Catégorie : Actualités

ICANN72, entre besoins de priorisation et risques de fragmentation

ICANN72, entre besoins de priorisation et risques de fragmentation

Fin octobre s’est tenu le 72ième sommet de l’ICANN consacré au développement des politiques qui impactent le système de noms de domaine (DNS) et la communauté Internet mondiale. Comme déjà annoncé durant cet été, ce dernier rendez-vous annuel allait se tenir en visio-conférences sur le fuseau horaire de Seattle aux Etats-Unis. Les « nuits blanches » n’étaient donc pas du côté de Seattle mais plutôt de l’Europe.

ICANN72, entre besoins de priorisation et risques de fragmentation

L’épine du prochain cycle de nouvelles extensions génériques

Un mois avant ce sommet, ICANN annonçait le calendrier de la phase de design opérationnelle (ODP) pour l’un des sujets les plus attendus par les parties contractantes : l’organisation d’un nouveau cycle de candidatures à de nouvelles extensions génériques. L’ODP est un nouveau dispositif désormais adossé au processus de développement de politiques (PDP). Il s’apparente à un cadrage de projet car il vise à identifier les étapes, les risques, les coûts et les ressources à allouer pour mettre en œuvre un projet, ici un nouveau cycle d’extensions génériques. Le PDP a été conduit entre 2015 et 2020, avec la remise d’un rapport final de recommandations au Board ICANN en mars de cette année. Ce n’est pourtant qu’en février 2023, soit près de deux années plus tard que le Board devrait examiner ces recommandations, le temps de laisser conduire l’ODP. ICANN a en effet confirmé avant l’ouverture de l’ICANN72 que cette phase de cadrage devrait durer seize mois dans sa totalité dont dix mois pour la conduite de l’ODP, trois mois en amont pour initier ce dernier et notamment constituer les équipes qui vont le conduire et trois mois en aval pour conclure les travaux. Un calendrier qui avait surpris beaucoup de parties contractantes et suscité de nombreux mécontentements. Ces mécontentements se sont particulièrement exprimés au travers du Brand Registry Group qui  représente et promeut les intérêts de ses membres, des propriétaires de dotBrand. Au premier jour du sommet de l’ICANN, pour la plupart des membres, les choses n’avancent pas suffisamment vite et l’ODP serait même en partie inutile puisque certains aspects recoupent les travaux déjà conduits durant le PDP préalable. Autre aspect pointé du doigt : un coût de 9 millions de dollars pour cette ODP, une somme non négligeable.

Les nuages s’amoncellent comme les processus en cours

Au fil des autres sessions programmées durant cette semaine de sommet, force est de constater que les nuages ont continué de s’amonceler dans la météo des politiques conduites par l’ICANN. Ainsi par exemple, l’annonce du lancement d’un processus de développement de politique dit expéditif (ePDP) pour réviser la procédure de résolution de litiges UDRP (Uniform Domain-Name Dispute Resolution Policy) qui permet de récupérer des noms de domaine litigieux, a suscité beaucoup d’incompréhension alors qu’une revue sur l’ensemble des mécanismes de protection des droits (RPM) a déjà été conduite entre 2016 et 2020 et que ses recommandations finales n’ont pas encore été examinées par le Board ICANN. Désormais cet examen du Board qui vise à valider les recommandations est prévu au mieux à l’été 2022, date à laquelle l’ePDP précité devrait être finalisé. Cet exemple a illustré le fossé qui est en train de se créer entre les attentes de décisions de la communauté et les instances décisionnaires de l’ICANN qui semblent dépassées par les processus de négociations de politiques qui s’empilent et s’étirent dans le temps, risquant au passage de rendre des décisions caduques si elles sont rendues trop tardivement. De l’aveu de certains, il en va même de la capacité de l’ICANN à toujours assumer sa mission inscrite dans ses textes fondateurs : Préserver et renforcer la stabilité opérationnelle, la fiabilité, la sécurité et l’interopérabilité mondiale de l’Internet.

« Priorisation », le mot est lâché

Dès le premier jour des sessions, Goran Marby, le patron de l’ICANN s’est défendu contre l’idée que le Board tardait à prendre des décisions. Il a ainsi mis en avant que ce dernier a récemment examiné 228 recommandations du Competion Consumer Choice & Consumer Trust (CCT) qui vient de conduire un examen pour évaluer dans quelle mesure l’expansion des extensions génériques, les gTLDs, a favorisé la concurrence, la confiance des consommateurs et leur choix. 166 ont été approuvées à ce jour, 44 placées en attente et 18 rejetées. Beaucoup de ces mesures sont corrélées à des conduites d’études et à la collecte de données pour mieux comprendre les tendances du marché des nouvelles extensions.

Goran Marby, a également justifié les délais sur les prises de décisions en raison du grand nombre de sujets en cours dont certains se chevauchent et par le fait que pour trancher ICANN a parfois besoin d’expertise additionnelle. Pour répondre aux critiques, il a également indiqué que l’ICANN travaille désormais sur une forme de priorisation, un souhait formulé par NAMESHIELD qui semble donc avoir été entendu. Marteen Botterman du Board a toutefois nuancé en précisant que la priorisation n’est pas du ressort du Board car il doit veiller à respecter le modèle multipartite et se doit donc de garder une certaine neutralité sur les sujets qui lui sont soumis.

