linkdump #8
Les nouvelles en lien avec le théâtre de la sécurité de l'information qui ont retenues mon attention cette semaine. Édition du 7 novembre 2023.
Grosse (et mauvaise) semaine côté nouvelles, particulièrement chez ceux et celles qui produisent le côté médiatique. Même si l’information est un monde essentiellement parallèle à celui de la sécurité, les deux univers se croisent plus souvent que nous pouvons l’imaginer mais probablement pas autant qu’on a de besoin, gestion de risque sociétale oblige.
Dans cette édition: le concept d’imputabilité arrive chez SolarWinds, le Canada bloque les outils de Tencent et Kaspersky, le Contact Key Verification sur iOS et l’hécatombe se poursuit dans le paysage médiatique mondial.
Have phun.
💧 Fraude et fuites de données
SEC charges SolarWinds CISO with fraud for misleading investors before major cyberattack. Cette compromission par chaîne d’approvisionnement par (probablement) les services de renseignement russes aura au moins amenée le concept d’imputabilité chez les CISOs. Quel concept!
Sondage 2023 de CIRA sur la cybersécurité. Sur les 500 CISOs canadiens sondés, on apprends que les demandes de rançon sont acquittées 70% du temps.
Why only 1% of the Snowden Archive will ever be published. La thèse de doctorat de Jacob Appelbaum nous aura permis d’apprendre que c’est le New York Times qui est en possession physique de l’archive des documents fuités par Ed Snowden. La majorité de ces documents n’auraient pas été publiés par manque d’intérêt et de possibilité de vulgarisation, du moins selon Ewen MacAskill (qui donne une perspective assez différente du récit habituel dans le livre de Barton Gellman, que je vous recommande fortement).
💾 Sécurité de l’information
Advancing iMessage security: iMessage Contact Key Verification. Apple déploie le mécanisme de Contact Key Verification sur iMessage dans iOS 17, qui en théorie protège leurs utilisateurs contre les attaques envers les répertoires de gestion des clés de chiffrement. Petite pique envoyée envers Signal en même temps, qui n’a pas de système de protection basé sur le Key Transparency (mais WhatsApp oui). Signal commencerait-il à prendre du retard sur ses compétiteurs?
Blur tools for Signal. Au moins, il y a cette nouvelle fonctionnalité de positif, qui permet de flouter les visages lors de la prise de photo dans l’application.
APT trends report Q3 2023. De Kaspersky. Tour d’horizon des différentes menaces persistantes avancées actives un peu partout dans le monde.
👁️🗨️ Censure et manigances étatiques
Russia Blocks 167 VPNs, Steps Up OpenVPN & WireGuard Disruption. Même si les VPNs ne sont pas une panacée, cette décision - qui n’est pas récente - va continuer d’affaiblir la sécurité informationnelle des citoyens russes.
Canada Bans WeChat and Kaspersky on Government Phones. Parlant de bannir des trucs, le Canada n’est pas en reste. Je ne suis pas contre l’idée d’imposer des limites sur ce qui peut être installé sur les dispositifs d’employés du gouvernement - particulièrement si ceux-ci ont accès à des données sensibles - mais encore faut-il que la décision soit basée sur des faits vérifiables et non une visée purement politique. Rappel que les États-Unis avaient bannis tout ce qui était Kaspersky (une compagnie russe) en 2017 suite à un imbroglio loufoque sur le renvoi automatique d’artéfacts de maliciels vers Kaspersky Labs. C’est pas mal ce qui arrive quand des législateurs se mettent les mains dans des enjeux techniques qui ne comprennent pas.
Registre des agents étrangers : les bloquistes pressés, Ottawa toujours en réflexion. Anyway, prenez votre temps, c’est pas comme si c’était important ou urgent, ça. Pis c’est pas comme s’il n’y avait pas des précédents proche de nous presque centenaires ou que ça avait pas été proposé au niveau national il y a des années, hein.
Pékin a tenté de discréditer des élus avec des vidéos deepfake. PENDAN CTEN LÔ.
Shock Therapy. Toujours plus sur l’échec en cascade des services de renseignement israéliens ET américains sur l’attaque récente du Hamas. Un mémo de la CIA circulait sur la Colline quelques jours avant la pluie de missile.
☠️ Désinformation et hécatombe des médias
Claims of cyberattack on Israeli power plant found to be false: Report. Tentative d’intox? Cyber Avengers != Cyber Av3ngers.
Americans' Trust In Media Remains Near Record Low. Aux États-Unis, à peine 14% des Républicains font confiance aux sources d’information traditionnelles/”legacy”.
« Nous avons le devoir de sauver TVA », affirme Pierre Karl Péladeau. Groupe TVA décapité par une coupe de 40% de ses effectifs.
Google cuts dozens of jobs in news division. Même Google News passe au cash et coupe des douzaines de jobs. Ce qui est embarrassant et/ou étrange là-dedans, c’est que le (la?) porte-parole d’Alphabet était incapable de dire combien d’emplois spécifiquement on été perdus. Et MSNBC ne mentionne pas le nom des porte-paroles en question, du côté du syndicat ou de Google. WTF?
Mysterious bylines appeared on a USA Today site. Did these writers exist? La solution? Inventer des journalistes. 🙃
Caricatures of Security People. Jeu amusant: placez le nom des personnes qui vous viennent en tête à côté des archétypes et voyez vos pires préjugés se confirmer en temps réel.
(Meta: Le ‘tournoi’ TOKYO Botsuru (‘abandonner’/’annuler’, un genre de we are so done à la nippone) implique essentiellement de regarder dans l’abîme, l’activité parfaite pour le zeitgeist.)