Prospective

4ème Forum International sur la Cybercriminalité – Un bilan

Le 4^ème Forum International sur la Cybercriminalité qui s’est déroulé les 31 mars et 1^er avril 2010 a tenu ses promesses, avec plus de 2200 participants, des dizaines d’exposants, 30 ateliers et conférences pour répondre aux attentes de tous. La reprise assez importante par la presse de cet événement dénote l’intérêt du grand public pour une plus grande sensibilisation sur ces sujets. La présence nombreuse de nos interlocuteurs dans les entreprises, régionales ou nationales montre aussi une véritable préoccupation.

Un public nombreux à l'ouverture du FIC 2010

Le FIC est aussi devenu un véritable événement Européen et International avec la présence de nos partenaires de dizaines de pays. J’ai ainsi pu rencontrer les collègues que j’y côtoie habituellement (Belges, Anglais, Allemands, …), mais par exemple un camarade de la gendarmerie royale du Maroc ou écouter l’exposé de Mohamed Chawki (Conseil d’Etat, Egypte) nous exposer la situation dans son pays et ailleurs en Afrique en matière de législation contre la cybercriminalité.

Dans quelques jours, les photos et les compte-rendus des ateliers seront disponibles sur le site de la conférence.

Guides contre la cybercriminalité

Deux guides qui ont beaucoup contribué au succès du FIC ont été publiés dans une nouvelle édition, chacun à destination d’un public différent.

Le guide pratique du chef d’entreprise face au risque numérique (4° éd.)

Rédigé avec le soutien du Clusif et de l’association S@ntinel, ainsi que de nombreux partenaires publics et privés. Le guide est organisé en deux grands chapitres:

Douze études de cas (La divulgation de savoir-faire, Le vol d’ordinateur portable ou de PDA, La défiguration de site Web,…)
Les recommandations des institutions.

Il a été distribué au cours du salon et sera disponible en téléchargement très bientôt sur le site du FIC (mais on le trouve déjà en cherchant bien…). Indispensable !

Cybercrimin@lité, réflexes et bonnes pratiques (2° éd.)

Plus discret, car destiné au public des enquêteurs et des magistrats, ce guide en est déjà à sa deuxième édition. Il a été rédigé sous la houlette d’un comité rédactionnel régional trans-frontière: Eric Absil (RCCU Charleroi), David Cassel (NTECH à Arras), Serge Houtain (RCCU Tournai) et Laurent Frappart (NTECH à Arras) et le nombre de contributeurs est particulièrement nombreux.

Ce guide est organisé en cinq grandes parties:

Un chapitre d’introduction et de définitions
Vecteurs et supports de la cybercriminalité
Les constatations dans l’espace virtuel
Les cadres légaux belge et français
11 fiches réflexes

Bilan des conférences et ateliers

Tout d’abord un coup de chapeau à mes camarades de la Région de gendarmerie Nord Pas de Calais et à tous leurs partenaires pour la réussite de cet événement ! Je n’ai malheureusement pas pu assister à beaucoup des conférences et ateliers, mais un sujet était très présent cette année, jusque dans les conclusions du Général d’armée Marc Watin-Auguouard, la cyberdéfense.

La France et l’Europe sont-elles prêtes dans la lutte contre les nouvelles formes de conflit sur les réseaux et les risques les plus graves contre nos infrastructures vitales ? Le bilan de la table ronde dédiée à ce sujet est positif, même s’il reste des efforts à faire, notamment en termes de connaissance du dispositif par l’ensemble des acteurs concernés (comme le portail officiel sur la sécurité informatique).

A titre personnel j’indiquerais qu’il faut peut-être encore plus décloisonner les interactions public-privé (les partenariats public-privé dans la cyberdéfense étaient le thème de cette table ronde). On sent en effet, malgré les ouvertures et les projets communs qu’il manque une fluidité dans la circulation de l’information. Les OzSSI (observatoires zonaux de la sécurité des systèmes d’information) sont un outil de ce décloisonnement, peut-être faut-il attendre maintenant des entreprises qu’elles partagent plus facilement l’information, notamment au sein d’un même secteur économique, pour être ensemble mieux préparées aux risques.

Rendez-vous en 2011 !