Un risque de fragmentation

D’une organisation qui a du mal à prendre des décisions, à sa remise en question il n’y a qu’un pas. Dès le premier jour des sessions, Goran Marby, particulièrement impliqué dans les échanges, a parlé de « menaces contre l’ICANN ». ICANN travaille donc à un cadre de gestion des risques de l’organisation. Il a également évoqué le besoin de discuter plus étroitement avec les gouvernements dans un contexte de remise en question du modèle de gouvernance actuel. Il suffit en effet de regarder du côté de la Russie pour voir qu’en novembre 2019, le pouvoir russe a introduit de nouvelles réglementations qui créent un cadre juridique pour une gestion étatique centralisée de l’Internet à l’intérieur des frontières de la Russie. La Russie a également proposé de confier la gestion des serveurs racines à des États membres des BRICS (Brésil, Russie, Inde, Chine et Afrique du Sud). Preuve que les Etats passent à l’offensive au niveau de leurs législations, de récentes directives européennes impactent également la gouvernance comme le Règlement Général sur la Protection des Données (RGPD), ou encore la directive NIS2 (Network and Information Systems) à venir, des sujets également rappelés à l’occasion de ce sommet. Autre exemple, en Chine, c’est une loi renforçant les contrôles sur les services numériques opérés en Chine qui vient d’être adoptée.

L’échec du modèle de gouvernance de l’ICANN s’il venait à se confirmer, pourrait donc conduire à une fragmentation du système DNS tel que nous le connaissons actuellement, une fragmentation qui prend corps à mesure que l’ICANN s’enlise dans des débats stériles. Ce sommet a mis en lumière que la communauté et les dirigeants de l’ICANN ont identifié ce risque. Il s’agit pour l’avenir d’y remédier. Rendez-vous à l’ICANN73 en mars 2022.

Le constat d’enlisement des politiques de régulation du DNS particulièrement présent lors de l’ICANN72 a été largement partagé par NAMESHIELD bien avant ce sommet. NAMESHIELD avait notamment fait part d’un besoin de priorisation des sujets en accord avec la communauté lors de la session préparatoire de l’ICANN72. NAMESHIELD qui participe à des groupes de travail œuvrant aux recommandations dans le cadre des revues périodiques conduites par l’ICANN, a également plaidé pour ré-enchanter le volontariat et pour contribuer à la diversité des représentants dans ces groupes de travail, beaucoup étant aujourd’hui acculés par un volume croissant de sujets à considérer à mesure que les processus s’accumulent et que les décisions ne suivent pas. Quant aux nouveaux participants, ils sont dissuadés de s’intéresser à ces sujets du fait de processus trop longs et trop lourds.

Source de l’image : David Mark via Pixabay

Le DNSSEC prend (enfin) son envol !

Qu'est-ce que le DNSSEC  ?

Qu’est-ce que le DNSSEC  ?

DNSSEC authentifie la résolution DNS et protège des attaques complexes telles que le DNS spoofing, le DNS cache poisonning ou encore le Side channel Attack DNS. Ces attaques, de type MITM (Man In The Middle), permettent à l’attaquant d’envoyer des réponses DNS falsifiées en lieu et place des DNS légitimes, détournant ainsi l’internaute du site web visité, en toute transparence puisque la barre d’adresse du navigateur affiche la bonne information. C’est indétectable !

Pourtant, si ce protocole efficace contre ces attaques qu’est DNSSEC existe depuis 2005, il n’a jamais été adopté massivement par le marché.

En effet, l’activation de DNSSEC passe par une gestion de clés cryptographiques pouvant s’avérer complexe : si la chaine de confiance est rompue, la résolution s’interrompt. Qui plus est, de nombreux réseaux de résolveurs DNS ne supportaient pas jusqu’à il y a peu DNSSEC. Ajoutons à cela que les services marketing des sociétés n’aiment pas l’idée d’une augmentation éventuelle du temps de résolution qui pourrait avoir un impact sur le temps de chargement de leurs pages et donc leur SEO.

L’ICANN a bien tenté de relancer DNSSEC en 2019, mais en vain : https://www.icann.org/resources/pages/dnssec-what-is-it-why-important-2019-03-20-fr

Deux éléments nouveaux viennent aujourd’hui changer la donne :

1. Les assureurs

Depuis quelques mois maintenant, de nombreuses sociétés s’interrogent à juste titre sur l’activation de DNSSEC. Pourquoi maintenant ? Parce que les assureurs estiment désormais, audits de noms de domaine réalisés par des sociétés spécialisées à l’appui, que DNSSEC est indispensable en matière de sécurité du nom de domaine. DNSSEC impacte désormais les primes d’assurances cyber risque liées au nom de domaine, soit en limitant le montant des garanties, soit en augmentant les primes d’assurance.

2. DMARC, SPF, DKIM :

L’essor actuel de DMARC (et par conséquent des enregistrement SPF et DKIM) est un élément crucial à prendre en compte. L’authentification DMARC détecte et empêche les techniques d’usurpation de courrier électronique, elle assure la protection du canal de courrier électronique au niveau du nom de domaine. Pour que DMARC soit effectif, aucune compromission de zone n’est permise et DNSSEC est le chainon manquant qui garantit l’authenticité de la zone.

Nameshield assure la gestion DNSSEC pour les noms de domaine stratégiques de nombreux clients depuis des années, que les clients disposent ou non de leur infrastructure DNS, ou qu’ils utilisent l’infrastructure de Nameshield. Nos équipes se tiennent à votre disposition pour vous accompagner.

Source image : TheDigitalArtist/Pixabay

Nouveau logo et nouveau site : L’identité visuelle de Nameshield fait peau neuve !

