Présentation à l'occasion du Forum "les seniors et le numérique" à l'OPAR

1. Enjeux et risques sur Internet
Forum à l'OPAR – 25/02/2016
Damien Belvèze, Bibliothèque de l'INSA Rennes

2. INTERNET

3. Typologie des menaces
● 1. Fuite de données personnelles
● 2. Virus et logiciels malveillants
● 3. Vol d'identifiants
● 4. Piratage de sites
● 5. Surveillance de masse

4. 1. Fuite des données personnelles :
une menace, vraiment ?
● Vers un internet de plus en plus personnalisé
● Des objets connectés partout = des fuites de
données partout
● Les données recueillies, complétées avec
celles des réseaux sociaux, peuvent orienter
les décisions de votre assureur ou de votre
banquier

5. 1. Fuite des données personnelles :
Que faire ?
● Liste noire des applis : pourquoi une app
« lampe » ou le jeu « angry birds » devrait avoir
accès à votre géolocalisation ?
● App MyPermission : analyse quelle application
accède à quelle données.

6. 2. Virus et logiciels malveillants
●Plus ancien virus conservé sur Internet Archive : 1996

7. 2. Virus et logiciels malveillants
● Adwares (très intrusifs et irritants)
● Spywares : font fuiter vos données de
navigation
● Chevaux de Troie (Trojans) : vous rend
vulnérables
● Malwares : exécutent des fichiers néfastes, en
particulier des rançongiciels

8. 2. Virus et logiciels malveillants :
Contre les adwares
● Télécharger vos logiciels depuis un site de
confiance, ne pas accepter de téléchargement
supplémentaire
● Utiliser un nettoyeur de temps en temps
(CCleaner, AdwCleaner, Malwarebytes)
● Charger un bloqueur de pub sur votre
navigateur (Ghostery, Adblock)

9. 2. Virus et logiciels malveillants :
les spywares
● Supprimer le spyware là où il est (doc en ligne)
● Spywares fournis avec le matériel acheté :
- eDellRoot : risque de perte d'identifiants
bancaires
- Superfish vendu avec Lenovo : désactive la
connexion https
● Moralité : penser à installer un nouvel OS sur
sa machine ?
(Williams,« Dell ».)
(Doctorow, « Companies should never try to intercept
their users’ encrypted traffic ».)

10. Les keyloggers
Galperin, Marquis-Boire, et Scott-Railton, « Quantum of surveillance : Familiar
Actors and Possible False Flags in Syrian Malware Campaigns, A joint Citizen
Lab-EFF Report ».

11. 2. Virus et logiciels malveillants :
Malwares
● Rançongiciels (chiffre les
fichiers) ex Teslacrypt
● Exécutables déguisés en PJ
(réécrit les fichiers)
● Se tenir au courant des vulnérabilités et des
malwares sur le site de l'ANSSI
● Tester les logiciels douteux sur Virustotal (tester
par ex. l'URL de téléchargement
http://helloguysqq.su/80.jpg )

12. 3. Vols d'identifiants
● Par spyware (cf. ce qui précède)
● Par Phishing (faire croire à la victime qu'elle
s'adresse à un tiers de confiance)
« Syrian Activists
Targeted With Facebook
Phishing Attack ».

13. 3. Vols d'identifiants
Phishing par mail
« Nous sommes en train d'améliorer tous les accès webmail à l'nouvellement lancé IT WEBMAIL 3gb illimité. Afin de rétablir votre
accès e-mail complète avec la nouvelle version HTK4S anti-virus 2016, vous devez cliquer sur lien ci-dessous pour remplir le
formulaire de réactivation.
CLIQUEZ ICI<https://c2eku043.caspio.com/dp.asp?AppKey=cf874000d0449beae4704831ae00>
Helpdesk système.
3000 attaques par jour » « 3.000 attaques de “phishing” par jour en France ».
Cibles : Facebook, Google, La Poste.
12 % des attaques par mail / 88 % des attaques en navigant sur la Toile
Serveurs à l'origine de ces attaques : USA, GB, Allemagne, Russie, Inde,
Canada, France, Australie, Ukraine

