Les auteurs, de l'équipe Confidentialité, Sécurité et Sûreté de Google, soulignent l'importance de l'IA dans la cybersécurité. Ils ont collaboré avec Airbus pour créer l'événement GenSec Capture the Flag (CTF) à DEF CON 33. L'objectif principal était de faciliter l'apprentissage et l'exploration du rôle de l'IA dans les flux de travail de la cybersécurité. L'événement a attiré près de 500 participants de différents niveaux de compétence. Un pourcentage important de participants étaient nouveaux dans l'utilisation de l'IA en matière de sécurité. Une majorité écrasante a trouvé l'événement bénéfique pour l'apprentissage des applications de l'IA. Ils ont présenté Sec-Gemini, l'IA expérimentale de Google en matière de cybersécurité, comme un outil au sein du CTF. Les commentaires sur Sec-Gemini ont été extrêmement positifs et utiles pour les participants. Les auteurs ont reconnu la participation enthousiaste et les précieux commentaires de la communauté. Ils prévoient d'utiliser les leçons apprises pour améliorer Sec-Gemini. L'équipe reste engagée à faire progresser l'IA dans la cybersécurité et à partager leurs recherches.

Rowhammer est une vulnérabilité matérielle dans la DRAM où l'accès répété à une ligne de mémoire peut corrompre les données dans les lignes adjacentes. Cela peut être exploité pour un accès non autorisé, une élévation de privilèges ou une déni de service. Bien que des atténuations comme l'ECC et le Target Row Refresh (TRR) existent, leur efficacité contre des attaquants sophistiqués est discutable. Google a soutenu la recherche et développé des plateformes de test pour analyser la mémoire DDR5 et découvrir de nouvelles attaques. Rowhammer exploite le besoin de la DRAM de cycles de rafraîchissement périodiques pour maintenir les données, et un accès agressif peut provoquer des retournements de bits. Les attaquants peuvent en tirer parti en induisant des retournements de bits et en forçant le système à utiliser ces pages corrompues. Des recherches antérieures ont démontré des attaques Rowhammer à partir de logiciels, ce qui en fait une préoccupation pour les environnements multi-locataires comme le cloud. Target Row Refresh (TRR) tente d'atténuer cela en rafraîchissant les lignes victimes lorsque les lignes agressives adjacentes sont fréquemment accédées. Cependant, des attaques comme TRRespass ont montré que TRR peut être contourné. Google a collaboré sur PRAC, une nouvelle atténuation qui suit de manière déterministe les activations des lignes de mémoire. Les systèmes DDR5 actuels s'appuient souvent sur des mesures probabilistes comme l'ECC et le TRR amélioré, dont l'efficacité contre les nouvelles attaques n'était pas claire. L'évaluation de Rowhammer nécessite de comprendre comment fonctionnent les atténuations, comment les accès logiciels se traduisent en commandes de bas niveau et le rôle des atténuations côté hôte. La rétro-ingénierie des mécanismes DRAM propriétaires et l'analyse du trafic DDR nécessitent des plateformes de test spécialisées. Google s'est associé à Antmicro pour créer des plateformes de test Rowhammer basées sur FPGA open source pour les RDIMM et les SO-DIMM. En utilisant ces plateformes, les chercheurs ont développé des schémas d'attaque personnalisés qui ont contourné le TRR amélioré sur DDR5, menant à la première élévation de privilèges Rowhammer sur un ordinateur de bureau de production. Les atténuations actuelles sont insuffisantes en raison de contre-mesures probabilistes manquant d'entropie suffisante et de l'ECC qui n'est pas conçu comme une mesure de sécurité. Le chiffrement de la mémoire sans contrôles d'intégrité n'est pas non plus une défense viable. Google continue de travailler à l'amélioration des contre-mesures et collabore avec des partenaires pour améliorer l'analyse et les tests, partageant les résultats avec l'écosystème plus large.

Les téléphones Pixel 10 de Google intégreront les identifiants de contenu C2PA dans l'appareil photo et l'application photo pour améliorer la transparence des médias numériques. Cela fait du Pixel 10 le premier appareil doté d'identifiants de contenu intégrés pour toutes les photos de l'appareil photo Pixel. L'application Pixel Camera a atteint le niveau d'assurance 2, la note de sécurité C2PA la plus élevée, possible sur Android grâce à sa sécurité matérielle. Une approche axée sur la confidentialité dès la conception garantit l'anonymat des utilisateurs et empêche la liaison des images ou des créateurs. Le Pixel 10 prend en charge les horodatages de confiance sur l'appareil, garantissant l'authenticité des images même après l'expiration du certificat et hors ligne. Ces fonctionnalités sont alimentées par Google Tensor G5, la puce de sécurité Titan M2 et la sécurité matérielle d'Android. Les identifiants de contenu fournissent des informations vérifiables sur la création des médias, distinguant le contenu généré par l'IA du contenu non modifié. L'approche de Google se concentre sur la preuve de création vérifiable plutôt que sur une simple catégorisation IA/non-IA. La mise en œuvre privilégie la sécurité du matériel aux applications, la confidentialité grâce à l'attestation anonyme et aux clés uniques par image, et l'utilisabilité hors ligne avec un système d'horodatage de confiance sur l'appareil. Cette initiative vise à renforcer la confiance dans les médias numériques et encourage une adoption plus large de ces normes de sécurité et de confidentialité par l'industrie.

Le hyperviseur pKVM protégé d'Android a obtenu la certification SESIP de niveau 5, un jalon important pour la sécurité open-source. Cette certification fait de pKVM le premier système de sécurité logicielle pour les appareils électroniques grand public à atteindre ce niveau d'assurance élevé. Cette réalisation démontre la capacité de pKVM à prendre en charge de manière sécurisée les fonctionnalités avancées d'Android, notamment le traitement de l'apprentissage automatique sur appareil avec des données personnelles sensibles. L'évaluation rigoureuse a été réalisée par Dekra, un laboratoire de certification de la cybersécurité, conformément au schéma SESIP de TrustCB. Obtenir la certification SESIP de niveau 5 signifie que pKVM a passé les normes les plus élevées d'analyse de vulnérabilité et de tests de pénétration selon la norme ISO 15408. Cela signifie une résistance aux attaquants sophistiqués et bien équipés. Le pKVM certifié sert d'élément fondamental pour la stratégie de sécurité évolutive d'Android. Il répond aux incohérences dans les certifications d'environnement d'exécution fiable (TEE) dans l'industrie en fournissant une base de sécurité unifiée, open-source et vérifiable. Les fabricants d'appareils Android seront bientôt tenus d'utiliser une technologie d'isolement répondant à ce même standard de sécurité pour les fonctions critiques de l'appareil. Ce effort collaboratif, impliquant les communautés Linux et KVM ainsi que les équipes d'ingénierie de Google, promet une nouvelle ère de technologie mobile à haute assurance.

L'équipe de sécurité open source de Google a annoncé OSS Rebuild, un projet visant à renforcer la confiance dans les écosystèmes de paquets open source en reproduisant les artefacts en amont. Le projet fournit une automatisation pour dériver des définitions de build déclaratives, la provenance SLSA pour des milliers de paquets, ainsi que des outils d'observabilité et de vérification des builds. OSS Rebuild aide les équipes de sécurité à éviter les compromissions sans surcharger les mainteneurs en amont. Le logiciel open source est devenu le fondement de notre monde numérique, mais son omniprésence en fait une cible attrayante pour les attaques de la chaîne d'approvisionnement. Des attaques récentes très médiatisées ont érodé la confiance dans les écosystèmes ouverts, créant une hésitation chez les contributeurs et les consommateurs. OSS Rebuild permet à la communauté de la sécurité de comprendre et de contrôler en profondeur leurs chaînes d'approvisionnement en rendant la consommation de paquets transparente. Le projet utilise un processus de build déclaratif, une instrumentation de build et des capacités de surveillance réseau pour produire des métadonnées de sécurité granulaires, durables et fiables. OSS Rebuild peut détecter plusieurs classes de compromissions de la chaîne d'approvisionnement, y compris le code source non soumis, la compromission de l'environnement de build et les backdoors furtives. Le projet offre des capacités aux entreprises, aux professionnels de la sécurité, aux éditeurs et aux mainteneurs de paquets open source pour améliorer les métadonnées, augmenter les SBOMs et accélérer la réponse aux vulnérabilités. OSS Rebuild invite les développeurs, les entreprises et les chercheurs en sécurité à s'impliquer et à contribuer à l'amélioration du support pour les écosystèmes et paquets critiques.