Avec près de 30 ans d’expérience au service de ses clients et partenaires, Nameshield est le fournisseur français de référence en gestion et sécurisation des noms de domaine et services associés.

Pour cette fin d’année 2021, l’identité visuelle de Nameshield se métamorphose : un tout nouveau logo et une nouvelle charte graphique à l’image de notre expertise.

Nameshield - Online Assets Security

La sortie de ce nouveau logo s’accompagne également de la transformation de notre site vitrine nameshield.com à découvrir dès aujourd’hui.

Nameshield - Nouveau site

Découvrir le nouveau site NAMESHIELD

Petit précis du DNS

Pour les non-initiés, l’informatique est un domaine assez magique où tout se résout plus ou moins tout seul. Quand ça ne fonctionne plus, c’est la catastrophe et on est perdu.

Certaines notions peuvent être un peu velues, mais le principe de fonctionnement est souvent assez simple. Il suffit de l’expliquer.

Parlons aujourd’hui du système de nom de domaine. C’est un système que tout le monde utilise au quotidien pour parcourir Internet et qui est très intéressant à explorer.

Les noms de domaine

Tous les services (site web, mail, jeux vidéo …) que vous utilisez sur Internet fonctionnent sur des serveurs. Pour avoir accès à un de ces services, il faut contacter le serveur correspondant et lui demander de livrer le service. Or le point de contact d’un serveur c’est son adresse IP.

On peut comparer ça à avoir la localisation (longitude et latitude) d’un endroit où l’on souhaite se rendre. Dans la théorie, on peut très bien se rendre n’importe où à partir de la longitude et latitude. Cependant, dans la réalité ce serait un enfer de se souvenir de chaque localisation. Et pour rendre ça viable, on utilise des adresses postales. Et bien pour l’informatique c’est pareil. Plutôt que de devoir se souvenir de chaque adresse IP, on a mis en place les noms de domaine.

Un nom de domaine c’est donc (en partie) ce que vous voyez inscrit dans la barre d’adresse en haut de votre navigateur quand vous arrivez sur un site. C’est « google.com », « linkedin.com » ou « nameshield.com ». On peut constater que le nom de domaine se compose d’une chaîne de caractères, qui correspond généralement au nom d’une marque, d’un produit ou d’un service, et d’une extension (« fr », « com », « net », …).

Si on reprend notre comparaison avec une localisation, une fois arrivé à destination, on peut encore affiner notre objectif en choisissant à quel étage on veut se rendre. De même, pour les noms de domaine, on peut préciser notre demande en ajoutant un « étage » à notre nom de domaine, qu’on appelle sous-domaine : « mail.google.com ». Ici, on a « mail » qui est le sous-domaine et « google.com » qui est le nom de domaine. À partir de là, on peut mettre autant de sous-domaines qu’on le souhaite : « sous-sous-domaine.sous-domaine.domaine.net », mais c’est assez peu utilisé.

Les extensions

Comme on a pu le voir juste avant, la partie la plus à droite du nom de domaine est ce qu’on appelle une extension. On peut également l’appeler domaine de premier niveau (Top Level Domain ou TLD). Contrairement au reste du nom de domaine qui peut être composé de n’importe quels caractères alphanumériques, le domaine de premier niveau est choisi dans une liste préexistante. La liste de ces extensions se découpe en quatre types :

·  Les ccTLD (country code Top Level Domain) : ce sont des extensions de deux lettres identifiant un pays ou territoire indépendant. Par exemple, on a le « fr » pour la France, le « us » pour les États-Unis, ou le « tv » pour le Tuvalu.

·  Les gTLD (generic Top Level Domain) : ce sont des extensions historiques de trois lettres ou plus prévues pour des utilisations générales. On retrouve par exemple le fameux « com » qui a été créé pour une utilisation commerciale, le « gov » pour le gouvernement ou le « org » pour les organisations.

·  Les new gTLD (new generic Top Level Domain) : devant la croissance d’Internet, l’autorité responsable des noms de domaine a décidé en 2012 d’introduire de nouvelles extensions. On retrouve le « xyz », le « bank » ou le « sport ».

·  Les corpTLD (corporate Top Level Domain) : c’est en fait une sous-catégorie de new gTLD. Elle est réservée aux organisations souhaitant posséder leur propre extension. On y retrouve  « hbo » ou « lego ».

Les serveurs de nom de domaine

Maintenant que l’on comprend un peu mieux à quoi correspond cette notion, on peut se demander de quelle manière notre ordinateur récupère l’adresse IP cachée derrière un nom de domaine. On appelle cette opération « résolution d’un nom de domaine ». En fait, en regardant la configuration réseau de notre ordinateur, on peut retrouver un champ DNS (Domain Name Server) où l’on indique une adresse IP d’un serveur de nom de domaine à qui on va faire les demandes de résolution à chaque fois qu’on utilise un nom de domaine. Ce serveur peut être appelé « résolveur DNS ». On peut noter que pour ce service, on est obligé de spécifier une adresse IP étant donné que si ce champ n’est pas configuré on n’a aucun moyen de résoudre un nom de domaine et donc on ne peut pas récupérer l’IP cachée derrière.

Vous vous dites surement « C’est bien beau, mais moi je l’ai jamais changé ce paramètre et pourtant mon ordinateur arrive quand même à résoudre les noms de domaine ! ». Et en fait, c’est très simple, parce que vous n’avez pas non plus configuré votre adresse IP sur votre ordinateur ; vous l’avez branché à votre box Internet et la magie s’est opérée. Et bien, c’est pareil, c’est votre router Internet qui a décidé quel DNS vous alliez utiliser. Donc par défaut vous utilisez le résolveur de votre fournisseur d’accès Internet.

