Transcription

• Speaker #0

  Je voulais justement te poser la question ou te donner quelques situations du quotidien pour que tu me répondes par, je sais pas, vrai risque, faux risque ou bien mal compris. Étonné que tu en as mentionné, ben écoute, je saisis la perche pour qu'on en parle. Le wifi public, moi je pensais que c'était avéré. La raison pour laquelle j'utilise un VPN quand je me connecte dans les réseaux hôtels, publics, etc. Pour toi, c'est un faux risque ?

• Speaker #1

  Risque limité.

• Speaker #0

  Risque limité.

• Speaker #1

  Risque limité. En fait, ça va permettre à la personne qui fournit le réseau public potentiellement de voir qu'il y a une connexion vers Gmail, vers Infomaniac, vers whatever. Par contre, aujourd'hui, 99,9% des communications de nos téléphones sont chiffrées. Donc, aller intercepter la donnée, risque faible. Évidemment, il ne faut pas accepter n'importe quel certificat. Je suis sur un réseau Wi-Fi public. Et quand je me connecte sur un site dont j'ai l'habitude, il y a une erreur de certificat, là, risque maximum. Mais ça, ce n'est pas lié au fait que j'utilise un réseau public. C'est lié au fait que j'accepte n'importe quel certificat. Ce n'est pas la même chose.

• Speaker #0

  Et quand on parle de réseau public, on parle d'un réseau... Dans un aéroport, c'est fameux, Starbucks, équivalent. Très bien, on a parlé de la partie, j'utilise le mot de passe, mais par contre, quid d'une variation ? Donc un...

• Speaker #1

  Oui, si j'ai une technique, c'est par exemple d'avoir un mot de passe type 22 chien noir, point d'exclamation. Et puis de rajouter quelque part dans le mot de passe la première lettre du site sur lequel on va se connecter.

• Speaker #0

  Ah ouais,

• Speaker #1

  ok. Pour Infomaniac, 22i-chien-noir-point-d'exclamation.

• Speaker #0

  Ok.

• Speaker #1

  Pour Facebook, 22f-chien-noir-point-d'exclamation. Ouais, c'est mieux que d'avoir exactement le même partout, mais c'est quand même vraiment mieux d'avoir un vrai mot de passe différent via un gestionnaire de mot de passe. Enfin vraiment, je crois qu'en 2026, c'est impossible de faire l'économie d'un gestionnaire de mot de passe.

• Speaker #0

  Est-ce que tu recommandes certains gestionnaires plus que d'autres ? Oui,

• Speaker #1

  alors je n'ai pas d'action particulière chez eux ou je n'en vends pas en particulier. Ceux que je peux recommander, il y a KeePass qui fait le job. KeePass, c'est gratuit. Il y a Bitwarden qui fait aussi très bien le job. Il y a 1Password qui fait aussi bien le job. Et puis pour les utilisateurs iOS, le gestionnaire de mots de passe fourni par Apple fait aussi très bien le travail. Il a l'inconvénient de fonctionner que sur de l'iOS. Mais si vous êtes un Apple fanboy et que vous n'avez que du Apple, ça marche très bien.

• Speaker #0

  Tu parles d'Apple. Juste avant que je te pose cette question-là, un SecureSafe, tu les connais ?

• Speaker #1

  Non, je ne l'ai pas testé honnêtement. Je ne peux pas dire.

• Speaker #0

  Bien sûr.

• Speaker #1

  Mais il y a plein de gestionnaires de mots de passe très bien. Le problème, c'est de l'utiliser déjà. et puis surtout de ne pas choisir un qui a eu des problèmes. Par exemple, Dashlane, il y a quelques années, il y a eu plusieurs leaks. Celui-là, évidemment qu'on ne peut pas le recommander.

• Speaker #0

  Et donc, est-ce que ça fait qu'ils sont morts lorsqu'ils leakent comme ça ?

• Speaker #1

  Honnêtement, je n'ai pas suivi. Je ne crois pas que la société soit morte. En tout cas, elle a survécu quelques temps. Je crois que c'est de mémoire. C'est le code source, je crois, de Dashlane qui avait leaké. Donc, ce n'est pas pour ça que tous les mots de passe des utilisateurs avaient leaké. Il faut regarder le contexte. Est-ce qu'il s'est passé exactement comme je ne me rappelle plus ou que je ne sais pas ? On ne peut pas répondre là-dessus.

• Speaker #0

  Ok. J'ai un Mac, donc je suis tranquille.

• Speaker #1

  Ben non. Ben non, ça, c'est un vieux mythe.