"Android a introduit la Protection Avancée, un paramètre de sécurité au niveau du périphérique qui offre une sécurité renforcée pour les utilisateurs qui en ont besoin, tels que les journalistes et les personnalités publiques. La Protection Avancée s'intègre avec Chrome sur Android pour fournir une protection accrue contre les menaces sophistiquées. L'intégration comprend trois fonctionnalités principales : l'activation de "Toujours utiliser des connexions sécurisées", l'isolement complet des sites et la réduction de la surface d'attaque en désactivant les optimisations JavaScript. "Toujours utiliser des connexions sécurisées" force les connexions HTTPS et demande une autorisation explicite avant de se connecter à des sites non sécurisés. Cette fonctionnalité est disponible pour tous les utilisateurs de Chrome et peut être contrôlée en dehors de la Protection Avancée. L'isolement complet des sites isole chaque site web dans son propre processus de système d'exploitation de rendu, empêchant les sites web malveillants d'accéder aux données ou au code d'autres sites web. Cette fonctionnalité est disponible sur les appareils Android avec 4 Go de RAM ou plus en mode de Protection Avancée. La désactivation des optimisations JavaScript réduit la surface d'attaque de Chrome, mais peut causer des problèmes de performance pour certains sites web. Cette fonctionnalité peut être contrôlée par les utilisateurs et les entreprises en dehors du mode de Protection Avancée. Chrome vise à fournir une configuration de sécurité par défaut sécurisée pour tous les utilisateurs, tout en permettant aux utilisateurs ayant des profils de risque variés de personnaliser leurs paramètres de sécurité en fonction de leurs besoins."

L'essor de l'IA générative introduit les injections de prompts indirectes, où des instructions malveillantes se cachent dans des sources de données externes, comme les emails. Ces attaques peuvent manipuler les systèmes d'IA, exfiltrer des données et exécuter des actions malhonnêtes, exigeant des mesures de sécurité robustes. Google emploie une défense à plusieurs niveaux pour Gemini, renforçant les modèles et utilisant l'apprentissage automatique pour détecter les instructions malveillantes. Les classificateurs de contenu d'injection de prompts filtrent les données nuisibles, tandis que le renforcement de la pensée de sécurité guide l'IA pour ignorer les commandes adverses. La désinfection Markdown et la suppression des URL suspectes empêchent l'exfiltration de données via des images et des liens non sécurisés. Un cadre de confirmation utilisateur exige un consentement explicite pour les actions risquées, ajoutant un élément humain à la sécurité. Des notifications de mitigation de la sécurité pour l'utilisateur final informent les utilisateurs des attaques stoppées et fournissent des ressources d'apprentissage. Google collabore avec des chercheurs et partage des renseignements sur les menaces pour renforcer la sécurité de l'IA. L'entreprise utilise le red teaming, les événements BugSWAT et des cadres comme SAIF pour tester et améliorer les défenses. Les futurs modèles Gemini présenteront une résilience accrue et des défenses supplémentaires contre l'injection de prompts. L'approche de Google est détaillée dans diverses ressources pour ceux qui cherchent à comprendre les menaces de sécurité de l'IA et les stratégies d'atténuation.

Google Chrome a annoncé le retrait de la confiance par défaut accordée à Chunghwa Telecom et Netlock en raison de schémas de comportement préoccupants observés au cours de l'année écoulée. La politique du programme de certificats racine de Chrome exige que les certificats d'autorité de certification (CA) apportent aux utilisateurs finaux de Chrome une valeur qui dépasse le risque de leur inclusion continue. La confiance de Chrome dans la fiabilité de Chunghwa Telecom et Netlock en tant que propriétaires d'autorités de certification a diminué, entraînant une perte d'intégrité et de confiance. En conséquence, Chrome ne fera plus confiance aux nouveaux certificats TLS émis par ces AC à partir du 1er août 2025, dans les versions 139 et supérieures. Ce changement affectera les certificats émis après le 31 juillet 2025, mais n'aura pas d'impact sur les certificats existants émis avant cette date. Les opérateurs de sites Web peuvent déterminer s'ils sont affectés en utilisant la visionneuse de certificats de Chrome et il leur est recommandé de passer à un nouveau propriétaire d'AC de confiance publique dès que possible. Afin de minimiser les perturbations, Chrome a introduit un indicateur de ligne de commande qui permet aux administrateurs et aux utilisateurs expérimentés de simuler l'effet du changement avant qu'il ne prenne effet. Les entreprises peuvent outrepasser les contraintes du magasin racine de Chrome en installant le certificat d'AC racine correspondant en tant que racine de confiance locale sur la plateforme sur laquelle Chrome est exécuté. Le changement se produira dans les versions de Chrome 139 et supérieures sous Windows, macOS, ChromeOS, Android et Linux, mais n'affectera pas Chrome pour iOS en raison des politiques d'Apple. Dans l'ensemble, l'objectif de ce changement est de protéger les utilisateurs de Chrome et de préserver l'intégrité du magasin racine de Chrome en s'assurant que seuls les propriétaires d'AC de confiance et fiables y sont inclus.

"Google Quantum AI travaille sur la construction d'ordinateurs quantiques qui peuvent résoudre des problèmes précédemment insolubles, mais cela signifie également que les ordinateurs quantiques à grande échelle pourraient briser les algorithmes de cryptographie à clé publique actuels. Pour répondre à cela, Google a travaillé avec le National Institute of Technology (NIST) des États-Unis pour développer et passer à la cryptographie post-quantique (CPQ) résistante aux attaques informatiques quantiques. Une étude récente a démontré qu'un ordinateur quantique avec 1 million de qubits bruyants pourrait briser le chiffrement RSA 2048 bits en une semaine, soit une baisse de 20 fois par rapport aux estimations précédentes. Cela souligne l'importance de migrer vers les normes CPQ conformément aux échéances recommandées par le NIST. La réduction du nombre de qubits physiques vient de meilleurs algorithmes et de meilleures corrections d'erreurs. Les implications de sécurité des ordinateurs quantiques sont importantes, en particulier pour le chiffrement en transit et les signatures numériques. Google a commencé à chiffrer les données avec des algorithmes CPQ et a ajouté des schémas de signature CPQ dans Cloud KMS. Le rapport interne du NIST recommande de déprécier les systèmes vulnérables après 2030 et de les interdire après 2035. Le travail de Google met en évidence l'importance de respecter cet échéancier recommandé. La transition vers la CPQ est complexe, mais nécessaire pour éviter les attaques "stocker maintenant, déchiffrer plus tard".

Les arnaques au support technique constituent une forme de cybercriminalité croissante où des escrocs persuadent les utilisateurs que leur ordinateur a un problème grave, afin d'extorquer de l'argent ou d'obtenir un accès non autorisé. Ces arnaques utilisent souvent des fenêtres pop-up alarmantes, des prises de contrôle plein écran et bloquent le clavier et la souris pour créer un sentiment de crise. Chrome a toujours collaboré avec Google Safe Browsing, et désormais, avec Chrome 137, il offrira une protection supplémentaire grâce au grand modèle linguistique (LLM) Gemini Nano pour détecter les sites potentiellement dangereux. Le LLM générera des signaux qui seront utilisés par Safe Browsing pour fournir des verdicts plus fiables concernant les arnaques. L'approche sur l'appareil permet à Chrome de détecter et de bloquer les attaques qui n'ont pas encore été analysées et de voir les menaces comme les voient les utilisateurs. Lorsqu'un utilisateur navigue vers une page potentiellement dangereuse, Chrome évaluera la page à l'aide du LLM et enverra les informations à Safe Browsing pour un verdict final. Si la page est susceptible d'être une arnaque, une page d'avertissement s'affichera. Cette fonctionnalité préserve les performances et la vie privée, et Chrome prévoit de l'utiliser pour détecter d'autres types d'arnaques et de la déployer sur Chrome pour Android plus tard cette année.

L'équipe Sec-Gemini a annoncé la sortie de Sec-Gemini v1, un modèle d'apprentissage automatique expérimental conçu pour faire progresser les frontières de la cybersécurité basée sur l'intelligence artificielle. Le modèle vise à aider les défenseurs à sécuriser contre les menaces cyber en exploitant les workflows de cybersécurité alimentés par l'intelligence artificielle. Actuellement, les défenseurs sont confrontés à la tâche intimidante de sécuriser contre toutes les menaces cyber, tandis que les attaquants n'ont besoin que de trouver et d'exploiter une seule vulnérabilité. Les workflows de cybersécurité alimentés par l'intelligence artificielle ont le potentiel de rééquilibrer la situation en faveur des défenseurs en multipliant la force des professionnels de la cybersécurité. Sec-Gemini v1 combine des capacités avancées avec des connaissances et des outils de cybersécurité en quasi-temps réel pour atteindre des performances supérieures sur les workflows clés de cybersécurité. Le modèle surpasse les autres modèles sur les benchmarks clés de cybersécurité, notamment l'analyse de la cause racine des incidents, l'analyse des menaces et la compréhension de l'impact des vulnérabilités. Sec-Gemini v1 est mis gratuitement à disposition de certaines organisations, institutions, professionnels et ONG pour des recherches, afin de promouvoir la collaboration au sein de la communauté de la cybersécurité. Le modèle a été intégré avec Google Threat Intelligence, OSV et d'autres sources de données clés, ce qui lui permet de fournir des réponses exhaustives aux questions clés de cybersécurité. Sec-Gemini v1 a démontré ses capacités en surpassant les autres modèles sur les benchmarks CTI-MCQ et CTI-Root Cause Mapping, avec des améliorations d'au moins 11% et 10,5% respectivement. L'équipe Sec-Gemini invite les parties intéressées à collaborer pour faire progresser la frontière de la cybersécurité basée sur l'intelligence artificielle en demandant un accès précoce à Sec-Gemini v1 via un formulaire fourni.