Cependant, ce ne sont que des valeurs par défaut, et vous pouvez tout à fait choisir d’utiliser d’autres résolveurs DNS. Vous pouvez choisir d’utiliser ceux d’un autre fournisseur d’accès, mais aussi ceux d’un autre fournisseur de service.

Choisir son résolveur DNS est important, car de là dépend (en partie) la vitesse de livraison d’un service (si le serveur met du temps à vous renvoyer une IP, vous mettrez forcément plus de temps à récupérer la page web) ; mais aussi la confidentialité de vos données, car comme c’est lui qui résout tous vos noms de domaine, il connait tous les services que vous cherchez à joindre.

La résolution des noms de domaine

Un serveur de nom de domaine est donc une base de données de couple nom de domaine / adresse IP. Cependant, chaque serveur DNS ne contient pas la liste d’absolument tous les noms de domaine qui existent. Cela formerait des bases de données titanesques, ce serait un vrai calvaire à mettre à jour et ça serait des passoires en termes de sécurité.

Avant de rentrer dans le détail du cheminement d’une demande de résolution de nom de domaine, il va être indispensable, pour ne pas se perdre, de définir certaines notions relatives au DNS et notamment les différents types de serveurs DNS qui existent (parce que oui, il en existe différent, ce serait beaucoup trop simple sinon).

Notions importantes

ICANN : C’est l’Internet Corporation for Assigned Names and Numbers (Société pour l’attribution des noms de domaine et des numéros sur Internet). C’est une autorité de régulation d’Internet de droit privé et à but non lucratif. Elle a pour objectif l’administration des ressources numériques d’Internet telles que l’adressage IP et la gestion des domaines de premier niveau (vous vous souvenez, les TLDs).

Serveur récursif : Ce sont les serveurs que l’on imagine quand on parle de serveur DNS. Ce sont ceux qu’on configure dans le fameux champ DNS de notre configuration réseau et ce sont eux qui se débrouillent pour aller chercher l’adresse IP que l’on souhaite à partir d’un nom de domaine. Ces serveurs ont aussi une fonction de « cache », c’est-à-dire que lorsqu’on leur demande un nom de domaine qu’ils ne connaissent pas, ils font la recherche puis ils gardent l’information en mémoire au cas où on leur redemande. Il ne garde bien sûr cette information qu’un certain temps avant de devoir renouveler leur recherche (au cas où il y a eu une modification relative à ce nom de domaine).

Serveur Racine : Ce sont les treize serveurs gérés par l’ICANN qui ont pour objectif d’indiquer où se situent les serveurs responsables de chacun de domaine de premier niveau.

Serveur TLD : Ce sont les serveurs responsables de chacun des domaines de premier niveau. On retrouve un serveur pour le « fr », un serveur pour le « com », … (En vrai cela est plus complexe que « un serveur pour un TLD », mais l’idée globale est là). Et ces serveurs de noms de domaine répertorient le serveur faisant autorité pour chacun des noms de domaine qu’ils gèrent.

Serveur faisant autorité : Ce sont sur ces serveurs sur lesquels se retrouve l’information que l’on cherche, c’est-à-dire l’IP correspondant à un nom de domaine. Lorsqu’on modifie une information relative à un nom de domaine, c’est sur ces serveurs qu’elle est modifiée.

Le chemin de la résolution

Maintenant qu’on voit un peu plus clair dans les termes, on commence à distinguer un schéma qui se dessine ; schéma que je vais m’empresser de vous expliquer. D’après ce que je vous ai déjà dit, on sait que le serveur DNS configuré sur votre ordinateur (le serveur récursif) ne connait pas tous les noms de domaine qui existent, il doit donc trouver un moyen d’apprendre l’IP d’un nom de domaine qu’il ne connait pas. La recherche se fait de manière hiérarchique.

Pour comprendre comment ça marche, on va suivre le cheminement d’une demande de résolution d’un nom de domaine. Imaginons que l’on veut résoudre « www.nameshield.com ».

1. Notre ordinateur va commencer par faire une demande au serveur récursif qu’il a de configuré. On va dire qu’on est chez Orange, et on demande donc au serveur « 80.10.401.2 » : « Est-ce que tu connais l’adresse IP qui se trouve derrière le nom de domaine www.nameshield.com ? ». C’est une adresse que personne n’a jamais demandée au serveur DNS d’Orange (on va faire comme si c’était le cas) et du coup il ne connait pas la réponse.

2. Ne voulant pas rester dans l’ignorance, il va aller chercher cette information. Pour ce faire, il va aller interroger un des serveurs racines : « Dis-moi serveur racine, je dois résoudre www.nameshield.com, or je ne connais pas ce nom de domaine, peux-tu m’aider ? ». Ce à quoi le serveur racine va répondre « Hum… tu devrais demander à 192.134.4.1, c’est lui qui gère les .com ».

3. Le serveur récursif d’Orange va donc répéter sa question au serveur TLD du .com qui va lui répondre : « nameshield.com ? C’est un nom qui est enregistré chez Nameshield ça. Demande à 255.341.209.423 ».

4. Pour la troisième fois, notre serveur récursif pose la question au serveur faisant autorité qui lui répond « Bien sûr que je connais www.nameshield.com, c’est moi qui le gère ! Tu peux le trouver à 81.92.80.11 ».

