LeBriefdu 23 décembre 2020
Piratage de SolarWinds : un ancien salarié avait alerté, en vainCrédits : gremlin/iStock

Ce conseiller en sécurité de la société, dont au moins 200 clients publics et privés ont récemment été piratés, a déclaré à Bloomberg avoir averti la direction des risques de cybersécurité et présenté un plan, en vain, pour y remédier.

Dans une présentation PowerPoint de 23 pages examinée par nos confrères, Ian Thornton-Trump recommandait en 2017 aux dirigeants que SolarWinds nomme un directeur principal de la cybersécurité, leur expliquant que « la survie de l'entreprise dépend d'un engagement interne en faveur de la sécurité. »

Le mois suivant, il mettait fin à sa relation avec l'entreprise, affirmant que sa direction n'était pas intéressée par des changements qui auraient eu « un impact significatif », considérant une brèche majeure comme inévitable.

Dans un e-mail expliquant les raisons de son départ qu'il a envoyé à un dirigeant de SolarWinds le 15 mai 2017, et que Bloomberg a pu consulter, il  avait expliqué avoir « perdu confiance dans le leadership » de l'entreprise, qui selon lui semblait « réticent à apporter les corrections » qu'il jugeait nécessaires pour continuer à soutenir la marque de sécurité qu'il avait créée chez LogicNow, une société de cloud computing basée au Royaume-Uni, acquise par SolarWinds en juin 2016.

« Il y avait un manque de sécurité au niveau du produit technique, et il y avait un leadership minimal en matière de sécurité au sommet », a déclaré Thornton-Trump dans une interview. « Nous savions en 2015 que les hackers cherchaient n'importe quelle voie vers une entreprise. Mais SolarWinds ne s'est pas adapté. C'est ça la tragédie. Il y avait beaucoup de leçons à apprendre, mais SolarWinds ne prêtait pas attention à ce qui se passait. »

Jusqu'à récemment, SolarWinds conseillait à ses clients sur son site (la page a depuis été supprimée) de désactiver l'analyse antivirus des produits de la plateforme Orion afin que ses produits puissent fonctionner plus efficacement. 

Un chercheur en cybersécurité l'avait alerté qu'un mot de passe, « solarwind123 », traînait sur le web. SolarWinds lui avait répondu qu'il était visible en raison d'une « mauvaise configuration », et l'avait supprimé.

5G : l’ANFR a installé des capteurs dans quatre grandes villes pour mesurer l’exposition aux ondes

Après Marseille, Nantes et Paris, c’est au tour de la capitale de la Gironde. Ces capteurs « vont permettre de recueillir des données sur l’exposition, consultables en temps réel sur l’Observatoire des Ondes ».

« Ils sont implantés dans des lieux très fréquentés, en hauteur, et placés à environ 100 mètres d’une antenne qui devrait être prochainement activée en 5G », explique l’Agence nationale des fréquences.

De nouvelles villes en seront équipées dans les prochaines semaines. 

Tour d’horizon de l’année 2020 vue par le CNRS

Alors que nous vivons les derniers jours de 2020, les bilans continuent de fleurir en ligne. C’est désormais au tour du CNRS. 

« Si le Covid-19 a mobilisé de nombreux scientifiques cette année, la recherche s’est également poursuivie dans tous les domaines. De la détection de trous noirs à la découverte d'empreintes de dinosaures ».

Entre les deux, on retrouve aussi l’exploration martienne, les neutrinos, une capsule pour étudier le corps humain de l’intérieur, les ondes térahertz, etc. Le Centre Nationale pour La Recherche Scientifique propose « un florilège non exhaustif de travaux menés en 2020 ».

Linux Live USB Creator : le projet s'arrêteCrédits : Jeffrey Hamilton/Digital Vision/ThinkStock

C'est ce qu'annonce son développeur, Thibaut, dans un billet de blog. Aussi connu sous le petit nom de LiLi, l'outil permettait de télécharger des images ISO de distributions Linux et les transférer sur un périphérique de stockage USB.

Il proposait aussi d'ajouter une zone de persistance des données avec une fonctionnalité de virtualisation intégrée. Ceux qui veulent prendre la suite peuvent le faire, le code source étant disponible.

La fin de LiLi montre à quel point certains outils sont fragiles, maintenus par un seul développeur ou presque, sans source de financement particulière et donc sans réelle possibilité de se développer. 

