Articles sur la sécurité informatique du CERN

189 Pages·2017·3.34 MB·French

by  Ioannis Georgopoulos

Articles sur la sécurité
informatique du CERN
Ecrit par l’équipe de sécurité informatique du CERN (http://cern.ch/security). Version d’août 2018.

This publication is released under a Creative Commons Attribution-NonCommercial-
ShareAlike 4.0 International License.
Sommaire
Sécurité des ordinateurs ........................................................................................................... 8
Pour l’éducation des utilisateurs (2018) ................................................................................. 8
Logiciels malveillants, rançongiciels, etc. (2018) .................................................................... 10
Gagner de l'argent avec la publicité (2018) ........................................................................... 11
« Doxware »: le nouveau rançongiciel (2018) ........................................................................ 12
Pourquoi vous avez un nouveau lecteur PDF (2017) .............................................................. 14
« WannaCry » ? Pensez aux patchs ! (2017) .......................................................................... 15
Attaque de point d'eau (2016) ............................................................................................. 16
Les grands moyens ? Un mal nécessaire... (2016) .................................................................. 17
Le DNS à la rescousse ! (2016) ............................................................................................. 18
Trucs de Noël pour votre sécurité (2016) .............................................................................. 19
Session ouverte, vie privée exposée (2016) .......................................................................... 19
Flash, le pire du pire (2016) ................................................................................................. 20
Rançongiciel — quand il est déjà trop tard... (2016) .............................................................. 20
Sécurité Mac — rien pour le passé (2016)............................................................................. 21
Clés USB, les tueurs silencieux (2015) ................................................................................... 22
Au revoir la sécurité sur Windows XP… Bienvenue aux virus ! (2014)...................................... 23
Agilité pour les ordinateurs (2014) ....................................................................................... 24
Ne mettez pas votre famille en danger (2013) ...................................................................... 25
Avez-vous reçu un appel de « Microsoft »? La façon sociale d'infecter votre PC (2012) ........... 27
Infecter Windows, Linux et Mac en une seule fois (2012) ...................................................... 27
Pris ! Les Macs ont perdu leur innocence (2012) ................................................................... 28
Vous avez trouvé une clé USB ? Allez-y, infectez votre PC ! (2012) ......................................... 29
Le premier virus PC fête ses 25 ans (2011) ............................................................................ 30
Sécurité des smartphones et du Cloud ..................................................................................... 31
Voyages : quelques recommandations (2017) ....................................................................... 31
Pokémon GO… Attention aux chausse-trapes ! (2016) ........................................................... 32
Je connais le moindre de vos déplacements... depuis toujours ! (2016) .................................. 33
Le talon d’Achille d’Android. Encore… (2016) ........................................................................ 34
Nouveaux capotages pour votre vie privée (2015)................................................................. 34
Le talon d’achille d’Android? (2015) ..................................................................................... 35
IT ou pas IT, telle est la question (2015)................................................................................ 36
Votre entrée dans le nuage peut se faire au prix de votre mot de passe (2014)....................... 37
Votre iPhone comme un « key-logger » (2014) ..................................................................... 38
2 | Pa ge
Sauvegardés et disparus... (2013)......................................................................................... 39
« Bring Your Own Disaster » (Apportez votre propre désastre) (2013) .................................... 40
Android est le nouveau Windows (2013) .............................................................................. 41
Prison ou « Prism » ? Vos données en garde à vue (2013)...................................................... 42
... et merci pour vos données mobiles ! (2012)...................................................................... 43
Une photo pour contrôler votre téléphone (2012) ................................................................ 44
Smartphone perdu — votre vie privée avec (2012) ............................................................... 45
Lorsque le « Lion » mange vos données (2012) ..................................................................... 46
Votre Android est-il fiévreux ? (2012) ................................................................................... 46
iPhones, Androids : l'histoire se répète (2011) ...................................................................... 47
Envoyez vos données dans le « Cloud » et faites-les ... se vaporiser (2011) ............................. 48
Sécurité du réseau et du centre de calcul ................................................................................. 50
Les failles Spectre et Meltdown (2018) ................................................................................. 50
Renforcer la détection des intrusions (2018)......................................................................... 51
Cyberattaques, aux grands maux les grands remèdes (2017) ................................................. 53
Match amical pour le CERN (2017) ....................................................................................... 54
Une attaque, plus de sécurité (2017).................................................................................... 55
Une surveillance transparente pour votre protection (2016) ................................................. 56
Prendre « Dirty Cow » par les cornes (2016) ......................................................................... 57
Pirater le CERN — tout le monde y gagne… (2015) ................................................................ 58
« HeartBleed », un désastre pour votre vie privée (2014) ...................................................... 59
Après « Prism » et « Tempora » : quel degré de surveillance est acceptable pour le CERN ?
