{"id":1432,"date":"2020-04-02T00:31:36","date_gmt":"2020-04-02T00:31:36","guid":{"rendered":"https:\/\/www.affinite.fr\/index.php\/2020\/04\/02\/le-service-de-videoconference-ultra-populaire-est-tres-efficace-mais-tres-mal-securise\/"},"modified":"2020-04-02T00:31:36","modified_gmt":"2020-04-02T00:31:36","slug":"le-service-de-videoconference-ultra-populaire-est-tres-efficace-mais-tres-mal-securise","status":"publish","type":"post","link":"http:\/\/www.affinite.fr\/index.php\/2020\/04\/02\/le-service-de-videoconference-ultra-populaire-est-tres-efficace-mais-tres-mal-securise\/","title":{"rendered":"le service de vid\u00e9oconf\u00e9rence ultra-populaire est tr\u00e8s efficace, mais tr\u00e8s mal s\u00e9curis\u00e9"},"content":{"rendered":"<p> [ad_1]<br \/>\n<\/p>\n<div itemprop=\"articleBody\">\n<p>Que faut-il r\u00e9ellement penser de Zoom\u00a0? Depuis la mise en confinement de la moiti\u00e9 de plan\u00e8te, ce service de vid\u00e9oconf\u00e9rence gagne sans cesse en popularit\u00e9, apparemment \u00e0 juste titre. L\u2019interface est agr\u00e9able et la qualit\u00e9 audiovisuelle est de tr\u00e8s bon niveau. Mais de plus en plus d\u2019ombres apparaissent au tableau, sur le plan de la s\u00e9curit\u00e9 et de la protection des donn\u00e9es personnelles.<\/p>\n<p>La semaine derni\u00e8re, on se souvient, l\u2019entreprise a d\u00fb faire plusieurs r\u00e9trop\u00e9dalages. D\u2019apr\u00e8s le site Vice, son application iOS <a href=\"https:\/\/www.01net.com\/actualites\/l-appli-zoom-pour-ios-envoie-des-donnees-a-facebook-meme-si-vous-n-avez-pas-de-compte-1883313.html\" target=\"_blank\" rel=\"noopener noreferrer\">partageait des donn\u00e9es d\u2019utilisateurs<\/a> avec Facebook sans que cela soit clairement mentionn\u00e9. Parall\u00e8lement, un <a href=\"https:\/\/blogs.harvard.edu\/doc\/2020\/03\/27\/zoom\/\" target=\"_blank\" rel=\"noopener noreferrer\">chercheur de Harvard<\/a> alertait dans une note de blog sur la vente potentielle par Zoom de donn\u00e9es personnelles \u00e0 des fins publicitaires.<\/p>\n<p>Vendredi dernier, l\u2019appli a \u00e9t\u00e9 mise \u00e0 jour pour stopper cet \u00e9change avec Facebook. Dans la foul\u00e9e, l\u2019entreprise a modifi\u00e9 sa politique de protection des donn\u00e9es personnelles en ajoutant les phrases suivantes :<\/p>\n<blockquote>\n<p><em>\u00ab\u00a0Zoom ne surveille pas et n\u2019utilise pas le contenu des clients pour une raison autre que la fourniture de nos services. Zoom ne vend de contenu client \u00e0 personne et ne l\u2019utilise pas \u00e0 des fins publicitaires.\u00a0\u00bb<\/em> Fin de la pol\u00e9mique\u00a0? Pas vraiment.<\/p>\n<\/blockquote>\n<h3 style=\"color:#333; font-family:arial,helvetica,sans-serif; font-size:23px; font-weight:700\">De fausses promesses<\/h3>\n<p>Le site <a href=\"https:\/\/theintercept.com\/2020\/03\/31\/zoom-meeting-encryption\/\" target=\"_blank\" rel=\"noopener noreferrer\">The Intercept<\/a> vient maintenant de r\u00e9v\u00e9ler que les communications audio et vid\u00e9o de Zoom ne sont pas chiffr\u00e9es de bout en bout, alors que l\u2019entreprise le sugg\u00e8re fortement sur son site Web et dans un libre blanc technique. D\u2019apr\u00e8s les termes employ\u00e9s, il serait ainsi possible de <em>\u00ab\u00a0s\u00e9curiser une r\u00e9union avec du chiffrement de bout en bout\u00a0\u00bb<\/em>. Mais en r\u00e9alit\u00e9, seule la messagerie instantan\u00e9e peut \u00eatre chiffr\u00e9e de bout en bout.<\/p>\n<figure class=\"figure text-center\"><img decoding=\"async\" class=\"article-img img-responsive-l\" src=\"https:\/\/img.bfmtv.com\/c\/0\/708\/ae6\/b63ea03d8f23ee75a29ab38bc4f74.jpg\" alt=\"\"\/><figcaption class=\"figure-caption figcaption color-txt-0 title-xs hidden-xs\"\/><\/figure>\n<p>Les flux audio et vid\u00e9o ne sont chiffr\u00e9s qu\u2019en TLS entre les terminaux des clients et les serveurs de Zoom, comme c\u2019est le cas pour n\u2019importe quel autre site Web s\u00e9curis\u00e9.<br \/>En th\u00e9orie, l\u2019entreprise peut donc \u00e9couter et visionner le contenu des r\u00e9unions\u2026 et les autorit\u00e9s gouvernementales le peuvent aussi si elles le souhaitent. La communication marketing de Zoom est donc loin d\u2019\u00eatre claire \u00e0 ce sujet, probablement parce que l\u2019entreprise cherche \u00e0 dissimuler cette faiblesse technique.<\/p>\n<p>D\u2019autres services, en effet, proposent le chiffrement de bout en bout. C\u2019est le cas par exemple des appels vocaux de Signal et des conf\u00e9rences audio et vid\u00e9o d\u2019Apple FaceTime.<br \/>Interrog\u00e9 par <em>The Intercept<\/em>, le chercheur en s\u00e9curit\u00e9 Matthew Green souligne que le chiffrement de bout en bout d\u2019une vid\u00e9oconf\u00e9rence \u00e0 plusieurs personnes est compliqu\u00e9 \u00e0 r\u00e9aliser, car il faut pouvoir d\u00e9tecter en temps r\u00e9el qui est en train de parler. Quand tout est chiffr\u00e9, il faut impl\u00e9menter des m\u00e9canismes sp\u00e9cifiques, ce qui est <em>\u00ab\u00a0faisable, mais pas facile\u00a0\u00bb<\/em>, estime-t-il.<\/p>\n<aside class=\"bg-color-0 padding-inside-all-s bloc border-s\">\n<h4 class=\"box-txt-normal\">\n<p><b>A d\u00e9couvrir aussi en vid\u00e9o<\/b>\n<\/p>\n<\/h4>\n<\/aside>\n<p>Et ce n&rsquo;est pas tout. Sans arr\u00eat, on d\u00e9couvre des bugs et des bizarreries dans les logiciels de Zoom. Le site <a href=\"https:\/\/www.vice.com\/en_us\/article\/k7e95m\/zoom-leaking-email-addresses-photos\" target=\"_blank\" rel=\"noopener noreferrer\">Vice <\/a>vient ainsi de r\u00e9v\u00e9ler que des personnes qui partageaient le m\u00eame nom de domaine au niveau de leurs adresses e-mail \u00e9taient automatiquement regroup\u00e9es dans un m\u00eame carnet d\u2019adresses. Elles pouvaient donc acc\u00e9der \u00e0 des informations de profil et lancer des appels vid\u00e9o vers\u00a0de\u00a0parfaits inconnus.<\/p>\n<p>Au niveau d\u2019une entreprise, cela peut \u00e9ventuellement faire sens, mais pour des adresses personnelles provenant de fournisseurs d\u2019acc\u00e8s Internet, c\u2019est d\u00e9j\u00e0 beaucoup moins le cas. Les d\u00e9veloppeurs de Zoom ont eu la pr\u00e9sence d\u2019esprit d\u2019exclure les adresses des grands fournisseurs tels que Gmail, Yahoo ou Hotmail, mais ils n\u2019ont visiblement pas pens\u00e9 aux autres cas.<\/p>\n<h3 style=\"color:#333; font-family:arial,helvetica,sans-serif; font-size:23px; font-weight:700\">Une faille dans le client Windows<\/h3>\n<p>Des hackers viennent \u00e9galement de trouver une faille assez simpliste dans le client Windows. La messagerie instantan\u00e9e permet d\u2019injecter des liens externes au format r\u00e9seau Windows. Si l\u2019utilisateur clique dessus, celui qui contr\u00f4le le serveur externe en question peut r\u00e9cup\u00e9rer l\u2019empreinte du mot de passe de l\u2019utilisateur, une donn\u00e9e qu\u2019un pirate peut assez facilement d\u00e9chiffrer.<\/p>\n<div data-force-click=\"true\" class=\"bloc\">\n<blockquote class=\"twitter-tweet\">\n<p dir=\"ltr\" lang=\"en\">Hi <a href=\"https:\/\/twitter.com\/zoom_us?ref_src=twsrc%5Etfw\">@zoom_us<\/a> &amp; <a href=\"https:\/\/twitter.com\/NCSC?ref_src=twsrc%5Etfw\">@NCSC<\/a> &#8211; here is an example of exploiting the Zoom Windows client using UNC path injection to expose credentials for use in SMBRelay attacks. The screen shot below shows an example UNC path link and the credentials being exposed (redacted). <a href=\"https:\/\/t.co\/gjWXas7TMO\">pic.twitter.com\/gjWXas7TMO<\/a><\/p>\n<p>\u2014 Hacker Fantastic (@hackerfantastic) <a href=\"https:\/\/twitter.com\/hackerfantastic\/status\/1245133371262619654?ref_src=twsrc%5Etfw\">March 31, 2020<\/a><\/p><\/blockquote><\/div>\n<p>Sur macOS, la r\u00e9putation de Zoom est, depuis longtemps, assez d\u00e9plorable. En juillet 2019, rappelez-vous, un chercheur en s\u00e9curit\u00e9 avait r\u00e9v\u00e9l\u00e9 que n\u2019importe quel site Web pouvait <a href=\"https:\/\/www.01net.com\/actualites\/l-application-zoom-sur-macos-peut-activer-votre-webcam-sans-votre-autorisation-1727825.html\" target=\"_blank\" rel=\"noopener noreferrer\">activer la webcam d\u2019un utilisateur Mac<\/a>, en raison d\u2019un serveur Web local permanent que Zoom installait ni vu ni connu sur l\u2019ordinateur. Une bizarrerie qu\u2019Apple a finalement \u00e9ject\u00e9e manu militari au travers d\u2019une mise \u00e0 jour d\u2019urgence.