5. Tout fier d’avoir enfin la réponse, notre serveur récursif nous la transmet et on peut alors contacter le serveur qui se cache derrière nameshield.com via son adresse IP.

Bien évidemment, on est en informatique et tous ces échanges ne prennent que quelques centièmes de secondes. Mais, on est toujours soucieux de gagner du temps, et donc le serveur récursif va garder l’information qu’on vient de lui demander en mémoire (au moins pendant quelques minutes), comme ça si on lui redemande 20 secondes plus tard, il ne va pas déranger les autres serveurs.

Résolution DNS -NAMESHIELD

Conclusion

En dehors du milieu technique, on entend assez peu parler du système de nom de domaine (DNS), or c’est une notion qui mérite d’être connue, car c’est un vecteur important pour toute organisation. En effet, l’influence des noms de domaine se retrouve à tous les niveaux :

·  Le nom de domaine représente une marque, un produit, une organisation, … il est donc important de le protéger. Il faut penser aux différentes possibilités lors de l’enregistrement pour pas que quelqu’un d’autre puisse le réserver et nuire à votre image.

·  La configuration du serveur récursif que l’on va mettre en place sur notre machine va jouer sur la vitesse de votre Internet, mais aussi la confidentialité de vos données.

·  La disponibilité de tout Internet dépend de la disponibilité du système de nom de domaine. Si les serveurs racine, TLD ou faisant autorité tombent, on n’a plus accès à aucun service.

Tout ça pour dire, que le DNS, c’est complexe, mais c’est crucial !

Source de l’image : storyset.com

Nouvelle fiche : 5 minutes pour comprendre les extensions de noms de domaine (TLD)

Fiche 5 minutes pour comprendre - Les extensions de Noms de domaine - Nameshield

Les « Top Level Domains » également appelés TLD ou extensions, sont définis par l’IANA (Internet Assigned Numbers Authority) qui dépend de l’ICANN depuis 1998.

L’ICANN et l’IANA sont en charge d’allouer l’espace des adresses de protocole Internet (IP), d’attribuer les identificateurs de protocole et de gérer le système de noms de domaine de premier niveau, c’est-à-dire les « Top Level Domains ».

Découvrez dans cette fiche 5 minutes pour comprendre, disponible en téléchargement sur le site de Nameshield, les différents types de domaines de premier niveau.

Télécharger la fiche

Le RGS, l’atout confiance des administrations

Cybersécurité - RGS

En 20 ans les flux d’échanges de données entre administrations et ceux avec les usagers ont connu une évolution très forte, souvent accélérée par le contexte économique, politique ou sanitaire, obligeant par conséquent les autorités administratives à garantir la sécurité de leurs systèmes d’information en charge de la mise en œuvre de leurs services. Ainsi, par la nécessité de normaliser les pratiques, est né le « RGS ».

L’ANSSI a donc défini le référentiel général de sécurité (RGS) comme étant le cadre règlementaire permettant d’instaurer la confiance dans les échanges au sein de l’administration et avec les citoyens dans un contexte de risques liés à la cybersécurité.

La version initiale du RGS (v.1.0) a été rendue officielle par arrêté du Premier ministre en date du 6 mai 2010. Une version 2.0 a été publiée par arrêté du Premier ministre du 13 juin 2014, applicable depuis le 1er juillet 2014, assurant une transition entre une première version liée à la mise en œuvre de l’administration électronique vers une troisième version (fondée sur la réglementation européenne en cours d’évolution).

Mais son champ d’application ne se limite pas au périmètre strict de l’administration: il s’applique à l’ensemble des prestataires de services qui assistent les autorités administratives dans la sécurisation des échanges électroniques qu’elles mettent en œuvre, ainsi qu’aux industriels dont l’activité est de leur proposer des produits de sécurité.

De façon globale, pour tout autre organisme, public ou privé, souhaitant organiser la gestion de la sécurisation de ses systèmes d’information et de ses échanges électroniques, le RGS se présente comme le guide des pratiques à suivre en la matière.

Dans son contenu il assimile les principes et règles liés à :

  • la description des étapes de la mise en conformité
  • la cryptologie et la protection des échanges électroniques
  • la gestion des accusés d’enregistrement et des accusés de réception
  • la qualification des produits de sécurité et des prestataires de services de confiance
  • la validation des certificats par l’État.

Aussi, pour répondre aux différents besoins dans ce domaine, les autorités de certification ont élaboré une gamme de produits bien spécifiques.

Ces autorités habilitées à délivrer des certificats de type RGS suivent un process d’émission très précis dans lequel le responsable légal de l’organisation doit être celui qui approuve directement la demande d’acquisition de certificat.

Actuellement en partenariat avec Certigna, Nameshield est là pour vous accompagner dans votre choix de certificats RGS.

N’hésitez pas à contacter votre équipe SSL pour faire un point sur vos besoins et les procédures d’obtention.

Source de l’image : pixelcreatures via Pixabay

Nameshield rejoint l’Alliance pour la Confiance Numérique (ACN)

Nameshield rejoint l'Alliance pour la Confiance Numérique (ACN)

L’Alliance pour la Confiance Numérique (ACN) représente les entreprises (leaders mondiaux, PME et ETI) du secteur de la confiance numérique notamment celles de la cybersécurité et de l’identité numérique. La France dispose dans ce domaine d’un tissu industriel très performant et d’une excellence internationalement reconnue grâce aux différents acteurs dynamiques du secteur.

