Pas si mal, les gras saturés?

Nous avons longtemps pensé que les gras saturés avaient la vilaine habitude d’augmenter considérablement le taux de cholestérol sanguin et donc, de nuire à la santé cardiovasculaire. Voilà que les plus récentes études à ce sujet présentent d’autres résultats, au grand bonheur des amateurs de viandes, de beurre et de fromages.En effet, selon une revue de littérature scientifique parue en 2012 dans le Cochrane Review, la proportion des gras dans l’alimentation (saturés versus insaturés) n’augmenterait pas les risques de mortalité en général ni celle reliée aux maladies cardiovasculaires. Toutefois, les gras trans – présents notamment dans le shortening et certaines pâtisseries -, augmentent de façon drastique le taux de cholestérol sanguin et devraient effectivement être éliminés de l’alimentation. C’est pourquoi il est encore payant pour la santé du cœur d’actionner le frein moteur sur tous les aliments contenant des huiles végétales partiellement hydrogénées, à repérer dans la liste d’ingrédients.Mais, avant de vous mettre à manger du beurre à la cuillère, sachez toutefois que la diète méditerranéenne est celle qui a démontré les résultats les plus prometteurs pour protéger la santé cardiovasculaire. Celle-ci mise surtout sur les poissons, les fruits de mer, les légumineuses, les noix et graines, leurs beurres et huiles (olive, lin, amande, avocat) qui malgré tout sont majoritairement composés de gras insaturés, connus pour abaisser le taux de cholestérol sanguin. Qui plus est, les grains entiers, les légumes et les fruits sont aussi au cœur de ce mode d’alimentation. Riches en fibres, ils contribuent également à abaisser les taux de cholestérol et de sucre sanguins.Un élément dont nous ne parlons pas suffisamment est l’apport excédent en sucres ajoutés. Dans la vague d’aliments faibles ou sans gras, l’industrie s’est mise à ajouter régulièrement du sucre pour donner du goût à ses produits. C’est une bien mauvaise idée, surtout lorsque le sucre en question est du fructose. Nous pourrions penser que c’est inoffensif, puisque c’est le sucre que nous retrouvons en partie naturellement dans les fruits. Cependant, ceux-ci contiennent des fibres, ce qui ralentit l’absorption de sucres en général. Dans les aliments transformés, le fructose est surtout présent sous forme de glucose-fructose, connu en anglais sous le nom de high fructose corn syrup. Ce type de fructose a malheureusement tendance à augmenter le taux de triglycérides sanguin, forme sous laquelle le gras est emmagasiné dans le corps. De plus, en présence d’hypertriglycéridémie, il n’est pas rare de voir la glycémie et la cholestérolémie être anormalement élevée. C’est donc une autre très bonne raison de trancher à coup de hache dans votre apport en sucres ajoutés, ceux-ci étant surtout présents dans les desserts, les confiseries, les boissons sucrées, les céréales à déjeuner et même les yogourts aromatisés.Enfin, au-delà de l’alimentation, l’activité physique donne encore et toujours un bon coup de pouce pour ramener le taux de cholestérol sanguin (tout comme la glycémie) vers la normale. Cette composante se retrouve d’ailleurs à la base de la pyramide utilisée pour illustrer les principes de la diète méditerranéenne.





Source.:

La différence entre les amateurs de poitrine et de postérieur

Les hommes ont généralement une préférence pour le derrière ou la poitrine d’une femme et celle-ci en dirait long sur leur personnalité. 
Le blogue Gene Expression, spécialisé en génétique, s’est attardé à la signification des préférences physiques des hommes, en s’appuyant sur le livre Correlates of Heterosexual Somatic Preference, publié en 1968.
Les résultats, partagés sur le site de divertissement Elite Daily ce week-end, sont plus pertinents que jamais 47 ans plus tard!
1. Les hommes qui aiment les femmes rondes ont soif d’accomplissements. Ceux qui préfèrent les silhouettes de taille normale ont tendance à être désorganisés. Une attirance pour les femmes menues est associée à la persévérance au travail.
2. Les hommes qui aiment les poitrines généreuses ont tendance à fréquenter plusieurs femmes et à avoir des intérêts typiquement masculins. La préférence serait intimement liée au besoin d’exhibitionnisme. Ces hommes sont indépendants, moins persévérants au travail et souvent dépendants au tabac.
3. Les hommes qui ont un faible pour les petites poitrines sont généreux et affectueux dans leurs relations interpersonnelles. Ils manquent toutefois de motivation et sont indéterminés quant à leur plan de carrière.
4. Les hommes qui ont un penchant pour les gros derrières ont généralement besoin d’ordre dans leur vie (propreté et organisation). Ils ont le sens des affaires et leurs pensées sont peu complexes. Côté vie privée, ils ont tendance à être plus dépendants et à culpabiliser facilement.
5. À l’opposé, les hommes qui aiment les petits postérieurs sont compétitifs au travail et ne veulent pas être au centre de l’attention. Ils sont souvent moins éduqués et ne sont pas des adeptes de magazines sportifs.
Les grosses poitrines ont toujours été à l’honneur dans le magazine Playboy et demeurent la recherche de prédilection sur les sites pour adultes.
Les temps ont pourtant changé au cours de la dernière décennie, car le postérieur rebondi fait maintenant tourner les têtes.
Le New York Times a récemment annonçé que le derrière sera bientôt la zone érogène de choix en Amérique, devant les seins, les abdominaux et les jambes.
Aucune étude récente n’a été menée à ce sujet.


