Fort d'Issy

Bonjour à tous,

Souvent, quand on pense cybercriminalité, on visualise un geek à capuche recroquevillé sur son clavier en train d'essayer de nous voler nos informations bancaires. Quand on pense protection des données personnelles, on pense, dans le meilleur des cas, ne pas publier n'importe quoi sur Facebook.

Sachant qu'il y a quand même une forte densité de parents avec enfants en bas âge au fort, un point souvent trop négligé : ces menaces ne se cantonnent pas à ces deux cas classiques bien connus mais concernent également vos enfants.

Je suis récemment tombé sur 2 infos qui n'ont à priori rien à voir... et pourtant... :

• - Un salon dédié aux "Parents connectés"
  - Le fabriquant de jouets VTech qui s'est récemment fait pirater une grande partie de ses bases de données

Avec l'avènement de ce qu'on appelle déjà "l'internet des objets", de plus en plus d'objets dits "connectés" apparaissent sur le marché. Le principe est simple : on prend un objet ordinaire, on lui adjoint généralement une capacité à percevoir son environnement (capteur) et/ou une faculté à communiquer ou à interagir avec son environnement ou un serveur distant et on l'estampille "connecté".

Au début, le phénomène concernait principalement les objets fondamentalement technologiques mais, comme toujours, business is business et c'est devenu au fur et à mesure une véritable course à la connexion avec des objets du quotidien qui tendent à devenir "connectés", indépendamment du caractère pertinent ou non de la chose (cf la bêtise sans nom de la brosse à dent connectée ou autre gadget du même genre).

Bien évidemment, course en avant oblige, la sécurité est souvent laissée de côté. Quand on sait que des entreprises plutôt "technologiques" qui s'y connaissent un minimum se font régulièrement hacker, je vous laisse imaginer le carnage quand ce sont des entreprises plus traditionnelles comme les fabricants de jouets qui essayent de se "digitaliser" (je rappelle au passage qu'en français le terme "digital" fait référence au doigt et non pas au numérique même si de toute évidence l’anglicisme finira par vaincre).

Ce qui devait arriver arriva : les bases de données VTech hackées. Résultat : données personnelles de 4.8 millions de comptes en fuite comprenant :

• - Les noms
  - Les adresses mail
  - Les mots de passe (hachés avec un algorithme faible donc en gros, quasiment en clair...)
  - La question secrète et sa réponse
  - L'adresse IP
  - L'adresse postale (!!!)
  - L'historique de téléchargement
  - Plus de 200 000 photos d'enfants prises avec des "tablettes pour enfants" ou autre "jouets" du genre
  - Le nom de certains enfants avec leur date de naissance, leur sexe..

Même pour ceux qui n'auraient pas encore fait l'expérience d'explorer un peu ce que l'on appelle le "Darkweb" et toutes les déviances humaines que l'on y trouve, vous imaginez bien les problèmes potentiels que cette fuite de données peut représenter.

En conclusion : sans tomber dans la psychose absolue, posez-vous la question à 2 fois avant d'exposer vos enfants à des technologies qui sont souvent mal maitrisées par les fabricants. Vous êtes adultes, vous avez sûrement conscience des risques liés aux technologies que vous utilisez (et encore..). Ce n'est pas le cas de vos enfants qui auront forcément une grande confiance dans les jouets que leur maman/papa leur auront offert.

Il me paraissait bon de faire un peu de sensibilisation avant les fêtes de fin d'année qui approchent.

Si vous avez un compte VTech, pas de panique, je vous conseille de vérifier sur le très bon site haveibeenpwned.com/ qui va parcourir de nombreuses bases de données hackées (dont celles de VTech) et vous avertira si votre adresse mail ou compte utilisateur apparait dans une de ces bases.

Très intéressant Snoopy
Beaucoup de parents n'ont pas conscience de ce que peut cacher les internets malheureusement...

et merci pour le dernier lien que je ne connaissais pas ! J'ai testé mes adresses et je n'ai pas été pwned ouf

Je partage entièrement votre mise en garde Snoopy!

La course (futile?) aux objets connectés se fait au détriment de la sécurité.

