© Jakob Owens

Installer macOS sur un disque externe, cela peut être pratique dans bien des cas. Par exemple, imaginons que vous ayez acheté un Mac avec le stockage interne au minimum, dans le cadre d’une offre spéciale par exemple. Mais vous aimeriez bien pouvoir installer sur le disque système, là où se trouve l’OS, une multitude de programme et de jeux vidéo très lourds. Les 256 Go de la configuration de base d’un Mac M1 ne vont pas forcément suffire dans ce cas. Vous installez donc macOS sur un SSD externe de 1 To.

Autre situation, vous souhaitez installer une version précise de macOS sur votre disque dur système et tester une autre version de macOS  en l’installant sur un second disque dur, externe donc.

En bref, vous l’avez compris, avoir la possibilité d’installer l’OS Mac sur un disque externe peut rendre de nombreux services, aussi bien pour la sauvegarde de ses données, que pour l’installation facilitée d’une flotte d’ordinateur, ou encore en matière de protection contre l’usure.

Sauf que des éléments récents laissent à penser qu’il ne serait plus possible à l’avenir de profiter de cette possibilité. En effet, Mike Bombich créateur de l’application Mac Carbon Copy Cloner, publiait il y a peu une note sur son blog. Dans celle-ci, il indique comment la dernière version majeure de macOS a déjà commencé à limiter l’installation de macOS sur disque dur externe et le clonage de disque système sur stockage externe.

© Carbon Copy Cloner

L’ASR, plus de sécurité, moins de liberté…

Il explique qu’avec macOS Big Sur, Apple a introduit un utilitaire prioritaire appelé Apple Software Restore ou ASR, qui permet d’assurer la copie du système. Si Carbon Copy Cloner a il y a quelques mois réussis à dompter le mini-logiciel, il s’est avéré que ce dernier n’est pas aussi stable qu’il devrait l’être. Ainsi, il arrive qu’il bug de manière complètement aléatoire, ce qui peut rendre non-opérationnel le clone du disque système d’un Mac. En outre, quand le clonage fonctionne, cet ASR implique des limitations. Par exemple, impossible de proposer à la fois un clone complet du système et une sauvegarde de différentes versions temporelles des données.

Apple silicon enfonce le clou

Et si l’ASR a déjà rendu bien complexe le clonage de Mac sur disque dur externe, Apple silicon ne semble pas arranger la chose. En effet, avec la plateforme d’Apple, Apple silicon, est arrivée une nouvelle sécurité : sur le stockage interne au Mac Apple silicon se trouve un mini-logiciel permettant de vérifier l’intégrité du stockage à chaque démarrage de la machine. Or, ce dernier ne peut être ni copié ni déplacé.

En somme, cela veut dire que si le stockage interne d’un Mac Apple silicon ne fonctionne plus, vous ne pouvez même pas démarrer la machine depuis un disque dur externe, puisque le mini-logiciel interne ne peut plus s’ouvrir.

Pour conclure, selon Mike Bombich, si Apple continue à soutenir que le démarrage depuis des supports externes sera bien possible à l’avenir, en réalité, la firme californienne a déjà bien enrayé toute procédure sous-tendant la fonctionnalité.

Espérons qu’elle n’aille pas trop vite trop loin sur ce chemin-là, ce qui impliquerait une fermeture encore plus poussée du système Mac sur lui-même. 

Lien vers l'article

La fibre chez les particuliers ? Oui, mais souvent, non...

L'Arcep, autorité de régulation des communications électroniques, des postes et de la distribution de la presse, dénonce les mauvais soins apportés aux très nombreux raccordements des logements à la fibre. Elle dénonce des comportements "inacceptables" chez les prestataires qui raccordent les particuliers au réseau. 

Installation de la fibre pour un appartement © AFP / Bertrand Langlois

Les Français se raccordent de plus en plus à la fibre, et au total, 5,8 millions de locaux ont été rendus éligibles à la fibre en 2020, portant le nombre total de locaux éligibles à 24,2 millions à la fin de l'année dernière.

Derrière cet engouement se cachent, malgré tout, des problèmes fréquents lors des raccordements. 

Il y a des problèmes de qualité "inacceptables" lors de ces travaux de raccordements, selon Laure de la Raudière, la présidente de l'Autorité française de régulation des télécoms (Arcep). Lors de son point annuel sur la situation du marché des télécoms français, elle a bien mis en évidence la forte hausse des abonnements fibre en 2020 avec 3,3 millions de nouveaux clients en un an (contre une progression de 2,4 millions en 2019). En revanche l'Arcep note que 20% à 30% des raccordements sont en échec ; sa présidente déplore des défauts de qualité et estime que "c'est tout à fait inacceptable". 