Source.:

L'anatomie d'une attaque: Les attaques de masse ont laissé place à des attaques ciblées

Plongée au coeur d’une cyberattaque

Cette tribune aborde l’anatomie d’une attaque utilisant la méthode de « spear phishing » pour pénétrer le Système d’Information d’une entreprise. Même si ce cas est de pure fiction, beaucoup d’attaques sont ou ont été très similaires dans le mode opératoire.

Le contexte des menaces informatiques a beaucoup évolué ces dernières années et les attaques de masse ont laissé place à des attaques ciblées, dont le mode opératoire est beaucoup plus complexe. Retour sur l’anatomie d’une attaque.

Nous vous proposons, dans cet article, d’aborder sous forme d’un exemple, l’anatomie d’une attaque utilisant la méthode de « spear phishing » pour pénétrer le Système d’Information d’une entreprise. Même si ce cas est de pure fiction, beaucoup d’attaques sont ou ont été très similaires dans le mode opératoire et la stratégie des cyberattaquants est souvent payante.

La cible

Créons, pour notre scénario, une société commerciale, World Company, leader sur son marché, qui vend des solutions à d’autres entreprises dans un secteur très spécifique et sur un marché international très concurrentiel. La valeur de cette entreprise est son savoir- faire, mais surtout sa base client. C’est ce que les cyberattaquants vont chercher à atteindre, mandatés par une société concurrente d’un pays émergent. Le mode opératoire de l’attaque et les codes malicieux pour pénétrer le Système d’Information vont donc être développés spécifiquement pour cette cible.

Première phase : connaître la cible pour mieux l’atteindre

Le premier travail des cyberattaquants va être d’étudier la cible: l’activité de l’entreprise, ses positions géographiques, son organisation… et finalement ses employés afin de sélectionner les « candidats » propices, c’est-à-dire ceux pouvant accéder aux données convoitées. Les techniques de social engineering permettent d’obtenir un grand nombre d’informations sur les employés ciblés: rôle dans l’entreprise, relations professionnelles, centres d’intérêt, carrière…

C’est ainsi que John Doe est sélectionné pour être le point d’entrée des premières phases de l’attaque. Ingénieur commercial, il a donc accès à la base client ainsi qu’aux données regroupant tout ce qui a été vendu aux clients de son entreprise avec les tarifs, les marges, les taux de remise… John Doe fait régulièrement du golf avec d’anciens collègues. Il est dans la société depuis quelques années et aimerait la quitter en espérant donner un coup de pouce à sa carrière. Les cyberattaquants vont alors envoyer un mail à Doe en usurpant l’identité d’un de ses partenaires de golf. Cet e-mail propose à Doe de se connecter sur le site d’un cabinet de recrutement pour réaliser un test d’aptitude.

John connaît l’expéditeur du mail et donc ne se méfie pas, et clique alors sur le lien. Le site, construit pour les besoins de l’attaque, lui propose de télécharger une petite application pour réaliser ce test. Notre ingénieur exécute le fichier qui lui retourne un message d’erreur indiquant qu’il ne peut pas fonctionner sur son poste de travail. Pour lui, cela ne va pas plus loin. Il ne voit malheureusement pas ce qu’il se passe sur son poste de travail, et ne se rend pas compte qu’il vient d’ouvrir malgré lui une brèche dans le Système d’Information de son entreprise. Doe ne va pas non plus faire appel au support informatique de sa société pour signaler qu’une application qu’il n’aurait pas dû utiliser au travail n’a pas fonctionné !