L'équipe de sécurité open source de Google, en partenariat avec NVIDIA et HiddenLayer, a lancé la première version stable d'une bibliothèque de signature de modèles dans le cadre de la Fondation de sécurité open source. Cette bibliothèque permet aux utilisateurs de vérifier que le modèle utilisé par une application est bien celui créé par les développeurs, en utilisant des signatures numériques comme celles de Sigstore. L'évolution rapide des grands modèles de langage (LLM) a ouvert la porte à de nouvelles menaces de sécurité, notamment la contamination de modèles et de données, l'injection de requêtes et l'évitement de requêtes. Le processus de chaîne d'approvisionnement de l'apprentissage automatique (ML) est vulnérable aux manipulations, car les modèles sont une collection non inspectable de poids qui peuvent être modifiés par les attaquants. Pour établir la confiance dans les modèles, les utilisateurs doivent vérifier leur intégrité et leur provenance, ce qui peut être fait grâce à la signature cryptographique. La chaîne d'approvisionnement de l'apprentissage automatique comprend trois étapes : la formation, l'affinage et l'intégration dans une application, chacune gérée par des équipes ou des entreprises différentes, créant des opportunités de manipulation. La signature de modèle peut prévenir la manipulation en vérifiant l'intégrité du modèle à chaque étape. La bibliothèque de signature de modèle publiée est un package Python qui prend en charge Sigstore et les méthodes de signature traditionnelles, et peut gérer l'échelle des modèles d'apprentissage automatique. L'objectif est d'étendre la signature de modèle pour inclure les jeux de données et d'autres artefacts liés à l'apprentissage automatique, et de créer des enregistrements de métadonnées anti-manipulation qui peuvent automatiser la réponse aux incidents. Le projet vise à créer un écosystème de confiance pour l'apprentissage automatique et invite la communauté open source à se joindre et à façonner son avenir.

Les équipes DevOps peuvent maintenant améliorer la sécurité de leurs images et conteneurs en utilisant des analyses de vulnérabilité de grade Google, qui offre une couverture étendue des sources ouvertes via les outils de sécurité intégrés de la plateforme Google Cloud, y compris l'analyse d'artefacts. L'analyse d'artefacts a récemment élargi sa couverture de scan à huit packages de langage supplémentaires, quatre systèmes d'exploitation et deux images de base très utilisées. Cette couverture accrue a été réalisée en intégrant l'analyse d'artefacts avec la plateforme et la base de données des vulnérabilités open source (OSV), offrant des informations de pointe sur les vulnérabilités open source. Avec ces mises à jour, les clients peuvent maintenant scanner avec succès la grande majorité des images qu'ils poussent dans le registre d'artefacts, détectant et signalant les vulnérabilités connues. L'analyse d'artefacts extrait les informations de vulnérabilité directement de l'OSV, qui est la seule base de données de vulnérabilités open source et distribuée qui obtient des informations directement des praticiens open source. La base de données OSV fournit des informations de vulnérabilité cohérentes et de haute qualité provenant de sources autorisées, garantissant des informations précises pour mettre en correspondance de manière fiable les dépendances logicielles avec des vulnérabilités connues. La base de données OSV a augmenté sa couverture totale à 28 écosystèmes de langage et de système d'exploitation au cours des trois dernières années, y compris des leaders de l'industrie tels que GitHub et Ubuntu. En conséquence de l'expansion de l'OSV, les scanneurs comme l'analyse d'artefacts alertent maintenant les utilisateurs sur des informations de vulnérabilité de haute qualité dans un ensemble plus large d'écosystèmes. Les clients existants du scan du registre d'artefacts bénéficieront immédiatement de cette couverture étendue, et les résultats de vulnérabilité continueront d'être disponibles dans l'interface utilisateur du registre d'artefacts, l'API d'analyse de conteneurs et via pub/sub. En 2025, les capacités d'analyse d'artefacts seront intégrées au centre de sécurité de Google Cloud, permettant aux clients de maintenir un programme de gestion des vulnérabilités plus complet.

Google a annoncé la sortie de Vanir, un nouvel outil de validation de patch de sécurité open-source conçu pour aider les développeurs de la plateforme Android à identifier rapidement les patches de sécurité manquants dans leur code de plateforme personnalisé. Vanir utilise l'analyse statique basée sur le code source pour comparer le code source cible avec des modèles de code vulnérable connus, offrant une solution scalable et durable pour l'adoption et la validation des patches de sécurité. L'outil prend en charge les cibles C/C++ et Java et couvre 95% des CVEs du noyau et de l'espace utilisateur Android avec des patches de sécurité publics. Vanir est entièrement open-sourced sous la licence BSD-3, permettant une intégration facile dans les chaînes de construction ou de test continues et une adaptation à d'autres écosystèmes. Depuis son développement précoce, Vanir a été intégré dans le système de construction de Google, testé contre plus de 1 300 vulnérabilités et économisant aux équipes internes plus de 500 heures de temps de réparation de patch. Vanir est maintenant disponible pour une utilisation publique et peut être consulté à l'adresse github.com/google/vanir.

L'équipe de sécurité Open Source de Google a réalisé des progrès importants dans la découverte automatisée de vulnérabilités en utilisant le fuzzing alimenté par l'IA. Au cours des dix-huit derniers mois, ils ont travaillé à exploiter les grands modèles de langage (LLM) pour améliorer la couverture du fuzzing et détecter plus de vulnérabilités automatiquement. Ils se sont concentrés sur deux améliorations majeures : générer un contexte plus pertinent dans les invites pour les LLM et étendre cela pour simuler le flux de travail d'un développeur. Cela a conduit à la découverte de 26 nouvelles vulnérabilités dans des projets open source sur OSS-Fuzz, notamment une vulnérabilité critique dans OpenSSL (CVE-2024-9143). L'équipe a également travaillé à l'automatisation du processus manuel de développement d'une cible de fuzz, y compris la rédaction d'une cible de fuzz initiale, la résolution des problèmes de compilation, l'exécution de la cible de fuzz pour voir comment elle se comporte et la gestion des crashes. Ils ont également collaboré avec des chercheurs pour automatiser entièrement le flux de travail en faisant générer par le LLM une correction suggérée pour la vulnérabilité.

Les vulnérabilités de sécurité de la mémoire spatiale, qui se produisent lorsque le code accède à la mémoire en dehors de ses limites prévues, constituent un risque majeur pour la sécurité et ont été exploitées par les attaquants pour compromettre les systèmes et les données sensibles. Selon le projet Zero de Google, ces vulnérabilités représentent 40 % des exploits de sécurité de la mémoire dans la nature au cours de la dernière décennie. Pour remédier à cela, Google adopte une approche globale de la sécurité de la mémoire, notamment en utilisant des langages de programmation sûrs pour la mémoire dans les nouveaux codes et en rétrofittant des principes de conception sécurisés dans les bases de code C++ existantes. L'une des stratégies clés consiste à mettre en œuvre des vérifications de limites pour les structures de données courantes, en commençant par le durcissement de la bibliothèque standard C++ (libc++). Le libc++ durci introduit des vérifications de sécurité pour détecter les vulnérabilités telles que les accès hors limites en production. Google a rendu le libc++ durci par défaut sur ses systèmes de production côté serveur, améliorant ainsi la sécurité de la mémoire spatiale sur l'ensemble de ses services. L'impact sur les performances de ces changements a été étonnamment faible, avec un impact moyen de 0,30 % sur les services. L'activation du libc++ durci a déjà empêché les exploits, réduit les plantages et amélioré la correction du code, avec plus de 1 000 bogues découverts et une réduction de 30 % des fautes de segmentation. Google s'engage à étendre les vérifications de limites à d'autres bibliothèques et à migrer son code vers des tampons sûrs, nécessitant que tous les accès soient vérifiés. L'entreprise encourage les autres organisations utilisant C++ à activer le mode durci de leur bibliothèque standard de manière universelle par défaut.

