Le maillon faible...

[TCM]

 

Hyunkel va aimer le titre 

Je suis tombée sur cet article dans le cadre d'une recherche. Ce n'est pas vraiment une nouveauté puisqu'il date de l'été dernier mais il demeure intéressant... et amusant avec cette "souris de Troie".

L'histoire est classique : une société X engagée par une autre pour tester sa sécurité informatique. X tente donc d'infecter le réseau du client et y parvient -évidemment- grâce... au maillon faible, c'est à dire l'utilisateur final comme d'habitude 

Deux "pièges" y sont pointés :
- l'utilisation des réseaux sociaux. X aurait eu plus de difficultés si les employés du client n'avaient pas raconté sur Facebook quel logiciel de sécurité était utilisé par leur société...
- l'appât, l'attrait du gain, le goût du gadget. Une jolie 'tit' souris bien marketée et offerte en cadeau et ça n'a pas raté ; un employé la connecte ouvrant ainsi la porte au "pirate".

Pour le second point, je ne vais pas leur jeter la pierre : vous vous seriez méfié vous ?

Moralité : la guerre de Troie aura bien lieu mais ce ne sont pas que des chevaux dont il faut se méfier 

[AsteroHache]

Pour le second point, je ne vais pas leur jeter la pierre : vous vous seriez méfié vous ?

Personnellement, je n'aurais jamais fait confiance, voici ce qu'est devenue la dernière souris offerte:


Je blague, je serais bien sûr tombé aussi dans le piège...

Comme quoi, comme maman  disait ne jamais accepter un bonbon d'un inconnu, elle avait pas si tort... 

Ah les flibustiers ! 

 

[hyunkel30]

  yop,

La sécurité dans les entreprises est un vrai casse-tête ...

D'un côté tu veux protéger ton réseau et tes données, de l'autre, selon ton secteur d'activité, tu ne peux contraindre tes employés en bridant les connexions ou autre ...

Malgré tout, j'estime qu'une entreprise devrait mettre un point important sur l'information de ses employés sur tous ses risques, car le plus souvent, vous le faite remarquer, c'est l'utilisateur le problème ...

Bah en fait ... y'a pas que dans les entreprises 

[chantal11]

 

Bah en fait ... y'a pas que dans les entreprises 

Oui, c'est bien de le souligner .... tu te demandes si parfois l'internaute connaît le mot "Mise-à-jour" 

[Tawal]

Blup et Bonjour à vous toutes et tous

Personnellement, ce que j'en retiens :

• l'utilisation des réseaux sociaux se fait dans les deux sens : des informations sont divulguées par les uns et récupérées par les autres
• toute information publiée peut être utilisée, aussi anodine soit-elle !
• des listes de "clients types" sont en ventes (merci google, facebook, tweeter ect .. pour les sources/mines)
• l'éducation (voire la formation) des utilisateurs (privés ou d'entreprises) est extrêmement importante

Ce que j'en conclue :

• la prudence est plus que jamais de mise
• la sécurité informatique n'est que trop "superficielle", elle doit être intrinsèque (en cours d'évolution d'ailleurs)
• le maillon le plus faible sera toujours l'utilisateur

Bref, je serais tombé dans le panneau si la souris était meilleure que la mienne.
Désolé Chantal, ici ce n'est pas une question de mise à jour (mais c'est bien de le rappeler) mais de crédulité de l'utilisateur (on ne peut pas le blâmer quand même, l'affaire est rondement menée).

Je crois que c'est aux FAI de "former" ces clients à la sécurité et de les tenir au courant des risques/méthodes. Mais là, c'est un autre débat ...

Merci TCM de nous rappeler que nous sommes plus crédules que nous le pensons !

[chantal11]

Re,

Désolé Chantal, ici ce n'est pas une question de mise à jour

Ma réaction portait plus sur la réflexion de Huynkel "Bah en fait ... y'a pas que dans les entreprises".
Je ne sais si vous avez remarqué comme moi, que l'on a de plus en plus de PC "professionnels" à désinfecter et c'est vraiment très rare d'en trouver un à jour, mais alors côté particulier, ce n'est pas triste non plus !
Et on rejoint le thème de ce sujet ... en matière de sécurité, le maillon faible restera toujours l'interface chaise/clavier et ça ne va pas en s'arrangeant avec maintenant tous ces réseaux sociaux, où tout le monde raconte publiquement sa vie !