Cela va du simple babyphone hacké à la carte de crédit à puce sans contact piratée!

Il faut reprendre le contrôle de nos données et arrêter de faire de nos objets des chevaux de Troie et des aspirateurs à données (à caractère personnel ou pas) pour créer du Big Data.

A mon avis, le plus important est de protéger ceux/ce qui doivent/doit être protégé, et d'être conscient que certaines données sont partagées et utilisées.
Vouloir reprendre le contrôle de ses données personnelles est aujourd'hui illusoire... (à moins de vivre au fin fond de la Creuse, et encore )

Merci Snoopy, superbe !

Voici quelques remarques :

Snoopy a écrit :Même pour ceux qui n'auraient pas encore fait l'expérience d'explorer un peu ce que l'on appelle le "Darkweb" et toutes les déviances humaines que l'on y trouve, vous imaginez bien les problèmes potentiels que cette fuite de données peut représenter.

Halte au sensationnalisme !

Darkweb n'est pas synonyme de déviances ! Je défends le Darkweb ! Le Darkweb, c'est juste un espace chiffré entre ordinateurs qui garantit la confidentialité. On peut considérer que Whatsapp ou les iphones font parti du Darkweb. Après, on en fait ce qu'on veut. Une très belle émission d'il y a deux ans à ce sujet :

http://www.franceculture.fr/emission-pl ... 2013-11-30
« Continent virtuel » « monde parallèle », toutes les métaphores sont bonnes pour qualifier ce qu’on appelle le « darknet ». Mais force est de constater qu’à la fin du visionnage du sujet d'Envoyé Spécial, comme à la fin de la lecture de beaucoup de papiers de la presse, on ne comprend pas toujours très bien ce qu'est le Darknet. S’agit-il d’autres réseaux que ceux qu’on fréquente d’ordinaires sur Internet ? S’agit-il d’une partie du web non indexé par les moteurs de recherche ? S’agit-il d’autres manières de circuler sur les réseaux, des manières anonymes ? Ou s’agit-il de tout cela en même temps ? Ce qu’on comprend, c’est que le Darknet fait peur. Ce que nous allons faire ce soir, c’est donc essayer d’y voir plus clair dans le Darknet. De comprendre ce qui relève de la mythologie et de la réalité. De comprendre la raison pour laquelle cette notion émerge maintenant.

... haveibeenpwned.com/ qui va parcourir de nombreuses bases de données hackées (dont celles de VTech) et vous avertira si votre adresse mail ou compte utilisateur apparait dans une de ces bases.

Mince alors, mon adresse email perso est dedans et haveibeenpwned me rappelle pourquoi : le site d'Adobe (éditeur du logiciel Photoshop) avait été hacké il y a deux ans. J'avais dû changer tous mes mots de passe partout. Une vraie rigolade !

posez-vous la question à 2 fois avant d'exposer vos enfants à des technologies qui sont souvent mal maitrisées par les fabricants.

Même Adobe n'y est pas arrivé

Snoopy a écrit : Il me paraissait bon de faire un peu de sensibilisation avant les fêtes de fin d'année qui approchent.

Frédéric a écrit :

Snoopy a écrit :Même pour ceux qui n'auraient pas encore fait l'expérience d'explorer un peu ce que l'on appelle le "Darkweb" et toutes les déviances humaines que l'on y trouve, vous imaginez bien les problèmes potentiels que cette fuite de données peut représenter.

Halte au sensationnalisme !

Darkweb n'est pas synonyme de déviances ! Je défends le Darkweb ! Le Darkweb, c'est juste un espace chiffré entre ordinateurs qui garantit la confidentialité. On peut considérer que Whatsapp ou les iphones font parti du Darkweb. Après, on en fait ce qu'on veut.

En fait, je ne parlais pas de darknet mais de darkweb. La nuance est peut être personnelle et subtile mais pour moi le terme "web" fait référence au www et non pas à n'importe quel réseau crypté entre ordinateurs comme le suggère le terme darknet. Le terme désignant l'internet non indexé c'est le deep web pour moi, encore une autre variante..