Thibaut explique ainsi que, jeune papa, il lui était impossible de répondre seul aux emails, gérer l'adaptation aux nouvelles distributions Linux, le tout avec un outil reposant sur un « framework qui est lui-même quasiment abandonné ». 

Son billet se veut néanmoins positif, évoquant un « super projet » avec lequel il a pris du plaisir, passant « un nombre incalculable d'heures à essayer de rendre le logiciel aussi simple que possible pour créer une clé USB bootable ».

« Je n'aurais jamais pu imaginer qu'un jour LiLi serait utilisée par autant de gens. Lili a été téléchargée et utilisée par des millions de personnes à travers le monde. [...] Ne sous estimez pas votre capacité à aider d'autres personnes sur internet, même avec un logiciel basique. VOUS POUVEZ FAIRE LA DIFFÉRENCE », conclut-il.

Report du projet de loi sur l'obligation vaccinale pour certaines activités

Après une levée de boucliers de l’opposition, le texte instaurant un passeport sanitaire a été repoussé de « plusieurs mois » selon Olivier Véran, cité par Libération.

Ce projet de loi prévoyait de « subordonner les déplacements des personnes, leur accès aux moyens de transport ou à certains lieux, ainsi que l’exercice de certaines activités à la présentation des résultats d’un test de dépistage négatif », comme l’indique Olivier Tesquet sur Twitter.

De plus, en cas de crise ou d’urgence sanitaire, mais aussi pendant « une situation sanitaire exceptionnelle », il ouvrait la voie à la mise « en œuvre des traitements de données à caractère personnel concernant la santé des personnes, le cas échéant sans leur consentement ».

Présidence de Joe Biden : le compte Twitter POTUS va être archivé puis réinitialisé

Ce compte – dédié à la fonction President Of The United States – a été créé en 2015, sous la présidence de Barack Obama. En 2017, il a été transféré à Donald Trump. Les abonnés étaient restés, mais les messages sous l’administration Obama avaient été archivés sous le compte POTUS44 (il était le 44e président des États-Unis).

Avec le passage entre les mains de Joe Biden, l’actuel POTUS sera archivé dans POTUS45 pour laisser place à la communication du prochain président. Cette fois par contre, il serait complètement réinitialisé et n’aurait plus le moindre follower, c’est du moins ce qu’indique Rob Flaherty, le responsable numérique de Joe Biden. Il s’agirait d’une décision de Twitter, pas de l’actuel gouvernement américain.

Cette situation serait la même sur d’autres comptes liés à des fonctions comme FLOTUS et WhiteHouse, pour ne citer qu’eux.

L’État soutient un projet de « 5G souveraine » de b<>com, jusqu’à 90 emplois créés en BretagneCrédits : feellife/iStock

Éric Bothorel (député) et Agnès Pannier-Runacher (ministre déléguée chargée de l’industrie) se félicitent de cette annonce, qui arrive quelques mois après celle de Nokia sur la suppression de plus de 1 000 postes en France, dont 239 à Lannion.

L'IRT (Institut de Recherche Technologique) b<>com se présente comme « un fournisseur de technologies pour les entreprises qui souhaitent accélérer leur compétitivité grâce au numérique ». 

Dans le cas présent, b<>com recevra 30 millions d’euros sur sept ans, dans le cadre des Investissements d’avenir (PIA). Le but du projet est de « développer une offre souveraine pour les réseaux 5G privés, en particulier pour les utilisateurs industriels […] à partir de technologie de cœur de réseau 5G qu’il maîtrise depuis plusieurs années ». 

Sur les 90 emplois, « 80 à 90 % seront localisés de manière pérenne, à Lannion, au sein de l’antenne existante de 15 personnes aujourd’hui ». Sur Twitter, la CFE-CGC dit « bravo » et ajoute qu’il « reste 890 postes à compenser ».

Linagora intègre OnlyOffice à son offre open source

La société française explique dans un communiqué qu’elle cherchait à compléter son offre de collaboration en intégrant la capacité d’éditer des documents Office en les ouvrant simplement depuis un navigateur.

Elle avait essentiellement le choix entre LibreOffice et OnlyOffice, mais la deuxième offrait deux avantages, selon l’entreprise : elle était prévue dès le début pour la collaboration et travaillait directement avec les formats OOXML.

