Sécuriser votre Wi-Fi chez vous
La compagnie SolarWinds a été la cible d'une intrusion informatique au début de l'année 2020 pendant laquelle des attaquants auraient ajouté une porte dérobée (une méthode par laquelle les utilisateurs non autorisés peuvent contourner les mesures de sécurité normales et obtenir un accès de haut niveau) à une bibliothèque déjà mise en exploitation. Cette attaque est identifiée par Microsoft sous les noms de « Solarigate » et « Supernova » dans Windows Defender. La compagnie FireEye, œuvrant dans le domaine de la cybersécurité, fait référence, elle, à la porte dérobée « SUNBURST ».
Les Technologies de l’information souhaitent vous informer qu’un réseau contrôlé par Orion (un des composants de la bibliothèque compromise) pourrait être affecté. Un attaquant pourrait activer et/ou désactiver les outils de sécurité, modifier les configurations, charger des correctifs non autorisés ou empêcher l'application de correctifs.
Versions affectées :
- SolarWinds Orion Platform versions 2019.4 HF 5.
- SolarWinds Orion Platform versions 2020.2 sans hotfix.
- SolarWinds Orion Platform versions 2020.2 HF 1.
Recommandations :
- Les unités disposant du produit Orion Platform v2020.2 sans hotfix ou la version 2020.2 HF 1 doivent passer à Orion Platform version 2020.2.1 HF 2 dès que possible.
- Les unités disposant du produit Orion Platform v2019.4 HF 5 doivent passer à la version 2019.4 HF 6.
Veuillez vous référer à ces liens pour les mises à jour :
Toutefois, si vous utilisez des produits SolarWinds Orion et vous pensez que la plateforme a été compromise, veuillez suivre les consignes ci-dessous :
- Veiller à ce que les serveurs SolarWinds soient isolés afin de bloquer toute sortie Internet depuis les serveurs SolarWinds.
- Si l’infrastructure SolarWinds n’est pas isolée, envisager de prendre les mesures suivantes :
- Restreindre la portée de la connectivité pour exclure les points terminaux les plus vulnérables, depuis les serveurs SolarWinds.
- Restreindre la portée des comptes qui ont des privilèges d’administrateur local sur les serveurs SolarWinds.
- Bloquer la sortie Internet depuis les serveurs ou autres points terminaux exécutant des logiciels SolarWinds.
- Envisager (au minimum) de modifier les mots de passe des comptes qui ont accès aux serveurs ou à l’infrastructure SolarWinds.
Pour toutes questions d’ordre technique, veuillez communiquer avec l’équipe Sécurité des Technologies de l’information, par courriel, à l’adresse « securite@umontreal.ca ».
Nous vous remercions de votre collaboration.
Pour faire suite à l’avis de sécurité concernant les vulnérabilités affectant plusieurs produits Apple et le communiqué de mise en garde en lien avec le système d’exploitation MacOS Big Sur, nous souhaitons vous faire part de quelques précisions.
Les utilisateurs de postes Apple qui souhaitent effectuer une mise à jour de leur système d’exploitation vers une version plus récente de MacOS, sans pour autant rehausser le système d’exploitation vers MacOS Big Sur, peuvent le faire via l’assistant de mises à jour du menu Préférences Système en suivant les étapes ci-dessous :
Veuillez noter que, depuis le 12 novembre dernier, des mises à jour de sécurité sont disponibles pour les versions de MacOS 10.13 et 10.14. Pour plus de détails, veuillez consulter le lien https://support.apple.com/fr-ca/HT201222.
Pour toutes versions antérieures à MacOS 10.14 Mojave, veuillez utiliser la section Mise à jour de l’App Store. Pour plus d’information, veuillez vous référer à la page suivante : https://support.apple.com/fr-fr/HT201541.
Pour toute question, veuillez communiquer avec le Centre de services par le formulaire d’aide des TI.
Nous vous remercions de votre collaboration.
Le thème de la semaine : la sauvegarde des données
La sauvegarde des données est une opération qui consiste à faire des copies des données contenues dans un système et de les stocker dans un emplacement sécurisé, différent de l’endroit original.
Plusieurs raisons peuvent justifier la création de sauvegardes de vos données. Entre autres, il est fortement recommandé d’effectuer régulièrement ces sauvegardes pour être en mesure de restaurer les données suite à un incident (ex. : perte, vol, panne, infection par un rançongiciel ou destruction de vos appareils numériques).
