Archives de catégorie : Télécommunications

Codes 2FA par texto: l’illusion de la sécurité renforcée?

Publié le par

Bien que la technologie d’authentification à deux facteurs («2FA», dans le jargon) s’avère une excellente façon de blinder et sécuriser nos comptes d’accès à des applis et des services en ligne, la réalité demeure que la chaine n’est aussi solide que son maillon le plus faible. Dans le cas de 2FA, un article récent trouvé sur TechRepulic soulignait qu’une pratique laxiste de plusieurs organisations (dont des banques!) nous donne parfois l’illusion de sécurité en configurant mal ce dispositif.

Le problème dont on parle ici c’est le fait que certaines entreprises permettent aux usagers de recevoir leurs codes 2FA par textos (SMS), par opposition à les recevoir directement par l’entremise d’utilitaires logiciels de génération de code 2FA, tel Google Authentificator. En pratique, la vaste majorité des cas où une intrusion se produit (malgré l’activation et l’utilisation de 2FA sur un compte visé), c’est parce qu’on permettait la communication des codes 2FA par SMS. L’inverse se produit, mais cela demeure très marginal.

Pour ceux et celles qui ne le font pas encore, sachez que tous vos comptes qui le permettent (encore plus au travail) devraient être configurés par vous afin d’utiliser une seconde méthode d’authentification, par un dispositif de style 2FA. Dans le monde d’aujourd’hui, ne pas le faire s’avère ni plus ni moins qu’une faute, dont le coup pourrait être l’exposition de vos données ou de celles de vos clients en cas de hack (intrusion informatique, etc.).

En fait, tous les experts en cybersécurité s’entendent pour dire que permettre la transmission de codes 2FA par SMS rend ce genre de système beaucoup plus faible, au point où on recommande dorénavant de complètement retirer cette fonctionnalité des systèmes d’authentification. Dans la mesure où la législation requiert dorénavant se déployer des moyens raisonnables afin de sécurisé les données qu’on détient pour/sur autrui, on arrive rapidement à un point où utiliser une appli ou un service transmettant des codes 2FA par texto pourrait aussi être vu comme de la négligence. Oui, vraiment.

Le hic de ce côté, c’est que nombre d’entreprise, continuent encore de configurer leurs systèmes, pour permettre aux utilisateurs qui le désirent, d’éviter devoir utiliser une application telle Google Authentificator, en se tournant plutôt vers des textos par l’entremise desquels les codes peuvent leur être transmis. En le permettant, ces organisations bernent en quelque sorte leurs usagers, en leur permettant de croire que leur compte est blindé.

Et vous, vos applis et services en ligne permettent-ils encore de vous envoyer vos code 2FA par textos? Si oui, vos comptes en question ne sont pas aussi sécures que vous pouviez le croire -désolé. Si c’est crucial pour votre organisation ou implique l’accès aux données d’autrui, vous voulez peut-être reconsidérer l’utilisation des applis ou des services en question. Alternativement, bon à savoir que plusieurs applis/services permettent dorénavant de désactiver cette combinaison 2FA/SMS, ce que tout usager soucieux de voir à la sécurité de ses données devrait définitivement faire.

Le Canada entend blinder ses entreprises de compétence fédérale, dont en télécommunications

Publié le par

Le Canada est depuis peu à étudier un nouveau projet de loi visant à renforcer la cybersécurité des entreprises dont les activités sont régies par la législation fédérale, telle les sociétés de télécom, les banques, etc.

Avec le Projet de loi C-26, le Canada se doterait d’une première loi touchant la cybersécurité des organisations et dont le focus n’a rien à faire avec le fait de protéger des renseignements personnels. Cette fois, le but de la nouvelle loi serait de mieux protéger les cyber-systèmes de télécommunication au Canada et, plus généralement, les systèmes utilisés par des organisations de compétence fédérale «essentiels» pour la sécurité nationale ou la sécurité publique, tels :

  • des sociétés de transport interprovinciales, dont aériennes ou navales;
  • des entreprises de télécommunications (dont les FAI, par exemple);
  • des entreprises qui s’occupent de certaines formes d’énergies ou leur transport;
  • des institutions financières et celles touchant le système financier, etc.

Une fois cette nouvelle loi adoptée, les organisations visées se verront imposées des obligations relativement strictes en matière de cybersécurité, peu importe qu’elles détiennent ou gèrent des renseignements personnels. Le gouvernement entend en effet de doter de pouvoirs afin d’être désormais en mesure de, par exemple :

  • ordonner à certaines entreprises visées de mieux sécuriser leurs systèmes, de façon spécifique;
  • décréter que certains services ou systèmes sont d’une «importance critique» pour la sécurité nationale ou la sécurité publique;
  • forcer les entreprises visées à mettre en œuvre des programmes de cybersécurité, à se conformer aux directives de cybersécurité et, plus intéressant encore, à signaler les incidents de cybersécurité qui surviendrait chez eux à divers organismes fédéraux; etc.

Le projet de loi C-26 en est pour l’instant au stade de sa première lecture.

Le gouvernement canadien entendrait régir, par l’entremise du CRTC, les contenus placés en ligne, incluant l’UGC et les applis

Publié le par

Comme on s’en souviendra, depuis l’automne dernier, le gouvernement fédéral est à tenter de faire adopter son projet de loi C-10, lequel vise à modifier la Loi sur la radiodiffusion (inter alia), afin de viser les entreprises en ligne, incluant afin de permettre au gouvernement de taxer les services de diffusion en continu. Or, on apprenait récemment que le gouvernement aurait aussi l’intention de proposer des amendements législatifs visant à régir le contenu de ce qui est mis en ligne par les usagers (le «user-generated content», ou «UGC») et même le contenu des applis elles-mêmes.

Oui, le gouvernement libéral serait à tenter de modifier la loi canadienne afin de conférer à son chien de garde, le CRTC, le pouvoir de se prononcer quant aux contenus qui s’avèrent acceptables en ligne, incluant par rapport à ce qui est placé dans du contenu généré par des internautes, des jeux d’ordi et des applis en général. C’est du moins ce que voit poindre le juriste Michael Geist, basé sur le commentaire d’un député ayant (par erreur) commenté des amendements qui ne sont pas encore formellement proposés. Selon les propos du député en question, le gouvernement voudrait bel et bien ajouter le contenu des applis à ce que peut régir le CRTC — ce serait bien réel.

D’un projet de loi initialement présenté comme simplement destiné à permettre de taxer les Netflix de ce monde, à cause du mécanisme utilisé (la diffusion en continu), on est passé à un projet de loi visant aussi certains contenus, pour sembler nous diriger allègrement vers un projet de loi dont le résultat serait de régir carrément le matériel placé en ligne, y compris les applis, les jeux d’ordi et les éléments que créent et mettent en ligne des individus (des billets de blogue, des balados, etc.).

Y a-t-il seulement moi qui décèle une légère dérive dans ce qui est en train de se passer côté contrôle de l’Internet par le grand garnement fédéral? Hmmm. À suivre —malheureusement.