Comment survivre au Far-West du WEB. 16 octobre 2008 Club d'Informatique de Brossard 2 Introduction Problèmes de sécurité relatifs au WEB Quels risques.

Présentation au sujet: "Comment survivre au Far-West du WEB. 16 octobre 2008 Club d'Informatique de Brossard 2 Introduction Problèmes de sécurité relatifs au WEB Quels risques."— Transcription de la présentation:

1 Comment survivre au Far-West du WEB

2 16 octobre 2008 Club d'Informatique de Brossard 2 Introduction Problèmes de sécurité relatifs au WEB Quels risques représentent-ils? Quelles précautions prendre?

3 16 octobre 2008 Club d'Informatique de Brossard 3 Le Far-West? Le WEB est plein de bandits qui veulent: Voler votre argent Tenir votre ordinateur en otage Squatter leur repaire chez vous Passer sur votre dos leurs méfaits Vous forcer à entrer dans leur bande

4 16 octobre 2008 Club d'Informatique de Brossard 4 Que sont leurs armes? Des virus Des mouchards (spyware) Des courriels piégés Des pages WEB piégés

5 16 octobre 2008 Club d'Informatique de Brossard 5 Les virus et mouchards Virus: programmes qui sinstallent dans votre ordi à votre insu Mouchards: add-on (modules complémentaires) qui saccrochent à votre fureteur à votre insu Présents dans: –Programmes explicitement télé-chargés –Add-on ou Codec aux fureteurs –Des économiseurs décran (Screen Savers) –Partage des fichiers « pair à pair » (Napster, LimeWire) –Documents attachés aux courriers piégés

6 16 octobre 2008 Club d'Informatique de Brossard 6 Téléchargements et add-ons Semblent honnête et de bonne foi Ont leur propre programme dinstallation ou ne sont pas authentifiés (éditeur)-> Très répandu dans les add-on et codec Peuvent se faire passer pour mise à jour dun add-on légitime (par exemple nouvelle version de Adobe Reader) en vous incitant à cliquer un lien de la page.

7 16 octobre 2008 Club d'Informatique de Brossard 7 Téléchargements et add-ons: risques Virus: –Endommagent les fichiers de lordi, le ralentissent ou sont des nuisances (pop-up intempestifs, etc.) –Servent de robots lors dattaques coordonnées vers une site cible (i.e Hotmail), ou dintermédiaire pour cacher les traces de leurs crimes ou pour vous impliquer dans leur méfaits Mouchards (spyware): –Peuvent connaître vos addresses de courriel, qui peuvent envoyer des pourriels en votre nom. –Rapportent à WEBMarketters les sites que vous fréquentez –Peuvent intercepter informations sensibles comme mots de passe

8 16 octobre 2008 Club d'Informatique de Brossard 8 Téléchargements et add-ons : précautions Télé-charger seulement à partir de sites dignes de confiance (ex. FileHippo) Vérifier si le programme est authentifié (éditeur connu) Sassurer que lanti-virus de lordi est à date Si nouvelle version dun add-on connu (Adobe Reader) aller directement sur le site de ce dernier sans passer par le lien suggéré. Si un add-on semble trop bon pour être vrai, cest probablement quil lest. Si un add-on est spécialement requis pour ce site, alors le site est suspect.

9 16 octobre 2008 Club d'Informatique de Brossard 9 Échanges de fichiers pair à pair : précautions Sassurer que notre anti-virus est actif et à date Ne jamais supposer que linterlocuteur est fiable –Pirates sont des pairs qui transmettent des virus caché dans des fichiers échangés (jeu, musique) Ne jamais double-cliquer sur un fichier échangé dans en examiner dabord lextension

10 16 octobre 2008 Club d'Informatique de Brossard 10 Courriels piégés Le piège dun courriel peut se trouver: Dans son contenu Dans une de ses pièces attachée Dans son originaire

11 16 octobre 2008 Club d'Informatique de Brossard 11 Courriels au contenu piégé: « on vous vole! » Courriel provenant dune banque ou dune agence gouvernementale qui semble authentique (logos, allure, etc.): hameçonnage Vous informe dune situation catastrophique à laquelle vous devez immédiatement remédier Ne contiennent jamais dinformation personnelle comme votre nom, seulement votre adresse de courriel Exigent de linformation personnelles ou bancaires à entrer sur une page WEB ou à donner à un numéro de téléphone Ne sont pas habituellement sur ces sites sécurités (HTPPS:)

12 16 octobre 2008 Club d'Informatique de Brossard 12 Courriels au contenu piégé: exemple de « on vous vole »

13 16 octobre 2008 Club d'Informatique de Brossard 13 Courriels au contenu piégé: « on partage! » Originant dune banque ou dun particulier à létranger, il demande dutiliser votre compte personnel pour y transférer de largent provenant dun héritage ou compte dormant que seul un étranger peut sortir du pays En réalité, largent appartient à quelquun dont le compte est vidé au moyen du numéro obtenu grâce à un ordi infecté par un virus: vous devenez complice et probablement auteur unique du vol.