Deuxième phase : prise de contrôle et infiltration

Vous l’aurez deviné, l’application téléchargée et exécutée est un malware qui va agir silencieusement sur le poste de travail; on parle alors d’attaques furtives. Ce code forgé spécifiquement pour l’attaque est unique, il ne sera donc pas détecté par les outils de sécurité dont la reconnaissance est basée sur des signatures (antivirus par exemple).

Ce malware va dans un premier temps ouvrir un canal de communication chiffré pour joindre le serveur C&C (command and control) des attaquants. Cela va leur permettre de prendre la main sur le poste de travail et de télécharger d’autres codes utilisant des vulnérabilités 0-day, pour usurper ou utiliser les droits de Doe et pour se propager dans le Système d’Information à la recherche des données convoitées.

Le ou les malwares pourront éventuellement se répandre sur d’autres postes de travail pour faciliter la recherche et scanner les différents lecteurs réseau qui hébergent les données de l’entreprise. Cette phase peut prendre plusieurs mois, le temps d’atteindre le but recherché, de manière silencieuse en restant sous les radars des systèmes de sécurité traditionnels (low and slow).

Dernière phase : exfiltration

Une fois le ou les fichiers identifiés, ils vont alors être uploadés vers les serveurs des cybercriminels. Étant donné que nous parlons de fichiers de quelques mégaoctets, ce flux chiffré va encore une fois passer inaperçu. L’histoire se termine dans la majorité des cas par l’effacement de toutes les traces et l’autodestruction des codes malveillants utilisés. L’entreprise victime ne se rendra sûrement pas compte qu’elle a subi un vol de données.

Film catastrophe ?

Face à un tel scénario, finalement très simple dans le mode opératoire (mais pas dans les techniques employées), on pourrait croire qu’il n’y a pas vraiment de solutions pour éviter une attaque de ce type. En réalité, même si le risque zéro n’existe pas, il est possible de s’y préparer pour faire face à ce type de menaces. Étant donné que les cyberattaquants vont cibler les données ou biens essentiels à l’activité de l’entreprise, la stratégie de sécurité doit se focaliser sur ces éléments. Les solutions autour de la sécurité des données peuvent aider les entreprises à prendre des mesures préventives pour protéger ce qui doit l’être.

Par Nicolas Leseur, chef de produit et innovation sécurité, virtualisation, stockage chez Telindus France

agrandir la photo

La sensibilisation des utilisateurs va aussi pouvoir permettre de contrer les premières phases d’une attaque comme celle que nous avons décrite. Doe n’aurait peut-être pas cliqué sur le lien dans le mail qu’il a reçu s’il avait regardé un peu plus en détail. Il se serait alors rendu compte que le nom de son interlocuteur ne correspondait pas à son adresse e-mail habituelle. Il aurait alors pu alerter son RSSI.

De plus, il est fortement déconseillé de lancer un fichier exécutable sur son poste de travail si l’on n’en connaît pas la nature exacte. Les éditeurs de sécurité sont au fait de ce type de menace. Il existe donc de nouvelles solutions permettant, via une analyse en environnement sécurisé et maîtrisé, de tester l’impact d’un code supposé malicieux. Il est alors possible d’investiguer pour rechercher les traces de ces malwares sur le Système d’Information et de les bloquer.

 

Source.:

La NSA peut localiser et intercepter les appels téléphoniques mobiles 3G a travers le monde

Des failles dans les réseaux 3G permettent d’écouter tous les appels

Des chercheurs en sécurité ont trouvé de multiples failles dans le protocole de signalisation SS7, permettant d’intercepter des appels et des SMS, et de géolocaliser les terminaux. Inquiétant.

agrandir la photo

Cette fin d’année ne sera pas bonne pour les opérateurs télécoms et leurs stratégies de sécurité. Plusieurs chercheurs en sécurité vont profiter de la prochaine conférence 31C3 du Chaos Computer Club - qui se déroule du 27  pour montrer des attaques sur les réseaux mobiles 3G, permettant d’intercepter n’importe quel appel ou SMS. Certaines informations sur ces attaques ont d’ores et déjà filtré dans la presse.

Ainsi, Karsten Nohl et d’autres experts de la société allemande Security Research Labs (SRLabs) viennent de démontrer leur méthode à quelques journalistes outre-Rhin. Armé d’une antenne radio à 400 euros et d’un PC portable, ils arrivent à saisir la clé utilisée pour chiffrer les communications 3G de n’importe quel smartphone aux alentours. Comment ? En la demandant à l’opérateur, tout simplement !

