La technique et les bonnes pratiques sont suffisantes pour faire face aux attaques non ciblées (les 99% évoquées plus haut) mais dans le cas d'attaque ciblé, un attaquant motivé trouvera toujours comment passer. Ceci dit, les commentaires semblent évoquer principalement l'angle d'attaque technique, alors que c'est franchement le plus "con" à explorer : exploiter des failles dans les logiciels demande de jouer aux échecs avec les sysadmins et concepteurs de logiciel et ça peut demander masse d'effort pour des résultats faibles. À côté, l'ingénierie sociale permet d'exploiter le plus gros bug, celui qu'on n'arrive jamais complètement à patcher, et qui est assis devant le clavier.
C'est un truc qu'on a tendance à perdre de vue quand on s'amuse à sécuriser ses machines et ses logiciels. Et c'est bien de s'occuper des machines, puisque que la majorité des attaques seront menées par des bots stupides. Mais si l'entreprise/projet/personne a affaire à un vrai modèle de menace, la "protection" va se baser sur de la diplomatie (ne pas apparaître comme une cible malgré l'activité, attirer la sympathie des potentiels attaquants tout en veillant à ce que cette sympathie n'amène pas à confier des secrets, etc) et... ben c'est vraiment super compliqué de patcher les humains. Cloisonner les activités et les responsabilités peut aussi bien servir que desservir ; les formations peuvent aider, un peu, mais il y aura toujours des gens qui se feront avoir par un escroc sympathique.
Il m'arrive régulièrement d'accéder à des données confidentielles, au mépris de toute règle de sécurité, parce que la personne en face juge qu'elle peut me "faire confiance", parce qu'elle a laissé traîner un cahier ou un ordi à portée de mes yeux, et autres petits détails faciles. Jusqu'ici, leur confiance semble bien placée mais j'ai un mal fou à leur expliquer que non, même à moi, il ne faut pas faire confiance, que je n'ai pas à savoir le mot de passe de ceci ou le fonctionnement de cela... Peu importe à quel point j'ai l'air sympathique, car c'est le propre des escrocs et d'un certain nombre de personnes malveillantes : avoir l'air digne de confiance, savoir devenir des "proches".
Je trouve cela effrayant, la rapidité avec laquelle on peut récupérer des informations, y compris auprès de gens très doués techniquement (mais trop confiant humainement !). Si je fais le point dans les projets où je suis un peu active, je vois facilement des angles d'attaques psychologiques ou matériels, permettant de récupérer toutes les infos nécessaires avec un minimum de risque et sans grandes connaissances techniques. Mettre une caméra espion au bon endroit, faire parler la bonne personne, c'est facile. Mais c'est difficile de prévoir et donc de protéger ces innombrables angles d'attaques, d'autant que cela demande de développer une surveillance et une paranoïa qui sont difficilement compatibles avec des relations sociales normales.
# La technique passe après l'humain
Posté par Zatalyz (site web personnel) . En réponse au journal sécurité, trop de sécurité, pas de sécurité?. Évalué à 7.
La technique et les bonnes pratiques sont suffisantes pour faire face aux attaques non ciblées (les 99% évoquées plus haut) mais dans le cas d'attaque ciblé, un attaquant motivé trouvera toujours comment passer. Ceci dit, les commentaires semblent évoquer principalement l'angle d'attaque technique, alors que c'est franchement le plus "con" à explorer : exploiter des failles dans les logiciels demande de jouer aux échecs avec les sysadmins et concepteurs de logiciel et ça peut demander masse d'effort pour des résultats faibles. À côté, l'ingénierie sociale permet d'exploiter le plus gros bug, celui qu'on n'arrive jamais complètement à patcher, et qui est assis devant le clavier.
C'est un truc qu'on a tendance à perdre de vue quand on s'amuse à sécuriser ses machines et ses logiciels. Et c'est bien de s'occuper des machines, puisque que la majorité des attaques seront menées par des bots stupides. Mais si l'entreprise/projet/personne a affaire à un vrai modèle de menace, la "protection" va se baser sur de la diplomatie (ne pas apparaître comme une cible malgré l'activité, attirer la sympathie des potentiels attaquants tout en veillant à ce que cette sympathie n'amène pas à confier des secrets, etc) et... ben c'est vraiment super compliqué de patcher les humains. Cloisonner les activités et les responsabilités peut aussi bien servir que desservir ; les formations peuvent aider, un peu, mais il y aura toujours des gens qui se feront avoir par un escroc sympathique.
Il m'arrive régulièrement d'accéder à des données confidentielles, au mépris de toute règle de sécurité, parce que la personne en face juge qu'elle peut me "faire confiance", parce qu'elle a laissé traîner un cahier ou un ordi à portée de mes yeux, et autres petits détails faciles. Jusqu'ici, leur confiance semble bien placée mais j'ai un mal fou à leur expliquer que non, même à moi, il ne faut pas faire confiance, que je n'ai pas à savoir le mot de passe de ceci ou le fonctionnement de cela... Peu importe à quel point j'ai l'air sympathique, car c'est le propre des escrocs et d'un certain nombre de personnes malveillantes : avoir l'air digne de confiance, savoir devenir des "proches".
Je trouve cela effrayant, la rapidité avec laquelle on peut récupérer des informations, y compris auprès de gens très doués techniquement (mais trop confiant humainement !). Si je fais le point dans les projets où je suis un peu active, je vois facilement des angles d'attaques psychologiques ou matériels, permettant de récupérer toutes les infos nécessaires avec un minimum de risque et sans grandes connaissances techniques. Mettre une caméra espion au bon endroit, faire parler la bonne personne, c'est facile. Mais c'est difficile de prévoir et donc de protéger ces innombrables angles d'attaques, d'autant que cela demande de développer une surveillance et une paranoïa qui sont difficilement compatibles avec des relations sociales normales.