du 26 septembre 2018
Date

Choisir une autre édition

Annoncé au début de l'été, le service est désormais ouvert  à tous après une période de test. Un dispositif d'anonymisation a été mis en place pour éviter de fournir vos données à des tiers.

Il suffit d'accéder à monitor.firefox.com et d'entrer votre adresse email. Toute présence dans une fuite de données répertoriée sera alors précisée. L'outil est conçu en lien avec le projet Have I Been Pwned du chercheur en sécurité Troy Hunt, auquel Mozilla compte donner plus de visibilité.

Surtout, Firefox pourra vous tenir informé si d'autres fuites vous concernent à l'avenir. Pour le moment, aucune intégration spécifique à Firefox n'est évoquée, mais cela pourrait être le cas à l'avenir, notamment via Firefox 64.

Fuite de données : Firefox Monitor peut dire si vos adresses email sont concernées
chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

Le Conseil constitutionnel a censuré vendredi l’ancien régime du droit de communication des données de connexion dont bénéficiaient les agents des douanes. Après avoir considéré que ce régime était conforme au bloc de constitutionnalité le 27 janvier 2012, la haute juridiction est finalement revenue sur son analyse en raison d’un « changement des circonstances ».

Poussé par la jurisprudence de la Cour de justice de l’Union européenne (et son fameux arrêt Télé2), il a finalement estimé que le législateur ne pouvait pas organiser un tel droit contre les FAI et les hébergeurs sans prévoir de garanties particulières.

« Le législateur n'a pas entouré la procédure prévue par les dispositions contestées de garanties propres à assurer une conciliation équilibrée entre, d'une part, le droit au respect de la vie privée et, d'autre part, la prévention des atteintes à l'ordre public et la recherche des auteurs d'infractions » écrit-il avant de censurer ce mécanisme.

Dans sa grande mansuétude, il a néanmoins déporté dans le temps cette censure, afin de sanctuariser les procédures en cours sur l’autel de la sauvegarde de l’ordre public et la recherche des auteurs d’infractions, deux objectifs à valeur constitutionnelle.

Le défaut d’encadrement sanctionné ici a été depuis corrigé par la loi du 23 octobre 2018 relative à la lutte contre la fraude.

Depuis, les agents des douanes ayant au moins le grade de contrôleur peuvent se faire communiquer les données de connexion chez les opérateurs, les hébergeurs et les FAI, mais cette demande ne peut viser que les infractions les plus graves et l’accès doit être autorisé par le procureur de la République. Les données communiquées doivent enfin être détruites « à l’extinction de l’action pour l’application des sanctions fiscales ».

Dans cette QPC, notons l’intervention de la Quadrature du Net, et d’autres associations (Franciliens.net, FAImaison, Midway's Network et Rézine), toutes représentées par Me Alexis Fitzjean Ó Cobhthaigh.

Copié dans le presse-papier !

Une équipe de chercheurs, réunissant notamment certains ayant participé à la découverte des failles Meltdown et Spectre, a mis la main sur un sérieux problème de sécurité avec la fonctionnalité SGX (Software Guard eXtensions) des processeurs Intel.

Présente depuis la génération Skylake, elle permet à un code de résider dans une mémoire isolée du système et – normalement – de toute tentative d’accès, à moins d’être expressément autorisée. Ces espaces protégés, appelés enclaves, ne peuvent même pas être lus par le noyau du système ou le BIOS/UEFI.

Problème, les chercheurs ont réussi à implanter un malware dans une enclave. Ils se sont servis des TSX (Transactional Synchronization eXtensions) pour vérifier si une adresse virtuelle était accessible par le processus en cours. Une opération que le système d’exploitation ne peut pas détecter du fait de l’architecture de SGX.

Les chercheurs tentent ensuite de savoir s’il est possible d’écrire dans cette plage mémoire, via une technique baptisée CLAW (Checking Located Addresses for Writability). L’instruction d’écriture est alors encapsulée dans une transaction TSX, donc toujours indétectable.

On comprend la dangerosité de la méthode, comme chaque fois qu’un malware peut tirer parti du matériel : il se cachera dans une zone protégée que rien ne peut atteindre, et certainement pas un antivirus. Les chercheurs craignent particulièrement une nouvelle génération de ransomwares presque impossibles à déloger.

