Piratage de serveurs/sites/ ... suite aux récents évènements

Bonsoir,

Y a t il réellement une raison de s'alarmer des attaques annoncées pour ces prochains jours ?

Autour de moi ça s'affole un peu. On se fait inonder de mail nous recommandant la vigilance etc …

Des retours de votre côté sur cela ?

Il faut toujours être vigilant sur le sujet, des emmerdeurs ça a toujours existé surtout pour les sites ayant une grande visibilité ou gérant de l'argent comme les banques.

Je pense honnêtement que ce ne sera pas pire que d'habitude, ce n'est pas la première fois que des gens s'y mettront à plusieurs pour faire tomber des sites. Ils y arriveront très certainement pour un certain nombre.

EDIT : bref, je pense que le mieux à faire à part sécuriser son site et en mettant à jour ses logiciels c'est de respecter la règle essentielle d'un mot de passe compliqué par site Web qui doit être toujours appliquée même en temps normal. Ce n'est pas comme si que depuis 5 ans ont avait des fuites de BDD avec des mots de passe en clair associés à des adresses ou des noms de compte sur différents services…

Comment tu fais pour retenir un mot de passe par site ?

Comment tu fais pour retenir un mot de passe par site ?

Tu as des logiciels pour t'aider dans cette tâche, notamment ton navigateur mais aussi des logiciels spécialisés.

Après ça dépend, pour les sites où mon compte n'a aucune importance (usage unique du dit compte, site poubelle…) le mot de passe peut être identique car un éventuel vol et divulgation du mot de passe ne me fera ni chaud ni froid.

Quand on voit la quantité de mots de passes qui se baladent dans la nature car des BDD fuitent de partout, c'est je pense une mesure à prendre de manière générale à moins que l'on soit fan de changer de mots de passes souvent en cas de divulgation (ce qui nécessite de faire de la veille sur le sujet pour connaître les fuites éventuelles).

Il existe des algos pas mal pour ça.

Par exemple, à un moment (en 2013 donc c'est fini tout ça), j'utilisais celui là :

soit 5 noms de la suite office de microsoft : word excel visio publisher powerppt

pour déterminer quel mot sera utilisé, il suffit de faire le nombre de lettre mod 5 et de prendre le logiciel qui est à l'indice trouvé.

ensuite on découpe 2013 en deux parties et on y addition leur chiffres donc ça fait 2 4

enfin, je prends les 4 lettres du site sur lequel je suis. puis je remplis de @ jusqu'à ce que j'ai 15 caractères.

Donc pour zeste de savoir, en 2013, j'aurai eu comme mot de passe : visio24zest@@@@.

Bien sûr je mets à jour mes algorithmes chaque premier de l'an.

Renault: le problème, c'est que tu n'emporte pas les softs qui contiennent les mots de passe d'un PC à un autre.

artragis: en plus de faire un mot de passe qui dépend de sa date de création, ce qui n'est pas simple à mémoriser, tu crées finalement des mots de passe faibles. A partir d'un mot de passe, on peut attaquer les autres par dictionnaire en reprenant la même structure pour combiner les mots.

Je préfère utiliser un nombre restreint de mots de passe, n'avoir de mot de passe unique que pour les mails (les mots de passe oubliés tombent dedans, c'est le point le plus critique niveau sécurité)

@Natalya: J'ai toujours un keepass sur mon mobile pour retrouver mes différents mots de passe.

EDIT :

Tu as des logiciels pour t'aider dans cette tâche, notamment ton navigateur mais aussi des logiciels spécialisés.

Hmmm, si tu stockes tes mots de passe via le "retenir" de ton navigateur, tout est accessible plus ou moins en clair par la suite. De nombreux tools (usb entre autre) permettent ensuite de récupérer ces infos pour quelqu'un de mal intentionné.

Hmmm, si tu stockes tes mots de passe via le "retenir" de ton navigateur, tout est accessible plus ou moins en clair par la suite. De nombreux tools (usb entre autre) permettent ensuite de récupérer ces infos pour quelqu'un de mal intentionné.

Le but est ici d'éviter qu'une attaque sur un site important dévoile des mots de passes communs à d'autres comptes à toi sur d'autres sites importants, je ne parle pas des attaques locales où tu as une plus grande maitrise de la sécurité de tes données (typiquement sur mon Linux, les mots de passes Firefox ne sont lisibles que par le processus Firefox ce qui limite grandement les possibilités).

artragis: en plus de faire un mot de passe qui dépend de sa date de création, ce qui n'est pas simple à mémoriser, tu crées finalement des mots de passe faibles. A partir d'un mot de passe, on peut attaquer les autres par dictionnaire en reprenant la même structure pour combiner les mots.