Google lance deux nouvelles fonctionnalités de protection en temps réel pour améliorer la sécurité des utilisateurs tout en protégeant la vie privée. La détection des arnaques dans l'application Téléphone de Google utilise l'IA pour identifier et arrêter les arnaques avant qu'elles ne puissent causer de dommages, et cette fonctionnalité est d'abord disponible sur les appareils Pixel. La fonctionnalité est désactivée par défaut et peut être activée pour les appels futurs, garantissant la vie privée et le contrôle des données de l'utilisateur. Google Play Protect offre également une détection des menaces en direct avec des alertes en temps réel pour protéger les utilisateurs contre les logiciels malveillants et les applications dangereuses, en se concentrant sur le stalkerware et en prévoyant d'élargir à d'autres applications nuisibles à l'avenir. Ces fonctionnalités sont conçues pour protéger les utilisateurs sans collecter de données et sont actuellement disponibles sur les appareils Pixel 6+, avec des plans pour s'étendre à d'autres appareils Android bientôt.

Google Messages compte plus d'un milliard d'utilisateurs quotidiens et donne la priorité à la sécurité avec des filtres puissants sur appareil et une sécurité avancée qui protège les utilisateurs de 2 milliards de messages suspects par mois. L'application propose des conversations RCS chiffrées de bout en bout pour une communication privée avec d'autres utilisateurs de Google Messages RCS. Dans le cadre du Mois de la sensibilisation à la cybersécurité, Google introduit cinq nouvelles protections pour renforcer la sécurité des utilisateurs. Ces protections comprennent une détection améliorée des escroqueries de livraison de colis et d'emploi, des avertissements intelligents sur les liens potentiellement dangereux, des contrôles pour désactiver les messages des expéditeurs internationaux inconnus, des avertissements de contenu sensible pour les images qui peuvent contenir de la nudité et une fonction de vérification de contact pour confirmer l'identité des destinataires de messages. La fonction de détection améliorée des escroqueries utilise des modèles d'apprentissage automatique sur appareil pour classer les escroqueries et sera déployée auprès des utilisateurs de la version bêta de Google Messages qui ont activé la protection contre les pourriels. Les avertissements intelligents sur les liens potentiellement dangereux seront étendus à l'échelle mondiale plus tard cette année. La fonction d'avertissements de contenu sensible est facultative et floute les images qui peuvent contenir de la nudité avant de les afficher, offrant aux utilisateurs le contrôle sur la visualisation et l'envoi de telles images. Cette fonction sera déployée sur les appareils Android 9+ dans les prochains mois. La fonction de vérification de contact sera lancée l'année prochaine pour les appareils Android 9+, permettant aux utilisateurs de vérifier les clés publiques de leurs contacts et de confirmer l'identité des destinataires de messages.

Google se concentre sur l'amélioration de la sécurité de la mémoire dans son processus de développement logiciel afin de réduire les vulnérabilités et d'améliorer la sécurité. L'entreprise reconnaît que 70 % des vulnérabilités graves dans les bases de code non sécurisées en matière de mémoire sont dues à des bogues de sécurité de la mémoire, que les acteurs malveillants exploitent pour causer des dommages. La stratégie de Google consiste à migrer vers des langages de programmation sécurisés en matière de mémoire tels que Java, Kotlin, Go et Python, et à étendre l'utilisation de Rust sous Android et d'autres environnements. L'entreprise investit également dans des outils de détection de bogues, des recherches innovantes et des approches matérielles pour améliorer la sécurité de la mémoire. Cela inclut le soutien et la validation de l'extension de balisage de la mémoire (MTE) et la recherche sur l'architecture CHERI (Capability Hardware Enhanced RISC Instructions). L'engagement de Google en faveur de la sécurité de la mémoire fait partie de son approche "Sécurité par conception", visant à intégrer les considérations de sécurité tout au long du cycle de vie du développement logiciel. L'entreprise estime que l'atteinte de la sécurité de la mémoire à grande échelle aura un impact positif sur l'écosystème numérique plus large.

Janine Roberta Ferreira a vécu un incident terrifiant lorsque son téléphone a été volé à un feu de circulation à São Paulo. Cet événement a mis en évidence la nécessité d'une solution complète contre le vol de téléphone, qui est une préoccupation croissante dans le monde entier. Android a développé une suite de fonctionnalités pour protéger les utilisateurs et leurs données avant, pendant et après le vol de l'appareil. Ces fonctionnalités comprennent la détection de vol, le verrouillage de l'appareil hors ligne, le verrouillage à distance, qui sont maintenant disponibles sur la plupart des appareils Android 10+ via une mise à jour des services Google Play. Android 15 introduit de nouvelles fonctionnalités de sécurité pour décourager le vol, telles que l'exigence d'une authentification par code PIN, mot de passe ou biométrique pour les paramètres sensibles, une protection améliorée contre la réinitialisation d'usine et une fonctionnalité à venir appelée Vérification d'identité. Ces fonctionnalités visent à rendre les appareils Android moins attractifs pour les voleurs et à offrir une protection réelle aux utilisateurs.

Le code de l'interface utilisateur de Chrome est complexe et contient parfois des bogues, qui peuvent être des bogues de sécurité s'ils entraînent une corruption de la mémoire que l'attaquant peut exploiter. L'équipe de Chrome souhaite trouver ces bogues automatiquement et a réalisé que l'arbre d'accessibilité des contrôles d'interface utilisateur de Chrome, qui est exposé à la technologie d'assistance, peut être utilisé à cette fin. Ils utilisent une technique appelée fuzzing, qui consiste à interagir avec les contrôles d'interface utilisateur de manière semi-aléatoire pour voir s'ils peuvent provoquer des plantages. L'équipe a dû surmonter plusieurs défis, notamment en utilisant le fuzzing guidé par la couverture pour sélectionner des combinaisons de contrôles qui atteignent de nouveaux codes au sein de Chrome, et en exécutant des cas de fuzz dans une version réelle de Chrome en utilisant le framework InProcessFuzzer. Ils ont également dû répondre aux préoccupations concernant le bruit et la complexité de l'environnement Chrome, et veiller à ce que les cas de test soient stables et exploitables. L'équipe a développé un mutateur personnalisé pour améliorer l'efficacité du fuzzer, et ils exécutent désormais le fuzzer sur leur infrastructure ClusterFuzz. Bien qu'il soit trop tôt pour dire si l'approche est couronnée de succès, le fuzzer a déjà trouvé quelques bogues potentiels dans le code d'accessibilité lui-même.

Google Chrome passera de Kyber à l'algorithme d'échange de clés post-quantique standardisé ML-KEM. ML-KEM utilisera un codepoint TLS différent (0x11EC) que Kyber (0x6399), et Chrome proposera des prédictions de partage de clés pour ML-KEM. Le drapeau et la politique d'entreprise pour l'accord de clés post-quantique s'appliqueront à la fois à Kyber et ML-KEM. Chrome ne prendra plus en charge Kyber et ne prendra pas en charge Kyber et ML-KEM simultanément. La décision d'abandonner Kyber a été prise en raison de sa nature expérimentale, de la grande taille de la cryptographie post-quantique et du souhait d'éviter l'ossification sur des algorithmes non standard. Les opérateurs de serveur peuvent temporairement prendre en charge les deux algorithmes pour maintenir la sécurité avec un éventail plus large de clients. Google travaille sur un projet IETF pour la prédiction de partage de clés afin d'éviter le besoin d'un tour supplémentaire lors de l'utilisation d'algorithmes post-quantiques volumineux.

L'utilisation par Android des principes de sécurité par conception stimule l'adoption de langages de programmation sécurisés comme Rust, rendant le système d'exploitation de plus en plus difficile à exploiter avec chaque nouvelle version. Pour offrir une base solide, Android étend la durcissement et l'utilisation de langages sécurisés à la firmware de bas niveau, y compris dans les applications Trusty. Ce billet de blog montre comment introduire progressivement Rust dans un firmware existant, en se concentrant sur le nouveau code et le code le plus critique en matière de sécurité.

Android met en avant la confidentialité et la sécurité des utilisateurs, en particulier avec l'intégration de capacités d'intelligence artificielle comme Gemini. L'approche de Google en matière d'IA est guidée par son cadre de sécurité IA, ses Principes IA et ses Principes de confidentialité, garantissant le développement et la mise en œuvre d'IA responsable. Android protège les données des utilisateurs à travers une approche en couches multiples qui inclut le traitement sur le dispositif pour les tâches sensibles et l'infrastructure cloud sécurisée pour les opérations plus complexes. Gemini tire parti de l'écosystème sécurisé de Google, évitant de recourir à des fournisseurs d'IA tiers. Pour les tâches sensibles à la confidentialité, l'IA sur le dispositif, alimentée par Gemini Nano, traite les informations localement, même hors ligne. Lorsque le traitement cloud est nécessaire, l'infrastructure cloud robuste de Google, renforcée par des décennies d'expérience, sécurise les données des utilisateurs. Les utilisateurs conservent le contrôle de leurs interactions avec Gemini, en choisissant les expériences, en examinant les conversations et en gérant les réponses des applications. Android est déterminé à innover dans les technologies de confidentialité, telles que le calcul scellé, qui étend la sécurité du dispositif au cloud, protégeant les données de tout accès, y compris de Google. La transparence demeure essentielle, avec la nature open-source d'Android permettant la vérification de l'intégrité du code du système d'exploitation. Ce engagement en faveur de la sécurité et de la transparence garantit que les utilisateurs puissent bénéficier des avancées de l'IA sans sacrifier leur confidentialité.

