Mot de passe par défaut

Si vous achetez un matériel informatique comme un ordinateur, une borne WIFI ou autre, il est fort probable que celui-ci possède un mot de passe par défaut. Ce mot de passe a été défini en usine par le constructeur et il est le même pour tous les modèles de cette gamme de produits. Mettre le même mot de passe simplifie la mise en service et permet d’inscrire ce mot de passe dans la documentation du produit.

Ainsi comme tout le monde connaît ce mot de passe, il est impératif de le changer dès la mise en service de l’appareil.

Dans la lignée de la démarche présentée dans un billet sur les mots de passe, le plus simple est de le faire générer par votre logiciel de gestion de mots de passe, puis de le saisir sur votre nouvel appareil.

Si vous doutez encore qu’il est simple de se procurer les mots de passe par défaut, allez sur un moteur de recherche et tapez : «Default password» . Surprise, de nombreux sites mettent ceux-ci à votre disposition et contrairement à ce que vous pourriez imaginer, le but est de vous sensibiliser à ce problème. Maintenant, vous imaginerez facilement qu’un informaticien pourrait créer un programme qui essaie d’entrer ces mots de passe à distance via Internet.........

Liste des sites Web malveillants

Dans une étude publiée en fin d’année 2006, la société Websence citait les différentes attaques en vogue au cours de l’année 2007 et on notera que deux d’entre elles sont directement liées à la navigation sur Internet.
En effet, lorsque vous naviguez sur Internet, vous demandez aux serveurs des sites Web de vous transmettre des pages Web. Bien évidemment rien ne vous assure que ces pages ne contiennent pas des données qui pourraient corrompre votre navigateur, voir même des programmes présents sur votre machine (à travers Active x par exemple).

Une des solutions pour éviter d’être attaqué par un contenu dangereux est de disposer d’une liste des sites au contenu malveillant.
L’éditeur McAFee propose d’insérer dans votre navigateur un module complémentaire qui vous affiche l’évaluation de confiance du site sur lequel vous naviguez.
De plus, lors d’une recherche sur votre moteur de recherche favori, un petit rond de couleur vous sera affiché et vous donnera une évaluation des sites Web listés.
Attention, afin de construire cette base de connaissances, ce module complémentaire envoie vers les serveurs de cette société, les sites Web sur lesquels vous naviguez.

• Téléchargez le ici http://www.siteadvisor.com/
• Installez-le
• Redémarrez votre navigateur
• Vérifiez que le nouvel icône présent en bas à droite est au vert, lors de votre navigation.
• Lorsque vous ferez une demande sur votre moteur de recherche favori, vous pourrez observer une liste de petites icônes pour chaque lien. Assurez-vous avant de cliquer sur un site que celui-ci est indiqué comme fiable par une icône verte....

Pour une explication plus détaillée voir le billet : Protéger mon navigateur et mon ordinateur des pages Web avariées.

Mots de passe

Si vous utilisez régulièrement Internet, vous devez avoir de plus en plus de mots de passe à retenir ou alors vous utilisez probablement toujours le même.
Un mot de passe permet de prouver votre identité et ce principe a encore une longue vie en perspective car il reste un des rares systèmes à être peu onéreux à mettre en oeuvre.

Plusieurs analyses récentes sur ce sujet montrent que les mots de passe utilisés sont trop faciles à deviner et peuvent donc facilement être trouvés par d'autres personnes.
Si vous poussez le vice plus loin, vous comprendrez qu'il est aisé à un informaticien de réaliser un programme qui va faire des essais successifs avec des mots courants pour essayer de s'identifier sur un site Web à votre place.

Mettez-vous à la place de cet informaticien. Quelles listes de mots donneriez-vous à l'ordinateur pour qu'il recherche les mots de passe ?
Bien évidemment, celles du dictionnaire. Beaucoup de personnes choisissent un mot de leur langue comme mot de passe.
Ensuite on peut donner à l'ordinateur les chiffres et aussi une liste de diminutifs.

Avec ces exemples, le travail peut commencer :
- exemple avec les mots du dictionnaire : orange, bateau, bleu,
- exemple de combinaison mots/chiffres : orange14, bateau45
- exemple avec diminutif : toto12, papa44,

Ensuite si le méchant informaticien trouve le mot de passe d'une personne, il peut se dire que celle-ci l'utilise peut-être partout. Ainsi, il lui suffit de l'essayer sur plusieurs sites Web.

Conclusion :
- il ne faut pas utiliser des mots de passe trop simples à deviner
- il faut choisir un mot de passe différent pour chaque site Web.