Je crois que c'est aux FAI de "former" ces clients à la sécurité et de les tenir au courant des risques/méthodes

Je ne suis pas trop d'accord avec toi quand on sait que les suites de sécurité proposées par les FAI sont souvent des passoires 

[hyunkel30]

  yop,

Donc ce serait à Renault, Peugeot et autre d'apprendre au gens à conduire ?
Ce serait au vendeur de couteau de t'apprendre à couper la viande et pas ton doigt ?

Arrêtons de chercher des coupables ou déresponsabiliser les gens, ils doivent être informé, oui, c'est sûr et cela demande beaucoup d'effort de la part de tous, état, média et acteurs du secteur, mais il faut aussi mettre les particuliers face à leurs responsabilités.

Tu donnes ton nom, prénom, âge, numéro de carte, téléphone et autre à une personne rencontrée dans la rue qui te dis : "je veux être ton ami!" ? 
Alors pourquoi le faire sur Facebook ?

Tu laisses ton enfant accepter des bonbons d'un inconnu ? Tu acceptes un sac "hermes" à 2€ en toute bonne fois ?
Alors pourquoi cliquer sur "j'accepte d'installer sans lire les conditions d'utilisation" ?

Il existe des associations, chez moi des cours gratuit ou à bas coût à une université populaire, des formations payées par les entreprises ou autre ... Des moyens, il y en a, mais beaucoup pense qu'Internet et l'informatique c'est merveilleux et sans danger ... et je parle même pas de la folie des smartphones ...

Soyons réaliste, le bon sens, ça s'apprend et ça se développe, mais à chacun de faire des efforts ! 

[igor51]

J'aurai branché la clé...et ça n'aurait rien fait ^^

Ce n'est pas au FAI d'éduquer les gens, il faut que les gens fassent l'effort de vouloir apprendre, c'est tout

[Tawal]

Blup,


En effet Igor, moi aussi j'aurai branché la souris, et pas d'effet !
Pourquoi ?
Bien parce que nous sommes tous deux sous Linux et que de nouveaux processus ne peuvent se lancer que par l'acceptation de l'administrateur (pourquoi accepter le processus alors que la souris marche !).
Je ne me trompe pas ?

Je revois ma position quant à l'éducation par les FAI sur la sécurité !
L'analogie de Hyunkel est très bonne : ce n'est pas aux constructeurs de voitures d'apprendre à conduire à leurs clients.
Je suis un tout nouveau internaute (depuis Mars de cette année) et je me suis intéressé à la sécurité dès mon branchement au réseau.
Oui, je vous rejoins toutes et tous sur vos propos : à chacun de faire les efforts pour maîtriser sa sécurité et de faire son choix.

Merci de vos éclairements

[igor51]

Je ne me trompe pas ?

Si un peu. Il y a sous Linux l'équivalent de l'autorun de Windows, donc il est possible de faire les mêmes attaques que sous Windows.

Bien parce que nous sommes tous deux sous Linux et que de nouveaux processus ne peuvent se lancer que par l'acceptation de l'administrateur (pourquoi accepter le processus alors que la souris marche !).

Heu ? En tant qu'utilisateur tu peux lancer firefox non ? Tu peux lancer Thunderbird ? un Shell ? et pour cela tu n'as pas besoin de te mettre su/sudo.

Chez moi cela ne fera rien car il y a des protections en plus .

[hyunkel30]

  ouais parce qu'Igor, il a un pitbull devant chaque port USB, alors gare aux doigts et aux souris ... 

  ... désolé ...

[Tawal]

Re,

Il y a sous Linux l'équivalent de l'autorun de Windows, donc il est possible de faire les mêmes attaques que sous Windows.

Justement, les autoruns sont désactivés chez moi (sous Linux et Windows d'ailleurs)

Heu ? En tant qu'utilisateur tu peux lancer firefox non ? Tu peux lancer Thunderbird ? un Shell ? et pour cela tu n'as pas besoin de te mettre su/sudo.

Dis moi si je me trompe mais apparmor fait le boulot dans ce cas non ? (s'il est bien configuré ).
De plus, pour empecher un trojan d'être actif (ou du moins le détecter), un serveur mandataire et un Squid sont de bons outils.

Merci de m'avoir rectifié

PS edit: @ Hyunkel, j'ai édité mon dernier post de mon exo en cours