Le NIST a publié trois normes définitives pour la cryptographie post-quantique (CPQ), protégeant les informations d'internet des menaces potentielles des ordinateurs quantiques. Les algorithmes CPQ peuvent être mis en œuvre sur les ordinateurs actuels, traitant des risques tels que les données stockées pour une déchiffrement ultérieur et les produits matériels compromis. Les organisations devraient se préparer à la migration CPQ en adoptant les meilleures pratiques de l'agilité cryptographique, y compris l'inventaire cryptographique, la rotation des clés, les couches d'abstraction et les tests de bout en bout. Google a activement testé et utilisé la CPQ, contribuant au développement des normes et fournissant des algorithmes CPQ dans sa bibliothèque open-source, Tink. Google a activé la CPQ pour les communications internes et continuera de mettre à jour ses services, y compris Android, Chrome et Cloud, avec les avancées de la CPQ. En adoptant ces normes et ces meilleures pratiques, les organisations peuvent garantir la confidentialité et la sécurité de leurs données face aux futures avancées de l'informatique quantique.

Les simulateurs de site de cellule, également connus sous le nom de SMS Blasters, sont utilisés pour injecter des messages de phishing dans les smartphones en exploitant les faiblesses des normes cellulaires. Les SMS Blasters contournent les réseaux d'opérateurs et les filtres anti-fraude, garantissant que tous les messages parviennent aux victimes. Les fraudeurs peuvent contrôler tous les champs de message, ce qui leur permet de les faire apparaître légitimes. Android 12 a introduit une option utilisateur pour désactiver le 2G, ce qui réduit le risque lié aux SMS Blasters. Android 14 inclut une option pour désactiver les chiffrements nuls, une clé pour se protéger contre l'injection d'SMS Blasters. Android offre également une protection contre les spams, un SMS vérifié pour identifier les messages légitimes, et une navigation sécurisée pour avertir les utilisateurs des sites et des téléchargements risqués. Google Play Protect scanne les applications pour détecter les logiciels malveillants et avertit les utilisateurs des applications potentiellement dangereuses. Android est déterminé à protéger la sécurité des utilisateurs et collabore avec les opérateurs et les fabricants d'équipement d'origine (OEM) pour améliorer les fonctionnalités de sécurité cellulaires. Les efforts constants d'Android visent à protéger les utilisateurs des menaces telles que les SMS Blasters et à offrir une expérience mobile sécurisée.

Chrome renforce la sécurité contre le malware de vol de cookies sur Windows avec l'encryption liée à l'application dans Chrome 127. Cette méthode d'encryption lie les données à l'identité spécifique de l'application, empêchant les applications malveillantes d'accéder à des informations sensibles. Auparavant, l'API de protection des données (DPAPI) de Windows offrait une protection limitée contre le malware qui pouvait exécuter du code en tant qu'utilisateur connecté. La nouvelle encryption repose sur un service privilégié pour vérifier l'identité de l'application pendant l'encryption et la déryption. Cela rend plus difficile pour le malware de contourner la protection sans acquérir des privilèges système ou injecter du code dans Chrome, ce qui augmente le risque de détection. Les environnements d'entreprise sans privilèges administratifs pour les utilisateurs bénéficient grandement de cette protection, car le malware ne peut pas facilement accroître les privilèges. Cependant, l'encryption liée à l'application peut ne pas fonctionner dans les environnements avec des profils Chrome itinérants. Les entreprises sont encouragées à suivre les meilleures pratiques pour les profils itinérants et peuvent configurer l'encryption en utilisant la politique ApplicationBoundEncryptionEnabled. Chrome émet un événement en cas de vérification échouée, offrant aux défenseurs des capacités de détection supplémentaires. L'encryption liée à l'application s'ajoute aux initiatives existantes de Chrome pour lutter contre le malware de vol de cookies, y compris la navigation sécurisée, les informations de session liées au dispositif et la détection des menaces basée sur le compte.

L'expérience de téléchargement redessinée de Chrome offre des avertissements plus détaillés concernant les fichiers potentiellement malveillants. Les avertissements sont classés comme suspects ou dangereux en fonction des verdicts de malware émis par l'intelligence artificielle, offrant aux utilisateurs plus de contexte et les aidant à prendre des décisions éclairées. Le mode de protection renforcé effectue automatiquement une analyse approfondie des fichiers suspects, réduisant significativement le risque d'infection par malware. Les archives cryptées, une technique d'évasion courante pour le malware, sont maintenant gérées différemment : les utilisateurs du mode de protection renforcé sont invités à fournir le mot de passe pour une analyse approfondie, tandis que les utilisateurs du mode de protection standard peuvent vérifier les métadonnées contre Safe Browsing. L'équipe de sécurité de Chrome surveille constamment les techniques des attaquants et adapte sa stratégie pour protéger les utilisateurs lors du téléchargement de fichiers.

- Chrome ne fera plus confiance aux certificats TLS émis par les racines CA Entrust et AffirmTrust datés après le 31 octobre 2024. - L'action de Chrome vise à préserver l'intégrité de l'écosystème PKI Web en raison de préoccupations concernant les déficiences de conformité d'Entrust et le manque d'amélioration. - Le changement affectera Chrome 127 et les versions supérieures sur Windows, macOS, ChromeOS, Android et Linux. - Les opérateurs de sites web utilisant des certificats Entrust devraient passer à un autre CA pour éviter les perturbations pour les utilisateurs. - Les sites web peuvent vérifier l'impact en utilisant le visualiseur de certificats Chrome. - Un indicateur de ligne de commande est disponible pour simuler la contrainte de défiance pour des fins de test. - Les entreprises peuvent contourner la défiance en installant le certificat racine d'Entrust comme racine de confiance locale. - Le changement n'aura pas d'impact sur les certificats provenant d'autres CA. - Le changement est prévu pour entrer en vigueur le 1er novembre 2024. - D'autres produits Google pourraient publier leurs propres mises à jour à l'avenir. - Le programme des racines Chrome met l'accent sur la sécurité et attend des propriétaires de CA qu'ils répondent aux attentes de sécurité.

Marios Pomonis, un ingénieur logiciel chez Google, a annoncé le lancement de kvmCTF, un programme de récompense pour les vulnérabilités pour l'hyperviseur Kernel-based Virtual Machine (KVM). KVM est un hyperviseur open-source largement utilisé qui est en développement depuis plus de 15 ans et est essentiel pour les plateformes comme Android et Google Cloud. Google est un contributeur actif au projet KVM et vise à identifier et à résoudre les vulnérabilités via le programme kvmCTF. Le programme kvmCTF propose un environnement de laboratoire où les participants peuvent se connecter et utiliser leurs exploits pour obtenir des drapeaux. Contrairement à kernelCTF, kvmCTF se concentre sur les vulnérabilités zero-day, et les participants ne seront pas récompensés pour utiliser des vulnérabilités n-day. Une fois qu'un patch en amont est publié, les détails sur la vulnérabilité zero-day seront partagés avec Google, garantissant que la société reçoit l'information en même temps que le reste de la communauté open-source. L'environnement kvmCTF se compose d'un hôte bare metal exécutant une seule VM invitée. Les participants peuvent réserver des créneaux horaires pour accéder à la VM invitée et tenter de mener une attaque de type guest-to-host. L'objectif est d'exploiter une vulnérabilité zero-day dans le sous-système KVM du noyau hôte. Si cela réussit, l'attaquant obtiendra un drapeau prouvant son accomplissement. La gravité de l'attaque détermine le montant de la récompense, avec des paliers différents en fonction du type d'exploit. Les récompenses varient de 10 000 $ pour une lecture de mémoire relative à 250 000 $ pour une évasion complète de VM. Pour faciliter les tiers d'écriture et de lecture de mémoire relative, ainsi que la déni de service, kvmCTF offre l'option d'utiliser un hôte avec KASAN activé. Déclencher une violation KASAN permet aux participants d'obtenir un drapeau comme preuve. Pour participer à kvmCTF, commencez par lire les règles du programme. Cela vous donnera des informations sur la manière de réserver un créneau horaire, de se connecter à la VM, d'obtenir des drapeaux et de signaler les vulnérabilités. Les participants peuvent également contacter l'équipe sur Discord pour obtenir de l'aide supplémentaire.

Le défi AI Cyber de DARPA (AIxCC) vise à développer des systèmes d'IA pour sécuriser les projets open source essentiels à l'infrastructure. Les équipes OSS-Fuzz et Security Engineering de Google ont joué un rôle dans la conception du cadre de la compétition et ont créé un Système de Raisonnement Cyber (SRC) en utilisant la technologie OSS-Fuzz. OSS-Fuzz, une plateforme de test de fuzzing gratuite et open-source, a découvert et corrigé plus de 11 000 vulnérabilités dans les projets open source. Les défis AIxCC se concentrent sur la recherche de vulnérabilités dans les projets open source, que OSS-Fuzz peut efficacement tester en utilisant ses outils existants. Le SRC développé par Google exploite des techniques non-IA et met en évidence les domaines où l'IA peut améliorer les capacités de test de fuzzing. Pour permettre le fuzzing du noyau, Google a adapté une technique de Cloudflare, en utilisant AFL et la virtualisation QEMU. Forcer la fermeture des FD créés par le harnais de défi a aidé à résoudre les problèmes potentiels pendant le fuzzing. L'analyse statique peut compléter le fuzzing, et les LLM pourraient améliorer sa précision et ses capacités de détection de bugs. Google souligne l'importance du débogage delta pour identifier le commit coupable et corriger la vulnérabilité. L'IA pourrait être utilisée pour suggérer des patches et améliorer le processus de patching, en abordant des défis tels que la validation des patches et le rétrécissement rapide. Les résultats de l'AIxCC seront intégrés dans OSS-Fuzz, bénéficiant à l'écosystème open source.

Les extensions Chrome améliorent les expériences de navigation, mais peuvent également présenter des risques. L'équipe de sécurité Chrome se concentre sur la sécurité des utilisateurs lors de l'utilisation des extensions. Ils offrent un résumé personnalisé des extensions installées et surveillent les extensions à la fois avant et après leur publication sur le Chrome Web Store. La fonction de vérification de sécurité informe les utilisateurs d'extensions potentiellement dangereuses, et les extensions peuvent être gérées via la page des extensions. Avant la publication, les extensions passent par des examens automatisés et humains pour filtrer les comportements suspects. L'équipe Chrome surveille également les extensions publiées, en collaboration avec des chercheurs en sécurité et en utilisant des systèmes pour détecter le code malveillant. Les utilisateurs peuvent examiner les nouvelles extensions avant de les installer en consultant le Chrome Web Store pour obtenir des informations sur le développeur, les évaluations, les commentaires et les pratiques de confidentialité. Il est recommandé de réviser les extensions installées périodiquement, de désinstaller celles qui ne sont plus utilisées et de limiter les autorisations d'accès au site pour les extensions. Le mode de protection renforcé de Chrome offre le niveau de protection le plus élevé contre les extensions nuisibles.

Le Google CTF, une compétition de sécurité informatique, aura lieu du 21 au 23 juin 2024. Les participants résolvent des énigmes impliquant l'ingénierie inverse, la cryptographie et bien plus encore pour gagner des points. Les huit meilleures équipes se qualifient pour le concours Hackceler8, un jeu de hacking en style esport. Le montant des prix pour les deux événements dépasse 32 000 dollars. Pour les débutants, la Beginner's Quest offrira des défis plus simples. Le documentaire "H4CK1NG GOOGLE" et les défis précédents peuvent servir de préparation. Le CTF offre l'opportunité de développer des compétences, de se connecter avec la communauté de sécurité et de voir les professionnels en action. Les annonces et les mises à jour peuvent être trouvées à goo.gle/ctf et sur les réseaux sociaux. Google organise également des programmes de chasse aux bugs pour les individus intéressés.

Les tests de phishing modernes, comme les tests d'évacuation d'incendie précoces, se concentrent sur la performance individuelle et aboutissent souvent à blâmer les employés pour avoir succombé à des attaques simulées. Ces tests, bien qu'exigés par des réglementations comme FedRAMP, manquent de preuves pour réduire les attaques de phishing réussies et peuvent être contre-productifs, comme le montrent les recherches sur les "clickeurs répétés". De plus, contourner les défenses anti-phishing existantes pour des fins de test crée une perception erronée du risque et charge inutilement les équipes de détection et de réaction avec des rapports inutiles. Cette approche endommage également la confiance entre les employés et les équipes de sécurité. Au lieu de ces tests adversariaux, l'industrie de la cybersécurité devrait adopter une approche de "drill de phishing", similaire aux pratiques modernes de sécurité incendie. Cela impliquerait d'éduquer les employés pour identifier et signaler les tentatives de phishing par des instructions claires et des exercices de pratique. Un drill de phishing se concentrerait sur la formation des employés pour reconnaître les e-mails de phishing et les signaler efficacement, plutôt que de les tromper. Les métriques collectées pendant ces drills se concentreraient sur la vitesse de signalement et l'engagement, fournissant des données précieuses pour les équipes de sécurité. En fin de compte, tandis que l'éducation des employés sur le phishing est cruciale, une solution plus efficace à long terme réside dans l'investissement dans des systèmes sécurisés par défaut et l'ingénierie de défenses comme les identifiants non-phishables et les processus d'approbation multipartite pour les opérations sensibles. Ce changement d'approche favoriserait une culture de sécurité plus collaborative et moins adversariale, permettant aux employés de devenir des participants actifs de la sécurité organisationnelle. En reconnaissant les limites de la faillibilité humaine et en priorisant les défenses système robustes, les organisations pourraient mieux atténuer les risques posés par les attaques de phishing.

Android met en avant la sécurité des utilisateurs et combat activement les menaces en constante évolution des escrocs et des acteurs malveillants. Android 15 et les services Google Play introduiront de nouvelles fonctionnalités pour lutter contre la fraude financière et les arnaques, renforçant la protection des utilisateurs. Google Play Protect, avec son IA embarquée, scanne maintenant 200 milliards d'applications par jour, détectant et atténuant les menaces en temps réel sans collecter de données utilisateur. Android 15 cache les mots de passe à usage unique des notifications et étend les paramètres restreints pour protéger les informations sensibles. Une nouvelle capacité de détection des appels d'arnaque, alimentée par l'IA embarquée, est testée pour avertir les utilisateurs de la fraude potentielle en temps réel. Android 15 améliore la sécurité du partage d'écran en cachant les notifications, les OTP et les informations de connexion, limitant les attaques d'ingénierie sociale. Les avancées en matière de sécurité cellulaire dans Android 15, telles que la transparence du chiffrement cellulaire et la transparence de la divulgation des identifiants, protégeront contre la surveillance et les tentatives de fraude. Les nouvelles fonctionnalités de l'API Play Integrity permettent aux développeurs de sécuriser leurs applications en détectant des comportements à risque comme la capture d'écran et l'activité anormale du dispositif. Les autorisations de photo améliorées nécessitent que les applications justifient un accès étendu, et le sélecteur de photo prend désormais en charge le stockage en nuage pour une confidentialité accrue des utilisateurs. La stratégie de protection multi-couches d'Android, alimentée par l'IA et des partenariats solides, garantit une expérience utilisateur sécurisée.

Google et Apple ont travaillé ensemble pour créer une spécification d'industrie - Détecter les traceurs de localisation indésirés - pour les appareils de suivi Bluetooth qui permet de signaler aux utilisateurs, à la fois sur Android et iOS, si un tel appareil est utilisé à leur insu pour les suivre. Cela aidera à réduire l'utilisation abusive des appareils conçus pour aider à garder trace des biens. Google lance maintenant cette fonctionnalité sur les appareils Android 6.0+, et aujourd'hui, Apple la met en œuvre dans iOS 17.5. Avec cette nouvelle fonctionnalité, les utilisateurs d'Android recevront désormais une alerte "Traceur voyageant avec toi" sur leur appareil si un appareil de suivi Bluetooth inconnu est détecté en train de se déplacer avec eux au fil du temps, indépendamment de la plateforme avec laquelle l'appareil est apparié. Si un utilisateur reçoit une telle alerte sur son appareil Android, cela signifie que le AirTag d'un tiers, le tag de suivi compatible avec le réseau Find My Device, ou tout autre traceur Bluetooth compatible avec la spécification de l'industrie se déplace avec lui. Les utilisateurs Android pourront afficher l'identifiant du traceur, faire émettre un son au traceur pour l'aider à le localiser, et accéder à des instructions pour le désactiver. Les fabricants de tags Bluetooth, y compris Chipolo, eufy, Jio, Motorola et Pebblebee, ont promis que les futurs tags seraient compatibles. La fonction "Find My Device" de Google est sécurisée par défaut et conçue pour protéger la vie privée. Des protections multi-couches pour les utilisateurs, y compris des protections prioritaires pour la sécurité, aident à réduire les risques potentiels pour la vie privée et la sécurité des utilisateurs tout en leur permettant de localiser et de récupérer efficacement les appareils perdus. Cette collaboration inter-plates-formes - une première dans l'industrie, impliquant des contributions de la communauté et de l'industrie - offre des instructions et des meilleures pratiques pour les fabricants, s'ils choisissent d'intégrer des capacités d'alerte pour les traceurs de localisation indésirés dans leurs produits. Google et Apple continueront de travailler avec le Groupe de travail sur la détection des traceurs de localisation indésirés du Internet Engineering Task Force pour élaborer la norme officielle pour cette technologie.