<\/p>\n<h3 style=\"color:#333; font-family:arial,helvetica,sans-serif; font-size:23px; font-weight:700\">Des techniques dignes d&rsquo;un pirate<\/h3>\n<p>Mais ce n\u2019est pas pour autant la fin des mauvaises pratiques. Dans un <em>thread<\/em> Twitter, un autre chercheur en s\u00e9curit\u00e9 vient maintenant d\u2019analyser la proc\u00e9dure d\u2019installation de l\u2019actuel client logiciel sur macOS. R\u00e9sultat\u00a0: pour am\u00e9liorer le confort de l\u2019utilisateur, les d\u00e9veloppeurs de Zoom n\u2019h\u00e9sitent pas \u00e0 utiliser des techniques dignes d\u2019un pirate.<\/p>\n<div data-force-click=\"true\" class=\"bloc\">\n<blockquote class=\"twitter-tweet\" data-partner=\"tweetdeck\">\n<p dir=\"ltr\" lang=\"en\">This is not strictly malicious but very shady and definitely leaves a bitter aftertaste. The application is installed without the user giving his final consent and a highly misleading prompt is used to gain root privileges. The same tricks that are being used by macOS malware.<\/p>\n<p>\u2014 Felix (@c1truz_) <a href=\"https:\/\/twitter.com\/c1truz_\/status\/1244737676990976001?ref_src=twsrc%5Etfw\">March 30, 2020<\/a><\/p><\/blockquote><\/div>\n<p>Toutes ces d\u00e9couvertes montrent que les ing\u00e9nieurs de Zoom ont certes r\u00e9ussi \u00e0 cr\u00e9er un logiciel de vid\u00e9oconf\u00e9rence performant, mais que la s\u00e9curit\u00e9 et la protection des donn\u00e9es personnelles n\u2019\u00e9taient pas vraiment au c\u0153ur de leurs pr\u00e9occupations. Esp\u00e9rons que cela va changer.<\/p>\n<\/p><\/div>\n<p><script async src=\"http:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><script>\n         !function(f,b,e,v,n,t,s){if(f.fbq)return;n=f.fbq=function()\n         {n.callMethod? n.callMethod.apply(n,arguments):n.queue.push(arguments)}\n         ;if(!f._fbq)f._fbq=n;\n             n.push=n;n.loaded=!0;n.version='2.0';n.queue=[];t=b.createElement(e);t.async=!0;\n             t.src=v;s=b.getElementsByTagName(e)[0];s.parentNode.insertBefore(t,s)}(window,\n                 document,'script','https:\/\/connect.facebook.net\/en_US\/fbevents.js');\n         fbq('init', '1065890633454496');\n         fbq('track', 'PageView');\n     <\/script><br \/>\n<br \/>[ad_2]<br \/>\n<br \/><a href=\"https:\/\/www.01net.com\/actualites\/zoom-le-service-de-videoconference-ultra-populaire-est-tres-efficace-mais-tres-mal-securise-1886342.html\">Source link <\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[ad_1] Que faut-il r\u00e9ellement penser de Zoom\u00a0? Depuis la mise en confinement de la moiti\u00e9 de plan\u00e8te, ce service de &hellip; <a href=\"http:\/\/www.affinite.fr\/index.php\/2020\/04\/02\/le-service-de-videoconference-ultra-populaire-est-tres-efficace-mais-tres-mal-securise\/\" class=\"more-link\">Plus <span class=\"screen-reader-text\">le service de vid\u00e9oconf\u00e9rence ultra-populaire est tr\u00e8s efficace, mais tr\u00e8s mal s\u00e9curis\u00e9<\/span> <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":1433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_sitemap_exclude":false,"_sitemap_priority":"","_sitemap_frequency":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-1432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tous"],"_links":{"self":[{"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/posts\/1432"}],"collection":[{"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/comments?post=1432"}],"version-history":[{"count":0,"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/posts\/1432\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/media\/1433"}],"wp:attachment":[{"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/media?parent=1432"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/categories?post=1432"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.affinite.fr\/index.php\/wp-json\/wp\/v2\/tags?post=1432"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}