• Speaker #0

  Mais c'est mieux. Enfin, mieux si tu t'en fiches complètement. Pardon, je suis un peu parfaitement entendu. Je disais, mieux si tu t'en fiches complètement. Enfin, c'est pas que tu t'en fiches, mais que tu n'as pas conscience et que...

• Speaker #1

  La réalité, c'est qu'il y a moins... En absolu, il y a beaucoup moins de virus sur Mac que sur PC. Mais parce qu'il y a beaucoup moins de Mac que de PC, en fait. Donc, où est-ce que c'est intéressant pour un hacker de développer un virus ? Sur la plateforme qui représente 90% du marché, donc PC. Et la même chose pour les mobiles d'ailleurs. Aujourd'hui, la plateforme mobile la plus ciblée, c'est Android, mais parce que c'est la plateforme numéro un. Donc il y a aussi une question de part de marché en fait. Après, est-ce que le Mac, techniquement, est mieux sécurisé qu'un PC ? C'était vrai il y a quelques années, c'est plus vraiment vrai aujourd'hui. Une machine Windows récente est au moins aussi bien protégée qu'un Mac. C'est que, historiquement, le Mac, il y avait une meilleure gestion des utilisateurs, une meilleure gestion des droits. Il y avait quelques avantages il y a quelques années, ce qui n'est plus vraiment le cas aujourd'hui. Et aujourd'hui, il y a des virus qui ciblent le Mac aussi.

• Speaker #0

  La souveraineté digitale, ce n'est pas juste un concept vague, c'est un choix au quotidien. C'est pour ça que j'utilise des outils d'infomaniac depuis des années. Mail, agenda, drive, tout est hébergé en Suisse dans le respect de mes valeurs. C'est vrai que c'est marrant ce que ils peuvent dire ou pas dire euh... Les chiffres, parce que c'est très juste ce que tu dis. En fait, il y a moins d'Apple, il y a moins d'utilisateurs Apple. Fondamentalement, il y a moins d'attaques et moins de virus sur Apple.

• Speaker #1

  Là où c'est un petit peu différent, c'est iOS versus Android. C'est que la manière dont iOS a été conçu initialement fait qu'il est beaucoup plus étanche et beaucoup plus difficile à pirater qu'une machine Android. C'est un système qui est beaucoup plus fermé, mais qui permet aussi beaucoup moins de choses. Il y a des tas de choses qu'on ne peut pas faire avec un téléphone Apple, alors qu'on peut naturellement et facilement le faire avec un téléphone Android. Tout bête, je veux copier, je n'en sais rien, des morceaux de musique sur une carte SD pour les partager avec quelqu'un. Bon courage pour le faire facilement avec l'écosystème Apple.

• Speaker #0

  Ok. J'ai un antivirus, donc je suis protégé.

• Speaker #1

  Pas complètement. C'est le problème, en fait. Un antivirus fonctionne principalement avec des bases de signatures, donc il est capable de détecter les virus déjà connus. Le problème, c'est qu'aujourd'hui, des nouveaux virus, il y en a plusieurs centaines de milliers qui sortent par jour. Merci l'intelligence artificielle, aujourd'hui c'est facile de créer automatiquement des variantes de virus. Donc, un, c'est difficile pour les antivirus d'être exhaustifs, et de couvrir, d'avoir des signatures pour tout. Deux, ça évolue rapidement. Et trois, surtout, la chose que les gens ne réalisent pas, c'est que s'il y a un code malveillant qui a été développé juste pour toi ou juste pour la société pour laquelle tu travailles, pour ça, il n'y a pas de signature généralement. Et donc ça, ça va passer tout droit, ça ne va pas être détecté par un antivirus conventionnel classique. Donc aujourd'hui, il y a d'autres solutions qui viennent en complément, des EDR, des sandbox avec des mécanismes de détection comportementale qui vont compléter le travail de l'antivirus. Certains antivirus intègrent ça aussi d'ailleurs, mais l'antivirus tel qu'il existe depuis pas mal d'années, qui est principalement basé sur un travail de signature, pas suffisant en tout cas aujourd'hui.

• Speaker #0

  Je fais mes backups, mais je ne les ai jamais restaurés.

• Speaker #1

  Généralement, c'est un problème parce qu'on se rend compte que les backups n'ont pas fonctionné le jour où on en a besoin. Ça vaut la peine, déjà les backups. de les tester de temps en temps, et surtout, un, de ne pas les avoir tous au même endroit, et deux, idéalement, d'en avoir une partie offline, ça reste la meilleure option. Quand malheureusement on s'est fait crypto-locker, c'est souvent le dernier recours, en fait, les backups. Donc si les backups sont sur un disque qui est toujours connecté à la machine, généralement les backups sont chiffrés aussi. Donc attention que les backups restent accessibles, même si l'environnement a été chiffré.

• Speaker #0

  Et là, pour faire un petit parallèle, que ce soit dans les grandes structures, donc entreprises ou bien tous les établissements publics, généralement on a tous vécu des exercices, tu sais, d'un faux incendie ou une fausse XY événement où tout le monde se rassemble à l'endroit donné, qui a été expliqué, qui est sur le panneau de l'ascenseur, etc. on ne peut pas prendre la sancerie. Tout le monde joue cet exercice, et ça, une fois par année. Là, typiquement, il faudrait aussi, de temps en temps, jouer ce jeu-là pour se rendre compte si tout est OK ou pas.

• Speaker #1

  Complètement. On appelle ça du tabletop exercise. C'est quelque chose que Suisse Post fait, par exemple, où on va simuler une crise, en fait, et puis regarder comment les gens réagissent, et puis comparer avec comment ils auraient dû réagir. Ça permet de s'améliorer, en fait, de se tester.

• Speaker #0

  Est-ce que tu vois une autre croyance qu'on n'aurait pas citée là, ou la plus grande croyance qui serait dangereuse dans la sécurité ?

• Speaker #1

  Peut-être d'une manière générale, c'est de penser qu'il y a toujours le nouvel outil qui va tout révolutionner et régler tous les problèmes. On voit qu'il y a des modes en cybersécurité. Ça fait suffisamment longtemps que je suis dans ce domaine pour... Pour pouvoir dire que c'est cyclique et qu'il y a des modes, et puis il y a toujours la nouvelle technologie qui est censée révolutionner. révolutionner et régler tous les problèmes. Alors que la base, c'est quand même une hygiène numérique de base. Ce sont les mots de passe, c'est l'éducation des utilisateurs, c'est le patching d'une manière générale. Ça, c'est peut-être un thème dont on n'a pas parlé.

• Speaker #0

  Patching mise à jour pour les gens. Patching mise à jour,

• Speaker #1

  ce qui est un vrai problème pour les entreprises. À l'échelle d'un particulier, tenir sa machine à jour, c'est relativement facile aujourd'hui. Il y a des mécanismes dans Windows, sur le Mac, sur Linux pour automatiser la mise à jour de la machine. Mais à l'échelle d'une société, mettre à jour les machines qui sont différentes, les imprimantes, les routers, les switches, tout ce qui est informatique industrielle, IoT, etc., c'est un enfer. Et donc il y a très peu de sociétés qui le font correctement. Et souvent, il suffit d'un ou deux correctifs absents pour que ce soit le début d'une attaque d'un cryptolocker, voire d'une paralysie de la société.

• Speaker #0

  Et si on imagine une PME suisse de 10 à 50 personnes, sans responsable cyber interne, si tu avais une journée pour réduire 80% du risque, qu'est-ce que tu fais concrètement ? Donc là, tu as évoqué des éléments, gestionnaire de mots de passe, le minimum vital.

• Speaker #1

  Le minimum vital, je pense que je commençais par régler ce problème. Dans quel ordre ? Je ne sais pas, mais en tout cas sur une journée, ça me semble possible. Commencer par regarder où la société en est de son patching, des correctifs de sécurité, et vérifier que ce soit contrôlé. Généralement, ça permet de mettre en évidence des problèmes de processus, des manques d'outils, des problèmes d'inventaire. Donc patching, d'une manière générale, en deux formations. Formation des utilisateurs, où on va parler de mots de passe, où on va parler de... De tout ce qu'on a évoqué précédemment. Et puis peut-être en trois, vérifier qu'elles ont l'outillage minimum. Donc un gestionnaire de mots de passe, un firewall à peu près configuré, un antivirus sans lui faire une confiance aveugle. Mais on peut regrouper ça sous le fait d'avoir une hygiène numérique correcte. Mais en fait, on se rend compte que ça ne fonctionne pas s'il n'y a pas... un intérêt des utilisateurs et un intérêt de la direction, en fait. Si la sécurité, c'est juste une contrainte, si c'est quelque chose qui n'est pas porté par la direction, ça ne fonctionne pas, d'une manière générale.

• Speaker #0

  Merci d'avoir écouté cet extrait, et s'il t'a plu, n'hésite pas à aller regarder ou écouter l'épisode en entier. D'ailleurs, n'hésite pas à partager le podcast autour de toi. Ciao, ciao !