Les clés de passe Google, une version améliorée des clés de sécurité, ont été utilisées plus d'un milliard de fois pour l'authentification sur les comptes Google. Les clés de passe offrent une sécurité renforcée, sont plus portables et simplifient la connexion en combinant l'authentification de premier et de deuxième facteur. Les administrateurs de l'espace de travail Google ont le contrôle de l'utilisation des clés de passe, avec la possibilité d'exiger des mots de passe en plus des clés de passe. Les clés de passe sont maintenant prises en charge pour les utilisateurs du Programme de protection avancée (PPA), leur permettant de s'inscrire avec n'importe quelle clé de passe au lieu de clés de sécurité matérielles uniquement. Ce mouvement vise à étendre la protection avancée à plus d'utilisateurs.

Le bac à sable de Chromium protège contre le contenu web malveillant, mais pas contre les logiciels malveillants déjà présents sur le système qui peuvent voler des informations d'identification et des cookies. Pour améliorer la détection de telles attaques, Chromium enregistre l'accès aux données protégées dans les journaux d'événements, offrant des signaux précieux pour les administrateurs de système et les agents de détection d'endpoint. Le journal d'événements 4693 enregistre l'activité DPAPI, mais manque d'informations sur le processus et les données. Pour pallier à cela, l'événement 16385 a été ajouté, fournissant l'ID du processus de l'application accédant aux données. Pour utiliser cette fonctionnalité, activez la journalisation pour les deux événements et "Audit Process Creation" dans Windows. L'événement 16385 inclut le type d'opération (SPCryptUnprotect), la description des données (par exemple, Google Chrome) et l'ID du processus appelant. En appariant l'ID du processus appelant avec les processus actifs (suivis à l'aide des événements 4688), les défenseurs peuvent détecter l'accès non autorisé aux données du navigateur. Les tests avec un voleur de mots de passe en Python démontrent comment les événements fournissent des preuves de comportement suspect. L'événement 16385 montre une tentative de déchiffrement de la clé "Google Chrome", tandis que l'événement 4688 révèle l'ID du processus de l'exécutable Python exécutant le script. Cette technique offre une détection solide du vol de mots de passe, alertant les défenseurs de possibles attaques et aidant à dissuader les attaquants cherchant à rester discrets.

Google Play accorde la priorité à la sécurité des utilisateurs et des développeurs en adhérant aux principes SAFE : Protéger les utilisateurs, Plaider pour la protection des développeurs, Favoriser l'innovation responsable et Évoluer les défenses de la plateforme. En 2023, Google Play a empêché 2,28 millions d'applications enfreignant les règles de politique de publication et a banni 333 000 comptes malveillants pour des violations graves. Google Play a renforcé les processus d'examen des applications, appliqué des exigences d'intégration plus strictes pour les développeurs et renforcé la vérification des développeurs. L'indice des SDK Google Play a été élargi, aidant les développeurs à faire des choix éclairés quant aux SDK et à minimiser les risques d'intégration. Google Play a collaboré avec Microsoft et Meta pour restructurer l'Alliance de défense des applications (ADA) pour les meilleures pratiques de sécurité à l'échelle de l'industrie. L'étiquetage de transparence du Play Store met en évidence les applications VPN qui ont subi des examens de sécurité indépendants. La numérisation en temps réel de Google Play Protect a détecté plus de 5 millions de nouvelles applications malveillantes hors du Play Store, protégeant les utilisateurs au-delà du Play Store. Des exigences plus strictes pour les développeurs, y compris des essais et des protections de confidentialité étendues, garantissent la qualité des applications et la confiance des utilisateurs. Les mises à jour du système d'exploitation Android imposent une cible API minimale, supprimant les applications obsolètes pour une sécurité accrue. Google Play supprimera les applications qui manquent de transparence quant à leurs pratiques de confidentialité en 2024.

1. L'intelligence artificielle générative utilisant les LLM simplifie les flux de travail des incidents de sécurité et de confidentialité, améliorant l'efficacité et la communication. - La gestion des incidents implique l'identification, la coordination, la résolution, la clôture et l'amélioration continue. - Les LLM résument efficacement les détails des incidents, améliorant la qualité et économisant du temps par rapport aux résumés écrits par des humains. - Les données d'entrée pour les LLM sont structurées à l'aide de balises pour améliorer la compréhension et la précision. - L'ingénierie de prompt guide les LLM pour se concentrer sur des aspects spécifiques des données d'incident. - Les prompts initiaux se concentraient sur la résumé des faits de l'incident, tandis que les prompts ultérieurs ont évolué pour inclure des instructions plus détaillées. - Les LLM sont utilisés pour générer des résumés pour différents publics, garantissant une communication efficace. - Les risques de hallucinations et d'erreurs nécessitent une révision humaine et une responsabilité dans l'utilisation des LLM. - Une infrastructure sans données et des mécanismes de surveillance protègent les informations sensibles sur les incidents. - L'intelligence artificielle générative améliore la réponse aux incidents de sécurité et de confidentialité en automatisant les tâches, en améliorant la communication et en réduisant les risques.

L'API de rapportage permet aux navigateurs de signaler les erreurs et les violations de sécurité à des points d'extrémité spécifiés. En utilisant des en-têtes, les développeurs peuvent définir quels types d'erreurs surveiller et où envoyer les rapports. Les violations courantes incluent les brèches de sécurité, les API dépréciées et les interventions du navigateur. Les rapports se composent d'une liste d'événements contenant des informations sur la violation, comme l'URL et le script impliqué. L'API de rapportage est prise en charge par Chrome et partiellement par Safari. Google utilise cette API pour améliorer la sécurité en identifiant le code incompatible avec les nouvelles politiques. Les techniques pour réduire le bruit dans les rapports de violation incluent le regroupement des violations similaires en fonction des causes racines, l'exploitation d'informations ambiantes comme les agents utilisateur et les utilisateurs de confiance, et la cartographie des violations au code source. Ces techniques aident les développeurs à prioriser les violations actionnables et à se concentrer sur les causes racines. En mettant en œuvre ces stratégies, les développeurs peuvent renforcer leurs mesures de sécurité en exploitant les capacités de l'API de rapportage.

L'intelligence artificielle générative améliore la productivité et la créativité en automatisant la création de contenu et de tâches. Cependant, des préoccupations de sécurité émergent pour les entreprises utilisant des LLM comme Gemini, telles que le risque de fuites de données sensibles. Les équipes de sécurité peuvent mettre en œuvre des politiques de DLP au sein de Chrome Enterprise Premium pour répondre à ces préoccupations. Le Reporting Connector offre une visibilité sur les événements de connexion pour les services d'intelligence artificielle générative. La filtration d'URL avertit ou bloque l'accès à des sites spécifiques en fonction de règles définies. Les règles de DLP basées sur le contenu dynamique permettent un contrôle granulaire sur les actions telles que la copie, le téléchargement et l'impression dans les sites web d'intelligence artificielle générative. En personnalisant ces règles, les entreprises peuvent équilibrer l'efficacité des employés avec la protection des données. Chrome Enterprise Premium permet aux organisations de personnaliser les politiques de DLP pour l'utilisation de l'intelligence artificielle générative, garantissant une adoption sécurisée tout en maximisant ses avantages.

La fonctionnalité 'Find My Device' d'Android utilise la proximité Bluetooth crowdsourcée pour localiser les appareils perdus. Pour garantir la confidentialité, les données de localisation sont chiffrées de bout en bout et ne sont accessibles qu'au propriétaire de l'appareil et aux utilisateurs autorisés. Le réseau minimise la rétention des données et supprime les rapports si les appareils du propriétaire peuvent localiser l'étiquette. Les protections de sécurité comprennent l'agrégation par défaut, la limitation des rapports par appareil et la limitation des mises à jour de localisation pour prévenir le suivi indésirable. Les utilisateurs contrôlent la participation au réseau, y compris la possibilité de se retirer ou de contribuer avec des données de localisation agrégées ou non agrégées. La protection à domicile et les alertes pour les traceurs inconnus renforcent encore la confidentialité et préviennent le harcèlement. Le réseau 'Find My Device' d'Android répond aux normes de l'industrie pour la détection du suivi indésirable. L'équipe de sécurité d'Android et les chercheurs externes testent et améliorent en permanence la sécurité du réseau. La sécurité des utilisateurs est prioritaire en réduisant les risques pour la confidentialité et la sécurité tout en permettant la récupération efficace des appareils. Android s'engage à renforcer les protections des utilisateurs et à protéger les données et la confidentialité des utilisateurs.

Le système de noms de domaine (DNS) traduit les noms de domaine en adresses IP, permettant aux appareils de communiquer sur Internet. Le DNS a été conçu à l'origine sans mesures de sécurité, le rendant vulnérable aux attaques comme l'intoxication du cache, où les attaquants simulent des réponses pour rediriger les utilisateurs. Google Public DNS emploie diverses techniques pour atténuer l'intoxication du cache, y compris la randomisation du port source et de l'ID de requête, comme le précise la RFC 5452. Ils ont également mis en œuvre des cookies DNS, mais ont trouvé un soutien limité parmi les serveurs autoritaires. La randomisation du cas des noms de requête, proposée dans un projet de 2008, s'est avérée efficace et est maintenant déployée par Google Public DNS par défaut, couvrant plus de 90% du trafic UDP vers les serveurs de noms. Google Public DNS a également mis en œuvre DNS-over-TLS (ADoT) pour la communication chiffrée avec les serveurs de noms autoritaires, offrant à la fois sécurité et confidentialité. En mettant en œuvre ces contre-mesures, Google Public DNS vise à fournir un service de résolution DNS sécurisé et fiable. Ils encouragent les opérateurs de serveurs DNS à adopter ces mécanismes de sécurité et à collaborer pour améliorer la sécurité DNS dans son ensemble. Google Public DNS offre une protection contre les attaques d'intoxication du cache passif pour plus de 90% des requêtes autoritaires. Les opérateurs de serveurs DNS sont invités à soutenir plusieurs mécanismes de sécurité pour renforcer la sécurité DNS. Google Public DNS est activement impliqué dans la communauté DNS pour améliorer les normes de sécurité. Pour plus de détails techniques, veuillez consulter leurs présentations à DNS-OARC 38 et 40.

Le firmware Android est de plus en plus vulnérable aux attaques en raison de son examen moins rigoureux comparé aux utilisateurs Android et au noyau. L'Address Sanitizer du noyau (KASan) est un outil qui peut détecter proactivement les vulnérabilités du firmware en identifiant les opérations d'accès mémoire invalides pendant l'exécution. KASan peut être utilisé pour une grande variété de cibles de firmware et s'applique à la fois à la mémoire heap et à la mémoire stack. Pour activer KASan pour le firmware bare-metal, un runtime personnalisé doit être mis en œuvre pour vérifier les opérations d'accès mémoire et gérer la mémoire d'ombre, qui suit l'état des régions de mémoire couvertes par KASan. La mémoire d'ombre est une région de mémoire dédiée où chaque octet correspond à une région de mémoire de 8 octets et encode son état. Le runtime KASan inclut des fonctions pour effectuer des vérifications d'accès mémoire, gérer la mémoire d'ombre et accrocher les routines d'allocation de mémoire heap. En instrumentant les opérations d'accès mémoire avec ces fonctions, KASan peut détecter les vulnérabilités de corruption de mémoire, y compris l'accès mémoire hors limites, l'utilisation après libération, la double/libération invalide et l'utilisation après retour. Pour éviter les faux positifs pour les fonctions noreturn, la routine __asan_handle_no_return est utilisée pour supprimer les zones rouges autour des variables de pile. KASan peut être activé pour le heap, le stack et les variables globales en utilisant des options de compilateur spécifiques pendant la compilation. Un petit projet est fourni pour démontrer une mise en œuvre de KASan pour les cibles bare-metal utilisant l'émulateur de système QEMU. Cette mise en œuvre peut être utilisée comme référence pour les détails techniques. KASan a été utilisé pour détecter et corriger plus de 40 bugs et vulnérabilités de sécurité de mémoire dans les cibles de firmware, y compris certaines de gravité critique. En exploitant KASan dans le développement de firmware, la sécurité des appareils peut être significativement améliorée.

La nouvelle version de Google Safe Browsing offre une protection des URL en temps réel dans le mode standard sans compromettre la confidentialité. Au lieu de se reposer sur une liste locale de sites dangereux stockés, Chrome vérifie maintenant les URL contre une liste constamment mise à jour sur le serveur. Cette méthode garantit la protection contre les menaces émergentes qui existent pendant moins de 10 minutes, ce que le contrôle basé sur des hachages précédent manquait. Pour préserver la confidentialité, Chrome chiffre et tronque les préfixes d'hachage des URL avant de les envoyer à un serveur de confidentialité, qui les transmet à Safe Browsing sans identifier utilisateur. Safe Browsing vérifie les préfixes d'hachage contre sa base de données serveur et renvoie les hachages URL complets dangereux à Chrome, qui les compare avec les hachages complets des URL visitées pour déterminer les avertissements. Le serveur de confidentialité, exploité par Fastly, ne voit pas les préfixes d'hachage, et Safe Browsing ne voit pas l'adresse IP de l'utilisateur, garantissant la séparation des données. Pour maintenir la vitesse, Chrome vérifie d'abord contre un cache local et global avant d'effectuer des vérifications en temps réel. En cas de demandes en temps réel infructueuses, Chrome recourt à des vérifications basées sur des hachages. Des mécanismes de chargement asynchrone seront introduits pour éviter de bloquer le chargement de la page pendant les vérifications en temps réel. Le mode de protection renforcée reste recommandé pour une protection supplémentaire, car il utilise des modèles d'apprentissage automatique pour se protéger contre les sites malveillants nouvellement créés ou déguisés. Les développeurs éligibles peuvent accéder à ces protections via l'API Safe Browsing pour les cas d'utilisation non commerciaux.

En 2023, les Programmes de Récompense des Vulnérabilités (VRP) de Google ont attribué 10 millions de dollars à plus de 600 chercheurs en sécurité dans le monde entier, soulignant l'importance des efforts de sécurité menés par la communauté. Google a mis en œuvre plusieurs améliorations de programme, y compris des récompenses bonus pour des cibles spécifiques, un programme de récompense d'exploit élargi englobant Chrome et Cloud via le v8CTF, et l'introduction d'un VRP Mobile se concentrant sur les applications Android. Le VRP Android a attribué plus de 3,4 millions de dollars, avec des récompenses accrues pour les vulnérabilités critiques et l'inclusion de Wear OS dans son champ d'application. Le VRP Chrome a connu des changements tels que l'introduction de MiraclePtr, rendant plus difficile l'exploitation de certaines vulnérabilités, et le lancement d'incitations comme la Récompense de Contournement de MiraclePtr et la Prime d'Exploit en Chaîne Complète. Google a également organisé sa conférence de sécurité annuelle, ESCAL8, qui comprenait des événements de hacking en direct, des ateliers de formation et des conférences d'experts. La société a reconnu les contributions des meilleurs chercheurs dans divers programmes, mettant en avant des individus comme Zinuo Han et Yu-Cheng Lin pour Android, et les 20 meilleurs contributeurs au VRP Chrome. Pour l'intelligence artificielle générative, Google a organisé un programme de chasse aux bugs qui a abouti à 35 rapports et a attribué plus de 87 000 dollars. À l'avenir, Google reste déterminé à collaborer avec la communauté de sécurité, à encourager l'innovation et à renforcer la sécurité de ses produits et services.

Les vulnérabilités de sécurité de la mémoire, une menace persistante depuis des décennies, proviennent d'erreurs de codage dans la manière dont les programmes accèdent à la mémoire. Ces vulnérabilités sont responsables de deux tiers des exploits zero-day, soulignant la nécessité d'améliorer la sécurité de la mémoire malgré les efforts en cours. Google, à travers un document technique exhaustif, met en avant l'importance de passer à des langages de programmation sécurisés en matière de mémoire comme Java, Go et Rust pour atténuer ces risques. Reconnaissant les défis de la réécriture du code C++ existant, Google propose une approche à plusieurs volets. Cela implique d'adopter des langages sécurisés en matière de mémoire pour le nouveau code, de transformer progressivement le code C++ existant en un sous-ensemble partiellement sécurisé, et d'utiliser les fonctionnalités de sécurité matérielle. L'engagement de Google en faveur de la sécurité de la mémoire est évident dans ses investissements dans diverses initiatives. Ces dernières incluent l'utilisation de Rust dans Android et Chrome, l'octroi d'un million de dollars à la Fondation Rust, et le soutien à des projets comme ISRG Prossimo et OpenSSF's Alpha-Omega. En renforçant l'écosystème sécurisé en matière de mémoire et en encourageant l'adoption plus large de pratiques sécurisées en matière de mémoire, Google vise à améliorer la sécurité logicielle pour tous. Bien que les langages sécurisés en matière de mémoire ne soient pas une solution miracle, ils représentent un pas significatif vers la réduction d'une classe prévalente de vulnérabilités, permettant aux efforts de sécurité de se concentrer sur d'autres menaces émergentes. Le document technique de Google offre une analyse exhaustive de cette question critique et esquisse un avenir potentiel plus sécurisé.