Blogue a Théodule !

mercredi 31 décembre 2014

Sécuriser Compte Google : Validation en deux étapes

Si votre ordinateur a été infecté, il est possible de récupérer les informations de connexion à divers sites notamment s'ils sont stockés dans vos navigateurs WEB (voir la page Firerox : Stockage des mots de passe et vols).
Notamment ceux de Google, votre compte Gmail peut être utilisé pour spammer ou infecter vos amis en se faisant passer pour vous.

Google permet déjà de vous informer si une connexion est effectuée depuis une localisation géographique anormale.
Mais surtout Google propose de sécuriser ses comptes avec une identification à deux étapes.

Le principe est de valider la connexion à vos comptes à travers un code qui sera

soit envoyé par SMS à votre téléphone mobile (ce qui permet aussi à Google de récupérer votre numéro de téléphone).
soit gérer par l'application Google Authentificator que vous pouvez installer sur un périphérique mobile

Activer validation en deux étapes

Pour activer la validation, connectez-vous sur votre Google et ouvrez les paramètres de votre compte.

Si vous n'avez pas associé de numéro de téléphone à votre Compte Google, faites le.

Pour activer la validation en deux étapes, cliquez sur le bouton "validation en deux étapes".
Puis sur Configurer.

Google vous demande à quel numéro de téléphone, vous souhaitez activer la validation en deux étapes.
L'authentification peut se faire par SMS ou en message vocal

Un SMS (ou message vocal) vous est envoyé avec un code.
Saisissez le code.

Vous pouvez ensuite ajouter l'ordinateur sur lequel vous êtes comme sûr, l'authentification au compte Google ne requiera pas de code par SMS avec cet ordinateur.

Une fois les étapes terminée, vous devez confirmer l'activation de la validation en deux étapes.

Authentification sur votre compte Google depuis un ordinateur non sûr

Si vous vous connectez depuis un ordinateur non sûr, vous devez votre mot de passe habituel.

Un code vous sera envoyé par SMS (ou message vocal) que vous devez saisir.
Si vous désirez ajouter l'ordinateur à la liste des ordinateurs sûr afin de ne pas devoir saisir à nouveau un code par SMS, laissez l'option "Ne plus demander de code pour cet ordinateur".

Vous l'aurez donc compris, si vous recevez un code par SMS alors que vous n'avez fait aucune tentative de connexion à votre compte Google.
Cela peut être une tentative de connexion anormale.

Gérer les ordinateurs connectés

Dans un premier temps, sachez que vous pouvez depuis votre compte Google visualiser les connexions à votre compte Google :

Les périphériques connectés apparaissent sous forme de liste avec les dates de connexions :

En cliquant dessus, vous obtenez les informations de connexions avec la géolocalisation :

Ensuite, si vous désirez réinitialiser la liste des ordinateurs sûrs, ouvrez votre compte Google et cliquez sur la validation en deux étapes.
L'interface de gestion de la validation en deux étapes s'ouvrent.
Cliquez sur l'onglet "ordinateurs inscrits".
En bas sur "AUTRES ORDINATEURS ET APPAREILS", cliquez sur paramétrer, cela va générer un nouveau code pour tous les ordinateurs sûrs.

Gérer ses périphériques mobiles

En activation la valide en deux étapes, vos périphériques mobiles ne peuvent plus se connecter au compte Google.
Vous avez deux solutions, soit générer un mot de passe par application mobile (si vous en avez plusieurs, cela peut être long).

Il est donc possible de permettre à une application spécifique sur mobile d'accéder à votre compte Google.
Bien sûr, si vous utilisez plusieurs applications Google sur un même périphérique mobile, il est plutôt conseillé d'utiliser Google Authentificator.

Depuis votre compte Google, cliquez sur "mot de passe application".

La liste des mots de passe s'affiche, en bas vous pouvez en créer un nouveau.

Le mot de passe vous est fournit à saisir sur votre application mobile (les mots sont bien séparés par des espaces)

Il est possible de révoquer des mots de passe d'application depuis la liste.

Google Authentificator

Google Authentificator permet d'authentifier votre périphérique mobile dans son ensemble mais aussi de générer les codes pour les nouveaux ordinateurs (afin d'éviter la réception de SMS).
Attention, vous ne pouvez déclarer qu'un seul périphérique mobile.

Depuis la gestion de la validation en deux étapes, cliquez sur le bouton "Utiliser l'application".

Sélectionnez le type de périphériques.

Suivez ensuite les instructions, à savoir, installer Google Authentificator (L'accès à Google Playstore nécéssite l'accès à votre compte Google, il est possibe que vous ayiez à génére un mot de passe d'application).