Conférence de presse d’Action Innocence

L’association Action Innocence ouvrait cette année, le lundi 22 mars 2010, par une conférence de presse et un déjeuner avec l’ensemble de ses partenaires. Ce fut l’occasion de faire le point sur l’ensemble des actions de l’association, notamment en partenariat – en France, mais aussi dans d’autres pays Européens – avec les services de police chargés de la protection de l’enfance sur Internet.

Ainsi, Action Innocence a repris le flambeau depuis quelques années du développement d’une application permettant l’identification des internautes qui sont suspectés de diffuser sur les réseaux pair à pair (P2P) des contenus à caractère pédopornographique, le logiciel Antipedofiles – P2P. Il est exploité en France par la division de lutte contre la cybercriminalité (DLCC) du service technique de recherches judiciaires et de documentation (STRJD) de la gendarmerie nationale à Rosny-sous-Bois.

Enfin, cette journée fut l’occasion d’inaugurer officiellement la nouvelle plateforme de prévention à destination des jeunes de 9 à 12 ans: Netcity.org. Disponible en 3 langues – français, allemand et italien – il permet aux jeunes internautes de découvrir les risques de l’Internet qui les concernent et les moyens de s’en prémunir. Sous la forme d’un jeu interactif, il permet aussi aux parents d’entamer le dialogue avec leurs enfants et peut-être d’être sensibilisés à leur tour.

23 mars 2010 by Éric Freyssinet Cybercriminalité Prospective 1

Programme détaillé du FIC 2010

Le programme détaillé du 4^ème forum international sur la cybercriminalité 2010 est en ligne sur le site de la conférence. On y trouve notamment l’ensemble des intervenants qui ont accepté de participer aux différents ateliers ainsi que les horaires précis. Je rappelle que le FIC 2010 a lieu les 31 mars et 1^er avril prochains à Lille, Grand Palais.

Vous pouvez aussi télécharger le planning à conserver dans sa poche pour aller facilement d’une conférence à une autre.

Trois pôles d’ateliers et de conférences:

Justice, sécurité, défense ;
Entreprises ;
Collectivités.

J’interviendrai pour ma part dans la table ronde de clôture « Droit à l’oubli sur le Web : ultime protection de l’identité numérique » aux côtés de Mes. Blandine Poidevin et Martine Ricouart-Maillet, MM. les sénateurs Yves Detraigne et Alex Türk.

16 mars 2010 by Éric Freyssinet Cybercriminalité Prospective Sécurité 0

Quelques conférences cyber des semaines à venir

Conseil de l'Europe (GNU FDL)

Je vous propose quelques informations sur des conférences en rapport avec la cybercriminalité au cours des semaines à venir en France :

16 mars 2010, JSSI Journée sécurité des systèmes d’information 2010, OSSIR, programme
23 au 25 mars 2010, Conférence Octopus 2010, Conseil de l’Europe (Strasbourg), programme
31 mars et 01 avril 2010, FIC 4ème Forum international sur la cybercriminalité, Lille, programme
09 au 11 juin 2010, SSTIC Symposium sur la sécurité des technologies de l’information et des communications 2010, programme

27 février 2010 by Éric Freyssinet Cybercriminalité Prospective 0

Panorama Cybercriminalité 2009 du CLUSIF

Le CLUSIF présentait mercredi 13 janvier 2010 son panorama 2010 sur la cybercriminalité. Je n’étais pas sur la scène cette année, en effet nous avions invité Isabelle Ouellet de la Sûreté du Québec pour représenter les services d’enquête. A noter enfin les travaux présentés par François Paget sur une société Ukrainienne.

La présentation est disponible en téléchargement sur le site du Clusif et la vidéo le sera d’ici quelques jours.

Comme chaque année, il s’agit d’offrir un regard sur les événements de l’année passée en matière de cybercriminalité et de sécurité des systèmes d’information et d’envisager leur impact sur la France en particulier pour l’année ou les années à venir. L’ensemble des membres du groupe de travail ont alternativement pointé des faits d’actuailité de 2009 qui leur semblaient importants, en ont discuté, et ensuite un certain nombre d’entre nous ont été choisis pour les présenter. Le travail s’est donc enrichi cette année par l’apport de personnalités étrangères (notamment canadienne et roumaine) et par un rallongement de la présentation pour intégrer les risques numériques.