(2013) ................................................................................................................................ 60
L'attrait pour le chiffrement sans fil (2013) ........................................................................... 62
Pourquoi j'aime les coupures de courant... (2012)................................................................. 63
Comptes et mots de passe ...................................................................................................... 64
Faux concours de mots de passe sécurisés (2018) ................................................................. 64
Faire confiance à sa mémoire ou à un gestionnaire numérique (2018) ................................... 65
Améliorez votre mot de passe (2016) ................................................................................... 66
Quelle est la valeur de votre mot de passe ? (2016) .............................................................. 68
Qui êtes-vous? (2016) ......................................................................................................... 69
La protection de votre vie privée au CERN est importante (2015)........................................... 70
Concours CERN de mots de passe sécurisés (2015) ............................................................... 71
Oups, qu'est-ce que cela ? (2015) ........................................................................................ 72
Ne copiez-collez pas les mots de passe (2014) ...................................................................... 73
Quand une personne part, les droits d'accès restent (2014) .................................................. 74
3 | Pa ge
Les maths à votre secours ! (2013) ....................................................................................... 75
Pas de certificat, pas de chocolat (2013) ............................................................................... 77
Ne me tentez pas! (2013) .................................................................................................... 78
Ne laissez pas Chrome exposer vos mots de passe (2013)...................................................... 79
Créativité@CERN (2013)...................................................................................................... 80
Entraînez votre cerveau : ne mettez pas votre mot de passe sur papier ! (2012) ..................... 81
1 000 mots de passe exposés, qu'en est-il du vôtre ? (2011) .................................................. 81
Les vacances approchent — Les mots de passe partent (2011) .............................................. 82
Qu'est-ce qu’une bonne brosse à dents, heu, mot de passe ? (2011)...................................... 83
Qu'est-ce que votre mot de passe et votre brosse à dents ont en commun ? (2011) ............... 84
Sécurité des courriels et des sites Web .................................................................................... 85
Un clic pour vous sensibiliser (2018)..................................................................................... 85
Curieux, prenez garde aux liens ! (2018) ............................................................................... 86
Le Higgs n’envoie pas de courriels (2017) ............................................................................. 87
Halte aux courriels indésirables! (2017) ................................................................................ 88
Un clic et patatras… (Encore) (2017)..................................................................................... 89
Protégez vos clics (2017) ..................................................................................................... 90
Nul ne peut se fier aux courriels et nous ne pouvons rien y faire (2016) ................................. 91
Censurer le web ? Pas au CERN (2016) ................................................................................. 94
« New_invoice.zip » (2015).................................................................................................. 94
Bien riposté, FP! (2015) ....................................................................................................... 96
« Conpherencing » — le nouveau « Phishing » (2014) ........................................................... 97
Jekyll ou Hyde ? Mieux vaut naviguer en toute sécurité (2013) .............................................. 98
Naviguer sur Internet : au revoir l'anonymat ! (2012) ............................................................ 99
Évitez les fuites de courrier (2012) ......................................................................................100
Ne détruisez pas votre web (2012) ......................................................................................101
Vous avez reçu une e-carte « Hallmark » ? Supprimez-la ! (2011) ..........................................102
Inutile, le chiffrement ?! (2011) ..........................................................................................102
Sécurité des systèmes de contrôle & IoT .................................................................................104
Souriez, vous êtes filmés! (2018).........................................................................................104
Objets connectés : les murs ont des oreilles (2017) ..............................................................105
IoT, des trésors caches (2017) .............................................................................................106
Protégez votre installation : un « jeu sérieux » sur la cybersécurité des systèmes de contrôle
(2015) ...............................................................................................................................107
Votre voiture, mes commandes (2015)................................................................................108