Selon les chercheurs, les modifications à réaliser peuvent être matérielles comme logicielles. Dans le premier cas, Intel pourrait renforcer l’isolation des enclaves, sans impact sur les performances. Les changements logiciels, eux, arriveraient plus rapidement, mais entraineraient une légère chute des performances.

Intel a reconnu l’existence du problème, sans remettre en question sa fonction SGX. Le fondeur rappelle que son objectif est de protéger ce qui y est placé, non de contrôler qui a le droit d’y entrer : « SGX ne garantit pas que le code exécuté dans l’enclave provient d’une source de confiance ».

La société ne dit pas un mot sur d’éventuelles mesures. En attendant, les chercheurs ont publié un prototype d’exploitation et le rapport complet de leurs travaux.

Copié dans le presse-papier !

Adoptée au pas de charge l’année dernière afin de permettre aux agents de police municipale d’utiliser des « caméras-piétons », la loi « relative à l'harmonisation de l'utilisation des caméras mobiles par les autorités de sécurité publique » n’est toujours pas applicable, faute de décret (voir notre article).

Le sénateur Jean-Pierre Decool s’en est plaint une nouvelle fois auprès de l'exécutif, jeudi 14 février, lors des questions au gouvernement :

« Comme vous tancez sur la lenteur législative, permettez-nous de vous tancer sur la lenteur réglementaire. Une loi a été votée au Sénat le 13 juin 2018, puis définitivement adoptée le 30 juillet par l'Assemblée nationale pour expérimenter l'utilisation de caméras piétons par les policiers municipaux. Procédure rondement menée... Mais les décrets n'ont toujours pas été pris et les caméras restent dans les tiroirs ! »

Le secrétaire d’État auprès du ministre de l’Intérieur, Laurent Nunez, ne s’est toutefois avancé sur aucun calendrier. « Le décret en Conseil d'État est en cours d'examen, les circonstances d'utilisation sont complexes » a-t-il évacué.

Copié dans le presse-papier !

Dans deux arrêts dits Sabam de 2011 et 2012, la juridiction européenne avait détaillé la prohibition inscrite à l’article 15 de la directive sur le commerce électronique.

Ce texte de 2000 interdit aux États membres d’imposer une surveillance généralisée sur les flux transitant chez les intermédiaires techniques.

Selon la CJUE, ce filtrage est toujours proscrit lorsqu’il porte sur l’ensemble des informations stockées sur les serveurs, s’applique indistinctement à l’égard de l’ensemble des utilisateurs, à titre préventif, à ses frais exclusifs et sans limitation dans le temps. Cinq critères cumulatifs mais qui ne comblent pas toutes les situations.  

Comme déjà expliqué, en avril 2016, un internaute caché sous le pseudonyme de « Michaela Jašková » avait posté un message injurieux à l’encontre d’Eva Glawischnig-Piesczek, femme politique autrichienne affiliée aux Verts, qualifiée sur Facebook de « clocharde corrompue » issue d’un « parti fasciste ».

Le réseau social avait rendu ces messages illicites inaccessibles uniquement sur le territoire autrichien. La victime avait contesté cette décision en exigeant un retrait à l’échelle planétaire, portant également sur les contenus identiques, analogues ou similaires aux messages initiaux.

Dans le dossier enregistré en janvier 2018, dont on attend maintenant les conclusions de l’avocat général, la CJUE devra déterminer juridiquement si le filtrage est toujours généralisé lorsqu’il porte sur tous les flux ou stocks d’un hébergeur, mais en étant limité par exemple aux utilisateurs présents au niveau d’un État membre.

Elle devra dire aussi si un hébergeur peut se voir contraindre de retirer des données similaires à celles qualifiées une première fois d’illicites, retrouvées au niveau mondial ou d’un État membre.

L’affaire est importante et pourrait rejaillir sur les débats actuels autour de l’article 13, disposition qui industrialise le filtrage des contenus sous droit d’auteur.

Copié dans le presse-papier !

Attendu de pied ferme par les joueurs, loin d'être convaincus pour le moment, le titre de Bioware est disponible aux abonnés EA Access depuis quelques jours.

Pour assurer sa promotion, l'éditeur s'est payé les services du réalisateur de District 9, Neill Blomkamp. Présentée comme une bande-annonce du jeu, dévoilant une partie de son histoire, la vidéo mise en ligne dure un peu moins de quatre minutes.

Elle est plutôt de bonne tenue. On espère donc qu'Anthem sera aussi réussi, tant dans sa qualité graphique que son gameplay. Réponse à sa sortie, le 22 février.