L’ACN est membre de la FIEEC (Fédération des Industries Electriques, Electroniques et de Communication) et participe aux travaux du Comité Stratégique de Filière – CSF – des industries de sécurité. Par ailleurs, l’ACN est également membre fondateur de l’ECSO (European CyberSecurity Organisation).

L’ACN a pour vocation :

  • D’être le représentant institutionnel de la filière du secteur de la confiance numérique auprès des pouvoirs publics,
  • D’être force de propositions, par l’élaboration de livres blancs, de fiches techniques, de contributions techniques, et des positions par rapport aux projets de législations nationales et européennes,
  • D’apporter des éléments de valeurs et innovants dans les débats nationaux et internationaux,
  • D’analyser l’écosystème de la confiance numérique et de permettre aux entreprises de toute taille (Startup, PME, Grands groupes et ETI) de mener des actions collectives au sein de la filière.

C’est avec beaucoup d’enthousiasme que Nameshield a décidé de rejoindre l’ACN, pour continuer à œuvrer pour un Internet plus sûr et à adresser les défis croissants que sont les enjeux de la cybersécurité, tant pour les entreprises que les administrations.

Le phishing, kezako ?

Phishing - Hameçonnage

Le « phishing » est un anglicisme utilisé pour parler de « hameçonnage » (terme québécois) ou de « filoutage » (terme français). Cependant, le terme français est finalement très peu utilisé, restons donc sur  « phishing » dans cet article si vous en êtes d’accord.

Petit rappel et tour d’horizon de la planète phishing : il s’agit d’un procédé employé par une entité malveillante ayant pour but de dérober des informations personnelles, en se faisant passer pour un tiers de confiance. Les informations ciblées peuvent être un mot de passe, un numéro de carte bancaire, un papier officiel (carte d’identité)…

L’attaque peut être effectuée par email, téléphone, SMS, ou tout autre moyen de communication électronique (messenger, whatsapp, …). Le plus souvent, le message provient prétendument d’un organisme de confiance comme une banque, un site de commerce en ligne (amazon), un opérateur téléphonique…

Et le spear phishing alors ?

Le « spear phishing », qui peut se traduire par « hameçonnage à la lance », est une variante du phishing traditionnel ciblant une personne précise.

L’attaquant va par exemple se faire passer pour un proche de la cible avec un message construit pour inspirer confiance, en se basant sur des données personnelles accessibles sur les réseaux sociaux.

Quid du In-session phishing ?

Le « In-session phishing » est une autre variante de phishing qui se base sur une faille informatique de type XSS présente sur le site visé.

Cette fois-ci, la cible de l’attaquant n’est pas une donnée personnelle, mais directement un cookie de session (c’est ce qui vous permet de ne pas avoir à vous connecter à chaque fois que vous visitez ce site) qu’il obtiendra à l’instant où vous aurez cliqué sur le lien.

Comment l’identifier ?

Il existe différents moyens d’identifier un message comme étant une tentative de phishing :

  • Vous n’utilisez pas ce service ou vous n’êtes pas client de cette entreprise.
  • Le nom de domaine de l’expéditeur (ce qui se trouve après le « @ ») ne correspond pas à l’organisme pour lequel il essaie de se faire passer. Cela peut être du typosquatting (« arnazon » au lieu de « amazon », « g00gle » au lieu de « google »…) ou alors le nom de domaine n’a rien à voir (« fo7zl89.com »).
  • Le sujet est écrit de manière informelle (pas de numéro de dossier par exemple).
  • Le message est mal écrit. Souvent, les messages sont rédigés à l’aide de traducteurs par des personnes qui ne parlent pas français. Cela étant, les traducteurs automatiques étant de plus en plus performants, cela peut devenir plus difficile à détecter.
  • L’email ne vous est pas personnellement adressé. Des formules comme « cher client » sont utilisées plutôt que d’indiquer votre nom. Une nuance toutefois, il est possible que votre adresse mail ait été récupérée en même temps que votre nom et prénom à la suite d’une fuite de données d’un site auquel vous avez fait confiance, invalidant ce point.
  • Lorsque vous passez votre curseur au-dessus d’un lien, vous pouvez voir l’adresse vers laquelle vous allez être redirigé. Si le lien et l’adresse affichée ne correspondent pas, c’est sûrement du phishing.
  • Le message vous demande des informations personnelles.

Conseils et préventions

Afin de limiter les risques de tomber dans ce genre du piège, il y a plusieurs habitudes à prendre.

Tout d’abord, c’est un conseil qui s’applique partout sur Internet, on ne le répétera jamais assez : soyez méfiant ! Pour tous les contenus que vous trouverez, posez vous la question suivante : la source est-elle fiable et si oui, pourquoi ? En fonction de ces réponses, agissez, avec prudence.

Deuxièmement, ne cliquez pas sur les liens. Si vous recevez un message qui vous demande de vérifier vos informations bancaires (par exemple), ouvrez un nouvel onglet et rendez-vous directement sur le site de votre banque. Comme j’en ai parlé avec le « In-session phishing », dans certains cas, si vous cliquez sur le lien, c’est déjà trop tard. De plus, les attaquants redirigent souvent vers une copie conforme du site de l’entité pour laquelle ils essaient de se faire passer. Vous ne vous apercevrez donc pas forcément de l’arnaque.

Ne communiquez jamais d’information personnelle par mail à moins d’être sûr de l’identité de votre correspondant. Les organisations (type banque) vous feront transmettre vos informations personnelles directement via leur plateforme. Cependant, il est possible d’avoir besoin d’envoyer des papiers par mail (pour son travail ou son propriétaire par exemple). Dans ces cas-là, avant d’envoyer les informations demandées, validez avec la personne (par téléphone) qu’elle est bien à l’origine de la demande.