Armoires de connexion défoncées, débranchements intempestifs

Parmi les problèmes constatés, Laure de la Raudière cite des comportements "inacceptables" chez les prestataires chargés de raccorder les particuliers au réseau.
Faute de pouvoir arriver à joindre un interlocuteur chez l'opérateur, certains techniciens de raccordement parfois "débranchent un client pour prendre sa place", dénonce-t-elle. D'autres "défoncent" les portes d'armoires de connexion pour pouvoir y accéder.  "Malheureusement, ce ne sont pas des pratiques isolées", a-t-elle souligné. 

Pour remédier à cette situation, il faut que "les relations entre les opérateurs d'infrastructure" qui gèrent les réseaux et "les opérateurs commerciaux" qui raccordent le client, souvent via le recours à des prestataires, "soient bien mieux calées", a-t-elle estimé.
"L'Arcep a travaillé toute l'année 2020 avec eux pour avoir une feuille de route bien précise sur les responsabilités des uns et des autres (...). Nous voulons maintenant que ce soit mis en place et que cela ait des résultats", a ajouté Laure de la Raudière.

La feuille de route prévoit notamment des "indicateurs de qualité de service" pour les deux types d'opérateurs, a expliqué Laure de la Raudière. Leur examen permettra de vérifier si la situation s'améliore, et d'exiger le cas échéant des "mesures correctives", a-t-elle indiqué sans plus de précisions.

Le gouvernement a fixé l'objectif de couvrir l'intégralité du territoire en très haut débit d'ici 2022, essentiellement avec de la fibre optique. Il veut également parvenir à généraliser la fibre optique jusqu'à l'abonné sur l'ensemble du territoire à l'horizon 2025.
Pour l'instant, "plus de la moitié des Français n'ont que le réseau cuivre pour accéder au téléphone et à internet", a rappelé Laure de la Raudière. Mais il y a de la demande, a-t-elle relevé: "aujourd'hui dès que vous avez la fibre, il y a une grande partie des gens qui souhaitent muter vers ce réseau." 

Les investissements des opérateurs télécoms dans leurs réseaux (fibre et réseaux mobiles) ont augmenté de 8,1% en 2020, à 11,5 milliards d'euros, selon l'Arcep.  

Cookies : la Cnil ne plaisantait pas

C’est une vingtaine de mises en demeure que la Cnil révèle avoir adressées le 18 mai. Le gendarme des données personnelles avait prévenu après la publication de ses lignes directrices : il contrôlera le respect des règles relatives aux cookies, notamment quant à la facilité de refuser leur dépôt, et sanctionnera les contrevenants le cas échéant.

Après la sensibilisation, la Cnil serre la vis. En avril dernier, elle publiait quelques clarifications quant à ses lignes directrices concernant les traceurs publicitaires et avertissait : voilà plusieurs mois qu’elle sensibilisait au sujet, il était désormais temps de passer aux choses sérieuses. Et par choses sérieuses, il faut entendre contrôle, mise en demeure et sanction. Et ce malgré une rebuffade du Conseil d’État qui autorisait en substance les cookie walls. D’où, entre temps, certaines aberrations offrant le choix à l’internaute entre accepter les cookies et payer pour pouvoir les refuser. 

Sur ce sujet, la Cnil ne s’est pas encore exprimée, attendant l’adoption de la réglementation européenne en la matière. Mais pour tout ce qui touche aux dispositifs “ne permettant pas aux internautes de refuser les cookies aussi facilement que de les accepter”, le régulateur a sorti les griffes. Il annonce avoir mis en demeure en début de semaine dernière “une vingtaine d’organismes ayant des pratiques contraires à la législation sur les cookies”. 

On ne rigole plus

Parmi eux, des géants “de l’économie numérique” ainsi que des organismes publics. Pour la Cnil, pas de favoritisme, tous les sites sont logés à la même enseigne. Aucun nom n’est cependant cité, le gendarme des données personnelles laissant un mois aux mis en demeure pour se transformer en “mis en conformité”. Sans quoi ils encourent des sanctions pouvant s’élever à 2% de leur chiffre d’affaires. 

“Il s’agit de la première campagne de vérifications et de mesures correctrices depuis l’expiration du délai accordé aux acteurs pour mettre en conformité leurs sites et applications mobiles aux nouvelles règles en matière de cookies” écrit la Cnil. Elle prévient en outre que d’autres contrôles seront menés les prochaines mois, “ce sujet étant l’une des thématiques prioritaires de contrôles de la CNIL en 2021”.