Une simple requête protocolaire suffit

En effet, les chercheurs ont détecté une faille dans le protocole de signalisation Signal System 7 (SS7), que tous les opérateurs 3G utilisent pour pouvoir bien acheminer leurs appels à travers le monde. Ce protocole leur permet, en particulier, d’échanger leurs clés de chiffrement sur simple requête, lorsque les appels passent d’un réseau à l’autre. Or, SRLabs a trouvé un moyen pour faire cette requête directement auprès d’un opérateur, ni vu ni connu.  

Karsten Nohl et sa troupe ont réalisé avec succès cette attaque sur les réseaux mobiles de Deutsche Telekom, Vodafone et O2. Les deux premiers ont d’ores et déjà signalé avoir comblé la faille en question, en limitant l’accès à cette fonctionnalité SS7. Mais il est probable que beaucoup d’autres opérateurs 3G dans le monde sont vulnérables.

Précisons que les chercheurs n’ont montré que la lecture de SMS. Ils n’ont pas encore réussi l’écoute d’appels téléphoniques, en raison d’un codage spécifique des données récupérées. « C’est une partie que nous n’avons pas encore bricolée. On récupère des fichiers pour lesquels nous n’avons pas de lecteur approprié, précise Karsten Nohl auprès de Zeit.de. Néanmoins, nous voyons déjà les numéros de téléphone de l’appelé et de l’appelant. Nous savons donc que l’appel a bien été déchiffré. » Bref, ce n’est qu’une question de temps, et les chercheurs de SRLabs pourront également écouter et enregistrer les appels environnants.

Des techniques qui font penser à la NSA

Certes, me direz-vous, mais que faire lorsque la personne ciblée ne se trouve pas à proximité ? Là encore, SRLabs a la réponse. Les chercheurs ont trouvé une autre faille dans SS7 qui permet de localiser n’importe quel téléphone portable dans le monde, si l’on connait son numéro IMSI (International Mobile Subscriber Identity). Celui-ci est unique pour chaque carte SIM. Il suffit ensuite de rendre dans la zone concerné pour procéder à l’interception.

C’est un effort que le chercheur en sécurité Tobias Engel, pour sa part, n’a pas besoin de faire. Car il a trouvé un autre moyen pour écouter les appels 3G sans bouger de chez lui. Là encore, c’est une faille dans SS7 qui lui donne ce pouvoir. Il utilise les fonctions de transfert d’appel de ce protocole pour router les appels à travers une infrastructure dont il a le contrôle, avant de les acheminer vers le bon destinataire. A priori, même pas besoin, dans ce cas, de procéder à un déchiffrement. « Je doute que nous soyons les premiers dans le monde à réaliser à quel point le réseau SS7 est ouvert à tout vent », souligne le chercheur auprès de The Washington Post.

En effet, ces différentes failles peuvent être mises en parallèle avec les multiples révélations d’Edward Snowden sur la capacité de la NSA à localiser et intercepter les appels téléphoniques mobiles. Il est possible que les agents secrets utilisent ce même type d’attaques pour arriver à leur fin. Précisons que les failles détectées ne concernent pas les communications 4G, qui s’appuient sur d’autres protocoles de signalisation. Toutefois, il ne faudrait pas se réjouir pour autant, car il est peu  probable que l’industrie des télécoms ait soudainement pris conscience de la faible sécurité de ses infrastructures.  

La parade : le chiffrement de bout en bout

Comment se protéger dans ces conditions ? Une seule technologie semble, à jour, être une parade efficace : le chiffrement de bout en bout des communications téléphoniques. Plusieurs applis  le permettent aujourd’hui, comme Silent Phone de Silent Circle, ou RedPhone de Whispersystems.  

Karsten Nohl et Tobias Engel donneront tous les détails de leurs découvertes le 27 décembre prochain, respectivement à 18h30 et à 17h15. Ils ne seront pas les seuls à tirer à boulets rouges sur SS7. Les chercheurs de la société française P1 Security seront également de la partie. Le même jour, à 23h00, ils dévoileront une carte globale des vulnérabilités de SS7.