Utilisez des mots de passe uniques sur chaque site. En cas de compromission d’un mot de passe, l’attaquant n’aura pas accès aux autres plateformes. De même, essayez de changer régulièrement de mot de passe, cela permet de couper les accès à un éventuel pirate.

Pour les accès critiques (mail, banque,…) mettez en place la double authentification afin de sécurisez vos comptes.

Enfin, sachez qu’il est possible de signaler les escroqueries à l’adresse suivante : www.internet-signalement.gouv.fr (Et si vous m’avez bien suivi, vous ne cliquerez pas sur le lien, mais vous irez dessus via un nouvel onglet).

Source de l’image : mohamed_hassan via Pixabay

Nameshield rejoint FIRST et sera présent au Centre de Cyber-entraînement sur IT Partners 2021

C’est avec beaucoup d’enthousiasme que Nameshield a rejoint le collectif F.I.R.S.T – French Industrials For Resilience, Security & Trust, en 2021.

F.I.R.S.T est un collectif de PME françaises et européennes qui ont décidé de travailler et de répondre ensemble aux défis cyber des petites organisations.

Cet écosystème de produits de cybersécurité souverains et interopérables propose une suite d’outils permettant de répondre aux défis de la sécurité numérique des TPE, des PME et des collectivités territoriales.

Dans le cadre du salon IT Partners (29 & 30 septembre 2021), dédié au channel IT, les membres de F.I.R.S.T dont Nameshield, dispenseront des formations accélérées en cybersécurité.

Le centre de cyber-entraînement sur l’édition 2021 d’IT Partners sera une première action de sensibilisation. Convaincu que la montée en compétence des acteurs du channel est une réponse opérationnelle adaptée à l’urgence du besoin, FIRST a pour ambition d’améliorer leur efficacité sur le volet de la remédiation mais aussi sur celui de la prévention.

Pendant deux jours, les visiteurs du salon IT Partners pourront se rendre au centre de cyber-entraînement pour assister aux conférences sur les enjeux de la cybersécurité spécifiques au TPE/PME et bénéficier de formations accélérées sur des sujets plus opérationnels sous forme de speed training avec un expert FIRST.

A cette occasion, les visiteurs du salon pourront retrouver nos experts sur le Centre de Cyber-Entraînement, et assister à la conférence « Menaces liées aux noms de domaine » animée par Christophe Gérard, Security Product Manager Nameshield, le 29 septembre à 12h et le 30 septembre à 15h.

Password : les bonnes pratiques

Le sujet des mots de passe a déjà été abordé des centaines de fois, mais c’est un point majeur de la sécurité informatique et il est toujours intéressant d’y revenir. Voici un tour d’horizon des bonnes pratiques.

1 – Composition d’un mot de passe

Le premier point à voir est comment composer un mot de passe robuste. Contrairement à l’idée qui avait été popularisée il y a quelques années, il vaut mieux privilégier la longueur à la complexité. Aussi le terme « passphrase » semble-t-il  plus approprié que « password ». Cela dit, la complexité n’est bien sûr pas à renier pour autant, puisqu’elle permet de renforcer un mot de passe.

Des tableaux circulent sur le temps nécessaire pour « craquer » un mot de passe en fonction de sa longueur et de sa complexité. Si ces données sont relatives et fluctuent en fonction du type d’attaque (en ligne ou hors ligne), de l’algorithme utilisé et de la machine qui effectue l’attaque, elles donnent néanmoins un repère sur les différents niveaux de sécurité. Si l’on se base sur une attaque hors-ligne avec une machine dédiée au « cassage » sur un algorithme NTLM, on obtient les données suivantes :

L’utilisation de chiffres uniquement est évidemment à bannir. Quant aux lettres, on peut constater qu’un mot de passe de 12 caractères est déjà bien plus difficile à craquer qu’un mot de passe complexe de 8 caractères. Et évidemment, c’est exponentiel en fonction du nombre de caractères.

On pourrait se dire qu’il est plus compliqué de retenir un mot de passe long, pourtant les moyens mnémotechniques sont beaucoup plus évidents. On peut par exemple choisir le titre ou des paroles d’une chanson, une réplique culte, le nom d’un auteur… En somme, quelque chose de marquant, avec quelques petites modifications ($ à la place d’un s) pour ajouter de la complexité. Et au final, on sécurise ainsi assez facilement nos mots de passe.

2 – Changer de mot de passe

La deuxième bonne pratique que je voudrais évoquer est de ne pas utiliser le même mot de passe plusieurs fois. C’est une pratique qui est très tentante, car il est beaucoup plus simple d’avoir un seul mot de passe à retenir plutôt qu’un pour chaque site, mais cela signifie aussi que si quelqu’un arrive à récupérer ce mot de passe, il aura accès à tous vos comptes. Or il y a beaucoup de raison pour laquelle votre mot de passe peut fuiter, que ce soit une mauvaise manœuvre de votre part ou des problèmes de sécurité d’un site auquel vous faites confiance. Pour cette deuxième partie, on peut citer le COMB (compilation of many breaches) qui regroupe un total de 3.2 milliards d’identifiants qui ont fuité sur Internet.

En cliquant sur ce lien ci-contre, cela pourra vous aider à découvrir si votre mot de passe est compromis.