Mais ceci est trop compliqué car nous ne sommes capables de retenir qu'un seul mot de passe.
Donc, on peut mettre les mots de passe dans un fichier sur son ordinateur, mais si quelqu'un nous le vole le résultat est encore plus catastrophique.

Il faudrait donc trouver un logiciel qui
- Génère des mots de passe compliqués,
- Les enregistre dans un fichier protégé (crypté),
- Facilite l'insertion des mots de passe dans les formulaire web.

Ce type de logiciel existe; en voici deux qui sont gratuits :
*KeePass Password Safe (disponible en Français) :

• Cliquez ici pour ouvrir la page de téléchargement
• Cliquez sur KeePass-xxxx-Setup.exe et enregistrez-le sur votre ordinateur
• Installez-le.
• Suivre l'explication complète ici
  

*Password Safe :

• Cliquez ici pour ouvrir la page de téléchargement
• Cliquez sur pwsafe-xxxx.exe et enregistrez-le sur votre ordinateur
• Installez-le
  

Ici la suite, une description de l'utilisation de Keepass.

Trouver les adresses des machines de votre entreprise

L’année 2007 sera probablement l’année de la sécurité bafouée à travers votre navigateur et Java Script.

Si vous en doutez encore, imaginez le plus simple :
- vous téléchargez une page depuis un site qui vous plait
- Cette page contient un agréable contenu, mais aussi un programme qui demande à votre navigateur de chercher les machines présentes sur votre réseau
- Ce programme transmet les machines trouvées au site Web depuis lequel vous avez téléchargé cette page.
- Cette étape est la première pour un attaquant dans sa démarche de prise de connaissance des biens que vous possédez dans votre entreprise.

Vous savez qu’il n’est pas difficile de transmettre des données depuis votre navigateur vers le site Web sur lequel vous êtes. Ainsi en cliquant ici et en entrant des adresses autour de celle de votre machine, vous comprendrez qu’un attaquant peut utiliser un tel programme légèrement modifié pour commencer à connaître les machines présentes sur votre réseau.

Cet exemple est décrit ici SPI dynamic
Si vous possédez un petit serveur de test, vous pouvez installer l'exemple décrit ici par Ilia Alshanetsky qui lui n'utilise pas de Java Script.

Spyware utilisation (suite)

Suite du billet précédent sur les Spywares.

Après avoir lancé une vérification par ces logiciels, n’oubliez pas de commencer par télécharger la base de connaissances. En effet afin de trouver les logiciels espions, ces logiciels doivent être mis à jour .

Pour Adware :

• Lancez le logiciel
• Cliquez sur "Status" dans la colonne de gauche
• Cliquez sur "Mise à jour",
• Accepter de faire les mises à jour proposées en cliquant sur "Oui"
• Cliquez sur "Status" dans la colonne de gauche
• Cliquez sur « Lancer l'Analyse » pour lancer la recherche
• Le logiciel va rechercher sur votre disque le logiciels espions
• Attendez la fin de l’analyse
• Vous devez sélectionner les cases à cocher dans les onglets "Objets critiques, Objets privés, Fichier de log" et à chaque fois cliquer sur le bouton "Supprimer"
• Acceptez la suppression en cliquant sur OK
• Pour sortir, cliquez sur la croix en haut à droite
  

Pour Spybot :

• Lancez le logiciel
• Cliquez sur la petite terre dans la colonne de gauche
• Cliquez sur Recherche des mises à jour
• Cochez toutes les cases s’il y en a
• Cliquez sur Téléchargez les mises à jour
• Cliquez sur « Search & Destroy »
• Cliquez sur «Vérifiez tout »
• Le logiciel va chercher sur votre disque les logiciels espions
• Une fois l’analyse terminée, s’il y a des cases à cocher, sélectionnez les toutes à part si vous voyez des éléments proposés à supprimer qui ne doivent pas l’être.
• Cliquez sur le bouton au-dessus, « Corriger les problèmes »
• Il se peut que Spybot vous propose de se configurer pour être lancé au prochain démarrage de windows. Si vous avez du temps faites-le et redémarrez votre windows.
  

Bonne utilisation. N'oubliez pas de le faire au moins une fois pas mois.