OnlyOffice sera donc intégré aux outils de collaboration Twake (alternative maison à Slack, Teams et autres) et Work@Home. Dans l’un ou l’autre, quand un document sera ouvert, un bouton « Éditer avec OnlyOffice » sera affiché en haut.

Flight Simulator 2020 passe à la VR

Attendu par les fans depuis des semaines, le patch permettant de profiter de la réalité virtuelle au sein du titre est désormais disponible, annonce Microsoft.

« Nous avons veillé à ce qu’elle soit compatible avec une grande diversité d’appareils, comme les casques Windows Mixed Reality (dont le HP Reverb G2), Oculus, Valve et HTC », ajoute l'entreprise.

Reste la question des performances. En l'état, Flight Simulator 2020 peine à tirer partie d'une configuration moderne haut de gamme et semble pénalisé par le fait de ne pas exploiter DirectX 12 et d'être très dépendant du CPU. 

Activer la VR revient à lancer le jeu sur deux écrans avec un rendu spécifique et plus gourmand, il faut donc s'attendre à ne pas atteindre les 60 ips à moins de réduire la qualité graphique. 

Espérons que 2021 sera l'occasion d'optimisations sérieuses sur ce point.

Microsoft et le monde de la tech entrent dans la bataille contre NSO GroupCrédits : BlackJack3D/iStock

La société israélienne NSO Group est surtout connue pour son logiciel Pegasus, utilisé pour pirater certains outils et applications. L’exemple le plus connu est WhatsApp. NSO Group avait réussi à créer un vecteur d’attaque redoutable : il suffisait d’appeler une personne, sur Android ou iOS, pour installer un malware, que l’appel soit décroché ou pas.

WhatsApp avait colmaté la brèche, et Facebook a attaqué NSO Group en justice dans la foulée. Ironie, Facebook avait tenté d'acheter Pegasus pour ses propres besoins.

Dans un billet au ton sévère, Tom Burt, en charge de la sécurité et de la confiance client chez Microsoft, qualifie l’entreprise israélienne de « cyber-mercenaires du 21e siècle ». Avec Cisco, GitHub, Google, LinkedIn, VMWare et l’Internet Association, elle entre dans la bataille avec un amicus commun.

Un amicus est un document qu’une personne morale ou physique peut remettre au tribunal au cours d’une procédure. Il n’a en tant que tel aucun pouvoir, car il représente seulement un avis.

Dans le cas d’un amicus commun cependant, les entreprises se déclarent prêtes à témoigner si nécessaire et à fournir toute expertise technique dont le tribunal pourrait avoir besoin. C’est aussi – et surtout – une manière de signaler au juge que la procédure de Facebook est largement soutenue.

Microsoft rappelle plus spécifiquement que Pegasus a permis l’infection de 1 400 appareils cette année, dont de nombreux journalistes et activistes, plus particulièrement le cas récent d’Al-Jazeera.

L’éditeur relève plusieurs sérieux problèmes dans le modèle commercial de NSO. D’une part, il n’y a aucune garantie que ces armes ne tomberont pas entre de mauvaises mains, sans même parler du type de gouvernement auquel les produits sont vendus.

D’autre part, les entreprises ne sont pas soumises aux mêmes contraintes que les gouvernements. Par exemple, ces derniers ont des agences responsables de la sécurité qui, le plus souvent, doivent avertir les éditeurs concernés que des failles ont été trouvées. Le cas des États-Unis est un peu trouble puisque la NSA s’occupe à la fois de l’attaque et de la défense.

Surtout, Microsoft estime que ces outils sont des menaces pour la vie privée et les droits de l’Homme. Même si l’objectif de NSO Group n’était pas de violer ces droits, les armes qu’il commercialise peuvent le faire, sans contrôle particulier.

Ce qu’aimerait l’entreprise ? Que les sociétés privées de sécurité comme NSO soient responsables devant toute loi enfreinte par leurs outils, sans pouvoir recevoir la moindre immunité.

Actuellement, la défense de la société israélienne consiste essentiellement à dire qu’elle se borne à commercialiser ces outils et qu’elle n’est en aucun cas responsable de l’utilisation qui en est faite.

Cloudflare se paie Linc (pas celui de la CNIL)

Linc est une plateforme « d'automatisation destinée à aider les développeurs front-end à collaborer et à créer des applications ». Rien à voir donc avec le Laboratoire d'Innovation Numérique de la CNIL.