Afin de vous guider dans la réalisation des copies de sauvegardes de vos données, voici les étapes à suivre pour mettre en place un plan de sauvegarde.
- Identifier les appareils et les supports qui contiennent des données.
- Déterminer quelles données doivent être sauvegardées.
- Sélectionner l’approche de sauvegarde. Les meilleures pratiques en matière de sécurité préconisent celles-ci :
- Conserver 3 copies de vos données, incluant celles qui se trouvent dans votre ordinateur.
- Utiliser au moins 2 supports de stockage distincts, tels qu’un disque externe ou une clé USB et une copie de sauvegarde dans le nuage, comme le service en ligne One Drive, offert par l’UdeM. Cet emplacement distant aura l’avantage de protéger vos données en cas de feu ou de vol à votre domicile, en plus de vous permettre d’y accéder de partout.
- Activer l’option de synchronisation automatique dans OneDrive pour effectuer des copies de sauvegarde régulièrement. Cette option est disponible pour les principaux systèmes d’exploitation, notamment Windows, Mac OS et la plupart des distributions Linux. Toutefois, il faut noter que, conformément à la Directive concernant le stockage de l’information institutionnelle en infonuagique, certains types de documents ne peuvent être stockés en infonuagique, notamment sur OneDrive. Pour plus de détails, veuillez vous référer à la Directive.
Pour plus d’information au sujet des sauvegardes des données, veuillez vous référer au lien suivant : https://reflexesnumeriques.umontreal.ca/portfolio_page/sauvegarde-des-donnees/
Retrouvez l'ensemble des capsules vidéo sur la chaîne YouTube de Réflexes Numériques.
Les Technologies de l’information souhaitent informer les responsables informatiques qu’un avis de sécurité affectant plusieurs produits Apple a été publié.
Cette vulnérabilité permet à un attaquant d'exécuter du code arbitraire à distance, de s’attribuer des privilèges, de contourner la confidentialité des données et les politiques de sécurité.
Les produits vulnérables sont les suivants :
- Apple MacOS Catalina, versions antérieures à 10.15.7
- Apple iOS, versions 14.x antérieures à 14.2
- Apple iOS, versions 12.x antérieures à 12.4.9
- Apple iPadOS, versions 14.x antérieures à 14.2
- Apple watchOS, versions 7.x antérieures à 7.1
- Apple watchOS, versions 6.x antérieures à 6.2.9
- Apple watchOS, versions 5.x antérieures à 5.3.9
- Apple tvOS, versions 14.x antérieures à 14.2
La compagnie Apple a publié des correctifs de sécurité pour remédier à cette vulnérabilité. Nous recommandons aux unités qui utilisent ces produits vulnérables de procéder aux essais et au déploiement des mises à jour publiées.
Pour plus d’information sur les différents correctifs de sécurité, veuillez consulter les liens suivants :
- MacOS Catalina 10.15.7 : https://support.apple.com/fr-fr/HT211947
- watchOS 7.1 : https://support.apple.com/fr-fr/HT211928
- watchOS 6.2.9: https://support.apple.com/fr-fr/HT211944
- watchOS 5.3.9 : https://support.apple.com/fr-fr/HT211945
- tvOS 14.2: https://support.apple.com/fr-fr/HT211930
- iOS 14.2 et iPadOS 14.2 : https://support.apple.com/fr-fr/HT211929
- iOS 12.4.9 : https://support.apple.com/fr-fr/HT211940
Pour toutes questions d’ordre technique, veuillez communiquer avec l’équipe Sécurité des Technologies de l’information, par courriel, à l’adresse « securite@umontreal.ca ».
Nous vous remercions de votre collaboration.
Le thème de la semaine : les mots de passe
Un mot de passe est composé d’une chaîne de caractères. Il est utilisé comme moyen d’authentification pour prouver l’identité d’un utilisateur. Le mot de passe est généralement associé à un code d'accès ou à un autre mécanisme permettant de fournir une authentification à un utilisateur pour lui autoriser l'accès à une ou des ressources.
Les mots de passe sont très convoités par les cybercriminels puisqu’ils leur permettent d'accéder à vos données et de vous impersonnifier, c’est-à-dire de se faire passer pour vous. Les mauvaises pratiques entourant la création et la gestion des mots de passe peuvent augmenter le risque de vol ou d'exposition de ceux-ci.
Voici une liste non exhaustive des meilleures pratiques à suivre pour protéger les mots de passe :
- Choisir des mots de passe longs avec un minimum de 10 caractères.
- Choisir des mots de passe complexes, composés d'un mélange de lettres non répétitives (majuscules et minuscules), de chiffres, de symboles et qui ne contiennent pas de mots provenant de tout dictionnaire, peu importe la langue.
- Éviter d'utiliser votre nom, votre surnom, le nom de votre animal de compagnie, votre date d’anniversaire, votre adresse ou toute autre information vous concernant puisque ces renseignements peuvent être découverts sur des plateformes comme les réseaux sociaux.
- Ne pas recycler ou réutiliser des mots de passe sur vos différents comptes. Cette pratique n’est pas conseillée puisque, dans le cas où votre mot de passe est compromis, tous les autres comptes pour lesquels vous utilisez ce mot de passe seront compromis également. Il ne faut donc jamais réutiliser le mot de passe associé à votre compte de l’UdeM, ailleurs sur d’autres plateformes.
- Changer fréquemment vos mots de passe.
- Ne pas communiquer ou partager vos mots de passe avec qui que ce soit, ni de permettre à quiconque d'y accéder.
- Utiliser un gestionnaire de mots de passe qui stockera et cryptera tous vos mots de passe. Grâce à cette méthode, vous n’aurez plus qu’un seul mot de passe à mémoriser pour accéder à tous les autres. Opter pour une solution connue, fiable et facile à utiliser, qui se synchronisera sur tous vos appareils. Il est important de ne jamais vous servir du mot de passe de votre gestionnaire de mots de passe pour l’accès à d’autres comptes.
- Effectuer des copies de sauvegarde de votre gestionnaire de mots de passe sur des supports externes et conserver le tout en lieu sûr puisque ce gestionnaire devient le « mot de passe maître ». Il est nécessaire de répéter cette opération suivant le changement du « mot de passe maître ». À noter qu’il est déconseillé de stocker cette information sur un serveur infonuagique.
- Ajouter vos mots de passe importants à votre testament numérique en cas d’invalidité ou de décès.
- Activer l’authentification multifactorielle chaque fois que le service est offert. Cette mesure exige plus d’un facteur d’authentification pour vous identifier pour accéder à vos comptes.
- Procéder à un changement de mot de passe si vous détectez ou vous soupçonnez que votre compte a été compromis.
Pour plus d’information au sujet de la gestion des mots de passe, veuillez vous référer au lien suivant : https://reflexesnumeriques.umontreal.ca/portfolio_page/gestion-des-mots-de-passe/
Retrouvez l'ensemble des capsules vidéo sur la chaîne YouTube de Réflexes Numériques.
Le thème de la semaine : le piratage de logiciels
Le piratage d'un logiciel consiste en la possession, l'utilisation, la copie et la distribution non autorisée d'un logiciel protégé par la propriété intellectuelle. La Loi canadienne sur le droit d'auteur interdit le piratage des logiciels et le considère comme une infraction qui peut engendrer des sanctions légales.
Il existe plusieurs types de piratage de logiciels :
- Softlifting : Correspond au partage d’un programme avec quelqu'un qui n'est pas autorisé à l'utiliser, et ce par le contrat de licence. Une forme courante de ce type de piratage consiste à acheter une seule copie sous licence du logiciel, puis à l’installer sur plusieurs appareils, en violation des conditions de licence.
- Location illégale : Implique que quelqu'un loue une copie d'un logiciel pour un usage temporaire, sans l'autorisation du détenteur des droits d'auteurs.
- Contrefaçon : Consiste à produire ou utiliser de fausses copies d'un logiciel, c’est-à-dire des versions crackées du logiciel. C’est la forme la plus répandue du piratage de logiciels puisque l’échange de ce type de programmes est facile via Internet. De fait, il existe plusieurs sites nommés « warez » qui offrent des téléchargements illicites de logiciels au large public. Souvent, les logiciels fournis par les sites « warez» sont crackés, donc modifiés, pour éliminer toute détection par les systèmes de protection contre la copie. De plus, la plupart de ces logiciels crackés sont remplis de logiciels malveillants qui peuvent être installés sur le système dans un même paquetage.
L’utilisation des versions piratées de logiciels protégés par des droits d’auteurs comporte plusieurs risques, tels que :
- des poursuites judiciaires à cause de la violation de la loi sur les droits d’auteurs;
- l’installation des logiciels malveillants sur votre appareil;
- l’accès non autorisé à vos données confidentielles;
- des redirections vers des sites non sécurisés;
- l’absence des mises à jour de sécurité;
- l’absence du soutien technique au cas de problèmes.
Pour plus d’information au sujet du piratage de logiciels, veuillez vous référer au lien suivant : https://reflexesnumeriques.umontreal.ca/ressources/logiciels-officiels/
Retrouvez l'ensemble des capsules vidéo sur la chaîne YouTube de Réflexes Numériques.
Le thème de la semaine : la mystification
La mystification, généralement appelée « spoofing », est une technique utilisée par les cybercriminels dans le but de dissimuler leurs véritables identités afin de se faire passer pour une autre personne ou une autre entité. Cette usurpation d’identité leur permet de commettre des actes malicieux auprès des victimes.
Les cybercriminels utilisent plusieurs tactiques pour convaincre les victimes qu’ils communiquent bel et bien avec des sources de confiance. Ils arrivent à les inciter à partager des informations confidentielles, télécharger des pièces jointes malicieuses ou cliquer sur des liens contenant des logiciels malveillants. Les tactiques utilisées comprennent la falsification d’adresses de courriel, de sites Web, d’adresses IP ou encore, de numéros de téléphone.
Pour en savoir plus sur les stratagèmes utilisés lors des tentatives de mystification et pour s'en protéger, consultez la capsule Mystification sur le site Réflexes Numériques de l'Université de Montréal : https://reflexesnumeriques.umontreal.ca/portfolio_page/mystification/
Retrouvez l'ensemble des capsules vidéo sur la chaîne YouTube de Réflexes Numériques.
Le thème de cette semaine : le rançongiciel
Le rançongiciel est un type de logiciel malveillant qui bloque l’accès aux données en les encodant de manière à les rendre illisibles. Le but étant d‘extorquer des sommes d'argent aux victimes.
Lorsqu’un appareil est infecté par un rançongiciel, ce dernier crypte toutes les données qu’il contient, et parfois, il verrouille également son écran. Dans certains scénarios, le rançongiciel peut se servir d’un réseau pour propager l’infection à d’autres systèmes qui sont connectés à l’appareil infecté.
Afin d’informer la victime de sa présence, ce rançongiciel affiche un message expliquant que les données de l’appareil sont inaccessibles et qu’une rançon doit être payée pour déverrouiller l’accès aux fichiers. Dans la plupart des cas, l’attaquant exige que cette rançon soit payée en monnaie numérique et impose un délai de paiement à la victime. À noter que le paiement de la rançon ne garantit pas la récupération des données.
Pour vous protéger de ce type d’attaque malicieuse, vous devez :
- rester vigilant et prudent lors de la réception de courriels et ne pas ouvrir des messages et des fichiers attachés suspects;
- éviter de visiter des sites Web qui vous semblent douteux;
- sauvegarder vos données sur des dispositifs sécurisés.
Pour plus d’information sur les infections informatiques, consulter la capsule Infection sur le site Réflexes Numériques de l'Université de Montréal au lien suivant :
https://reflexesnumeriques.umontreal.ca/portfolio_page/infection/
Retrouvez l'ensemble des capsules vidéo sur la chaîne YouTube de Réflexes Numériques.
Le thème de cette semaine : l'hameçonnage
L’hameçonnage est une technique frauduleuse utilisée par des personnes malveillantes pour leurrer les utilisateurs afin de collecter des informations confidentielles. Ces criminels conçoivent des courriels et des sites Web qui ressemblent à ceux d’organisations légitimes et connues, dans le but d’inciter les usagers à divulguer leurs renseignements personnels tels que les noms d’utilisateur et les mots de passe.
Pour s'en prémunir, consultez la capsule Hameçonnage sur le site Réflexes Numériques de l'Université de Montréal :
Retrouvez l'ensemble des capsules vidéo sur la chaîne YouTube de Réflexes Numériques.
Veuillez noter que l’éditeur n’est pas en mesure de fournir le bulletin Ouch! en version française ce mois-ci.