Lien vers l'article

L’IoT : maillon faible naissant de la cybersécurité ?

Des communications non chiffrées, des firmwares non mis à jour, un accès facilité par des communications sans-fil peu sécurisées… Les objets connectés sont une porte d’entrée royale pour les cybercriminels. Ces derniers sont de plus en plus nombreux à mener des attaques sur l’IoT. Entre la prise de contrôle de l’objet, l’intrusion sur le SI ou l’altération de données collectées, la menace est très sérieuse. Panorama des enjeux cyber de l’IoT et des mesures à prendre pour protéger le SI.

La photocopieuse, les caméras de vidéoprotection, l’écran d’accueil du hall d’entrée, le distributeur de boisson, le système de chauffage, l’ascenseur… tous ces équipements peuvent potentiellement être raccordés au SI et devenir des «objets connectés». Ils gagnent ainsi en fonctionnalités, au niveau de leur exploitation et de leur maintenance. Mais revers de la médaille, leur multiplication au sein de l’entreprise augmente d’autant la surface d’attaque pour les cybercriminels. Car la grande majorité de ces équipements IoT ne sont pas sécurisés. Près de 98% du trafic des objets connectés en environnement professionnel n’est pas chiffré, conclut une récente étude de la société américaine de cybersécurité Palo Alto Networks1 . Et 57% de ces équipements IoT sont vulnérables à des attaques de gravité moyenne à élevée. Parmi les principales causes, des failles découvertes dans leurs firmware qui ne sont pas corrigées.

Pour la DSI, une des principaux problèmes de l’IoT est qu’il échappe bien souvent à sa vigilance, le rapprochant ainsi du Shadow IT. « De nombreux appareils connectés sont introduits dans l’entreprise par des employés ou des prestataires extérieurs en échappant au contrôle de la DSI et donc sans tenir compte de sa politique de sécurité », s’alarme Thierry Karsenti, vice-président EMEA Systems Engineering chez Palo Alto Networks. « C’est une aubaine pour les cybercriminels qui disposent alors de points d’entrée relativement discrets. Car il n’est pas nécessaire d’avoir un accès physique avec ces objets connectés dont bon nombre fonctionnent via des réseaux radio.»

Si la photocopieuse ou l’écran du hall d’accueil sont en général connectés en filaire, d’autres équipements comme les capteurs de température, les alarmes ou même des caméras de vidéoprotection exploitent de plus en plus des réseaux radio IoT. Ces derniers reposent sur des technologies telles que Sigfox, LoRaWan, LTE-M ou NB-IoT (lire L’Informaticien n°193). D’autres protocoles radio sont également exploités comme le M-Bus wireless, le Bluetooth Low Energy, le Zigbee, voire tout simplement une connexion Wi-Fi.

Pour le cybercriminel, il suffit d’être dans le périmètre de communication de ces objets connectés, qui peut dépasser la centaine de mètres, pour tenter une attaque. « Les types de menaces sont multiples. Il y a l’intrusion sur le SI via l’IoT, mais aussi le vol ou l’altération des données collectées, ainsi que des attaques de type DDoS », résume Benoît Grunemwald, expert cybersécurité chez ESET France. L’intrusion ou le vol de données serviront notamment à de l’espionnage industriel ou à une opération malveillante de type ransomware. L’attaque DDoS aura pour objectif de bloquer le fonctionnement des objets connectés ou même du SI. Quant à l’alternation des données, il ne faut pas la sous-estimer, soulignent les experts en sécurité. Elle permet par exemple d’envoyer une alerte de panne et bloquer un ascenseur, modifier le comportement d’une climatisation ou d’un réseau d’éclairage, ou pire : modifier la composition ou la qualité d’un produit sur une chaîne de production.

Ces exemples restent bien entendu très théoriques car peu de cas d’attaques ont été rendus publics. Dans une fiche sur l’IOT, publiée en mars dernier, l’Anssi évoque l’attaque d’un casino en 2018 : « Il s’est fait pirater la base de données de ses plus gros clients. Les pirates ont réussi à y accéder en passant par le thermomètre connecté insuffisamment sécurisé d’un aquarium de l’établissement », indique l’agence nationale. De son côté la société de cybersécurité Darktrace donne d’autres exemples, parfois incongrus. « Ces dernières années, nous avons détecté toutes sortes de menaces IoT étonnantes, comme un casier intelligent compromis dans un parc d’attractions européen. Dans un autre cas, nous avons surpris des pirates qui tentaient d’infiltrer des systèmes de vidéosurveillance connectés à internet pour faire de l’espionnage industriel et obtenir des informations hautement confidentielles dans un grand cabinet de conseil mondial », confie Max Heinemeyer, Directeur Traque et Menace.