Paranoïa d'aujourd'hui, réalité de demain (2014).................................................................109
4 | Pa ge
Notre vie en symbiose (2014) .............................................................................................110
Les cyber-attaques et les risques pour le CERN (2013) ..........................................................112
Pirater les systèmes de contrôle, éteindre les lumières (2013) ..............................................113
Pirater les systèmes de contrôle, éteindre... les accélérateurs ? (2013) .................................114
Développement sécurisé de logiciels ......................................................................................116
Gitlab CI peut vous aider (2017) ..........................................................................................116
Responsabilité pour les logiciels (2016) ...............................................................................117
Meilleur code, moins de problèmes (2016) ..........................................................................118
SAHARA - la sécurité aussi élevée que raisonnablement possible (2015) ...............................119
Professionnalisme aussi pour la sécurité (2015) ...................................................................120
Votre code est-il sain ? (2015).............................................................................................121
Comment réussir le déploiement de logiciel (2014) ..............................................................121
Participez au challenge WhiteHat du CERN ! (2014) .............................................................123
Le marathon de la sécurité (2015) .......................................................................................124
Le marathon de la sécurité, partie 2 (2015) .........................................................................124
Améliorez les logiciels, mais évitez les gaffes ! (2014) ...........................................................125
Cessez de combattre seul, laissez la synergie gouverner ! (2013) ..........................................127
Pourquoi ne puis-je pas poursuivre en justice mon fournisseur de logiciels ? (2013) ..............128
Dressez votre défense : une base pour la sécurité (2011) .....................................................130
Ecrivez-vous du code sécurisé? (2011).................................................................................131
... Un exemple de code vulnérable (2011) ............................................................................132
Protection des données et de la vie privée ..............................................................................134
La sécurité informatique et votre vie privée (2017) ..............................................................134
La confidentialité est l'affaire de tous (2015) .......................................................................134
Imprimer en toute confidentialité (2015).............................................................................135
« 1984 », 30 ans après — à quel point Orwell avait-il vu juste ? (2014) ..................................136
Travailler sur des données sensibles dans un lieu public (2014) ............................................138
Bientôt une politique de protection des données pragmatique pour une Organisation ouverte
(2014) ...............................................................................................................................139
« Privé », c'est privé à quel point? (2014) ............................................................................140
PC publics : déconnectez-vous ou perdez tout (2013) ...........................................................140
Jouons à cache-cache! (2012) .............................................................................................141
Votre vie privée est primordiale ! (2012) .............................................................................142
« Clas-si-fié (/klasifje/) » — qu'est-ce que c'est ? (2012) .......................................................143
La protection des données pour tous (2012) ........................................................................144
Comment se débarrasser vraiment de données confidentielles ? (2012) ...............................145
5 | Pa ge
Classé confidentiel (2011)...................................................................................................146
La vie privée, qui s'en soucie ? (2011) ..................................................................................146
Droits d’auteurs.....................................................................................................................148
Musique, vidéos et risques (2018) .......................................................................................148
Télécharger des films illégalement n'est pas anodin (2015) ..................................................148
Supplique au Père Noël (2015)............................................................................................149
Avez-vous 30000 CHF à perdre ? (2015) ..............................................................................150
Protégez le CERN — respectez les droits d'auteur (2014)......................................................151
Pour une meilleure image de l'Organisation (2014) ..............................................................152
Mauvaises (Re)Présentations (2013) ...................................................................................153
Licences de logiciels : soyez honnêtes ! (2012) .....................................................................154
Règles et Politique du CERN ...................................................................................................155