En italique mes commentaires personnels éventuels.

Sécurité du GSM: Alain THIVILLON (Consultant chez HSC) a présenté les risques autour de la confidentialité des communications GSM qui ont été dévoilés cette année. Une raison de plus de s’intéresser en 2010 aux risques inhérents aux terminaux mobiles (systèmes d’exploitation plus ouverts, logiciels malveillants, connexion permanente…).
Services généraux sur IP: sécurité périmétrique ou incendie, réseaux de commande industrielle, gestion de l’alimentation électrique, etc., l’ensemble des services généraux basculent dans le monde IP et il devient de plus en plus criant que la sécurité de ces services contre les atteintes classiquement rencontrées dans les réseaux IP n’est pas prise en compte. La présentation reprend des cas concrets d’atteintes à des systèmes de vidéo surveillance notamment.
Câbles et ruptures de service: Pascal LOINTIER (Président CLUSIF) reprend alors la parole pour rappeler les différents incidents survenus en 2009 sur des infrastructures de réseau ou d’énergie transcontinentales ou locales. Il conclut sur la nécessité de toujours prévoir une double adduction sur les sites critiques.
Cloud computing: Les offres d’hébergement mutualisé « dans le nuage » ont de plus en plus de succès, qu’il s’agisse de gestion complète de son courrier électronique, de son back office ou de sa présence commerciale. Le but de cette évocation est de rappeler qu’il s’agira toujours d’hébergement physique avec les risques inhérents et qu’il faudra toujours y regarder de près quant au lieu de stockage des données (risques juridiques et sécuritaires) ou aux garanties de reprise d’activité: la délégation de la sécurité ne veut pas dire sécurité absolue.
ANSSI – retour d’expérience sur une attaque en déni de service: après avoir présenté la nouvelle agence créée en juillet 2009, qu’il a rejointe à ce moment-là pour diriger le CERTA, Franck VEYSSET est revenu sur les enseignements de la gestion d’une attaque en déni de service contre un serveur Web de l’administration. L’impact sur l’ensemble des services de messagerie ou même d’accès Internet a été immédiat et la réponse a été tant technique que judiciaire. Ainsi, des règles de routage (blackholing) ont permis au bout de quelques heures de diminuer l’impact et l’enquête judiciaire a conduit dans les jours suivants à la saisie d’ordinateurs qui servaient en France – à leur insu – à relayer cette attaque. Virut semblerait être le logiciel malveillant exploité pour exercer cette attaque.
Réseaux sociaux, menaces opportunités et convergence: Yann LE BEL (SNCF). On ne peut plus en douter aujourd’hui, au-delà de leur usage classique, les réseaux sociaux sont le lieu de tous les phénomènes sécuritaires des années à venir (gestion des conflits sociaux, communication des groupes criminels, rencontre avec les victimes, atteinte à l’image ou à la vie privée, diffusion de logiciels malveillants et autres méthodes d’escroquerie, etc.). 2010 devrait confirmer cette tendance et on peut parier sur une explosion de l’actualité sécuritaire autour des réseaux sociaux.
Carte bancaire: Fabien DAVID (Telindus), la carte bancaire est l’objet de toutes les attentions en 2009. La carte à puce EMV n’est toujours pas universelle, le modèle de sécurité PCI est discuté, les malwares apparaissent sur les guichets automatiques de banque et certains schémas ne résistent pas au passage à l’an 2010… Beaucoup de travail en vue pour les spécialistes.
Web 2.0, le 5ème pouvoir: Isabelle OUELLET (Sûreté du Québec) questionne l’impact du WEB 2.0 sur la société et l’émergence d’un cinquième pouvoir qui vient remettre en cause le pouvoir des médias, des gouvernements, et notamment des services de police. Sont cités notamment des cas de justice populaire numérique.

Une entreprise criminelle au microscope

Petite particularité pour cette année avec la présentation de François PAGET (McAFEE Labs) des résultats de ses recherches (avec un autre expert Dirk KOLLBERG) sur une entreprise ukrainienne aux activités manifestement douteuses et parfois illégales.

I[…] – et les sociétés qui lui sont directement liées (I[…], V[…], W[…], K[…], …) – produit notamment des faux antivirus et autres spywares ou scarewares (voir par exemple cet article sur Wikipédia). Pendant plusieurs mois ces experts ont amassé des dizaines de gigaoctets de documents sur les activités de cette société et exploré sa présence sur les réseaux sociaux.