Un point relatif au même sujet est le changement régulier de ses mots de passe. Si l’on voulait pousser le vice à l’extrême pour garder un niveau de sécurité optimum, il faudrait renouveler ses mots de passe tous les 90 jours. L’intérêt de ce procédé est de se prémunir contre ces diverses brèches :

– L’accès constant : Si vous avez un accès compromis, l’attaquant ne va pas forcément effectuer des actions qui vont vous permettre de le repérer. Il peut très bien continuer à voler des informations sur la durée. Le fait de changer de mot de passe régulièrement va lui couper les accès.

– L’accès par ancien mot de passe : Si quelqu’un récupère un mot de passe sur un ancien ordinateur ou écrit sur un post-it et que vous ne l’avez pas changé, il aura accès au compte. Alors que bien évidemment, le changer régulièrement règle le problème.

– Le « craquage » du mot de passe : S’il faut 4 ans pour craquer votre mot de passe et que vous le changez tous les 10 ans, quelqu’un de (très) patient pourrait arriver à craquer votre mot de passe. Encore une fois, changer le mot de passe régulièrement réduira considérablement le risque que ce cas se présente.

On arrive cependant sur des procédés très laborieux et fastidieux à respecter. Selon certains experts comme Dave Hatter, à moins d’être au courant d’une fuite de données au niveau des mots de passe sur un site que vous utilisez, il n’y a pas de nécessité de les changer régulièrement si les mots de passe sont uniques et forts.

Les avis tendent donc à diverger en la matière et il revient donc à chacun d’entre nous de décider de la marche à suivre. Selon mon opinion, faire preuve de bon sens en changeant régulièrement son mot de passe sans forcément s’imposer de date limite est un bon compromis.

3 – Quelques bonnes pratiques supplémentaires

Il n’est jamais inutile de répéter des principes de base, ne nous en privons pas :

1. Ne communiquez jamais vos mots de passe. Aucune organisation, société, association, ne doit vous demander votre mot de passe. C’est une information qui est secrète. Si l’on vous demande votre mot de passe, c’est probablement de l’hameçonnage.

2. Ne les écrivez pas sur un post-it ni aucun support physique. Il est simple pour n’importe qui s’aventure près de votre poste de travail d’y avoir accès.

3. N’utilisez pas vos mots de passe sur des ordinateurs dans lesquels vous n’avez pas confiance (en libre-service par exemple). Il y a un pourcentage de chance non négligeable pour qu’il soit piégé, par exemple avec un keylogger (qui enregistre tout ce qui est tapé au clavier). Si jamais vous êtes obligé de le faire, changez le mot de passe dès que vous récupérez un accès sûr.

4. Configurez vos logiciels (notamment les navigateurs) pour qu’ils n’enregistrent pas vos mots de passe. J’ai pu faire un test avec Firefox, il est très facile de récupérer en clair les mots de passe qui y sont sauvegardés.

5. Dans la première partie, j’ai évoqué de choisir un mot de passe qui vous marque. Cela ne veut pas dire qu’il faille en utiliser un que l’on peut facilement relier à vous, comme une date de naissance, le nom de votre entreprise, … Si vous voulez mettre un titre de chanson, ne mettez pas votre chanson préférée, et modifiez légèrement le nom. Il existe un type d’attaque qui cible vos informations sur les réseaux sociaux pour tenter de deviner votre mot de passe. Pensez à avoir un temps d’avance sur ces attaquants.

6. Enfin, soyez particulièrement attentif à vos accès mail. C’est le nerf de la guerre. Si quelqu’un arrive à avoir accès à votre boîte mail, il peut très bien réinitialiser tous les mots de passe qui y sont liés et donc avoir accès à tous vos comptes.

4 – Gestionnaire de mots de passe

Toutes ces préconisations sont importantes, mais cela reste quand même assez laborieux. Il n’est pas évident de se souvenir de 74 mots de passe uniques, longs et complexes et qui ne sont bien sûr pas en rapport direct avec sa personne.

Heureusement,  des outils qui font le travail à notre place existent, il s’agit des gestionnaires de mots de passe !

Un gestionnaire de mots de passe est une application (web ou desktop) qui permet de centraliser, générer et gérer ses mots de passe. L’accès à ce portefeuille de mots de passe est protégé par un mot de passe unique (encore un, mais c’est le dernier promis !). Avec cet outil, seul le mot de passe maître, qui nous donne accès à tous les autres, est à retenir. Il faut aussi qu’il soit vraiment fort pour des raisons évidentes.

5 – L’authentification à double facteurs (2FA)

Une méthode d’authentification forte qui s’est développée ces dernières années est l’authentification multifacteur, qu’on appelle couramment 2FA. Cette méthode d’authentification va, en plus du couple identifiant/mot de passe, demander une validation supplémentaire. Cette validation peut être un code provisoire envoyé par mail ou SMS, ou une application spécifique ou encore une reconnaissance biométrique. Ainsi grâce à cette confirmation, vous seul pourrez autoriser un nouvel appareil à se connecter aux comptes protégés.

En fonction des plateformes, le 2FA n’est pas forcément implémenté et la méthode de double authentification n’est pas forcément la même non plus. Cela peut aussi rajouter de la complexité. C’est pourquoi l’authentification multifacteur n’est donc pas forcement à activer sur tous les comptes, mais sur les comptes critiques (mail, banque, Amazon, …), car là il y a des actifs à protéger.

Si cette méthode ajoute une couche de protection supplémentaire, elle non plus n’est pas sans faille.

Le mot d’ordre reste donc dans tous les cas, de rester vigilant et de conserver une certaine complexité de sécurité à tous les niveaux.

Source de l’image : geralt via Pixabay