Ce qui est certain, c’est que le nombre d’attaques IoT est en augmentation. Entre 2018 et 2019, l’entreprise de cybersécurité Kaspersky a estimé qu’elles avaient été multipliées par neuf au niveau mondial. Et selon les experts du secteur, il n’y a pas de raison que cette tendance se soit inversée depuis. «Avec le télétravail, le risque IoT présent au domicile des collaborateurs, où il y a aussi des objets connectés, s’est ajouté à celui dans les locaux de l’entreprise», souligne Benoît Grunemwald.

Segmentation du réseau et IA

Face aux cyberisques de l’IoT : quelles mesures prendre pour protéger son SI? La première est de segmenter le réseau, s’accordent à dire l’ensemble des experts en sécurité. « Il ne faut pas qu’un téléviseur puisse discuter avec le réseau téléphonique ou avec le serveur qui contient la paie et la RH », résume-t-on chez ESET. Un avis partagé par Chuck McAuley, principal security engineer, chez Keysight Technologies : « L’une des principales choses à faire pour sécuriser les objets connectés est de limiter la communication avec d’autres réseaux et appareils qui n’ont pas d’autorisation.» Pour cela, il recommande notamment d’utiliser les listes de contrôle d’accès pour «limiter les parleurs», d’utiliser les VPN chaque fois que possible et d’activer des protocoles sécurisés tels que TLS.

Cette segmentation peut être combinée avec des outils d’IAM (Identity and Access Management). « Une couche d’IAM permet d’identifier et authentifier chaque objet connecté afin de pouvoir surveiller son comportement et l’intégrer à la politique de sécurité de l’entreprise », souligne Éric Piroux, Strategic Accounts Director chez Entrust. « Vous savez ainsi que tel à tel objet se connecte à heure, à tel endroit pour envoyer tel type d’informations. S’il ne s’agit pas de son comportement habituel, la plate-forme de contrôle envoie une alerte.»

Une approche défendue également par Alcatel-Lucent Enterprise : « Les appareils IoT sont authentifiés au point de connexion, via le port du commutateur ou le SSID Wi-Fi, et sont associés à un profil basé sur leur identité. Ce profil détermine le segment de réseau virtuel, le VLAN ou VPN, auquel l’appareil est mappé ainsi que l’ensemble des politiques de sécurité et de QoS associées à leur rôle », précise Sébastien Claret, Directeur Business Development.

Pour analyser les comportements des objets connectés, l’Intelligence artificielle est une technologie qui offrirait des atouts indéniables. « L’IA permet de détecter les attaques émergentes mais aussi d’y répondre de manière autonome. Basée sur un apprentissage des comportements “normaux”, l’IA est cruciale pour détecter les attaques inconnues et inédites en matière d’IoT », estime Max Heinemeyer chez Darktrace. Un point de vue partagé par Palo Alto Networks. « Nous intégrons de l’IA dans nos firewalls de dernière génération afin d’identifier des comportements anormaux grâce au machine learning », confie Thierry Karsenti.

L’épineuse question du chiffrement

Sans surprise, les acteurs du secteur recommandent un chiffrement de bout en bout des communications IoT. Mais cela n’est pas toujours facile à mettre en place et dépend notamment du type de réseau utilisé. « Le choix du protocole de communication est prépondérant car il peut intégrer ou non un chiffrement natif des messages échangés », souligne Bernardo Cabrera, directeur d’Objenious (Bouygues Telecom). « Par exemple, dans le cas particulier de LoRaWan, les données sont cryptées de façon native en AES 128 ».

Les technologies cellulaires, telles que LTE-M ou NB-IoT, offrent des niveaux de sécurité plus élevés, avec notamment des possibilités de cryptage en AES 256. « Sur un réseau IoT cellulaire, la connectivité offre une authentification réciproque de l’objet et du réseau, un chiffrement du lien, le tout étant basé sur un élément matériel de sécurité : la carte SIM », rappelle Jean-Marc Lafond, directeur du portefeuille IoT d’Orange. De son côté, la technologie Sigfox n’intègre pas de chiffrement sur les données transmises. « Il y a bien un chiffrement, à base d’AES 128, mais il est, par défaut, sur la partie authentification uniquement », confie Christophe Fourtet, co-fondateur et directeur scientifique de Sigfox. « La quasi-totalité des clients n’ont pas de problème avec ça. Soit, crypter la donnée n’a aucun intérêt – pas sensible; soit elle est suffisamment “obscure” pour ne pas avoir besoin d’être cryptée; soit elle est cryptée par le client, dans son container, avec un procédé qui est le sien.»