Les enseignements: cette société a pignon sur rue, est organisée comme n’importe quelle SSII, recrute dans les grandes universités ukrainiennes (et certains de ses anciens employés sont maintenant dans de grands groupes internationaux) et elle réalise un chiffre d’affaires ahurissant (180 millions de dollars en un an). Elle dispose même d’un support technique pour ses clients malheureux, destiné à les arnaquer dans la durée !

Affaire à suivre donc !

Enquête sinistralité

Dans l’actualité du CLUSIF, le lancement de son enquête 2010 sur la sinistralité. L’enquête se déroulera au cours des six semaines à venir auprès des grandes entreprises et des administrations. A partir de mars, un groupe de travail étudiera les résultats de cette enquête.

16 janvier 2010 by Éric Freyssinet Cybercriminalité Prospective Sécurité 2

Conférences cyber des semaines à venir

Quelques conférences cyber des semaines à venir :

Demain, 13/01/2010, 15h, Cercle national des armées, Panorama de la Cybercriminalité – Bilan de l’année 2009, CLUSIF – Club de la sécurité de l’information français ;
04/02/2010, 9h à 17h15, ISEP, Université des correspondants informatiques et libertés (CIL), AFCDP – Association française des correspondants aux données personnelles ;
31/03 et 01/04/2010, Lille Grand Palais, 4ème Forum international sur la cybercriminalité, Gendarmerie nationale, avec le soutien financier de la Commission Européenne.

N’hésitez notamment pas à vous inscrire nombreux au FIC 2010.

12 janvier 2010 by Éric Freyssinet Cybercriminalité Prospective Sécurité 1

26C3 – Conférence du CCC à Berlin (4 et fin)

Le 26C3 s’est donc terminé mercredi par un certain nombre de présentations intéressantes:

Mercredi

Mathias Payer, « SecuBT: Hacking the hackers with user-space virtualisation« , une plate-forme de virtualisation destinée à sécuriser l’exécution de code suspect (page Web du projet).
hunz, « Finding the key in the haystack: a practical guide to differential power analysis« , une présentation didactique sur les méthodes d’attaque des implémentations de chiffrement par analyse différentielle de la consommation.

Voilà ce que j’ai pu noter pendant ces quatre jours de présentations accessibles en ligne. Les ateliers et autres événements auxquels ne pouvaient évidemment accéder que les personnes présentes sur place diffusent quand même un certain nombre d’informations.

Enfin, vous pouvez visualiser les présentations diffusées maintenant sur CCC-TV. Cet article clôture donc ma revue du 26C3.

4 janvier 2010 by Éric Freyssinet Prospective Sécurité 2

Bonne année 2010 !

Que tous vos vœux se réalisent.

http://www.flickr.com/photos/queen_of_scum/ / CC BY-NC 2.0

1 janvier 2010 by Éric Freyssinet Actualité judiciaire Criminalistique numérique Cybercriminalité Juridique Prospective Sécurité 0

26C3 – Conférence du CCC à Berlin (3)

Troisième jour de cette conférence et la sélection que je vous en propose.