Ce rachat s’inscrit dans la lignée de l’annonce récente des Pages. De plus amples détails sont donnés dans l'annonce de Cloudflare. Le montant de la transaction n’est pas précisé. 

Le Conseil d'État suspend l’utilisation de drones pour surveiller les manifestations

C’est une « victoire totale » pour la Quadrature du Net qui avait attaqué ces flottes policières devant le tribunal administratif de Paris : « Le Conseil d’État vient d’exiger que la préfecture de police de Paris cesse sa surveillance par drones des manifestations ».

LQDN rappelle que « la préfecture de police avait tenté, pour contourner l’interdiction faite par le Conseil d’État d’utiliser des drones, d’ajouter un dispositif de floutage par intelligence artificielle. Aujourd’hui, le Conseil d’État a entièrement rejeté cette tentative grotesque d’esquiver la loi. La préfecture de police est donc enjointe d’arrêter immédiatement le déploiement de drones en manifestation ».

Apple aurait commencé à livrer des iPhone « rootés » aux chercheurs en sécurité

La société a lancé cette année son Security Research Device Program, qui introduisait une nouveauté majeure : les chercheurs en sécurité qui en faisaient la demande pouvaient obtenir un iPhone rooté pour étudier son comportement, sans avoir à passer par des outils tiers non autorisés.

Le programme se paye à l’année, les iPhone modifiés devant être renvoyés à Apple si l’abonnement n’est pas renouvelé. Toute faille trouvée doit contractuellement être signalée à la Pomme, qui récompense ensuite financièrement le travail fourni via son programme de chasse aux bugs (bug bounty).

Notez que les chercheurs doivent posséder un compte développeur Apple et surtout être déjà reconnus, avec un historique de failles trouvées dans des systèmes d’exploitation, qu’ils soient d’Apple ou non.

Selon MacRumors, les livraisons vont commencer. Des chercheurs auraient reçu une notification indiquant qu’ils recevraient le précieux appareil dans les prochains jours.

Il s’agira probablement d’une étape majeure dans le renforcement de la sécurité de l’iPhone, et d’iOS plus généralement. Le comportement des failles, leur exploitation, le fonctionnement de certains malwares et autres sont des éléments complexes à analyser sans les bons outils. Le processus est plus simple quand l’entreprise les fournit.

Cisco, McAfee, Microsoft et 16 autres entités lancent la Ransomware Task Force

L’initiative a été lancée par l’Institute for Security and Technology (IST). Elle réunit des entreprises, experts gouvernementaux et en droit, associations, assurances en cybersécurité et organisations internationales.

Les membres fondateurs sont Aspen Digital, Citrix, The Cyber Threat Alliance, Cybereason, The CyberPeace Institute, The Cybersecurity Coalition, The Global Cyber Alliance, McAfee, Microsoft, Rapid7, Resilience, SecurityScorecard, Shadowserver Foundation, Stratigos Security, Team Cymru, Third Way, UT Austin Stauss Center, Venable LLP et l’Institute for Security and Technology.

Pour l’instant, on sait simplement que ces entités vont s’unir pour coordonner des efforts de lutte contre les ransomwares. Le détail n’est pas fourni, et le site officiel de la RTF ne sera mis en ligne que le mois prochain.

La France lancera un satellite d’observation militaire le 28 décembre

Ce sera le dixième et dernier lancement de l’année pour Arianespace, et le cinquième avec une fusée Soyouz. À son bord, on retrouvera le satellite CSO-2 (Composante spatiale optique) dont le décollage est prévu à 17h42, heure de Paris.

« Le satellite CSO-2 est le deuxième satellite dédié à l’observation militaire de la Composante Spatiale Optique (CSO), une constellation de trois satellites identiques placés sur des orbites polaires d’altitude différentes, et affectés à deux missions : reconnaissance pour CSO-1 et -3, et identification pour CSO-2 ».

Pour rappel, le programme CSO est le successeur des systèmes Hélios 1 et 2. « Plus agile et réactif que ses prédécesseurs, CSO permet de recueillir un plus grand nombre d’images d’une même zone géographique en un seul survol et délivre aux forces armées des images d’une qualité inédite », rappelle le ministère des Armées.

Vous n'avez pas encore de notification

Page d'accueil
Options d'affichage
Abonné
Actualités
Abonné
Des thèmes sont disponibles :
Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !