Robinhood lance un fonds qui permet aux particuliers d’investir indirectement dans les pépites de Y Combinator, le célèbre incubateur de la Silicon Valley qui a contribué aux lancements d’Airbnb, OpenAI et le créateur de Twitch.
Robin Seggelmann se confie et écarte toute théorie du complot... La faille a fait paniquer tous les experts Web, et l'étendue de ses conséquences ne sera sans doute pas connue avant un moment. Ce Jeudi, Robin Seggelmann, le programmeur allemand responsable du bug Heartbleed, s'est confié au Sydney Morning Herald. [quote]Et s'il affirme avoir fait une erreur triviale et malheureuse, il jure qu'elle était involontaire.[/quote] Seggelmann fait partie des quatre programmeurs européens de la fondation qui gère la technologie open source OpenSSL. Il explique avoir corrigé des bugs et ajouté de nouvelles fonctions, en 2011, dans l'une d'entre elles, baptisée "heartbeat" (battement de coeur), il a oublié de valider une variable. Conséquence, avec les bons paramètres, il était possible de faire cracher des informations à un serveur, notamment des mots de passe en clair, et pire, des clés de décryptage ouvrant les portes protégées du site. [quote]Normalement, dans les processus de codage open source, il y a toujours une personne qui relit un nouveau code écrit par un contributeur, manque de bol, cette erreur de programmation n’a pas non plus été remarquée par l’examinateur en question, un certain Dr Stephen Henson, également spécialiste en sécurité informatique d’origine britannique. L’erreur de codage est donc restée, pour être implémentée ensuite sur la plupart des serveurs web. [/quote] C’est un bel exemple de la fameuse loi de Murphy [quote]Quand un truc peut mal tourner, il va forcément mal tourner.[/quote] La NSA hors de cause A l'annonce de la découverte de la faille, lundi, certains yeux se sont tournés vers la NSA. [quote]Seggelmann jure que l'agence américaine n'a jamais été impliquée dans la conception ou la maintenance d'OpenSSL. Il n'écarte cependant pas qu'elle ait pu découvrir et exploiter la faille au cours des deux dernières années.[/quote] Au final, il semble donc qu'il s'agisse bien d'une erreur humaine! Certains estiment que la situation illustre les limites de la gestion d'un protocole open source utilisé par deux sites Web sur trois, qui ne dispose que d'un budget annuel d'un million de dollars. D'autres rappellent que la technologie de cryptage RSA, pourtant privée, a été affaiblie par du lobbying de... la NSA. Voir aussi: Importante faille dans un logiciel utilisé par la moitié des sites internet
Des spécialistes informatiques ont mis en garde ce mardi contre une importante faille dans un logiciel d'encodage utilisé par la moitié des sites internet, qui permet aux pirates de pénétrer dans les ordinateurs pour y récupérer codes et mots de passe. La faille, découverte par un informaticien de Google, a été baptisée "Heartbleed" ( coeur qui saigne) parce qu'elle touche au coeur du logiciel OpenSSL, qui est utilisé pour protéger ses mots de passe, ses numéros de carte bancaire ou d'autres données sur internet. Il est utilisé par la moitié des sites web, mais la faille n'existe pas sur toutes les versions. [quote]Par cette faille, les pirates peuvent récupérer des informations en passant par la mémoire des serveurs de l'ordinateur, indique des spécialistes de la société de sécurité informatique Fox-IT dans un billet. Le nombre d'attaques qu'ils peuvent effectuer est sans limites, indique Fox-It dans un billet recensant les procédures à suivre pour repousser les incursions.[/quote] Parmi les informations susceptibles d'êtres récupérées par les pirates figurent le code source (instructions pour le microprocesseur), les mots de passe, et les clés utilisées pour déverrouiller des données cryptées ou imiter un site. [quote]Ce sont les joyaux de la couronne, les clés d'encodage elles-mêmes, souligne le site heartbleed.com qui détaille les vulnérabilités de la faille.[/quote] Ces clés permettent aux pirates de décrypter tous les trafics, passés et à venir, vers les services protégés et d'imiter ces services. Grâce à cette faille, des chercheurs en sécurité informatique ont rapporté avoir été capables de récupérer des informations de mots de passe de Yahoo!, qui a précisé avoir pu résoudre le problème. Cette faille existe depuis deux ans environ. Un billet sur le site Tor Project, qui milite pour l'anonymat en ligne, exhorte ceux qui ont des besoins élevés en matière de protection en ligne d'éviter d'utiliser internet pendant quelques jours, afin de permettre aux sites et aux serveurs d'améliorer leur sécurité. Le site http://filippo.io/Heartbleed/ permet de tester si un site est vulnérable ou non. Edit 11.4.2014: 500.000 sites étaient concernés par la faille de sécurité informatique nommé Heartbleed, un programmeur allemand s'est dénoncé et a avoué avoir voulu corriger quelques bugs il y a deux ans, oubliant au passage de valider une variable. Lire l' article Robin Seggelmann, l’homme par qui l’énorme faille Heartbleed est arrivée
Le collectif de hackers Anonymous a joué les robins des bois en cette période de fêts. Dimanche, jour de NoÎl, les pirates informatiques militants ont affirmé avoir piraté le cabinet privé américain de renseignement "Stratfor. Ils ont publié un lien sur Twitter vers une liste présentée comme celle des clients du cabinet, dans ce document figurent les mails et données des cartes de crédit des clients et notamment ceux du ministére américain de la Défense, de l'armée de Terre, de l'armée de l'Air, d'autres agences publiques, de sous-traitants du secteur de la sécurité et de géants des hautes technologies, tels qu'Apple ou Microsoft. Des images ont également été postées, censées représenter les reçus de donations faites à des organisations charitables via les comptes de clients de Stratfor. L'un de ces paiements, d'un montant de 494 dollars, aurait été versé à l'ONG "CARE" avec l'argent du ministére américain de la Défense, et affecté à un fonds achetant des fournitures scolaires à des éléves pauvres. Plus d'un million de dollars distribué ? Les pirates affirment avoir obtenu les informations bancaires de 90.000 clients au total et les avoir utilisées pour distribuer plus d'un million de dollars. Le cabinet a reconnu avoir été la cible d'une attaque ayant résulté de la publication sur internet d'une liste d'institutions clientes de Stratfor. Depuis un premier piratage en 2008 des sites de l'Eglise de scientologie, les cyberpirates militants d'Anonymous n'ont cessé de faire parler d'eux à travers le monde. Pendant le "printemps arabe", ils s'étaient attaqués aux sites gouvernementaux tunisiens et égyptiens. En ao?t, le site internet du ministére syrien de la Défense avait à son tour été hacké afin de protester contre la répression du mouvement de contestation. Démentis croisés L'organisme Stratfor a cependant démenti que les données publiées constituent une liste de clients ayant sollicité ses services, mais une simple base de données d'institutions ayant acheté ses publications. Citation:"Il ne s'agit pas d'une liste d'invidus ou d'entités ayant une relation avec Stratfor allant au-delà de l'achat de nos magazines", a affirmé Stratfor. Dimanche, un deuxiéme communiqué, reprenant le vocabulaire et le langage du groupe Anonymous, affirmait que le piratage n'était en réalité pas assumé par le groupe Anonymous, mais par une faction dissidente. Citation:"En tant que source pour les médias, Stratfor est protégé par la liberté de la presse, un principe qu'Anonymous tient en haute estime", explique le texte. L'ombre de Lulzec D'aprés les différents textes, et la référence au bateau pirate symbole du groupe, le piratage pourrait être l'oeuvre d'un sous-groupe d'Anonymous issu de la dissolution du groupe LulzSec. Le modus operandi consistant à annoncer une série d'opérations à tonalité humoristique rappelle également les méthodes utilisées par LulzSec, qui avait lancé cette année une campagne de piratages variés avant de s'auto-dissoudre et que certains de ses membres présumés soient arrêtés. D'autres membres avaient annoncé avoir lancé des opérations conjointes avec des membres d'Anonymous. Dans un deuxiéme communiqué, les auteurs présumés du piratage estimaient que le démenti est un faux. Ils annonçaient également la publication de nouvelles données, et notamment d'informations provenant d'un revendeur d'équipement pour les forces de l'ordre. Mais aucune nouvelle publication ne semble pour l'instant avoir eu lieu.