Lire aussi :

Faire planter un réseau mobile national, c'est simple comme un coup de fil, le 24/04/2014

Sources :

Zeit.de, Washington Post

La NSA déchiffre toute les carte SIM

Le plan démoniaque de la NSA pour déchiffrer toutes les communications mobiles

Plutôt que de s’échiner à casser les clés de chiffrement des connexions mobiles, les agences secrètes ont trouvé bien meilleure : ils les volent par millions auprès de ceux qui les fabriquent, comme par exemple Gemalto.

agrandir la photo

Une fois de plus, l’industrie des télécoms nous montre qu’elle est incapable d’assurer la sécurité de ses clients. Publiés par The Intercept, des documents d’Edward Snowden révèlent que la NSA et le GCHQ détroussent les fabricants de cartes SIM tels que Gemalto depuis au moins 2010, afin de mettre la main sur des millions de clés d’authentification censées assurer la protection des communications entre le téléphone mobile et la station de base.

En effet, chaque carte SIM est dotée d’une clé d’authentification unique baptisée « Ki » qui permet à l’opérateur de vérifier l’identité de l’abonné au moment où celui-ci se connecte au réseau : la station de base envoie un message aléatoire au terminal qui le renvoie après l’avoir chiffré avec la clé Ki. L’opérateur, qui détient également la clé Ki, procède à la même opération, puis compare les deux résultats : s’ils sont égaux, bingo, l’utilisateur est connecté.

Les gardiens des clés pas très vigilants

Mais la clé « Ki » ne sert pas seulement à authentifier l’utilisateur, elle est également utilisée pour générer la clé dite « Kc » qui est différente à chaque connexion et qui servira à chiffrer les communications entre le terminal et la station de base. Or, celui qui connait « Ki » peut retrouver « Kc », et donc déchiffrer les communications.

agrandir la photo

On comprend bien l’intérêt pour la NSA de mettre la main sur ces fameuses clés d’authentification : les agents secrets n’ont ainsi plus qu’à intercepter de manière passive les ondes radio à un endroit donné, les stocker dans une base de données puis les consulter tranquillement, quand ils le souhaitent. Les ambassades américaines à Paris ou Berlin sont, par exemple, suffisamment proches des sites gouvernementaux pour réaliser ce type d’interception.

Mais comment la NSA et le GCHQ ont-ils réussi à voler ces clés ? Ces dernières sont générées par les fabricants de cartes SIM. Chacune est codée directement dans une partie théoriquement inviolable de la mémoire de la puce. Mais une copie est transmise à l’opérateur, qui en a besoin pour vérifier l’identité de l’utilisateur. Et c’est là que le bât blesse : les documents d’Edward Snowden montrent que cette transmission est faite un peu à la légère, par e-mail ou FTP, avec un faible niveau de protection, voire aucun. Il suffit donc d’identifier les bonnes personnes dans les bonnes entreprises, et c’est le jackpot.

Siphonnage industriel

D’ailleurs, les agences américaines et britanniques n’y sont pas allées avec le dos de la cuillère. Gemalto, qui est le plus grand fournisseur de cartes SIM dans le monde, a été complètement piraté, à coup d’interceptions et de malwares. « Nous pensons avoir la totalité du réseau », peut-on lire dans l’un des documents. Interrogé par The Intercept, la direction de Gemalto se montre abasourdie par cette révélation. Visiblement, personne n’a rien remarqué. Mais le champion de la carte à puce n’était pas le seul en ligne de mire. Les agents secrets ont également ciblés des concurrents comme Bluefish et Giesecke & Devient, des fabricants de terminaux comme Nokia et Ericsson, des opérateurs comme Belgacom ou Irancell, etc. Tout était bon à prendre pour récolter ces fameuses clés, et de manière quasi-industrielle.

agrandir la photo

Combien en ont-ils récupérés ? Selon les documents d’Edward Snowden, plusieurs millions de clés ont pu être volées en l’espace de trois mois en 2010. A cette époque, la NSA précisait qu’elle était capable de de traiter et archiver entre 12 et 22 millions de clés... par seconde. Et que son objectif était d’arriver à 50 millions. Cette énorme capacité de traitement laisse imaginer le pire. NSA et GCHQ ont peut-être d’ores et déjà la main sur la majorité des clés de cartes SIM dans le monde.

Face à ces révélations, la conclusion est que les communications mobiles ne peuvent plus être considérées comme sécurisées. Ceux qui ont besoin de transmettre des données confidentielles ont intérêt à utiliser des solutions telles que Silent Circle, Cryptocat, TextSecure, Red Phone, OTR, etc. Ces solutions ont l’avantage de chiffrer les communications de bout en bout, avec des techniques avancées comme Perfect Forward Security, qui mettent à l’abri l’utilisateur même si les clés de chiffrement sont volées.   

Source.: