X

News Partenaire

Conformité d’un hébergeur cloud au RGPD : des preuves techniques ?

A l’heure où le règlement général sur la protection des données va entrer en application, entreprises et administrations se demandent toujours comment procéder. Certaines décident d’y aller seules, d’autres se tournent vers des hébergeurs cloud pour les aider et les accompagner. Agarik assume ce rôle en mettant en avant son expertise en matière de sécurité.

La cryptomonnaie Ether victime d’un piratage massif

Le hacker se serait emparé de 50 millions de dollars, soit le tiers du montant levé voici 3 semaines dans le cadre du projet TheDAO, le premiers fonds d’investissement décentralisé basé sur la blockchain. Il s’agit d’un coup très dur pour le projet en particulier et pour les cryptomonnaies en général.

Vendredi matin, le projet TheDAO a pris un coup sur la tête peut-être définitif. En effet, en profitant d’une faille du système, en l’espèce une vulnérabilité d'appel récursif, où le hacker appelle la fonction "split" en boucle pour recueillir les jetons lui permettant de créer une DAO fille sur laquelle il a le droit de curation, passé un certain délai. Dès lors, il peut convertir ses jetons en Ether et reconvertir ensuite les Ether dans une autre monnaie réelle. Avec le bug, il a pu multiplier ses appels et a donc siphonné près du tiers des jetons. Mais le pire est que le bug n’est toujours pas corrigé et qu’une autre personne l’a démontré ce week-end en siphonnant une dizaine de jetons, pour montrer le bug. Aussi, si rien n’est fait - et rien ne semble être fait pour le moment - la totalité des fonds va être évaporée. En effet, le pirate qui a agi vendredi a récupéré 50 millions de dollars au cours de vendredi de la cryptomonnaie Ethereum. Depuis, la somme est moins importante, car le cours de ce dérivé du Bitcoin a fortement chuté à la suite de ce piratage, -33% pour la seule journée de vendredi.

De 500 000 dollars à 150 millions

Au mois de mai dernier se créait une nouvelle DAO (Decentralized Autonomous Organization), c’est-à-dire un ensemble de règles de gouvernance de projet définies par une communauté. Baptisée TheDAO, elle donnait naissance au premier fonds d’investissement basé sur ce principe organisationnel et qui a levé des fonds via une campagne de financement participatif.

«Au départ, il s’agissait d’un projet bien précisé comme étant en Bêta et qui visait à lever 500 000 dollars pour créer des serrures connectées », comme le précise Renaud Lifchitz, consultant en sécurité et membre de la communauté Ethereum. L’affaire a tellement bien marché que le fonds a récolté près de 10% des pièces Ether en circulation, soit 100 millions de dollars. Depuis le cours avait continué à progresser et le montant atteignait environ 150 millions de dollars, donc une bien belle affaire pour les participants. Aussi au-delà du projet initial, TheDAO pouvait donc être en mesure de financer différents projets à la manière de ce que font les capitaux-risqueurs traditionnels mais dans une structure décentralisée et virtuelle.

Tout ceci semblait magnifique mais, patatras, un pirate vient de mettre par terre cette « belle » organisation en profitant d’un énorme bug dans le fonctionnement de cette blockchain.

Pour le moment tout est bloqué et la seule solution pour récupérer l’argent est de dérouler la blockchain mais ceci s’oppose à la philosophie générale du projet qui, pour certains puristes, supposent que l’intervention humaine soit nulle, y compris en cas d’attaque. L’autre solution – qui semble être celle vers laquelle on pourrait se diriger – suppose de créer un fork mais là encore l’opération n’est pas sans risque. Comme l’indique le professeur d’informatique Emin Gün Sirer : «  c’est l'un des scénarios cauchemar qui inquiétait tout le monde, à savoir que quelqu’un exploite une faille du DAO pour dérober une grosse somme ».

Soft ou Hard Fork mais fonds perdus

Renaud Lifchitz indique que deux méthodes sont possibles : soft ou hard fork. C’est la première qui semble vouloir être utilisée. Elle consiste à donner aux mineurs une nouvelle version du programme qui n’accepte pas dans la blockchain les jetons de la DAO du pirate ou d’une fille. En gros les fonds sont gelés et il ne pourra rien en faire. L’autre solution consisterait à distribuer une nouvelle version qui effectuerait un roll-back de toutes les transactions avec cette DAO mais cela signifie que toutes ces transactions seraient perdues et tous les achats invalidés. Pour que la première méthode fonctionne (le soft fork), il faut que plus de la moitié des mineurs acceptent cette nouvelle version, ce qui n’est pas garanti. Cependant, y compris dans le soft fork, même si les fonds ne pourront pas être utilisés par le pirate, ils seront tout de même perdus pour les investisseurs. Et c’est un autre paradoxe que souligne Renaud Lifchitz : « le choix du soft fork a été proposé par les développeurs de la DAO et soumis à l'acceptation d'une majorité de mineurs alors qu’il devrait être fait par les actionnaires, ceux-là mêmes qui sont susceptibles de perdre ou pas leurs investissements ».

M. Lifchitz souligne que l’on se trouve aujourd’hui devant un choix politique et non plus technique dans lequel on accepte un système totalement décentralisé avec ses failles ou un système plus centralisé. « c’est une affaire de choix politique et moral ».

En effet, pour que les 100 et quelques millions de dollars ne disparaissent pas purement et simplement, il faut inverser totalement le fonctionnement et recourir à une mesure centralisée, mesure justifiée par l’ampleur du piratage. Mais le pirate lui-même pourrait s’opposer à la mesure considérant qu’elle est contraire au principe de fonctionnement du système, principe qui l’a lui-même conduit à adhérer, considérant que la vulnérabilité n’en était pas une mais bien une « fonctionnalité » qu’il a utilisée. Comme le souligne le blog Errata Security :

Dans tous les cas, le concept de base du TheDAO est une utopie totalement inutile. À la base, le Bitcoin a été créé par des personnes qui connaissaient le fonctionnement de la monnaie. TheDAO a été créé par des gens profondément naïfs sur l’investissement. C’est comme si vous mettiez toutes vos économies aux mains de singes savants. L’ambition de TheDAO était de se baser sur la sagesse des foules en estimant que tout le monde fera des choix avisés pour profiter à la collectivité. Mais c’est devenu l’ignorance des monstres où tout le monde pense que personne ne tentera de tromper le système. En fait, ce piratage est bienvenu parce qu’on a compris les limites du système avant qu’il devienne trop important. Si TheDAO avait continué de cette manière, alors ce serait devenu une sorte de pyramide de Ponzi en provoquant l’arrestation de ces créateurs »

Inscription gratuite à la newsletter de L'Informaticien.


Noter cet article (de 1 = Nul à 5 = Excellent) Valider


Rencontre avec John Van Siclen

Rencontre avec John Van Siclen

Avec son profil atypique dans le paysage de l’informatique, le CEO de Dynatrace, ancien universitaire (études d’histoire), nous confie son approche de la direction d’une entreprise dans le secteur de la high tech.

RGPD 1ers retours d'expérience

RGPD 1ers retours d'expérience

A quelques jours de la date fatidique du 25 mai où en était-on ? Nous sommes allés à la rencontre d’entreprises et de leurs DPO intervenant dans des contextes très différents. PME ou start-up,...

RSS
Afficher tous les dossiers

BÂTIR LA MAISON INTELLIGENTE - GitHub by Microsoft + alternatives - FIDO2, l'après mot de passe - Open Street Map alternative à Google Maps ? - Java 10/Java 11 ne loupez pas le train - Marseille, 1er port numérique européen ? - OpenClassrooms : l'e-learning "non élitiste" à la conquête du monde...

 

DOSSIER ANTI-VIRUS : chronique d'une mort annoncée... ou mutation profonde ? - DPO/DPD : notification des violations de données personnelles - Tribune Philippe Loudenot - Entretien avec Isabelle Falque-Pierrotin, Présidente de la Cnil - Aspects juridiques du Bug Bounty - Reportage au X-Force Command center IBM à Wroclaw - Cylance, le nouveau trublion - MOOC Anssi - Portrait Manuel Dorne alias "Korben"...

 

GÉRER LE CLOUD HYBRIDE - Kubernetes et les Cloud CaaS - Annonces Build 2018 - Internet plus sûr avec TLS 1.3 - WiFi 802.11ax - Data Warehouse du futur - Au coeur d'Hexatrust : Gatewatcher, l'innovation chevillée au corps - Formations Blockchains - IoT pour tous avec Sens'It de Sigfox...

 

Afficher tous les derniers numéros
News Mag-Securs

Retrouvez actualités, dossiers et communiqués sur la sécurité du système d'information sur le portail Mag-Securs

Pour répondre aux exigences de rapidité du modèle DevOps en conservant une cybersécurité efficace, de nouvelles approches doivent être adoptées en matière de sécurité de l'information, comme la sécurité intégrée, l’automatisation et la prévention proactive.


PROTECTION ENDPOINT NEXT-GEN : ÉVOLUTION OU RÉVOLUTION ?, un Livre Blanc SOPHOS.

Après la révolution Next-Gen Firewall de ces dernières années, une nouvelle révolution Next-Gen est cours dans le domaine de la sécurité des systèmes Endpoint. Au-delà du débat pour savoir s’il s’agit d’une révolution ou d’une simple évolution, il est certain qu’une série de nouvelles technologies est en train de rapidement émerger, en apportant une contribution significative à la lutte contre les menaces avancées.


En tant que professionnel de l'informatique, vous en avez sans doute assez d'entendre parler de transformation numérique. Après tout, vous vous occupez déjà d'optimiser la gestion des actifs et de déployer les programmes big data, tout en assurant la protection et la restauration de toutes les données de votre organisation. Or, la transformation numérique peut devenir un projet d'envergure qui ne consiste pas seulement à gérer des données, mais aussi à repenser entièrement le modèle de l'entreprise et/ou à développer une nouvelle stratégie produit innovante, dans les scénarios les plus ambitieux.

  


Atteignez vos objectifs de conformité tout en améliorant votre sécurité avec le PAM (Privileged Access Management = Gestion des accès à privilèges). Un Livre Blanc Wallix.

  


Aujourd’hui, les entreprises doivent ouvrir leur SI à un nombre toujours plus important de prestataires extérieurs, d’abord pour réduire le budget informatique – recours à des prestataires externes pour des compétences qui ne font pas partie du cœur de métier de la DSI - ensuite pour gagner en rapidité dans le déploiement de nouvelles solutions.

  


Tous les Livres Blancs
Derniers commentaires
Des avions de combat iraniens Sukhoi Su-30 de fabrication russe participent à une parade militaire à Téhéran à l'occasion de la Journée de l'armée en Iran, le 18 avril 2017L'Iran va dévoiler dans les prochains jours un nouvel avion de combat et améliorer ses capacités balistiques pour répondre aux "menaces" d'Israël et des Etats-Unis, ses ennemis jurés, a annoncé le ministre de la Défense Amir Hatami. [Lire la dépêche...]

Un robot capable de jouer du piano, présenté au 4e congrès mondial des robots à Pékin, le 15 août 2018 Robots chirurgiens, automates industriels, musiciens ou athlètes mécaniques : une conférence à Pékin accueille les machines intelligentes censées révolutionner l'économie chinoise... ainsi qu'un ring où des robots-guerriers bourrés d'électronique se livrent combat. [Lire la dépêche...]

Photo d'illustration de Google, prise le 29 avril 2018 Le projet de Google de développer un moteur de recherches compatible avec la censure pour se réinstaller en Chine, a provoqué l'ire des employés du géant de la tech, illustrant le dilemme auquel est confronté le secteur pour accéder à des marchés lucratifs. [Lire la dépêche...]

Elon Musk à Chicago le 14 juin 2018En affirmant être surmené, Elon Musk, l'iconoclaste PDG de Tesla, désormais fragilisé, a renvoyé la balle vers l'entreprise à qui il revient de déterminer s'il a besoin d'aide pour continuer à assumer ses fonctions, estiment les experts. [Lire la dépêche...]

Le président américain Donald Trump parle à la presse le 17 août 2018 à la Maison Blanche Le président américain Donald Trump a dénoncé avec véhémence samedi la suspension par les géants d'internet des activités de personnalités de la droite américaine sur les réseaux sociaux, parlant de "discrimination" et qualifiant de "malade" le comportement de deux chaînes de télévision. [Lire la dépêche...]

Des centaines d'employés de Google ont signé une lettre de protestation contre le développement d'une version de son moteur de recherche adaptée aux exigences de censure en ChineLe patron de Google Sundar Pichai a assuré, selon des propos rapportés vendredi par l'agence Bloomberg, que la piste d'un retour du géant de l'internet en Chine était pour l'heure "exploratoire", après avoir été interpellé par des salariés inquiets. [Lire la dépêche...]

Un jeune australien qui Un jeune Australien qui rêvait de travailler pour Apple a piraté les systèmes informatiques de l'entreprise, mais aucunes données personnelles n'ont été dérobées, a précisé Apple vendredi. [Lire la dépêche...]

Des employés de Google signent une lettre de protestation contre les projets en ChineDes centaines d'employés de Google ont signé une lettre de protestation contre le développement d'une version de son moteur de recherche adaptée aux exigences de censure en Chine, selon le New York Times.  [Lire la dépêche...]

Toutes les dépêches AFP
AgendaIT

VMWORLD US

VMware réunit clients et partenaires à l'occasion de la conférence VMworld édition américaine à Las Vegas (Mandalay Bay) du 26 au 30 août 2018. Organisée par VMware.

RURALITIC

Ruralitic tient à Aurillac (centre des congrès) sa 13ème édition du 28 au 30 août 2018. Organisé par Mon Territoire Numérique et le Conseil départemental du Cantal.

IFA

IFA IFA
Le plus grand salon professionnel européen de l'électronique grand public a lieu à Berlin du 31 août au 5 septembre 2018. Organisé par Messe Berlin.

DREAMFORCE

Salesforce convie ses utilisateurs et partenaires à sa conférence annuelle Dreamforce du 25 au 28 septembre 2018 à San Francisco (Moscone Center). Organisée par Salesforce.
Journée de partage d’expériences sur l'IA, la Blockchain, l'Internet des Objets, le Cloud, la Sécurité, le 9 octobre 2018 à Paris (Carrousel du Louvre). Organisée par IBM.

LES ASSISES

Grand rendez-vous annuel des RSSI, les Assises de la sécurité des systèmes d'information se tiennent à Monaco (Grimaldi Forum) du 10 au 13 octobre 2018. Organisées par DG Consultants.
RSS
Voir tout l'AgendaIT