Parce que… c’est l’épisode 0x00D!

Shameless plug

Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Mise en contexte et annonces

L’épisode se déroule toujours en pleine pandémie, alors que le confinement se poursuit. Les vaccins commencent à arriver, mais les mesures d’hygiène publique, la distanciation et le port du masque demeurent essentiels pour espérer un été plus libre. Nicolas profite de l’occasion pour mentionner le SECU de Québec numérique, un événement de sécurité prévu le 15 avril, ainsi que le lancement d’un nouveau podcast nommé Incidence, animé par Virginie, qui creuse divers sujets avec un regard critique.

Avant d’aborder les sujets principaux, Vincent partage que ses parents, âgés de plus de 75 ans, sont vaccinés depuis quelques semaines. Sa mère voit déjà la lumière au bout du tunnel tandis que son père n’a ressenti aucun effet secondaire.

Le suivi de l’affaire Clearview AI

Vincent revient sur le dossier de Clearview AI, cette entreprise d’origine canadienne ayant développé un logiciel de reconnaissance faciale. La compagnie avait constitué une vaste banque de données à partir de photos provenant des réseaux sociaux, sans le consentement des personnes concernées. La GRC avait utilisé leurs services dans quelques dossiers de personnes disparues, avec des résultats assez limités.

Une photographe professionnelle avait menacé de poursuivre l’entreprise, estimant que ses photos protégées par des droits d’auteur avaient été récupérées sans autorisation. Clearview AI a depuis établi son siège social aux États-Unis, où les lois sont plus clémentes en la matière.

Récemment, le Commissariat à l’éthique du Canada et celui de l’Alberta ont déposé une opinion concluant que les pratiques de Clearview AI sont contraires au code d’éthique. Cette décision pourrait fournir des munitions aux autorités de la justice pour entreprendre des enquêtes et porter des accusations si des personnes ont subi un dommage.

Nicolas et Vincent discutent ensuite du débat éthique entourant l’usage des photos publiques. Ils soulignent la tension entre l’utilité pour les corps policiers et l’invasion de vie privée subie par les citoyens, devenus participants involontaires à cette expérience.

Le droit d’avoir des secrets

Vincent s’attaque à l’argument classique de ceux qui prétendent n’avoir rien à cacher. Il rappelle que se sentir libre, c’est justement avoir le droit de posséder des secrets, un droit acquis essentiel au bien-être et à la conscience de chacun. Il existe aussi un droit à la vie publique, pour les informations que l’on préfère dévoiler.

Il rejette également l’argument selon lequel la reconnaissance faciale pourrait facilement disculper une personne innocente. Une telle disculpation reposerait sur des données obtenues sans consentement. Chacun doit demeurer maître de sa propre protection et conserver le jugement sur les gestes qui le protègent.

Fuites de données et importance du MFA

Les brèches de sécurité révèlent que les éléments les plus fréquemment dérobés demeurent les comptes usagers et les mots de passe. Cette réalité souligne l’importance cruciale de l’authentification multifacteur dans les vies personnelle et professionnelle, d’autant plus que les fournisseurs comme Facebook, Google et Microsoft offrent tous les outils nécessaires à cette protection.

Vincent propose une analogie avec l’automobile. La voiture représente une cage d’acier, le premier facteur de protection, et la ceinture de sécurité constitue le second facteur. Le MFA fonctionne de la même manière en ajoutant une couche de protection parmi des milliards d’usagers infonuagiques.

Nicolas précise que la ceinture ne se porte pas pour éviter une contravention, mais bien pour se protéger lors d’un accident imprévu. De même, le MFA protège contre le vol de comptes, dont les informations mènent souvent à l’argent. Vincent ajoute qu’une victime de vol à domicile qui n’aurait pas verrouillé ses portes pourrait voir sa prime d’assurance augmenter. Nicolas observe que les assureurs cyber exigent désormais des tests de sécurité avant d’assurer des systèmes, ce qui réduit les primes des compagnies ayant une bonne hygiène de sécurité.

Bonnes pratiques en infonuagique

Nicolas s’adresse aux compagnies qui n’ont pas encore fait le saut vers le nuage ou qui possèdent une maturité limitée. Il est essentiel de bien connaître son fournisseur et ses mesures de sécurité, notamment en vérifiant les audits comme les SSAE 18, les SOC 2 ou les certifications ISO.

Il rappelle le modèle de responsabilité partagée avec une analogie immobilière. Le propriétaire de l’édifice est responsable de l’extérieur, mais le locataire reste responsable de verrouiller sa porte. De même, Azure ou Amazon protègent leurs infrastructures, mais le client demeure responsable de la configuration de son propre espace.

Les points de jonction entre les systèmes sur site et les systèmes infonuagiques constituent les zones les plus fragiles et les moins bien maîtrisées. Contrairement aux systèmes sur site protégés par des coupe-feu, les systèmes infonuagiques sont exposés en permanence sur Internet, et les malveillants connaissent les adresses des grands fournisseurs, cherchant des espaces mal configurés pour remonter jusqu’aux systèmes internes.

Les maliciels récents utilisent des pages web trompeuses très bien réalisées pour amener les utilisateurs à saisir leurs mots de passe. Les gens se font ainsi convaincre de s’infecter eux-mêmes. Pour les entreprises disposant de moyens supplémentaires, un CASB, un courtier de sécurité d’accès infonuagique, ajoute une couche de protection devant les informations infonuagiques, bien que cela exige des compétences particulières. Il est recommandé de se faire accompagner par des professionnels en sécurité.

Maliciel touchant 30 000 Mac

Des chercheurs ont découvert par hasard que 30 000 Mac auraient été infectés par un maliciel. Ce nombre est probablement sous-estimé, car il repose sur la télémétrie des compagnies d’antivirus. Le code a été recompilé pour fonctionner à la fois sur les processeurs Intel et M1, témoignant du professionnalisme des développeurs. La version déployée semble être une forme d’essai dont l’objectif demeure flou.

Apple a révoqué le certificat du développeur responsable, ce qui empêchera probablement le code de s’installer à l’avenir. Le maliciel contournait le gatekeeper sans lever d’alerte. La menace ne touche que macOS et non les appareils mobiles. Ce serait le comportement de l’utilisateur trompé plutôt qu’une faille du système qui aurait permis l’infection. Apple déploie déjà un antivirus intégré dans macOS et met ses signatures à jour régulièrement.

Cette découverte rappelle que même les utilisateurs de Mac ne sont pas immunisés contre les problèmes de sécurité. Des indicateurs de compromission sont disponibles dans les notes de l’épisode pour détecter une infection. Nicolas compare cette situation à SolarWinds, où des mois ont été nécessaires avant que des chercheurs ne découvrent une menace invisible.

Pour terminer

Les animateurs annoncent leur intention de produire des épisodes plus courts et plus fréquents afin de maintenir un rythme de nouvelles plus digeste. Vincent souhaite une bonne semaine aux auditeurs en rappelant l’arrivée de la relâche.

Notes

Contributeurs

Nicolas-Loïc Fortin Vincent Groleau
Nicolas-Loïc Fortin LinkedIn Vincent Groleau LinkedIn Twitter

Crédits

Télécharger .m4a (31.1M) Télécharger .mp3 (24.3M)

Tags: cloud, fuite, ia, malware