Ce que je voudrais dire c’est que les plus grands font des conneries plus grandes qu’eux sans pour autant s’en apercevoir et j’espère que mon intervention leur fera prendre conscience que nul n’est à l’abri sur le net. Si j’ai fait cela c’est dans le but de sensibiliser ces personnes qui pensent être plus en sécurité que de simples internautes novices. Et la sécurité ça commence par des trucs simples comme les questions secrètes dont beaucoup ignorent réellement leur utilité ou l’impacte que ça peut avoir sur leur vie privée si un pirate parvenait à les contourner.

Bilan des courses ? voici un exemple des informations qu’il a pu collecter :

Et c’est pas du chiqué .. hein voilà par exemple une saisie d’écran des enregistrement DNS de Twitter.com dans le mail d’Evan Williams:

Vous avez plus d’exemples sur le site de Korben.info que j’ai déjà beaucoup trop honteusement pillé.

Bref ça déconne pas … et c’est grave, et il faut prendre la chose au sérieux.

Maintenant, on fait quoi … On devient parano ? Oui ! Mais ça tient combien de temps ? Et pour les developpeurs de site internet, n’y a t’il pas de leçons à retenir de tout cela ? Je me propose humblement de proposer quelques leçons à retenir pour les develloppeurs ET les utilisateurs. Le develloppeur est aussi un utilisateur de services Web et évidemment  c’est cela qui fait sa compétence tout autant que ses faiblesses. Ces rêgles sont un peu douleureuses mais vraiment encore :  une fois que les informations sont révélés c’est trop tard.

5 points à retenir pour l’utilisateur :

1. Ne pas avoir le même mot de passe pour tout les comptes.  Une variante dans une lettre ou plusieurs lettres c’est déjà pas mal. Lorsque vous créer votre mot de passe, les informations ne doivent pas avoir de lien avec des inforamtions contenu sur vos comptes Facebook/myspace/Hi5/LinkedIn/viadeo.. chacun de ses services peut être un point d’entrée, peut être une faille. Pour le Hacker le temps est le seul frein. Si ça prend 15 jours c’est pas la même que si ça prend 6 mois.
2. Hotmail.com ou tou ces sites qui crée des comptes emails et les effacent au bout d’un certains temps sont un danger. Il suffit au pirate de Recreer exactement le même compte, et lorsque le hacker fait une récupération de mot de passe sur un compte secondaire.. eh bien c’est parce que le pirate a pu creer exactement le même , qu’il accédera du coup au mot de passe et là via votre boite mail il aura accés à toute sorte d’information…
3. Mefiez vous comme la peste des questions secrêtes : comme le dit Techcrunch : The service is essentially telling the attacker: “we understand that guessing passwords is hard, so let us help you narrow it down from potentially millions of combinations to around a dozen, or even better, if you know how to Google, just one” c’est à dire “Le système de question secrête consiste essentiellement à dire au pirate, on comprend que se souvenir d’un mot de passe c’est super difficile donc on va vous aidez à passer de 12 millions de difficultés à prés d’une douzaine et même moins en faisant une recherche sur google” .  ça donne quoi concrêtement … que quand on vous oblige à répondre un truc à ces questions. il vaut mieux répondre totalement à coté .. du type : Quel est votre personnage préférés ( typiquement le genre d’info que l’on peut retrouver sur Facebook ou myspace) , vous répondez:  azesdcxtgbhn … un retrouvable et ça fait “3h” sur votre clavier qui correspond par exemple au nombre de h dans le nom du village de votre première colonie de vancances.. enfin bref .. ça veut dire une réponse sans rapport avec la question et surtout dont la réponse n’est pas trouvable sur vos comptes de réseaux sociaux.
4. Changez votre mot de passe mail régulièrement.  Il est la porte d’entrée du Hacker. Un mot de passe  corrompu et toute les informations sont accessibles.  C’est souvent plus simple qu’il n’y paraît. parce qu’on laisse involontairement sur twitter , facebook, en commentaire des informations qui peuvent aider à retrouver vos mots de passes.
5. Soyez paranoïaque , ne mélangez pas vie privé et vie professionnelle dans vos comptes emails, dans vos comptes de réseaux sociaux… Deux carnet d’adresses différents par exemple. Deux univers différents. Perso j’ai plusieurs comptes sur Facebook. Les collègues de bureau amis sur votre compte facebook ou twitter ou flickr peut être une manière de vous contourner et d’aller vers d’autres personnes moins soucieuses de confidentalité . Ne répondez pas au questions par téléphone sans être certain que l’utilisateur a interêt à avoir cette information. Vos logiciels doivent être à jour