Attention à la puissance de calcul (2018) .............................................................................155
Chers étudiants d'été (2018)...............................................................................................156
Règles informatiques : permis ou pas ? (2018) .....................................................................157
Etudiants d’été, attendez une minute! (2017) ......................................................................158
Abus virtuel, conséquences réelles (2017) ...........................................................................159
Du bon usage des ordinateurs publics (2017).......................................................................161
Etudiants d’été ? Quelques recommandations de bienvenue (2016) .....................................161
« Hello World! » — Bienvenue au CERN (2015) ....................................................................163
Au nom du CERN (2015) .....................................................................................................164
Publier à tort et à travers (2015) .........................................................................................165
Médias sociaux — les bonnes pratiques (2014) ....................................................................166
La bévue mise à nu (2013) ..................................................................................................167
La « sécurité », c'est VOUS! (2012) ......................................................................................168
Pourquoi la « sécurité » ce n'est pas MOI... (2012) ...............................................................168
La sécurité a besoin de vous (2010) .....................................................................................169
Divers ...................................................................................................................................171
Espace numérique et théorie du carreau cassé (2018)..........................................................171
Prenez-la au sérieux (2018) ................................................................................................172
Et dans la vie réelle ? (2017) ...............................................................................................173
A propos de problèmes de sécurité (2017) ..........................................................................174
WhiteHats au service du CERN (2016) .................................................................................175
Le dilemme de la défense fractale (2015) ............................................................................176
A Genève, en Suisse romande et au-delà (2014) ..................................................................178
6 | Pa ge
La fin du chiffrement (2014) ...............................................................................................179
Un Petit Conte du Mouton Noir de –ITÉ (2013) ....................................................................181
Le CERN : numériquement ouvert, aussi (2013) ...................................................................182
Sécurité contre nations : une bataille perdue ? (2013)..........................................................183
Bingo de sécurité (2011) .....................................................................................................185
Bingo de sécurité pour les paranoïaques (2011) ...................................................................186
Bingo de sécurité pour les administrateurs (2011) ...............................................................187
Contrôlez la sécurité informatique maintenant et régulièrement ! (2009) .............................188

7 | Pa ge
Sécurité des ordinateurs
Une vieille arnaque peut en cacher une nouvelle
[à publier]
L'argent a toujours attisé cupidité et malveillance. Parmi les moyens d’extorsion, le
chantage, qui remonte à l'Antiquité, est l’un des plus courants. Et il sévit également dans
le monde numérique, sous des formes très variées. Nous avons évoqué certaines d'entre
elles dans de précédents articles du Bulletin (« Logiciels malveillants, rançongiciels, «
doxwares » & Co »). Récemment, une vieille arnaque par courrier électronique est
réapparue, mais dans une nouvelle version, plus astucieuse, et donc potentiellement plus
crédible…
Un message reçu au CERN ou ailleurs prétend que votre ordinateur a été piraté et que celui-
ci est entièrement accessible. Cela ne semble pas impossible, car les ordinateurs présentent
toujours certaines failles qui n'ont pas encore été corrigées (par vous ou par le développeur
du système d'exploitation). « Entièrement accessible » signifie que le pirate a accès à tout
ce qui se trouve sur votre ordinateur : les documents stockés (photos, vidéos, relevés de
compte, etc.), la mémoire tampon de votre clavier, de sorte que toutes vos frappes – y
compris les mots de passe saisis – pourront être récupérées et enregistrées, votre écran et
tout ce qui s'y s'affiche, ainsi que le microphone et la caméra web connectés à l'ordinateur.
Dans ce dernier cas, le pirate aurait la possibilité d’espionner toutes les activités effectuées
autour de votre ordinateur (voir également notre article du Bulletin intitulé « Curieux,
prenez garde aux liens ! »). Et il pourrait ainsi vous faire de sales coups... En prétendant
détenir un enregistrement du streaming en direct de votre webcam au moment où votre
ordinateur accédait à des vidéos intimes et privées, le pirate peut vous menacer de publier
ces dernières à tous vos contacts enregistrés localement à moins que vous ne lui versiez
une rançon en bitcoins. Mais quelle est la nouveauté aujourd’hui ? Et bien le courriel
envoyé à la victime, non seulement fait état de cette menace, mais fait également
référence à un véritable mot de passe précédemment lié à son adresse électronique, ce qui
rend l'arnaque encore plus crédible !!!