14 16 octobre 2008 Club d'Informatique de Brossard 14 Courriels au contenu piégé: exemple de « on partage »

15 16 octobre 2008 Club d'Informatique de Brossard 15 Courriels au contenu piégé: « courriel égaré » Semble être une lettre qui vous est destinée par erreur Proviennent presque toujours de létranger Émise par un fils/fille/neveu de sénateur/chef détat/président/ministre … demandant un petit montant pour récupérer une fortune qui sera partagée avec vous Peut contenir document attaché ou fourni un numéro de téléphone à appeler

16 16 octobre 2008 Club d'Informatique de Brossard 16 Courriels au contenu piégé: « courriel égaré » Semble être une lettre qui vous est destinée par erreur Proviennent presque toujours de létranger Émise par un fils/fille/neveu de sénateur/chef détat/président/ministre … demandant un petit montant pour récupérer une fortune qui sera partagée avec vous Peut contenir document attaché ou fourni un numéro de téléphone à appeler

17 16 octobre 2008 Club d'Informatique de Brossard 17 Courriels au contenu piégé: « heureux gagnant » : un exemple

18 16 octobre 2008 Club d'Informatique de Brossard 18 Courriels au contenu piégé: risques Linformation qui vous fournissez par le WEB servira à –vider votre compte de banque –voler votre identité –vous rendre responsable dun crime Numéro de téléphone « spécial »: grand frais rajoutés à votre facture téléphonique

19 16 octobre 2008 Club d'Informatique de Brossard 19 Courriels au contenu piégé : précautions Aucune banque ou agence gouvernementale ne demande des informations de quelconque nature par Internet, ou même par téléphone. En cas de doute, appeler la banque ou lagence gouvernementale en utilisant le numéro de téléphone public donné dans le bottin ou sur leur site WEB authentifié. Règle générale: ne donner absolument aucune information par téléphone, par ordi ou à la porte si linterlocuteur nest pas authentifié.

20 16 octobre 2008 Club d'Informatique de Brossard 20 Courriels avec attache piégée Courriel habituellement de provenance inconnue ou non authentifiée et qui contient un fichier attaché contenant un virus qui sinstalle lorsque lon louvre.

21 16 octobre 2008 Club d'Informatique de Brossard 21 Courriels avec attache piégée: fichiers à risque Fichiers à risque sont ceux ayant de la programmation: –Les fichiers exécutables dont la dernière extension du nom est.exe..dll,.msi,.scr,.com,.bat : –Les documents MS-Office (.doc,.dot,.xls) à cause de leur macros (la sécurité de WORD et EXCEL peut désactiver automatiquement les macros). Les autres sont inoffensifs:.ppt,.jpg,.mpg,.gif,.png,.swf. Attention: certains fichiers exécutables se déguisent en fichiers inoffensifs: unexemple.jpg.exe Un bon anti-virus va intercepter les programmes dangereux à tout coup.

22 16 octobre 2008 Club d'Informatique de Brossard 22 Courriels avec origine piégée Ce que lon nomme habituellement Pourriels Automates tentent lenvoi de courriels en essayant toutes les combinaisons de lettres/chiffres dans ladresse de destination pour un serveur de courriel donné (Hotmail, Gmail, etc). Lorsque lautomate ne reçoit pas « destinataire inconnu » de la part du serveur de courriel, il sait quil a une cible possible. Sil reçoit une réponse dune cible possible, celle-ci devient une cible certaine: plus payante. Certains serveurs de courriel peuvent retourner un accusé douverture à loriginaire (ouverture explicite par destinataire) Listes de cibles possibles recueilles et vendues à des WEBmarketers, qui sacharnent alors à vous envoyer dautres pourriels ciblés. Votre adresse courriel peut aussi être vendue par un site qui vous demande de vous « enregistrer ».

23 16 octobre 2008 Club d'Informatique de Brossard 23 Courriels avec origine piégée: précautions Ne jamais répondre à un pourriel, ni même louvrir Si un pourriel na pas été reconnu par votre serveur de courriel, len enviser en cliquant « indésirable », « pourriels », « spam » afin quil puisse larrêter à la source. Si vous devez absolument vous enregistrer sur un site: –Vérifier si le site en question possède des normes de confidentialité (mais sans garantie de respect) –Utiliser un compte de courriel spécialement assigné pour les sites douteux –Fournir le minimum absolu dinformation: sil en exige trop, cest suspect. –Flusher le compte courriel spécial de temps en temps et en créer un nouveau. Il en est de même pour les « Delivery Status Notification (Failure) »