Oui et non. En fait ici c'est un exemple simple (que je n'utilise plus). J'ai pris les "logiciels de la suite office" pour faire simple. L'idée serait plutôt de choisir des mots "faciles à retenir" mais suffisamment long.

C'est le même principe que la "correct horse stable". Ici j'ai "simplifié" dans le sens où le "chiffre" est fixe et toujours à la même place. Le principe c'est de réduire le nombre de secret. Plutôt que 50 mdp secrets, j'ai 10 secrets + 1 algorithme. Ce qui est plus facile à retenir et aussi plus facile à garder secret. Car pour m'attaquer en mode dictionnaire il faut connaître le dictionnaire de base, donc avoir vaincu le secret. Donc en gros il faut connaître le mot de passe pour connaître le mot de passe. Entre un mot de passe ezfhiDFfre'8fez65d2 et un batterie50%zest@@com, c'est tout aussi long à devnier pour un bot mais c'est 100 fois plus rapide à retenir pour moi

Je pense que le genre d'algos d'artragis adapté à chaque utilisateur (certains "salent" leur mdp en écrivant le nom du site, une lettre sur deux, …) est une solution envisageable.

Perso je concatène.

J'ai 3 mots de passes, chacun d'entre eux assez "fort" et ne signifiant rien (suite de chiffres et de lettres "aléatoires" que je connais par coeur).

Sur les sites poubelles j'utilise toujours le même. Sur les sites "pas importants mais pas de grande confiance" j'en utilise un autre, etc. Et je concatène suivant le niveau de sécurité souhaité.

Du coup, parfois je ne retrouve pas mon mdp "du premier coup", mais j'ai un nombre fini de possibilités. Si un de mes mdp est compromis, il y a de fortes chances que les autres soient safe.

C'est pas la panacée mais c'est la meilleure solution que j'ai trouvée.

Personnellement j'ai une base auquel j'ajoute un sel unique pour chaque site/application/logiciel ce qui fait que les hashs sont différents. Par contre, si quelqu'un connaît deux de mes mots de passe, il peut trouver la base, puis le sel en devinant.

Pour retenir les mots de passe de façon synchronisée, il existe LastPass, que j'utilise maintenant au quotidien depuis plusieurs mois.

Alors oui c'est sur un serveur qui ne m'appartient pas, oui c'est à une entreprise, etc. Je suis conscient de tout ça mais je leur fais confiance (et ça c'est à la discretion de chacun).

Lastpass se presente sous la forme d'une extension pour navigateurs (PC et smartphones/tablettes), qui synchronise les mots de passe et permet d'en générer automatiquement.

La version Premium est nécessaire pour avoir LastPass sur mobile, elle coûte 12 € par an.

Même si le container qui regroupe les MDP sur Lastpass, la clé est stockée localement et eux ne la possède pas. Donc même si ils se font péter leurs bases un jour, (normalement) ça devrait avoir aucune incidence sur la sécurité des mots de passe (hormis le fait que tu puisses pas accéder aux infos, mais bon c'est un autre problème).

Après je préfère quand même l'utilisation d'un Keepass, mais c'est surtout une question d'habitude.

EDIT : @Renault: Au temps pour moi, je n'avais pas compris ça comme ça .

Même si le container qui regroupe les MDP sur Lastpass, la clé est stockée localement et eux ne la possède pas. Donc même si ils se font péter leurs bases un jour, (normalement) ça devrait avoir aucune incidence sur la sécurité des mots de passe (hormis le fait que tu puisses pas accéder aux infos, mais bon c'est un autre problème).

Ah je savais pas ça ? Comment ça se passe quand on a plusieurs appareils du coup ? La clé est générée en fonction du MDP rentré ?

Après je préfère quand même l'utilisation d'un Keepass, mais c'est surtout une question d'habitude.

J'avais utilisé KeePassX pendant un moment également, mais ce qui m'a fait adopter LastPass, sa killer feature, ça a été pour moi l'intégration transparente aux navigateurs.

Ah je savais pas ça ? Comment ça se passe quand on a plusieurs appareils du coup ? La clé est générée en fonction du MDP rentré ?

Me semble que c'est quelque chose dans ce style oui. Faudrait que j'aille retrouver un peu plus comment ça fonctionne.