Mardi

Erik Tews, « DECT (part II), what has changed in DECT security after one year« . Auteur d’attaques contre WPA/TKIP (voir cet article), Erik Tews faisait le point (avec Karsten Nohl) une année après une présentation faite au 25C3 sur les défauts de sécurité du chiffrement DSC et DSAA utilisés par le standard de communication sans fil DECT (http://www.dedected.org/). Cette année, ils exposent des scénarios d’attaque contre DSC et le DECT Forum a d’ailleurs annoncé par avance un certain nombre d’évolutions à venir dans le standard.
Andrew Strutt (rodent) et DaBeave, « DDoS/botnet mitigation & hosting online communities« , sur l’impact des Botnets sur les communautés en ligne. En réalité une présentation très concrète sur la façon de sécuriser un serveur de communauté en ligne (forums Web, serveur IRC, etc…) contre les attaques typiques que peuvent créer les botnets et autres sources de problèmes.
Harald Welte, « Using OpenBSC for fuzzing of GSM handsets« , sur le développement d’OpenBSC, les découvertes sur les difficultés des implémentations des protocoles du GSM et les potentialités en termes d’expérimentation de sécurité.
Steven J. Murdoch, « Optimised to fail« , sur la sécurité des lecteurs de carte bancaire anglais destinés au commerce ou à la banque en ligne. Il propose un certain nombre de pistes d’amélioration.
Moti Yung, « Yes we can’t ! On kleptography and cryptovirology« , sur les diverses utilisations des techniques de chiffrement par les logiciels malveillants. Site web sur la cryptovirologie.
Dan Kaminsky, met en évidence dans sa présentation « Black Ops of PKI » un certain nombre de défauts dans les procédures prévues par le protocole X509 sous-jacent dans la gestion des infrastructures de gestion de clés publiques. Notamment le fait que sur Internet il existe une égalité de fait des autorités de certification, que la délivrance de certificats est le plus souvent basée sur le protocole DNS (très critiqué par Kaminsky), etc. Il passe notamment un certain temps à montrer les problèmes d’implémentation liés à l’encodage ASN.1 utilisé dans les certifications X509 (par Internet Explorer notamment, mais sans préciser la version). Il finit par une promotion appuyée de DNSSEC (par ici, un commentaire d’Ivan Ristić sur cette prestation). Pas très neuf au final, déjà développé par Kaminsky à Black Hat USA 2009, Toorcon, et peut-être à d’autres conférences.

Using OpenBSC for fuzzing of GSM handsets

31 décembre 2009 by Éric Freyssinet Prospective Sécurité 1

26C3 – Conférence du CCC à Berlin (2)

… suite du suivi des présentations intéressantes du 26C3 (vues en vidéo par Internet, les commentaires de personnes qui sont effectivement à Berlin sont les bienvenus) :

Lundi

Michael Brennan a exposé ses travaux à l’université de Drexel sur la « Stylométrie ». Il s’agit de l’attribution d’un texte à un auteur à partir de son étude linguistique. La présentation portait aussi sur les impacts de ces méthodes en matière de vie privée: peut-on se faire passer pour un auteur, peut-on détecter un pastiche, peut-on cacher son style ?
Un français, Sébastien Bourdeauducq (alias lekernel), a présenté son travail sur la plateforme Milkymist de synthèse d’effets spéciaux visuels. Il s’agit de développements réalisés sur un circuit logique programmable FPGA, en licence opensource.
Collin Mulliner, « Fuzzing the phone in your phone » (déjà présenté au Black Hat USA 2009), travail conjoint avec Charlie Miller. Il s’agit d’insérer des SMS dans le téléphone mobile comme s’il les recevait du réseau (via la connexion modem du terminal) pour tester différentes hypothèses et concevoir des attaques par SMS (attaque en déni de service contre l’IPhone, Android ou Windows Mobile) et surtout permet de détecter des bugs dans les téléphones.
FX de l’équipe Phenoelit présente des travaux sur la protection contre les attaques basées sur du contenu riche sur Internet (il a étudié les animations Flash malveillantes). Il s’agit de tester les applications Flash avant leur exécution. On peut trouver de l’information sur ce projet sur son site et ici un lien vers un article qui rend compte de cette présentation.
Henryk Plötz et Karsten Nohl, ont renouvelé l’attaque qui avait défrayé la chronique sur la classe de produits Mifare Classic il y a deux ans, mais cette fois sur Legic Prime, un produit de contrôle d’accès sans contact d’origine Suisse. Ils avertissent que cela ne concerne pas pour l’instant les nouveaux produits de cette société (Legic Advant). Un autre article qui rend compte de cette présentation ici.
Sous le pseudo nibbler, une présentation intitulée « Haste ma’n netblock« , au sujet de la récupération légale (ou non) des blocs d’adresses IPv4 alloués mais non utilisés…
Philippe Langlois et Vanessa Brunet, dans « SCCP hacking, attacking the SS7 & SIGTRAN applications one step further and mapping the phone system« , sujet déjà présenté ce mois-ci à Sao Paulo. Y sont présentés différentes vulnérabilités, possibilités d’attaques et solutions de sécurisation des réseaux de téléponie modernes.

A noter que les vidéos officielles sont maintenant disponibles.

30 décembre 2009 by Éric Freyssinet Prospective Sécurité 1