L'accès au paramètre de compte depuis Google Authentificator :

Une fois le code barre scanné, un mot de passe est généré que vous devez saisir sur votre compte Google :

Le périphérique mobile apparaît ensuite sur votre Google Authentificator.

Lorsque vous allez vous connecter depuis un nouvel ordinateur (non sûr), le code sera généré dans l'application Google Authentificator.

Première règle élémentaire de sécurité : on réfléchit puis on clic et pas l'inverse - Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas

Sécuriser son ordinateur (version courte)

Source.:

SnoopSnitch, l’appli Android qui vous dit si vos appels sont interceptés

Des chercheurs en sécurité ont développé une appli qui détecte les attaques par réseaux mobiles, comme l’interception d’appel, la géolocalisation ou l’usurpation. Des techniques utilisées, entre autres, par les agences gouvernementales.

agrandir la photo

Depuis quelques années, les chercheurs en sécurité ne cessent de nous prouver que les réseaux mobiles sont finalement assez peu sécurisés et peuvent facilement être utilisés par des cybermalfrats ou des agences gouvernementales pour intercepter des appels, localiser les utilisateurs et réaliser des intrusions. Mais comment se défendre contre cela ?

A l’occasion de la conférence Chaos Computer Club, qui vient de se dérouler à Hambourg, les experts de Security Research Labs (SRLabs) ont présenté SnoopSnitch, une application Android capable de détecter toute une série d’attaques par réseaux mobiles : interception d’appels par IMSI Catcher, géolocalisation, attaques sur cartes SIM, usurpation, etc. « Le téléphone sait, d’un point de vue technique, que ces attaques ont lieu ou que le réseau n’est pas sécurisé. Malheureusement, ces informations ne sont pas accessibles au travers des interfaces de programmation Android. Mais pour les téléphones basés sur chipset Qualcomm, nous avons trouvé un moyen pour les faire ressortir », explique Karsten Nohl, fondateur de SRLab, lors de sa présentation.

L’application SnoopSnitch est disponible gratuitement sur Google Play et nécessite une version « rooté » d’Android 4.1 ou supérieure (mais pas Cyanogen). Elle fonctionne avec tous les téléphones basés sur chipset Qualcomm, tels que Samsung S3/S4/S5, Sony Z1, LG G2 ou Moto E. Les alertes et les analyses produites par l’appli reposent sur une série de règles et d’indicateurs programmés par les chercheurs de SRLabs. Pour détecter la présence d’un « IMSI Catcher » - une fausse station de base qui intercepte les appels et qui est très utilisée par les forces de l’ordre - SnoopSnitch va inspecter les données de configuration et de comportement de la cellule du réseau mobile auquel l’utilisateur est connecté : Le chiffrement est-il activé et suffisant ? Les requêtes sont-elles correctement formulées ? Arrivent-elles avec un certain délai ? etc.

Interface de SnoopSnitch

agrandir la photo

Toutes ces données peuvent également être partagées avec SRLabs, ce qui permettra aux chercheurs de réaliser des analyses statistiques sur la sécurité des réseaux mobiles dans le monde, voire d’identifier certains « hotspots » d’attaques réseaux. On peut supposer, par exemple, que beaucoup d’attaques se déroulent autour des ambassades qui sont souvent des nids d’espions...

Pour l’instant, l’appli n’existe que pour les smartphones Android. C’est voulu, car les chercheurs ont préféré cibler le marché le plus important. Publié en licence GPL, le code source de SnoopSnitch est toutefois transposable sur d’autres types de smartphone. « Il est possible de créer une appli similaire pour tous les téléphones qui disposent d’un chipset Qualcomm, et donc en particulier pour l’iPhone », précise Karsten Nohl.

Source.:

BitTorrent Bleep : la messagerie privée passe en alpha publique

L'équipe de BitTorrent continue ses travaux sur sa messagerie instantanée privée. Celle-ci peut désormais être utilisée par tout le monde en version expérimentale.

La société BitTorrent multiplie ses initiatives. En parallèle de la conception de son client de synchronisation garantissant une meilleure confidentialité des transferts de fichiers, les développeurs souhaitent proposer une messagerie instantanée sécurisée.

« La communication avec ses amis, sa famille et ses collègues est plus facile que jamais, mais à quel prix ? », explique Jaehee Lee, chef produit chez BitTorrent.« L'Internet fait la promotion du libre échange de l'information, mais nous sacrifions souvent la vie privée en contre-partie de cette facilité ».

