KzR a écrit :



Faut revenir à la source du problème, comment est-il possible qu’une clé USB non contrôlée par la SSI se retrouve au sein de l’entreprise ? Le premier fautif c’est l’employeur qui n’a sans doute pas donner les moyens à son service informatique, et oui la sécurité ça coûte, mais moins cher que le vol d’informations… après il reste le problème des petites structures où l’utilisation des matériels informatiques est assez cool, pour ne pas dire laxiste :) là où l’on se fait confiance " /> un monde de Bisounours quoi xD





Le fait de pouvoir utiliser des clés USB n’a rien à voir avec le vol d’information, avec le mail (pas celui de la boîte de préférence) on peut déjà faire fuiter tout ce qu’on veut, et éventuellement avec d’autres méthodes (via un site Web à soi). A une époque on avait même parfois des graveurs sur les PC fixes pro.



Je n’ai vu que dans des banques et dans une caisse de retraite le blocage des ports USB, c’est lourdingue dans certains cas. Je fuis ce genre de boîte à la “sécurité” poussée (oui je mets des guillemets parce que de toutes façons tous les postes sont sous Windows, alors bon, c’est la 1e faille, et je suis sérieux). L’argent des clients n’est pas sur des systèmes Microsoft donc même une clé vérolée ne pourra pas y toucher.







letter a écrit :



Ce serait pas mal que windows intègre une fonction SIMPLE d’admin qui permette de bloquer les stockages USB et que tu puisse donner le droit au cas par cas via des groupes ou associer 1 clé à un user avec sa clé hardware.

Aujourd’hui c’est faisable mais c’est très galère et pour une grosse boite c’est quasi-impossible sans outil tiers.









Freeben666 a écrit :



Pour le blocage des support de stockage USB, c’est facile à mettre en place avec une GPO. C’est un peu plus fastidieux pour la gestion des autorisations au cas par cas, et encore.





C’est lourdingue ces histoires de blocages de ports USB. Dans tous les boîtes où j’ai bossé, la plupart ne font pas ça, et je n’ai jamais vu que ça apporte des problèmes de sécurité. Et l’époque est au “BYOD”, Bring Your Own Device, où on apporte son ordinateur si on veut, mon chef précédent préférait utiliser son MacBook par exemple.







typhoon006 a écrit :



Les gens ont trop tendances à prendre les PC de leur boites pour des PC perso ….





Dans la mesure où certains passent beaucoup de temps au bureau, ils finissent par avoir un peu de leur perso sur l’ordinateur ; tout comme le pro s’invite à la maison parfois, via le portable du bureau ou bien l’accès à distance.







skankhunt42 a écrit :



C’est un peu la question que je me pose, pourquoi ramener une clef usb perso au travail ?





Parce que on ne me donne pas de clé USB dans mes missions ou ma maison mère, et parce que j’ai toujours une voire plusieurs clés avec moi, dont une mini avec mon porte-clé, c’est toujours pratique elle est toujours avec moi du coup. Je m’en suis servi pas plus tard que ce matin en réunion chez le client, pour donner vite fait un document à un collègue.







PtiDidi a écrit :



Et pourquoi pas?

Je me ballade toujours avec mon PC perso, mon téléphone avec le cable USB et une clef USB dans mon sac.





J’apporte rarement mon PC perso, mais sinon oui je recharge parfois mon mobile au bureau (il commence à être vieux).

Freeben666 a écrit :



1- Les anti-virus sont très loin d’être infaillibles (de nos jours ils fournissent plus un sentiment de sécurité que de la réelle sécurité…)

2- Si tu penses vraiment que seul Windows est concerné par les virus, tu es bien naïf. MacOS est une vraie passoire (j’ai eu des Mac pendant longtemps, je sais de quoi je parle), et côté Linux c’est pas beaucoup mieux. Tous les OS ont des vulnérabilités, ce qui va faire qu’un est supérieur à l’autre va se jouer au niveau de la réactivité (temps mis pour détecter les vulns, développer un patch et le déployer).

3- Tu as pas mal de (grosses)boites qui font du MitM sur le traffic chiffré.

4- En SSH il y a un certificat utilisé pour chiffrer la connexion. Normalement quand tu te connectes pour la première fois à un serveur SSH depuis quelque part, le client SSH te présente l’empreinte du certificat du serveur. Tu es censé vérifier cette empreinte pour t’assurer qu’il n’y a pas de MitM en cours. Par la suite, si l’empreinte change, le client redemande si c’est normal.

1. Oui je sais que ce n’est pas infaillible, après en pratique je ne sais pas comment ils résistent aux attaques courantes (celles qu’on a vu passer).
   


2. Linux c’est “pas beaucoup mieux que Windows” en terme de sécurité ? Sérieusement ?
   
   As-tu déjà vu une boîte, dont les postes de travail fonctionnent sous Linux, se faire avoir par un virus, un cryptolocker, ou tout autre merdouille ?
   
