les utilisateurs à accéder à de nouvelles fonctionnalités, comme l'ajout d'un numéro pour les alertes. Il est aussi possible d'ajouter une caméra sans module de sécurité.

Comme toujours, l'application a droit à son lot d'améliorations et correctifs. Signalons pêle-mêle les alertes sur iPadOS 13, la synchronisation des photos, le téléchargement par fichiers, etc. Les notes de version détaillées se trouvent par ici.

Copié dans le presse-papier !

Des chercheurs de SRLabs (Security Research Labs) ont mis au point des applications (Actions pour Google, Skill pour Amazon) pour les assistants numérique Home et Echo.

Elles ont passé sans problème les processus de contrôle des deux géants du Net et étaient utilisables sur n'importe quelle enceinte connectée (les applications ont depuis été supprimées).

Deux attaques différentes ont été menées. La première fait croire que l'application n'est pas disponible dans votre pays, l'utilisateur pensant alors que l'application s'est arrêtée. En fait, elle laisse seulement une minute de blanc avant d'annoncer une mise à jour pour l'enceinte connectée, en demandant à l'utilisateur son mot de passe.

Dans la seconde attaque, l'application semble fonctionner correctement et fait croire à l'utilisateur que la session est terminée et qu'elle arrête donc d'écouter. En réalité, ce n'est pas le cas.

Amazon et Google ont été contactées en amont. Les deux sociétés ont affirmé à Ars Technica qu'elles avaient mis en place des changements dans leurs procédures de validation, sans plus de détail.

Rien ne dit non plus que des applications malveillantes de ce genre ne sont pas encore disponibles sur les deux assistants numériques. Une preuve qui montre une fois de plus qu'il faut être prudent face à ce genre de produits.