Mais comment cela est-il possible ? Les mots de passe sont nécessaires à la protection de
vos données sur tout service web : les applications INDICO et EDH du CERN, Facebook,
Twitter, Amazon, etc. Ils sont toujours stockés en combinaison avec un identificateur (votre
adresse électronique) pour le service web en question – mais pas toujours d'une façon
parfaitement sûre. Au CERN, nous protégeons votre mot de passe conformément aux
bonnes pratiques, en le convertissant en une chaîne non récupérable (techniquement, on
procède à un « hachage salé »), mais il est possible que d'autres sites stockent votre mot
de passe sans cryptage, en texte clair. Si ces sites web sont infiltrés, tous les mots de passe
en texte clair seront révélés et l'accès à toutes les autres données ne sera plus du tout
protégé. À partir de là, toutes les données pourront être considérées à tort comme
publiques. Cela se produit bien plus souvent que vous ne l'imaginez
8 | Pa ge
(https://haveibeenpwned.com/). À chaque fois que l'équipe de la sécurité informatique du
CERN s'aperçoit qu'un mot de passe lié à votre adresse électronique du CERN ou à une
autre adresse enregistrée par le CERN n'est plus secret, elle vous tient immédiatement au
courant.
Par conséquent, si vous recevez un courriel frauduleux vous faisant du chantage, NE
PANIQUEZ PAS ! Et ne payez aucune rançon ! La seule chose que vous devez faire est de
changer le mot de passe révélé dans le courriel (du moins si vous savez à quel compte il est
associé). Envisagez la fermeture du compte en question. Pour être plus proactif, rappelez-
vous les principes de base qui vous permettent de protéger votre vie numérique :
maintenez toujours à jour vos appareils en utilisant la fonction de mise à jour automatique
de votre système d'exploitation (« WannaCry ? Pensez aux patchs ! ») ; choisissez des mots
de passe complexes et/ou longs et gardez-les pour vous (« Faux concours CERN de mots de
passe sécurisés ») ; utilisez des mots de passe différents pour des sites différents et des
usages différents ; et ne cliquez pas sur des liens dans des courriels ou sur des pages web
qui n'inspirent pas confiance ou qui vous semblent louches (« Un clic pour vous
sensibiliser ») !
Pour l’éducation des utilisateurs (2018)
https://home.cern/fr/cern-people/updates/2017/03/computer-security-stepping-user-education
Au fil des ans, nous avons essayé de vous sensibiliser aux problèmes liés à la sécurité informatique,
et ce, de différentes manières : posters, vidéos, cours, présentations, rapports mensuels et articles
dans le Bulletin. Nous aimerions maintenant aller un peu plus loin et mettre en place une
rétroaction haptique en cas d’action contraire à la sécurité, grâce au clavier à rétroaction (« Digital
Feedback Keyboard », DFK).
De nos jours, l’utilisation d’un ordinateur ne va pas sans risque. Naviguer sur une page web
douteuse, ouvrir un fichier joint malveillant ou télécharger un module d’extension ou un logiciel
corrompu peut rapidement infecter votre ordinateur, détruire ses systèmes de protection et laisser
complètement sans protection votre travail et vos données, et par voie de conséquence le CERN
(voir les articles « Attaques de point d'eau » et « Un clic et patatras »). Le pirate qui « s’empare »
de votre ordinateur a également accès à votre compte informatique. En effet, généralement il
installe dans votre ordinateur un programme malveillant, qui enregistre la moindre de vos frappes
(y compris le mot de passe de votre compte), permet de vous espionner via votre webcam ou votre
microphone, fouille votre disque dur à la recherche de documents intéressants, et, cerise sur le
gâteau, essaye parfois de vous extorquer de l’argent (« Rançongiciel - Quand il est déjà trop tard »).