   Ben non, on peut dormir sur ses 2 oreilles, en comparaison. Enfin je ne connais personne qui a eu des soucis comme on a sous Windows, c’est hallucinant de devoir le rappeler en 2017.
   


3. Oui je l’ai découvert pour la 1e fois chez Veolia (qui en plus a confié ses courriels à Google via GMail et ses documents via le Drive), mais c’est détectable si on regarde. Ils ne le font pas avec les banques, heureusement, mais ça m’a scandalisé au départ, apparemment ils ont le droit (ils le font avec NXI par exemple).
   


4. Je n’ai pas de certificat pour me connecter chez moi. On peut utiliser un certificat avec SSH mais en option. Enfin, tu parles plutôt de l’empreinte du serveur, ça je connais, effectivement il redemande si ça change.
   
   
   
   PS pour le 1) : vu que les anti-virus ont tendance à être un peu en retard (quelques heures suffisent) sur les infections de masse “0day”, on se demande au final à quoi ils servent. Pour moi sur mes machines de bureau, ça n’a jamais servi, un anti-virus, il me semble, ou alors il y a 15 ans.
   
   
   
   
   
   
   
   Charly32 a écrit :
   
   
   
   C’est ce qu’il a décrit, généralement le certificat fourni est celui de ton entreprise, dont le proxy s’apparente à du MITM.
   
   
   
   
   
   Oui, comme à Veolia.
   
   
   
   
   
   
   
   Ramaloke a écrit :
   
   
   
   Quand tu fais du MITM en entreprise, tu intègres un certificat racine de confiance dans chaque PC, et tu utilise ce certificat pour chiffrer/déchiffrer le contenu. Donc potentiellement même si tu montes un tunnel, ton entreprise peut toujours s’interposer au milieu en se faisant passer pour toi auprès du fournisseur VPN.
   
   
   
   
   
   Tu es sûr de ton histoire ? Autant pour un navigateur Web, oui, autant pour un VPN (si VPN)…
   
   
   
   
   
   
   
   Ramaloke a écrit :
   
   
   
   Après les entreprises que font du MITM c’est rare, et ça pose plein d’autre problème légaux (Interdiction d’espionner une connexion vers ta banque par exemple). En plus de couter une blinde à chiffrer/déchiffrer à la volée.
   
   
   
   
   
   Heureusement que c’est rare, et c’est drôle que Veolia le fasse alors qu’ils ont confié une grosse partie de leurs données à Google. Une employée interne m’a suggéré que depuis cette époque, Veolia ne gagnait plus d’appels d’offre aux US (perso je n’en ai aucune idée, ni si ça aurait un rapport).
   
   
   
   
   
   
   
   fred42 a écrit :
   
   
   
   Avec PuTTY par exemple.
   
   
   
   
   
   Tout à fait.
   
   
   
   
   
   
   
   uzak a écrit :
   
   
   
   Comment on peut savoir si on se fait man-in-ze-middler par le proxy de son entreprise ?
   
   
   
   Le signataire du certif ?
   
   
   
   
   
   Oui si j’ai bonne mémoire.
   
   
   
   
   
   
   
   PtiDidi a écrit :
   
   
   

• l’imprimante qui n’arrive pas à lire autre chose que NTFS
  
  
  
  
  
  Original, pas le bon vieux FAT, super facile à implémenter vu sa simplicité ?

Freeben666 a écrit :



2- Je persiste, Linux a lui aussi des vulnérabilités. J’ai vu des boites me dire “c’est sous Linux, c’est safe”, et être tellement convaincu être en sécurité qu’ils ne se souciaient pas de faire la moindre mise à jour…





Ça dépend du vecteur d’attaque, en ce qui me concerne j’ai tendance à faire les mises à jour, mais pas forcément tous les jours.







Freeben666 a écrit :



Des cryptolockers pour Linux ça existe, des trojans aussi. Enfin bref, tout ça pour dire que c’est pas parce que tu es sous Linux que tu es en sécurité.





Ça existe, tu as donc des noms à citer, des cas de gens s’étant fait infecter ?

Faudrait m’expliquer par quel porte d’entrée je pourrais me retrouver demain avec un cryptolocker (qui est un cheval de troie d’ailleurs) sur mon Linux.



Je ne parle bien sûr pas ici des machines Linux qui font serveur et qui ont des services en écoute, une porte d’entrée étant théoriquement un moyen de compromission, enfin pour SSH ça fait bien longtemps par exemple qu’il n’y en a pas eu. Les mises à jour sont généralement assez nécessaires, encore que tout dépend de la raison des mises à jour et des vulnérabilités censées être comblées. Par exemple, à l’époque de la faille ShellShock (le coup de l’attaque via le champ User-Agent et l’utilisation de bash par le serveur Web), l’infra Web de mon client n’était pas concernée (aucune utilisation de bash indirectement depuis le navigateur).