^Dossier Facebook^2

Guide rapide des permissions sur les réseaux sociaux

7.03.2011
« Je souhaite entrer chez vous, fouiller votre chambre, mettre tout sens dessus-dessous puis partir. Je peux ? S’il vous plaît… » Pensez-vous que vous allez me répondre « Oui », ou, sur un réseau social, « Autoriser » ? Vraiment ?

Avez-vous déjà entendu parler de « banner blindness » ou d’ « aveuglement de bannière » ? C’est le nom que des personnes travaillant dans le domaine de l’ergonomie des sites web ont attribué au fait que, peu importe qu’une bannière soit grande, colorée ou animée, on ne prêtera pas attention aux informations qu’elle contient. Je pense que nous pouvons parler d’un type d’aveuglement similaire pour la case « Permissions » apparaissant avant l’installation d’une application sur un compte de réseau social.

Vous souvenez-vous des permissions requises par la dernière application que vous avez installée ? Difficile de se souvenir de tout ce qui apparaît dans la liste. On y trouve du texte plutôt ennuyeux et des icônes censées indiquer ce que chaque permission autorise l’application à faire avec différentes données. Il ne s’agit pas d’une lecture bien passionnante, à moins que vous ne preniez le temps de vous poser ce genre de question : « Que se passera-t-il si j’autorise l’application à m’envoyer des messages électroniques ? ».

Jetons un coup d’œil à ce que nous réserve l’application. Vous ne savez pas où ? J’espère que vous aimez l’histoire d’Hansel et Gretel, car le chemin va être long. Allez dans : Compte->Paramètres de confidentialité :


Cliquez ensuite sur « Modifier vos paramètres » et vous verrez s’afficher la liste des applications que vous utilisez. Puis, cliquez sur « Modifier les paramètres ».



Patience, plus qu’une étape !




Encore un clic sur « Modifier les paramètres » et vous obtenez enfin ce que vous souhaitiez : la liste des permissions correspondant à une application.



À propos, cette petite promenade dans les « Bois de la Confidentialité » s’avèrera utile si jamais vous décidez de vous séparer d’une application devenue trop gênante (vous voyez le bouton « Supprimer l’application » ?).

Prenons l’exemple de l’application safego, dévelopée par BitDefender.

Faisons une petite pause et considérons les Permissions. Les deux premières sont requises par la plateforme sociale et permettent de vous identifier. La permission « Publier sur mon mur » autorise l’application à vous avertir de la présence d’éléments suspects ou à vous communiquer des statistiques sur l’activité de votre compte. Les trois dernières permissions sont liées à la sécurité de votre compte, puisque BitDefender safego ne peut effectuer son travail sans l’autorisation de « voir » vos publications et d’analyser des liens suspects.

Voici ma question : « Existe-t-il un ensemble de permissions qu’une application peut requérir ? Cela pourrait-il m’aider à différencier ce qui est bon de ce qui est mauvais ? »

La réponse est la « corrélation ». Considérez attentivement ce que l’application promet (« qui a consulté votre profil », « premier statut », etc.) et la plausibilité d’une telle promesse (qu’en dit mon navigateur favori, est-ce possible de savoir qui a consulté mon profil sur Facebook au cours des deux derniers mois ?). Que cette promesse soit ou non réalisable, elle peut facilement être utilisée comme appât (c’est alors que s’applique la règle du « trop beau pour être vrai »). Cela peut sembler difficile à découvrir mais vous n’avez besoin, en fait, que de quelques minutes.

Puisque c’est en forgeant qu’on devient forgeron, voici quelques exemples pour vous aider à « interpréter » les permissions et leurs conséquences lorsqu’elles sont requises par des applications malveillantes.


M’envoyer des messages électroniques.Votre e-mail est précieux pour les spammeurs. Gardez ces deux choses à l’esprit : d’abord, le fait que les applications de réseaux sociaux sont entièrement basées « dans les nuages », ce qui signifie qu’elles utilisent leur propre « cloud » (sauf mention contraire, les applications Facebook ne sont pas développées par Facebook) ; ensuite, le fait qu’il est impossible de contrôler ce qui arrive aux données qui entrent dans ce « cloud ». Votre e-mail pourrait donc se retrouver entre de mauvaises mains, c’est-à-dire entre les mains de spammeurs.

Accéder à mes informations de base. Le pire cas de figure ? Avec votre adresse e-mail, vos informations de base peuvent aider les spammeurs à créer des messages personnalisés susceptibles de correspondre à vos attentes en termes de goûts, d’intérêts etc. Et nous avons la preuve de ce que nous avançons ! Certains « pots de miel » (« honeypots ») de BitDefender ont déjà recueilli du spam envoyé à des adresses obtenues par le célèbre scam « découvrez qui a consulté votre profil ».

Ces deux permissions peuvent être assez intrusives, mais n’oubliez pas qu’elles sont absolument nécessaires au fonctionnement de nombreuses applications légitimes. Une fois encore, appliquez simplement la « règle de la corrélation ».

Gérer mes pages. Comme c’est souvent le cas, cette permission peut devenir dangereuse si elle se retrouve entre de mauvaises mains. Pourquoi ? Car l’application malveillante ayant requis cette permission deviendra votre porte-parole loquace sur toutes les pages que vous « aimez ». Mais si la permission existe, c’est qu’elle a également des bons côtés. Il serait logique, par exemple, qu’une application servant d’outil d’interprétation analytique la demande.

Publier sur mon mur. J’imagine que vous connaissez les effets de cette permission a lorsqu’elle est utilisée par des applications malveillantes. Tous nos articles sur les arnaques des réseaux sociaux ont, jusqu’à présent, fait référence au moins une fois aux nombreux messages indésirables qu’une application pourrait poster sur votre mur ainsi que sur celui de vos amis. Dans le cas d’applications légitimes, cette permission permet de publier des informations intéressantes et utiles que l’utilisateur a expressément autorisées.

Accéder à mes données en permanence. Cette permission revient parfois à autoriser des inconnus à surveiller à tout moment ce qui se passe chez vous. Cela permettrait aux créateurs d’applications douteuses d’envoyer leurs messages au bon moment… C’est vraiment ce que vous voulez ?

Source : Malware City

26.03.2011
Facebook bannit chaque jour près de 20 000 enfants qui mentent sur leur âge lors de leur inscription.

Pour s'inscrire sur Facebook, il existe un âge minimal qui a été fixé à 13 ans. Comme on peut bien s'en douter, certains enfants n'hésitent toutefois pas à braver l'interdit en mentant sur leur date de naissance, et ils sont manifestement assez nombreux dans ce cas.

Consultant en vie privée pour Facebook et ancien commissaire fédéral au commerce des États-Unis, Mozelle Thompson a déclaré au comité de cybersécurité du parlement fédéral australien que le réseau social supprime tous les jours 20 000 comptes d'utilisateurs qui ont menti sur leur âge et ont moins de 13 ans.

Dans sa politique de confidentialité, Facebook indique clairement que " les enfants de moins de 13 ans ne doivent pas s'inscrire sur Facebook, ni nous fournir d'informations personnelles les concernant ". Pour les mineurs de 13 ans et plus, une autorisation parentale est même recommandée.

Pour débusquer les petits menteurs, Facebook ne précise pas comment il procède. La " délation " probablement pour une grande partie. Un formulaire permet en effet de signaler le présence d'un enfant de moins de 13 ans sur le réseau social, et Facebook s'engage après vérification - du moins dans la mesure où celle-ci est facile - à supprimer le compte et les informations. La procédure est d'autant plus simple lorsque le " délateur " est un proche de l'enfant.

La solution du logiciel de contrôle parental existe également afin de veiller au grain dans certains cas. D'après l'office statistique de l'Union européenne, Eurostat, seulement 14 % des particuliers qui vivent dans un ménage avec un enfant en Europe ont utilisé un tel logiciel en 2010 ( 24 % pour la France ).

Source : GNT

"Les amis sont souvent ceux qui donnent les meilleurs conseils lorsqu'on se pose la question de savoir où aller au restaurant, comment on achète une voiture ou quel groupe de musique on devrait écouter. Vos amis connaissent vos goûts, et vous leur faites confiance", a déclaré Adrian Graham, manager en charge de Facebook Questions, dans un billet sur le blog du site daté du 24 mars.

Mais Facebook Questions ne se limitera pas à demander leur opinion à vos amis: la question posée apparaîtra sur le mur de vos amis, mais s'ils y répondent, leurs amis pourront aussi la voir et y répondre à leur tour.

Facebook avait testé une première version de Questions en juillet 2010, mais, d'après le blog TechCrunch, l'application n'avait pas "rencontré le succès".

Cette version de Questions adoptait le même principe que celui du site Quora, où l'on peut poser des questions aux autres utilisateurs, et rechercher une question parmi une liste de sujets. Sur le site, des experts donnent également leurs conseils, mais Facebook a choisi cette fois-ci de se concentrer sur le cercle d'amis des utilisateurs.

La fonctionnalité Questions sera bientôt disponible sur tous les profils, mais on peut aussi l'activer manuellement en se rendant sur https://www.facebook.com/questions.

Source =>> http://www.commentcamarche.net

Ce que vous devez savoir sur le déni de service et les fausses applications Facebook®.

---> Questions-réponses sur les malwares : Épisode 8

Bonjour et bienvenue dans cette série de questions-réponses sur la sécurité informatique. Les questions traitées aujourd’hui proviennent de nos fidèles lecteurs Jeet et Indranil et abordent les attaques par déni de service, les fausses applications (Rogue) sur les réseaux sociaux et la sécurité des réseaux sans fil.

Pouvez-vous expliquer comment fonctionnent les attaques par déni de service, et comment il est possible de les éviter ? – Question posée par Jeet

Les attaques par déni de service jouent sur le fait que les serveurs (et tout type d’hôte sur Internet) ont une capacité limitée de gestion du trafic et de tentatives de connexion. Lorsqu’un volume de trafic trop important est dirigé vers un hôte, celui-ci ne peut traiter toutes les demandes et « plante » sous le flux d’informations.

Ce type d’attaques a été largement utilisé dernièrement pour diverses raisons, y compris à des fins de chantage ou de représailles. La plupart des fournisseurs d’accès étant capables de gérer d’importants volumes de trafic sans problème, les cybercriminels ont recours à des attaques par déni de service distribué qui envoient des requêtes de connexion à partir de différentes machines, généralement infectées par des malwares tels que des bots DDoS. Les attaquants ont parfois utilisé des outils de test de serveurs open-source pour attaquer un hôte spécifique, comme cela a été le cas avec les attaques de 2010 contre les entreprises refusant de soutenir Wikileaks.

Il y a différents types d’attaques par déni de service, chacune ayant ses caractéristiques propres. Les attaques les plus fréquentes sont le Ping de la mort (visant à submerger la victime avec des paquets de données) et l’attaque de type SYN flood (qui consiste à saturer la table de connexion d’un serveur, l’empêchant ainsi d’établir d’autres connexions avec des clients légitimes).

Une question délicate : à quel point les services de messagerie nous protègent-ils du piratage ? – Question posée par Jeet

En ce qui concerne les services de messagerie connus dans le monde entier, je doute fortement qu’il soit possible de s’introduire dans la messagerie d’un utilisateur en exploitant une faille ou une erreur de programmation. La plupart de ces services de messagerie sont sur le marché depuis suffisamment de temps pour que leurs failles de sécurité aient été détectées et corrigées, sans omettre non plus le fait qu’ils sont conçus et maintenus par des ingénieurs hautement spécialisés et ont été testés minutieusement avant d’être disponibles pour le public. Si ces comptes sont vulnérables, c’est en raison de l’ingénierie sociale, l’utilisateur étant le maillon faible de la chaîne de sécurité.

Pouvez-vous nous éclairer sur la fiabilité des applications Facebook® et sur leur implication dans la cybersécurité ? – Question posée par Jeet.

L’intérêt des réseaux sociaux repose sur leur caractère extensible et personnalisable. Cependant, ces avantages constituent des éléments-clés que les cybercriminels exploitent afin de profiter des utilisateurs naïfs. En ce moment, de nombreuses applications malveillantes prétendent permettre aux utilisateurs de découvrir comment les autres interagissent avec eux (des applications pour savoir, par exemple, qui consulte le plus leur profil ou qui les a bloqués). Ces applications se contentent en fait de recueillir des informations personnelles, utilisent des comptes corrompus pour se diffuser et génèrent des profits à l’aide de sondages. Des kits de développement d’applications « rogues » sont disponibles sur le marché gris, et permettent même à un débutant en programmation de créer une application personnalisée.

Notons l’apparition et l’expansion du ver Koobface sur les réseaux sociaux, un malware qui se sert des murs des utilisateurs pour se diffuser via des posts aguicheurs, accompagnés de ce qui semble être une vidéo. Lorsque les utilisateurs tentent de regarder la vidéo, ils téléchargent un code malveillant, en se faisant passer pour un plugin. S’ils l’installent, leur ordinateur fera alors partie d’un botnet.

Chez BitDefender, nous gardons constamment un œil sur ce type de menaces et avons développé une application nommée safego qui surveille activement votre fil d’actualités ainsi que ceux de vos amis et bloque le contenu nuisible avant que vous ne soyez infecté ou que vous ne republiiez par erreur ce contenu et infectiez d’autres personnes.

J’aimerais avoir des informations concernant le sniffing Wi-fi, les points d’accès non autorisés, le masquage d’IP, le wi-fishing etc. – Question posée par Indranil.

La sécurité des réseaux sans fil est une préoccupation importante à la fois pour les particuliers et les entreprises. Malheureusement, en raison de la complexité du sujet, je ne pourrai pas apporter de réponses approfondies à vos questions.

Le sniffing Wi-fi est une méthode consistant, pour un client non autorisé, à intercepter et analyser le trafic entre deux appareils wi-fi. Le sniffing wi-fi est généralement utilisé pour intercepter des données sensibles telles que les noms d’utilisateur et les mots de passe d’utilisateurs connectés à des points d’accès non sécurisés, ou pour analyser le trafic sur les points d’accès chiffrés en WEP, afin de « cracker » la clé.
Les points d’accès non autorisés sont des routeurs sans fil installés dans une entreprise soit par un employé imprudent sans l’accord du service informatique, soit par un attaquant (par exemple, au cours d’une visite dans les locaux de l’entreprise). Ce type de point d’accès peut être exploité par un criminel ultérieurement afin d’accéder au réseau de l’entreprise hors de ses locaux. C’est également l’une des raisons pour lesquelles la sécurité wi-fi est traitée avec vigilance en entreprise.
Le masquage d’IP est une forme de traduction d’adresse réseau utilisée pour masquer un réseau privé derrière une adresse IP dans l’espace public. Cependant, en dehors du fait que les clients ne peuvent obtenir une connectivité complète de bout en bout avec les autres hôtes sur Internet, je n’ai pas connaissance d’une situation dans laquelle le masquage d’IP pose un problème de sécurité.


Source : Malware City l

Le clickjacking - ou détournement de clic - a trouvé un équivalent Facebook avec son bouton J'aime. Apparu en 2010, le likejacking consiste à attirer les utilisateurs Facebook avec la promesse d'une vidéo à consulter. Cette vidéo peut être présentée comme drôle ou encore coquine.

Sur le site de la vidéo supposée, l'utilisateur clique sans s'en apercevoir sur un bouton J'aime caché quand il croit par exemple uniquement cliquer sur un soi-disant lecteur vidéo qui peut prendre une apparence YouTube. Si l'utilisateur est connecté à son compte Facebook, le contenu est alors affiché sur son mur et l'aspect viral prend forme auprès de ses amis.

La technique peut évidemment avoir pour but d'aboutir au vol de données personnelles de l'utilisateur ou autres actions malveillantes. Pour contrer le likejacking, Facebook a mis en place une double vérification. Le système est censé détecter les modèles de J'aime suspects et alors demander une confirmation supplémentaire pour les pages concernées ( un popup apparaît ).

Cette mesure de protection a été déployée il y a environ deux semaines selon Sophos. L'éditeur britannique salue l'initiative qu'il avait appelée de ses vœux et valide l'approche technique, même si les détails pour la détection n'ont pas été divulgués. Et justement, Sophos regrette que l'algorithme de détection ne fonctionne que dans de " rares cas " selon ses constatations.

Peut-être faut-il encore plus de temps mais Sophos préfère une approche plus radicale et estime que le popup de vérification devrait être affiché dans tous les cas, à chaque fois qu'un utilisateur souhaite dire qu'il aime une page. Une concession à l'expérience utilisateur que Facebook n'est sans doute pas disposé à faire.

Source => http://www.generation-nt.com

D'après une étude EUKidsOnline ( PDF ) réalisée auprès de 25 000 jeunes dans 25 pays européens, 77 % des 13-16 ans déclarent posséder un profil sur un réseau social. Un taux qui est relativement élevé pour les 9-12 ans avec 38 %. Pour le cas de la France, il s'agit de 82 % des 13-16 ans et 25 % des 9-12 ans.

Sur un réseau social comme Facebook, l'âge minimum pour pouvoir s'inscrire est de 13 ans. Facebook tente bien de veiller au grain et supprime tous les jours de l'ordre de 20 000 comptes d'utilisateurs plus jeunes qu'ils ne l'ont déclaré, mais d'après l'étude européenne, un enfant sur cinq âgé de 9-12 ans a indiqué avoir un compte Facebook.

Un quart des enfants présents sur les réseaux sociaux déclarent que leur profil est public. Parfois accessibles via les moteurs de recherche, les données exposées peuvent être une adresse, un numéro de .

Une inquiétude de la Commission européenne vient du fait que si 78 % des 15-16 ans savent changer les paramètres de confidentialité, pour les plus jeunes cette maîtrise devient plus aléatoire. Ainsi, ils ne sont plus que 56 % chez les 11-12 ans à savoir comment faire.

Pour la vice-présidente de la Commission européenne, les profils de tous les mineurs doivent par défaut ne pas être accessibles par un moteur de recherche ou des personnes non identifiées en tant que contacts.

Source => http://www.generation-nt.com