Il est souvent difficile d’avoir le bon réflexe, et de réfléchir avant de cliquer. Les personnes qui
utiliseront ces nouveaux claviers à rétroaction recevront directement, via une série de petites
électrodes intégrées dans les touches, des signaux d’alerte lorsqu’une action n’est pas sûre. Les
électrodes enverront une petite décharge de quelques volts à chaque action potentiellement
dangereuse (ouvrir un fichier joint infecté, taper son mot de passe CERN sur une page web
n’appartenant pas au CERN, ou naviguer sur une page web suspecte). Des tensions plus élevées
pourront être appliquées lors de l’ouverture d’applications qui contreviennent directement aux
règles informatiques du CERN ou sont illégales, comme c’est le cas des logiciels utilisant des licences
piratées ( « Avez-vous 30 000 CHF à perdre? ») ou portant atteinte aux droits d’auteur (« Protégez
9 | Pa ge
le CERN – Respectez les droits d’auteur »).Au bout d’un moment, la rétroaction électrique vous aura
appris à intégrer le principe « réfléchir avant de cliquer »! « En gros, c’est le même principe que les
clôtures électrifiées qui sont dissuasives pour les vaches », explique Chris Lloyd de l’équipe des
achats informatiques.
Une première phase pilote débutera le 1er avril, avec une centaine de membres du personnel
choisis au hasard. D’autres services ayant déjà fait savoir qu’ils étaient intéressés pour une
utilisation spécifique (e-Learning, évaluations MERIT, achats onéreux), la phase pilote pourrait
rapidement être étendue à tout le CERN. Le service des achats du CERN et le département IT
étudient actuellement la logistique qui permettrait de distribuer les claviers à rétroaction à chaque
membre du personnel. Si vous préférez ne pas participer à cette phase pilote, commencez dès
maintenant à mettre en pratique le principe « réfléchir avant de cliquer ». Soyez vigilants quand
vous recevez un courriel étrange (« Comment identifier des courriels malicieux »), et ne cliquez pas
sur des liens douteux par simple curiosité. Réfléchissez avant.

Logiciels malveillants, rançongiciels, etc. (2018)
https://home.cern/fr/cern-people/updates/2018/03/computer-security-malware-ransomware-
doxware-and
Au siècle dernier, il était facile de préserver la sécurité informatique. Le danger était à l’époque
limité à la possibilité que des personnes utilisent un ordinateur pour diffuser des fichiers ou, au
pire, les effacer. Mais la situation a évolué depuis. Aujourd’hui, votre ordinateur et votre
smartphone sont des éléments essentiels de votre vie et des personnes mal intentionnées sont aux
aguets, prêtes à les prendre en otage pour vous extorquer de l’argent.
Le monde a changé. Les agresseurs d’aujourd’hui ne sont plus des hackeurs en herbe qui se cachent
dans leur chambre, comme le suggère Hollywood. Le film « WarGames » est totalement dépassé.
Des entreprises illégales, avec une structure rappelant celle de la Mafia, les ont remplacés. Leurs
différentes activités (direction, attaques contre les utilisateurs finaux, exploitation informatique,
chantage et exfiltration d’argent) sont séparées, et certaines parfois sous-traitées à des entités plus
petites ou simplement achetées à des tierces parties. Voici comment peuvent se dérouler leurs
opérations:
1. Des experts sans scrupules créent des logiciels malveillants pour exploiter des failles encore
inconnues dans votre système d’exploitation ou votre application préférés ;
2. D’autres établissent des listes d’adresses électroniques auxquelles ils envoient un logiciel
malveillant en pièce jointe (par exemple sous la forme d’un document PDF ou Microsoft
Office infecté). Ils effectuent aussi des campagnes par e-mail où il est demandé aux
destinataires de cliquer sur un lien malicieux (voir notre article du Bulletin « Protégez vos
clics »). Le site web rattaché à ce lien a déjà été compromis par d’autres malfaiteurs, qui
ont réussi à y installer des logiciels malveillants (comme de fausses publicités) ;
3. Le logiciel malveillant n’est que le véhicule. Les responsables de ces entreprises illégales
décident ensuite de l’étape suivante : lancer un rançongiciel, un « doxware », ou
simplement semer la pagaille 1 . S’il s’agit d’argent, les malfaiteurs fournissent

1 Si vous êtes perdu, cet article pourra vous être utile :
10 | Pa ge