Je laisse les derniers mots pour cette partie là à Hacker Croll :

[..]Dans mon quotidien, il m’arrive d’aider des gens à se prémunir contre les dangers de l’internet. Je leur apprend les règles de base.. Par exemple : Faire attention où on clique, les fichiers que l’on télécharge et ce que l’on tape au clavier. S’assurer que l’ordinateur est équipé d’une protection efficace contre les virus, attaques extérieures, spam, phishing… Mettre à jour le système d’exploitation, les logiciels fréquemment utilisés… Penser à utiliser des mots de passe sans aucune similitude entre eux. Penser à les changer régulièrement… Ne jamais stocker d’informations confidentielles sur l’ordinateur…

Il n’y a pas à proprement parler de guide de bonne pratiques pour les formulaire de création d’utilisateur. C’est à chaque chef de projet/developpeur de faire comme il peut. les developpements de réseaux sociaux est tel que l’on est pourtant amené à avoir de plus ou moins bonnes pratiques. Dans ce domaine comme dans d’autres il faut savoir sortir des sentiers battus pour améliorer la sécurité… Ce site donne une idée des prises de conscience necessaire.

5 “bonnes pratique” pour le développeur

1. Recréer un mot de passe plutôt que de le renvoyer. Le hacker se trouve obliger de chercher trés vite le vrai mot de passe .. Sinon l’utilisateur sera averti à sa prochaine connexion que son mot de passe n’est plus valable.
2. Eduquer l’utilisateur,  l’avertir sur la sensibilité de l’information qu’il confit est une manière de dire qu’il a de la valeur aux yeux de l’entreprise/ du site internet / de l’association.
3. Un username/login est unique et à jamais attribué à une seule et unique personne. Si le compte doit être attribué à une autre personne alors l’ancien propriétaire doit en être averti ( avec accusé de réception de la communication). Le comportement de Hotmail.com est pour moi incompréhensible. A moins qu’ils n’aient plus de place pour les comptes dormants ? Quelqu’un peut leur envoyer une clef USB supplémentaire ?
4. Si votre application necessite un degré sérieux de sécurité, rappelez le à l’utilisateur et faites lui changer son mot de passe régulièrement. Remettez également à zéro régulièrement le cookie du user, de sorte qu’il est obligé de rentrer son mot de passe régulièrement. Toute les 20 connexions par exemple.
5. Utilisez régulièrement les tests de complexité de mots de passes. cela “éduque à de meilleur pratique” de la part de l’utilisateur. Comme les develloppeurs les users aiment être un peu pris en main.

Toute vos remarques sont les bienvenus. Je n’ai pas la pretention de tout connaitre du social ingineering. et comme la plupart d’entre nous, j’apprends avec les “mauvaises” ou les bonnes expériences des autres.

Pour bien comprendre comment sont faites ces deux évaluations, il va falloir revenir au début du siècle du web 2.0 en 2004 : ConnectU porte plainte contre Mark Zuckerberg pour vol d’idées et de ligne de code, et d’utiliser cela pour lancer un réseaux social centré sur les collèges, Facebook. Aprés une série de procés un accord est trouvé à 20 milliards $ et 1,253,326 actions. Or selon l’agence de Presse AP le véritable prix de l’action lors du procés en Juin dernier était de 8,88$ amenant la valeur de Facebook à 3,7 milliards et non les 15 milliards évoqués lors des négociations avec Microsoft qui avait payé 240 million $ pour 1,7% des parts.

L’avocat Quinn Emanuel (l’avocat de ConnectU) a été viré à la suite de la divulgation de cette information par inadvertance dans une liste de discussion.

Ces sites d’actualité technologique sont :

• RichCommerce.fr (analyses et exemples d’interfaces riches appliquées au e-commerce) ;
• VirtualWorldsNews.fr (l’actualité des univers virtuels et du v-business) ;
• InterfacesRiches.fr (pour tout savoir sur les interface riches) ;
• MediasSociaux.com (toute l’actualité des blogs, wikis, réseaux sociaux, sites de partage… en relation avec le marketing communautaire) ;
• Entreprise20.fr (toute l’actualité de la collaboration en ligne et des pratiques “2.0″ en entreprise) ;
• SimpleWeb.fr (pour tout savoir sur l’utilisabilité et la simplicité d’usage) ;
• Twitter.com/fredcavazza (mes petites réflexions du quotidien) ;
• FriendFeed.com/fredcavazza (pour suivre l’intégralité de ma production).

Site : Twibs est un annuaire d’entreprise sur Twitter. Il permet de référencer les entreprises présentes sur cette outil de microblogging. peu d’entreprise française encore… via presse-citron.net

en Vrac :

• PalmOS est mort vive WebOS,
• Google et Yahoo s’associent pour “nettoyer” le web..
• Scilab (l’équivalent en opensource de Mathlab) sort une version en 5.1,
• Dans les entreprises qui recrutent en 2009 la priorité sera donné aux techniciens

Red Hat Enterprise Linux optimisé pour la vitualisation

L’info trafic sur google maps.

Outils : Java FX Mobile: Sun va annoncer officiellement la mise à disposition de la version mobile de son célèbre outil de developpement. Avec un marché déjà gigantesque. En effet les jeux sur téléphone portable represente un marché de plusieurs dizaine de milliards de dollars (en 2007 ).

Blogs : Ghislain Lambert est de ces personnes que l’on croisent sur les réseaux sociaux et qui sont toujours prêt à rendre service. Il a bien compris, lui et les bloggeurs que j’ai précédement traité dans cette partie que c’est avant tout de générosité dont il s’agit.

Site : L’agence d’études statistique Gartner.:Certes le site est en anglais et  l’accés n’est pas gratuit. Mais c’est le type de site dont les informations et la bonne connaissance du milieu des technologies de l’information rend chaque étude d’une claivoyance rare… Sa courbe des technos est attendue chaque année comme le messie. C’est un standard de developpement commercial également.

en Vrac :Le modèle de maturité du Cloud Computing Apple demande à Google de ne pas utiliser le multitouch, et il accepte. Itunes va diffuser des films par flux sans stockage local, Réseaux sociaux : 17 sites s’engagentpour la protection des mineurs, GreenIT : Microsoft et Google, Les flux d’informations en entreprise

Outil : OpenId est enfin rejoint par Facebook.
Open ID est un outil universel d’identification. Une sorte de carte d’identité numérique qui permet de vous identifier sur beaucoup de services Web actuels. Ce service étant en plein développement, il n’est pas encore un standard mais avec l’utilisation de ce protocole par Facebook, le développement va prendre une certaine accélération.
Ici une liste de service français utilisant ce protocole. il dispose évidement d’une API (en) trés simple d’utilisation et d’intégration avec une communauté trés active.
 
Blog : ou Billet pour cette fois-ci, je voudrais attirer l’attention sur ce billet de  Marc Bassier dans Net-Eco. responsable d’une entreprise de développement logiciel, il explique notamment :

Les sociétés qui internalisent leurs réseaux sociaux peuvent en tirer parti et même optimiser le travail collaboratif dont notamment :
-avoir une vision claire de l’activité sur son domaine de prédilection
-détecter les compétences internes et activer ce réseau
-créer des communautés de projet autour d’intérêts communs / partage d’expertise
-détecter les “best pratices” en interne et les appliquer aux autres collaborateurs
-partager des informations sectorielles
-organiser des espaces de collaboration avec délégation de tâches
-améliorer les échanges avec leurs clients ou prestataires externes
-mettre en valeur la qualité des profils employés par l’entreprise

Site : Lovely Charts permet de faire des jolies diagrammes en ligne : il faut y aller tout de suite parce que ça va vous faire perdre une demie heure à tester tout les diagrammes..

en vrac : Synchronisation contact sur mobile avec SyncML, La france 3 ème marché européen de la publicité,
Facebook ouvre l’API des statuts, la simplicité est un atout, la prise de risques financières serait dans les gênesTechnorati Tags: La vidéo passera la crise, OpenID, social entreprise, Lovely charts

Il y a des secteurs en croissance.

Les budgets IT se contractent à 2,5% en 2009 ( 6,5% en 2008 ) et sont donc en tré légére croissance.les smartmobiles tout d’abord a une prévision de croissance de l’ordre de 7%. Le secteur de E-commerce est prévue à 10 %. Si au mois de Juin les SSII restait trés positive sur l’impact de la crise. Compte tenu de l’état général de l’économie mondiale et du pessimisme ambiant, la tendance à se tirer une balle dans le pied de l’économie française fera toute la différence. Ainsi tout le regards se tourne une fois n’est pas coutume vers le plan France Numérique 2012…

Outil : XUIML : encore un peu dans les cartons car en cours d’homologation, ce langage devrait permettre de faire des interfaces Adobe Flex sans “aucune ligne de ActionScript”. par ailleurs les exemples semble montrer l’intégration possible de webservice compatible RESTful.

Blog Groupe B3) Bertrand Demarcq est une de ces personnes qui rendent internet complétement humain. compétement sur de nombreux domaines de l’internet C’est un artisan réactif et éfficace.twitter : @demarcq

Site : Pachube est une plateforme de web-services qui permet de connecter des capteurs au web. Elle dispose d’une API très puissance qui a déjà permis de réaliser de nombreuses fonctions.

vrac : qTada, Intel en 32 nano .., aperçu avant impression sur google Docs, google sans internet : calendrier, mail, docs?, imprimer ses taches , kindle 2, l’e-book d’amazon, Facebook donne accés à l’API des statuts, importer vos carnets d’adresse ( yahoo, hotmail ) sur Gmail.

Business :
Free veut acquérir la quatrième licence de téléphonie et est prêt à payer 210 Millions d’euros alors que le prix annoncé par le secrétaire d’état Luc Chatel est de 206 millions d’euros. Il justifie en effet cette vente d’une nouvelle zone hertzienne en expliquant en effet que : “Des études montrent qu’une 4e licence peut apporter une croissance de 7 % du marché de la téléphonie mobile”. Je note toutefois cette contradiction dans le discours de Luc Chatel : pour la première partie des trois licences, il n’y aura pas d’enchères : “[..]il n’était pas question que le candidat se ruine : nous préférons, à travers des obligations fortes, pousser à l’investissement dans le réseau. Nous allons ainsi être très exigeants sur la qualité.”

Plus loin, à propos des autres lots : “Le débat n’est pas encore tranché. Il y a deux solutions : ou bien nous lançons une mise aux enchères ou bien nous sélectionnerons le candidat selon plusieurs critères.“

Bref nous naviguons dans un flou absolu où l’on sent bien que la décision ne suit aucune règles pré-établie du coté de l’état.

La commission a auditionné M. Jean-claude Mallet, président de l’ARCEP, sur ce sujet [vidéo] ce Mercredi 4 février.

Xavier Niel, Le fondateur de free, annonce de son coté que “Free va investir 1 milliard d’euros pour construire son réseau. La majeure partie de cette somme créera de l’activité, les équipements ne représentant qu’une petite partie du coût.“

Outil : Google Latitude …

Technorati Tags: blog, mécénat, mediablue, Google Latitude, N95, Free.fr , wecena

1/ Business:  Best Buy fait du commerce grâce à son API.