24 16 octobre 2008 Club d'Informatique de Brossard 24 Pages WEB piégées: Contiennent de la programmation en JavaScript ou Jscript ou VBScript Nuisance malicieuse: –Empêchent page WEB de fermer ou changer, ou de retourner à la précédente –Créent des dizaines dautres pages dynamiquement –Peuvent faire des attaques vers dautres sites (AJAX) –Ralentissent intentionnellement lordi Voleurs dinformation: –Peuvent lire lhistorique et les cookies du fureteur provenant dautres sites et les retourner à loriginaire de la page WEB

25 16 octobre 2008 Club d'Informatique de Brossard 25 Pages WEB piégées: précautions Un script ne peut sexécuter que si sa page WEB est active: vérifier si fureteur consomme beaucoup de CPU ( voir procédure en bas, avec onglet « Processus », et cliquer entête de colonne « Processeur ») Mettre le fureteur en sécurité maximale pour inhiber cookies et scripts, ce qui dégradera laisance dutilisation du fureteur. Activer un « popup stopper » dans le fureteur Si un script malveillant est détecté et que la page WEB ne peut être changée, avorter le programme du fureteur: –presser ensemble les clés ctrl/alt/suppr, –sélectionner onglet « Applications » –sélectionner le fureteur dans la liste des applications, –et cliquer « Terminer le processus »

26 16 octobre 2008 Club d'Informatique de Brossard 26 Précautions additionnelles sur le WEB (1) Les WEBdav (Web Drive) –En théorie, accès personnel, mais on ne sait jamais… –Toute information sensible (comptes, mots de passe, etc.) peut être insérée dans un fichier ZIP avec mot de passe à louverture Partage dinformation: –Quelque soit linformation (photos, comptes) –Quel que soit le médium (MySpaces, Torrent, etc.) –Lorsque vous mettez quelque chose sur le WEB, Vous en perdez le contrôle: linformation peut copiée et être utilisée à dautres fins Vous ne pourrez jamais récupérer toutes les copies de linformation présentes sur le WEB

27 16 octobre 2008 Club d'Informatique de Brossard 27 Précautions additionnelles sur le WEB (2) Ne pas faire dachat en ligne sur un site WEB dont les transactions ne sont pas sécurisées, i.e. si le navigateur naffiche pas une petit cadenas fermé (HTTPS) Vider la mémoire cache de votre ordinateur après avoir fait des transactions sécurisées Ref: La Presse, 12 octobre 2008

28 16 octobre 2008 Club d'Informatique de Brossard 28 Précautions hors WEB (1) Les passerelles (routeurs) WIFI –Si laccès à la passerelle est non sécurisé (accès public) ou non configuré après son lachat, vos voisins peuvent utiliser votre passerelle, et faire de gros télé-chargements à vos frais (Vidéotron charge lexcédent de 20GO/mois) et ralentir votre accès au WEB –Si la passerelle est effectivement partagée, les connexions sont imperméables les unes des autres. –Si la passerelle est non encryptée, un bandit avec appareil spécial mais facilement accessible peut voir dans son auto stationnée sur la rue devant chez vous le trafic échangé entre votre ordi et la passerelle et ainsi voler des informations sensibles non encryptées. –Les fournisseurs de service Internet (Bell, Videotron) configurent adéquatement les passerelles quils fournissent et installent eux-mêmes.

29 16 octobre 2008 Club d'Informatique de Brossard 29 Précautions hors WEB (2) Dans Windows, protéger les fichiers sensibles contre les voleurs et les gens trop curieux ou malveillants: –Définir pour chacun des usagers de lordi un mot de passe quil devra entrer pour démarrer une nouvelle session –Pas dusager de type Administrateur sans mot de passe! –Définir comme type dusager Limité et non Administrateur les usagers à qui lon veut empêcher de faire des installations de logiciels et davoir accès à tous les fichiers dans lordi –Pour empêcher le vol dinformations sensibles lors du vol de lordi, encrypter avec mot de passe tous les fichiers sensibles: les regrouper dans un même répertoire « zipper » le répertoire (par exemple WinZip) en utilisant un mot de passe ou bien utiliser un encrypteur (par exemple EncryptOnClick http://www.2brightsparks.com/freeware/) qui forcera la demande dun mot de passe pour avoir accès aux fichiers du répertoire http://www.2brightsparks.com/freeware/ –Périodiquement, faire des copies de sauvegarde (backup) de ces fichiers et les écrire sur CD/DVD (à mettre en lieu sûr) ou sur disque WEB (WebDav)

30 16 octobre 2008 Club d'Informatique de Brossard 30 Conclusions Installer des logiciels anti-virus et anti-mouchards sur votre ordi Sur le WEB, –Pratiquer la navigation défensive –Être très avare quant à linformation fournie –Éviter les télé-chargements de sites inconnus, et tenir compte des mises en garde de votre anti- virus –Appliquer une bonne dose de scepticisme lors de la lecture de courriels de provenance inconnue –Ne pas oublier quil y a plein de gens qui veulent vos biens