Bref, de manière générale, selon la personne qui utilise ces termes, ils peuvent vouloir dire des choses différentes. Je ne dis pas que ces types de réseau sont synonyme de déviance mais bien qu'on y retrouve (entre autres bien sur et à plus forte dose que sur Google du moins) pas mal de choses malsaines.

Marine a écrit :A mon avis, le plus important est de protéger ceux/ce qui doivent/doit être protégé, et d'être conscient que certaines données sont partagées et utilisées.
Vouloir reprendre le contrôle de ses données personnelles est aujourd'hui illusoire... (à moins de vivre au fin fond de la Creuse, et encore )

En l’occurrence, le problème ici se situe plus au niveau de la mauvaise gestion du stockage de nos informations sensibles par des entreprises peu scrupuleuses. De mon point de vue, il faudrait davantage encadrer cette pratique via la CNIL avec des vraies normes de sécurité imposées et mises à jour et de vraies sanctions si ces règles de sécurité ne sont pas mises en place.

Le fait qu'une entreprise puisse stocker des mots en passe hachés avec une technique dépréciée et sans utiliser de salt (désolé pour les termes techniques) tout en proclamant haut et fort sur son site internet qu'il respecte la législation en vigueur par rapport à la protection des données me parait complètement fou.

Ah dac', autant pour moi.

Du coup, si j'ajoute
dans le robots.txt de fortdissy.info : https://fortdissy.info/robots.txt, on passe du côté obscure ?

Moi aussi, je dis : Vive le Darknet!

C'est le seul espace de liberté qu'il reste vraiment sur le net et encore pas pour longtemps peut être...

Frédéric a écrit :Du coup, si j'ajoute "Disallow: /" dans le robots.txt de fortdissy.info, on passe du côté obscure ?

C'est un peu léger comme déréférencement puisque c'est soumis à la bonne volonté du robot. Certains moteurs de recherche n'en tiennent pas compte donc le site resterait référencé. Mais si on s'en tient à ma définition peut être personnelle du deep web, à savoir le critère de non référencement, oui, la modif robots.txt nous entrainerait un peu plus profond dans le web.

IsabelleD a écrit :Moi aussi, je dis : Vive le Darknet!

C'est le seul espace de liberté qu'il reste vraiment sur le net et encore pas pour longtemps peut être...

J'avais partagé un petit coup de gueule à ce sujet sur Facebook après les déclarations toujours autant à côté de la plaque de nos amis politiques après les attentats de Paris mais je ne pourrai pas le poster ici, sauf à le lisser un peu

Snoopy a écrit : En l’occurrence, le problème ici se situe plus au niveau de la mauvaise gestion du stockage de nos informations sensibles par des entreprises peu scrupuleuses. De mon point de vue, il faudrait davantage encadrer cette pratique via la CNIL avec des vraies normes de sécurité imposées et mises à jour et de vraies sanctions si ces règles de sécurité ne sont pas mises en place.

Le fait qu'une entreprise puisse stocker des mots en passe hachés avec une technique dépréciée et sans utiliser de salt (désolé pour les termes techniques) tout en proclamant haut et fort sur son site internet qu'il respecte la législation en vigueur par rapport à la protection des données me parait complètement fou.

Vaste débat que la régulation de la circulation des données dans un monde totalement hétérogène. On est encore plus dans l'utopie là
J'essaie d'être pragmatique en disant qu'il faut déjà en être conscient

Marine a écrit :On est encore plus dans l'utopie là

Oui, je suis d'accord et j'en suis malheureusement bien conscient..
Mais, oui, c'est bien pour ça qu'il est important de sensibiliser les gens à ce genre de problèmes.

Update : je leur ai envoyé un mail pour voir ce qu'ils préconisaient comme marche à suivre suite à leur hack (j'ai un membre de ma famille qui apparait dans la liste des données détournées) :

Snoopy a écrit :Bonjour,

Quelle est la démarche à suivre si notre compte a été piraté ?

Je sais de façon certaine que mes informations privées ont été compromises via le site https://haveibeenpwned.com/
Que comptez-vous faire pour dédommager vos clients qui doivent subir les conséquences de votre mauvaise gestion de vos infrastructures techniques ?