Spyware (mouchard, espiogiciel)

Dans ce billet précédent, j'avais mentionné l’existence de petits logiciels nommés Keylogger qui après avoir été installés sur votre ordinateur par inadvertance, transmettent sur Internet les mots de passe que vous saisissez avec votre clavier.
Rien n'est plus efficace que d'être vigilant et de ne pas lancer des programmes dont on ne connaît pas la source.
Ensuite, une bonne pratique consiste à vérifier régulièrement son ordinateur avec des logiciels spécialisés dans la détection de ces nuisances.
Les Keylogger font partie d'un groupe nommé Spyware (logiciel espion) et plusieurs logiciels sont disponibles pour essayer de les éradiquer.

Vous trouverez sur le site spychecker, ici, une liste de ces logiciels qui vous permettra de faire vos propres tests.
Je ne peux que vous conseiller d’en installer au moins deux et de les lancer au moins une fois par mois. Voici deux suggestions :
Spybot :
- Cliquez ici pour le télécharger
Lavasoft Ad-Ware
- Cliquez ici pour le télécharger depuis le site 01Net.

Voir ici la suite de leur installation.

Une enseignante risque la prison pour des pop-up incontrôlés

Trop souvent nous pensons être en sécurité car nous avons protégé notre ordinateur ou n'avons rien d'important sur celui-ci.
Malheureusement, le plus grave réside surtout dans les actions pouvant être réalisées sans notre consentement, par une personne ou un programme depuis notre ordinateur.
L'histoire qui fait grand bruit aux États-Unis ce mois-ci, est celle d'une institutrice remplaçante qui est accusée pour ne pas avoir réagi alors que des fenêtres montrant des images pornographiques sont apparues sur un ordinateur utilisé par des enfants. La défense clame que sa cliente n'y est pour rien car les fenêtres ont été ouvertes automatiquement par un logiciel espion (Spyware, Adware) qui était présent depuis longtemps sur cet ordinateur. Une analyse menée dernièrement par un consultant en informatique tend à montrer que les fenêtres sont apparues lors d’un clic de souris sur une image d’une page d’un site Web dédié à la mode des coiffures.

Une fois de plus ce cas nous montre les dégâts vers lesquels peut mener un ordinateur non sécurisé.

Conclusion:
- Utilisez un navigateur récent qui bloque les pop-up.
- Vérifier une fois pas mois que votre ordinateur n’est pas infecté par un logiciel espion.

Pour plus d'informations sur ce cas, voir l'article ici sur www.opossum.ca

Si vous n’avez jamais eu la malchance de vous diriger vers un site ou un Spyware qui ouvre des dizaines de fenêtres avec un contenu douteux, visionnez cette vidéo en cliquant ici.

Et enfin pour comprendre le principe d'un pop-up djo.ca a réalisé une démonstration de ce qui s'est probablement passé. Essayez en cliquant ici c'est amusant. L’objectif est de vous montrer que fermer un pop-up ne va pas obligatoirement engendrer la réaction attendue.

Enregistreur de touches (Keylogger)

Parmi les multiples nuisances pouvant infecter votre ordinateur, celles du type keylogger s'avèrent réellement intéressantes.
Leur objectif est d'enregistrer les touches sur lesquelles vous appuyez alors que vous êtes sur un site défini, par exemple celui de votre banque.
L'informatique n'ayant rien de mystérieux, si un de ces derniers est présent sur votre ordinateur, c'est uniquement parce que vous l'avez lancé en cliquant par exemple sur une pièce jointe d'un e-mail dont vous ne connaissez pas l'expéditeur ou que vous avez installé un logiciel dont la provenance est des plus douteuses.

Historiquement, ces programmes enregistraient les touches sur lesquelles vous appuyiez, alors que vous entriez par exemple, votre mot de passe sur le site Web de votre banque. Afin d'éviter que leurs utilisateurs se voient voler leur mot de passe, la plupart des banques ont mis en place un clavier graphique dit clavier virtuel, dans lequel les chiffres sont inscrits à une place différente à chaque visite.
Voir ici pour exemple celui de la BNP.

Mais, comme vous savez, le jeu ou le gain en valant la chandelle, l'histoire ne s'arrête pas là. Regardez l'attaque présentée ici, sur le site coredump ou l'attaquant enregistre avec une caméra thermique, les touches sur lesquelles un utilisateur a appuyé et imaginez son équivalent numérique.
Un logiciel peut très bien enregistrer l'endroit où vous cliquez avec votre souris et envoyer le résultat sur internet.

Conclusion,
Soyez vigilant, n'installez pas de logiciels téléchargés depuis des sites Web que vous ne connaissez pas ou n'ouvrez pas de documents suspicieux. Vérifiez régulièrement que votre PC, ne contient pas de mouchard en suivant cette explication.