14. 3. Vol d'identifiants
recommandations contre le Phishing
● En cas de doute ne pas se fier à l'expéditeur
● Ne pas ouvrir des PJ de messages non
sollicités / mettre son antivirus à jour
● Ne jamais donner ses identifiants / mots de
passe par mail
● Vérifier que les sites auxquelles on vous invite
à vous connecter sont des sites connus
● Paramétrer correctement le logiciel de
messagerie (activeX)

15. 4. Piratage de sites
● Attaques DDOS (par déni de service). Ex : Protonmail.
Champeau, « Les attaques DDOS contre les fournisseurs d’e-mails chiffrés se multiplient - Tech »
● Piratage du site : prise de contrôle sur le site.
- mettre à jour la version de son blog
- utiliser des mots de passe solides

16. 5. La surveillance électronique
chiffrer ses communications
Mail : protocole PGP (cf. enigmail de
Thunderbird)
smartphone : application Signal = chiffrement
de bout en bout
Les entreprises revendiquent contre les
gouvernements de ne pouvoir elles-mêmes
déchiffrer les messages de leurs clients (Apple
vs Blackberry)
Affaiblir le chiffrement pour le gouvernement,
c'est affaiblir le chiffrement pour tout le monde
(y compris les pirates)

17. 5. La surveillance électronique
chiffrer ses mails avec PGP

18. 5. La surveillance électronique
Trouver ses correspondants

19. 5. La surveillance électronique
naviguer en sécurité avec Tor
● https://www.facebookcorewwwi.onion/
● http://scihub22266oqcxt.onion.link/
Illustration : la revue dessinée

20. Le maître-mot : adapter sa politique
de sécurité à ses besoins
● Estimer le type de menaces auxquelles on est
vraiment confronté (selon son activité)
● Mettre en œuvre une politique de sécurité
adaptée au besoin
● Utiliser des aides-mémoires (gestionnaire mots
de passe : keepass, clipperz)
● Se fier davantage aux logiciels libres qu'aux
logiciels propriétaires
● Mettre à jour ses outils (client mail, navigateur,
blog, etc.)

21. Avec ces quelques précautions, on
naviguera dans des eaux moins
hostiles

22. Et maintenant,
débattons
● @dbelveze
● damien.belveze@insa-rennes.fr

23. Références
Williams, Chris. « Dell: How to kill that web security hole we put in your laptops, PCs ». The Register, 24 septembre 2015.
http://www.theregister.co.uk/2015/11/24/dell_superfish_2/.
Galperin, Eva, Morgan Marquis-Boire, et John Scott-Railton. « Quantum of surveillance : Familiar Actors and Possible False Flags
in Syrian Malware Campaigns, A joint Citizen Lab-EFF Report ». Electronic Frontier Fondation & Citizen Lab, 2013.
https://www.eff.org/fr/document/quantum-surveillance-familiar-actors-and-possible-false-flags-syrian-malware-campaigns.
« Syrian Activists Targeted With Facebook Phishing Attack ». Electronic Frontier Foundation, 29 mars 2012.
https://www.eff.org/deeplinks/2012/03/pro-syrian-government-hackers-target-syrian-activists-facebook-phishing-attack.
Champeau, Guillaume. « Les attaques DDOS contre les fournisseurs d’e-mails chiffrés se multiplient - Tech ». Numerama, 13
novembre 2015.
http://www.numerama.com/tech/130720-les-attaques-ddos-contre-les-fournisseurs-de-mails-chiffres-se-multiplient.html.
« 3.000 attaques de “phishing” par jour en France ». Europe 1. Consulté le 23 février 2016.
http://www.europe1.fr/actu-financiere/3-000-attaques-de-phishing-par-jour-en-france-1559691.