Cordialement,
Snoopy

Réponse VTech a écrit :Bonjour,

Toutes nos équipes sont mobilisées et travaillent activement à modifier les paramètres de sécurité afin de rouvrir l’Explor@ Park dans les jours à venir.

Concernant les données présentes sur la base de données, nous pouvons vous confirmer qu’aucune information bancaire, ni information personnelle d’identification (type n° de carte d’identité…) n’est stockée dans nos bases de données. Ce que nous pouvons vous dire, c’est que l’adresse email et le mot de passe crypté (donc non lisible) du compte Explor@ Park font partie des données qui ont pu être prises. Nous vous invitons pour plus de sécurité à modifier ce mot de passe dans le cas où vous utiliseriez le même pour plusieurs comptes (email, amazon…).

Nous sommes désolés pour ce désagrément et nous sommes tous mobilisés pour résoudre ce problème dans les meilleurs délais.

L’équipe VTech

Ce que je retiens :
1. J'ai droit à une réponse complètement impersonnelle et standardisée. A la rigueur, pourquoi pas, ils doivent avoir du volume à traiter.
2. Ils n'hébergent pas eux-mêmes les infos bancaires et d'identité.
3. Ils induisent le client en erreur, lui faisant croire que le chiffrement du mot de passe est suffisant pour ne peut pas être lu
4. Ils ne font aucune mention des autres informations touchées (IP, adresse postale,...)
5. Ils invitent quand même à modifier le mot de passe si celui-ci est utilisé plusieurs fois
6. Pas de compensation prévue (pour le moment du moins, ça pourra éventuellement arriver après la résolution des problèmes techniques)

Pas très professionnelle cette réponse en effet

Comment ont été traités les autres cas ? de la même façon ?

Marine a écrit :Comment ont été traités les autres cas ? de la même façon ?

Aucune idée. Sur leur compte Twitter, ils balancent en boucle le même message à tout le monde (ce qui en frustre certains au passage).

We would like to offer our sincere apologies regarding this issue and assure you that we are treating the matter very seriously.

Ils redirigent également tout le monde vers une adresse mail qui, je suppose, sert le même message validé par la com'.

Hello,

Pour moi, la plus grosse faille de sécurité pour un enfant... ce sont ses parents. Combien de parents qui ont acheté VTECH à leur enfant, à coté de ça vont poster des photos de leur progéniture sur Facebook? Et fournir tout un tas de données sensibles sur les réseaux sociaux?

L'avenir c'est effectivement IoT, la fin de la vie privée, le contrôle de nos faits et gestes. Il n'y a pas d'éducation dans ce sens, et c'est logique, puisque il faut que les gens achètent et consomment; et "numérisent" leur enfants car soit disant c'est pour leur bien.
En face il n'y a que des sociétés qui veulent fournir un produit le plus rapidement possible, même si il n'est pas fini.

"Etrangement", Steeve Job ne laissait pas jouer ses propres enfants avec des Ipads ou iphone...

Snoopy a écrit :
Aucune idée. Sur leur compte Twitter, ils balancent en boucle le même message à tout le monde (ce qui en frustre certains au passage).

Je parlais plutôt des autres entreprises qui ont eu ce problème, où on a du coup un historique un peu plus important

Snoopy a écrit : Ce que je retiens :
1. J'ai droit à une réponse complètement impersonnelle et standardisée. A la rigueur, pourquoi pas, ils doivent avoir du volume à traiter.
2. Ils n'hébergent pas eux-mêmes les infos bancaires et d'identité.
3. Ils induisent le client en erreur, lui faisant croire que le chiffrement du mot de passe est suffisant pour ne peut pas être lu
4. Ils ne font aucune mention des autres informations touchées (IP, adresse postale,...)
5. Ils invitent quand même à modifier le mot de passe si celui-ci est utilisé plusieurs fois
6. Pas de compensation prévue (pour le moment du moins, ça pourra éventuellement arriver après la résolution des problèmes techniques)

C'est un mail de communication de crise. il ne fallait pas en attendre plus.

http://linuxfr.org/users/elyotna/journa ... s-de-passe

Alors, quel niveau de sécurité pour les passwords stockés sur fortdissy.info ?