Selon les experts en sécurité, le plus prudent reste d’ajouter une couche de chiffrement au-dessus des protocoles IoT et de ne pas se reposer uniquement sur eux. « Il faut une surcouche qui va dépasser les problématiques réseau, mais adaptée à l’environnement contraint de l’IoT, c’est-à-dire fonctionnant sur des équipements relativement simples techniquement et qui doivent rester économes en énergie », indique ainsi Hatem Oueslati, CEO et co-fondateur d’IoTerop. Cette jeune pousse propose une solution d’identification et de chiffrement pour les équipements IoT, avec un cryptage en AES 128 ou 256. Elle peut fonctionner sur des équipements animés par un processeur 8 bits, dotés de 5 Ko de RAM et de seuls 30 Ko de mémoire flash. « Cela couvre 90% des équipements IoT », assure-t-on chez IoTerop. Reste que cette solution ne fonctionne pas sur la technologie Sigfox et doit être intégrée par les fabricants de matériel. Une trentaine d’industriels sont déjà clients de la start-up française, dont l’Américain Itron spécialisé dans les appareils de mesure et les compteurs. Des discussions sont en cours pour une intégration encore plus large, notamment par des acteurs français.

Mettre à jour les équipements et les mots de passe

Les experts en sécurité recommandent également de mettre à jour régulièrement les firmwares des objets connectés, même si cela est complexe lorsque leur volume est très large. Les solutions de supervision d’objets connectés, proposées par les acteurs de l’IoT ou les sociétés de cybersécurité, permettent cependant de lancer des mises à jour massives à distance. Mais sans ce type de plate-forme, une intervention physique sur site est souvent nécessaire, ce qui peut bien entendu s’avérer très laborieux. Dans sa récente fiche sur l’IoT, l’Anssi recommande également de modifier les mots de passe par défaut des objets connectés. « Les mots de passe, codes PIN, etc. générés par défaut par les fabricants sont généralement trop faibles : trop peu de caractères utilisés, faciles à deviner ou publiquement connus, ils n’assurent pas un niveau de sécurité suffisant », souligne l’Anssi.

Une situation de moins en moins catastrophique

Selon les experts en sécurité, la situation est préoccupante, mais moins qu’il y a quelques années. Globalement, un nombre grandissant d’entreprises prend en compte la problématique de l’IoT dans sa politique de sécurité. Et surtout, les fabricants d’objets connectés ne relèguent plus la cybersécurité au second plan, comme cela était encore le cas récemment, principalement pour des questions de coûts de fabrication. « Les solutions de cybersécurité vont de plus en plus être implémentées dans les équipements IoT », prédit ainsi Hatem Oueslati. « Depuis environ un an, il y a une réelle prise de conscience des industriels. C’était plutôt mal parti au début, mais aujourd’hui la situation évolue dans le bon sens », conclut-il.

Lien vers l'article

Prenez le temps de vérifier les RIB / IBAN envoyés par mail avant de réaliser un virement 

Sécurité : gare à l'escroquerie qui touche les emails de certains notaires !

Depuis plusieurs jours et principalement en région parisienne, des utilisateurs reçoivent par email des messages de leur notaire les invitant à régler des sommes correspondantes à des actes officiels.

L'arnaque est particulièrement bien ficelée et découle d'une campagne de piratage antérieure puisque les emails sont envoyés depuis les boites réelles des cabinets de notaires et concernent des actes réellement en cours.

Dans les faits, les pirates interceptent automatiquement des emails envoyés par certains notaires en repérant des mots clés comme "RIB" ou "acompte", puis les modifient pour remplacer les RIB du cabinet par un compte externe. L'idée est de faire payer les victimes vers un compte qui n'appartient pas aux notaires.

La victime réalise son paiement en toute confiance, assuré que l'email provient bien de son cabinet de notaire, l'acte étant souvent en relation avec l'achat d'un bien immobilier. Au final, l'argent transite vers le compte des cybercriminels et la victime ne s'en rend compte que trop tard.

Le Conseil supérieur du notariat avait déjà confirmé cet été que plusieurs boites e-mail professionnelles avaient été piratées.

Il est actuellement impossible de prévoir l'arnaque sauf si le cabinet a déjà remonté l'information. De fait, il est recommandé de ne plus effectuer de virement sur la base d'un RIB reçu par email, mais de téléphoner au cabinet du notaire en question pour l'obtenir de vive voix.

Pour l'instant, l'association de consommateur recense plusieurs cas d'arnaques avérées de ce type avec des montants pouvant atteindre 30 000 à 50 000 euros.

Lien vers l'article