Convaincu que l’utilisation des réseaux sociaux va permettre de développer le commerce en ligne, Best Buy (un équvalent de la fnac) offre à des développeurs tiers une Interface logiciel de programmation pour accéder à la commande de produit vendu par Best-Buy.

L’idée n’est pas originale et on peut trouver des applications comparables chez Amazon ou chez Ebay. Ce qui est original en soi c’est que cela semble être une stratégie globale trés réfléchie. D’une part le langage utilisé est un des protocoles les plus standards du monde des APIs ( REST en format XML, JSON ). Ensuite tout est fait pour faciliter la construction d’une communauté : un compte twitter @bestbuyremix et Un blog pour rester en relation avec les developpeurs. Ces même dévelloppeurs sont interessés à la vente… C’est à dire qu’ils peuvent recevoir un pourcentage sur les ventes effectués à travers leurs applications… d’où cet exemple d’un robot twitter qui permet d’effecteur des recherches sur des produits :

A quand une  FNAC, CONFORAMA  ou un Ikea pour se mettre à ce genre d’initiative extraordinaire, et proposer elle aussi une api ?

Via mashable.

2/ un Outil : TwittRss :

Lorsque qu’on publie des billets sur un blog, il y a pas plusieurs manière de proposer sa lecture :  Soit par le partage de lien sur son Facebook, soit par son flux RSS ( Mais il faut que le lecteur soit déjà venu ). Et il y  a aussi la recherche Google. Il est donc intéressant de pouvoir le partager sur de nouveaux réseaux sociaux.

ici TwittRss permet de partager son flux sur twitter. Il est un peu moins perfectionné que twitterfeed mais il est efficace et simple. On ne passe pas des heures à passer sur l’authentification OpendId qui veut rarement fonctionner du premier coup pour moi. Par ailleurs, ce qui ne me parait pas être désagréable : c’est développé par un Français : George de La Ville Baugé (@georgesdlvb).

3/ un Blog : Le blog de patrice Gabin :

C’est un blog de chef d’entreprise: Un monsieur qui prend du temps ( enfin il pousse un peu les horaires.. ) pour communiquer autour de rien et de tout mais tout de même autour de son métier de Directeur Artistique de sa petite agence de com’ et cela sans trop se prendre la tête tout en faisant preuve de régularité. Il lui est arrivé d’être moin constant mais cela correpondait à une situation exceptionnelle de surchage de travail et il explique toujours pourquoi. Il maitrise assez bien tout ces nouveaux médias et sait se montrer disponible: http://blog.patricegabin.com/

bravo et bonne continuation.

4/ Un Site : Tboks  : un moteur de recherche de Marché public

Tboks est un outils de mise en relation professionnelle. Il permet soit de proposer des compétences soit d’en fournir. Il permet également d’effectuer des transactions financières.

L’application se télécharge et s’installe grâce au gros succés du moment : Adobe AIR. Une fois connecté, on navigue assez facilement dans l’application et l’arboresscence permet de sélectionner par thématique les experts dont on a besoin. S’ils sont connectés vous pourrez même discuter avec eux via une Interface de Messagerie Instantannée. Donc un trés bon point pour l’ergonomie.

Par contre je n’ai pas réussi à utiliser le moteur de recherche et il semble qu’il y ait des soucis avec les pare-feu. L’application est en Béta test encore et les premiers devront essuyer quelques déceptions avant d’utiliser cet outil.  il y a donc des aspects à parfaire mais la communauté aidant le service devrait s’améliorer. Peut être l’utilisation de la vidéo ( http://seesmic.com) permettrait de réellement accélerer les choses ?

 

En vrac :
Syntec Informatique réclame le plan France Numérique 2012… vite,  pour gérer le traffic réseaux efficacement : Traffpro, Exemples d’applications des puces RFID, Facebook et CNN, Internet par satellite à 35 € par mois tout compris.Technorati Tags: blog, api, best buy

http://linkedin.com/in/mehdiguiraud
http://Twitter.com/mguiraud
http://www.facebook.com/home.php#/profile.php?id=1419937172