Après avoir invité quelques internautes pour tester une mouture alpha de sa messagerie Bleep sur Windows au mois de juillet, BitTorrent a décidé d'ouvrir ce programme. Par ailleurs Bleep annonce la disponibilité d'édition alpha OS X et Android. Bleep propose d'envoyer des messages texte ainsi que d'effectuer des conversations audio.

Une fois installé, le logiciel invitera l'utilisateur à créer un compte via une adresse email ou un numéro de téléphone. L'internaute pourra également se connecter de manière anonyme. Dans ce dernier cas, « cela veut dire qu'aucune donnée personnelle n'est requise », explique BitTorrent. L'ajout d'un contact est effectué en mentionnant l'adresse email ou le numéro de téléphone de la personne. Il est également possible de générer une clé publique ou un code QR. Une option propose de récupérer ses contacts de Gmail.

Côté sécurité, l'équipe précise que chaque message est chiffré et uniquement stocké sur la machine de l'utilisateur. Puisque les échanges sont de type pair à pair, il n'y a donc pas de serveur tiers faisant office de zone tampon afin d'acheminer plus tard un message vers un contact déconnecté. A la réception d'un message, ce dernier sera envoyé sur l'ensemble des terminaux rattachés.

Bien entendu il s'agit d'une alpha. L'application présente donc sans surprise quelques problèmes et quelques omissions.

Source.:

MegaChat : l'alternative à Skype de Kim Dotcom arrive "bientôt"

Kim Dotcom a annoncé le lancement prochain de MegaChat, une alternative sécurisée à Skype.

Après BitTorrent, avec Bleep, ce sera « bientôt » au tour du groupe Mega de lancer un service de messagerie instantanée sécurisé. Kim Dotcom a confirmé hier l'arrivée de MegaChat, évoqué dès la fin de l'année 2013, et annoncé la distribution d'invitations à la bêta au cours « des prochaines semaines ».

MegaChat sera non seulement un service de messagerie instantanée, comme son nom l'indique, mais aussi un service de vidéoconférence et de transfert de fichiers. Kim Dotcom indique qu'il sera « entièrement chiffré » et qu'il fonctionnera dans un navigateur Internet. On peut penser qu'il mettra en œuvre les mêmes solutions de chiffrement de bout en bout que le service de stockage et de partage de fichiers Mega, en les transposant à des technologies de communication en temps réel telles que WebRTC.

Pour vanter les performances ainsi que la confidentialité de son futur service, Kim Dotcom rappelle que c'est une version préliminaire de ce service qu'avaient utilisés les lanceurs d'alerte Edward Snowden et Julian Assange pour leur intervention à distance lors du meeting The Moment of Truth.

MegaChat ambitionne quoi qu'il en soit de supplanter Skype, auquel « on ne peut pas faire confiance » car il n'a « d'autre choix » que de « fournir des portes dérobées aux autorités américaines ». Microsoft dément fournir une backdoor, mais des documents de la NSA publiés par Edward Snowden ont de toute manière révélé que les services secrets américains déchiffraient sans problème les communications réalisées par le biais de ce service. MegaChat quant à lui « mettra fin à la surveillance de masse de la NSA ».

Source.:

Windows 10 : un nouveau navigateur nommé Spartan ?

Une nouvelle rumeur indique que Microsoft serait en train de développer un nouveau navigateur Web pour Windows 10. Nom de code : Spartan. Un logiciel qui ne remplacerait cependant pas Internet Explorer.

Deux navigateurs pour le prix d'un ? C'est ce que l'on est en droit de croire suite aux informations diffusées par le site ZDnet. Ce dernier indique que Microsoft serait actuellement en train de développer un nouveau navigateur Web, en parallèle d'Internet Explorer. Ce nouveau browser est, pour l'heure, connu sous le nom de Spartan — on peut voir dans ce choix de nom une référence aux jeux Halo, comme c'est déjà le cas avec le logiciel Cortana.

Il s'agirait d'un nouveau navigateur plus léger et moins gourmand en termes de performances. Selon le média, la version de bureau de Windows 10 devrait proposer à la fois IE 11 et Spartan, et ce dernier devrait également être disponible sur les versions mobiles de l'OS.

Microsoft pourrait dévoiler Spartan le 21 janvier prochain, à l'occasion d'une conférence qui mettra en avant les avancées de Windows 10. Rien n'est cependant certain : tout devrait dépendre de l'avancée du développement, et la firme de Redmond pourrait choisir d'attendre encore un peu avant de lever le voile sur ce nouveau navigateur.

Source.:

Rechercher sur ce blogue