24 mars 2009
L’importance de l’Homme dans la sécurité
Non je ne vais pas faire un plagiat du livre de K.Mitnick “L’art de la supercherie”, c’est juste encore une fois des observations issues de mon travail de tous les jours, mais je vous conseille sa lecture.
Combien de fois reçoit on un mail d’une personne qui nous est familière ? Est ce bien cette personne a chaque fois ? Ce n’est pas parce que j’écris “JE SUIS LE ROI DU MONDE !” que c’est le cas. Est ce parce que l’on fait confiance au texte représentant l’email de la personne par conséquent identifie, à la manière d’une carte d’identité (falsifiable), la personne avec laquelle on discute ?
Aujourd’hui, les malwares utilisent beaucoup ce facteur, la confiance pour le coté positif, et la crédulité du coté négatif. Pourquoi lorsque l’on voit un lien, on ressent l’irrémédiable envie de cliquer dessus ? C’est comme lorsqu’on était petit avec les boutons que votre père ou mère vous défendais d’appuyer ? Eh bien je ne sais pas ! Mais c’est dans 80% des cas la cause d’entrée de virus, malware, et bien d’autres choses.
Même un expert en sécurité peut être trompé ! Il suffit d’usurper l’identité d’un amis proche ou du chef et voila !
Alors comment faire pour éviter cela ? La signature numérique ? Je pense pas que ce soit une solution complète, mais elle réponds à une partie du problème en effet. Cependant une usurpation complète de l’identité + occupation de la machine aboutisse souvent à l’utilisation du client de messagerie de l’utilisateur courant, et donc de sa signature numérique.
“Zanshin”, traduit en français par “vigilance active”, caractérise un état d’esprit dans les arts martiaux (kendo, iaido) de vigilance envers l’adversaire. C’est un peu comme “l’awareness” si on veut reprendre les termes des hommes de la Sécurité. C’est à dire toujours faire attention à notre environnement. Biensûr, le but n’étant pas de tomber dans la paranoïa ! On m’a déjà dit que j’étais parano et ya pas très longtemps d’ailleurs …
L’idée c’est de faire le même travaille qu’un anti-spam : adopter une méthode de scoring intuitif, c’est à dire qu’il faut entrainer son instinct à réagir à des choses bizarres. Je sais que vous riez en lisant cet article, et vous vous dites : mais qu’est ce qu’il raconte ! Mais il y a des personnes pour qui la vision d’une photo.exe est normal ! Je suis d’accord qu’on ne peut pas le savoir si on ne sais pas qu’une photo n’a pas d’extension “.exe”, mais déjà là sur le processus on peut appliquer Zanshin ! Ce ne sont pas vos amis qui vont vous envoyer une photo “.exe”, non ? Alors pourquoi ouvrez vous la photo ?
Comment éviter cela ? Comme on fait au code de la route, en mettant en situation une personne, et lui montrer les problèmes.
Imaginez une personne que vous connaissez vous envoyant un fichier contenant une bombe (virus), qui va avoir la responsabilité de l’exécution ? et la responsabilité de l’impact ?
Vous avez la responsabilité d’exécution, et vous pensez qu’il a la responsabilité de l’impact ! Mais ce n’est pas le cas, c’est vous qui avait contaminé le réseau avec cette bombe qui fait tomber toutes les machines les une après les autres, du coup vous ne serez plus payé, etc … Aux yeux de vos collègues vous, l’HOMME, serez responsable du problème de paye.
Tout ça pour dire, faite toujours attention à ce que l’on vous envoie, même si c’est certifié, validé, crypté, chiffré, cuisiné, assaisonné. C’est un fichier dangereux !
Zanshin est aussi un logiciel de gestion des tâches développé par ami [Kevin Ottens] pour KDE.
)