Juste pour info voila une copie d'un mail reçu il y a quelques jours : (si vous êtes courageux et qu'un pavé n'est pas effrayant pour vous bonne lecture)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

1 GCS,

3 hôpitaux,

3 cliniques,

1 organisme de formation de santé,

1 société paramédicale,

1 centre régional d'éducation physique et sportive,

CAF,

...

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

défaut de sécurisation d’accès à une interface de gestion du site, ou BackOffice ;

défaut de suivi de la procédure d’installation d’un site ;

vulnérabilités de type « injection SQL » qui permettent à un attaquant de modifier les informations stockées en base de données ;

vulnérabilités connues et non corrigées dans les différentes briques utilisées pour la construction du site (Framework, serveur Web, système d’exploitation, etc.) ;

vulnérabilités non connues dans ces différentes briques (zero-day) ;

compromission d’un site tiers hébergé sur la même plateforme ;

politiques de gestion de mots de passe et de droits d’accès laxistes ;

etc.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

gestionnaire de contenu (CMS) comme Joomla!, SPIP, Drupal, etc. ;

extensions et modules de tierce partie éventuellement ajoutés à ces CMS ;

langages utilisés et bibliothèques associées, comme PHP ;

logiciels fournissant le service Web comme Apache ou IIS ;

logiciels fournissant d’autres services nécessaires au fonctionnement du site, comme des serveurs SQL ;

logiciels d’administration du site et de son environnement (AWStats, phpMyVisites, etc.) ;

système d’exploitation sur lequel est installé un ou plusieurs de ces services.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

pages d’hameçonnage (phishing) ;

insertion de malware ;

insertion de publicités non légitimes ;

modification de la configuration du site, ou des fichiers .htaccess ;

installation d’un porte dérobée (PHP shell, etc.) permettant d’utiliser le site pour effectuer d’autres actions malveillantes (nouvelles compromissions, déni de service, etc.) ;

stockage de fichiers soumis au droit d’auteur ;

etc.

1
2
3

votre Service Régional de Police Judiciaire. Votre commissariat de police ou votre gendarmerie devraient vous donner sans difficulté leurs coordonnées. . . Une fois en contact avec votre S.R.P.J. il faut demander à parler à un « Investigateur en cybercriminalité » autrement dit un I.C.C qui pourra enregistrer votre plainte.

où adresser directement un courrier au Procureur de la République du Tribunal de Grande Instance dont relève votre établissement.

Petite interrogation, tu as reçu ça d'où ?

Merci d'avoir partagé cet email, c'est intéressant.

On peut savoir qui en est l'expéditeur et dans quel contexte tu l'as reçu si ce n'est pas indiscret ?

Juste parce qu'apparamment c'est pas un hoax :

Depuis quelques jours, de nombreux sites français ont été defacés suite à des cyberattaques dont le point d'orgue devrait avoir lieu aujourd'hui même. De son côté, l'ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) publie des fiches d'informations afin de permettre à chacun de savoir comment mieux se protéger.

#OPFrance : de nombreux sites français défacés

Suite aux attentats perpétrés contre Charlie Hebdo, un groupe revendiquant son appartenance au mouvement « anonymous » avait lancé une opération #OpCharlieHebdo dont le but est de s'attaquer à des sites affiliés à la mouvance radicale. Réponse du berger à la bergère, via Pastebin, un autre groupe du nom d'Anon Ghost annonçait la mise en place d'une action #OpFrance dont le but est de viser des sites français.

Depuis le début de la semaine, les attaques se multiplient, notamment sur les sites de tailles modestes, souvent moins bien protégés contre ce genre d'actions. L'ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) confirme et évoque « un accroissement significatif du nombre d’attaques informatiques visant des sites Internet français ». Il est généralement question de remplacer la page d'accueil du site par un message de propagande (défaçage), qui peut varier suivant le groupe qui revendique l'attaque. Selon plusieurs experts en sécurité et des pirates, le point d'orgue de cette opération devrait avoir lieu aujourd'hui même.

Le but ici n'est pas spécialement de récupérer des données personnelles, mais d'occuper le terrain médiatique en multipliant les attaques et les défacement, et ce, quel que soit le site. Mais, au second plan, pourrait également se cacher une manœuvre d'un genre différent, sur des sites institutionnels français cette fois-ci. Nous aurons l'occasion d'y revenir si cela devait se confirmer. […]

Pesonnellement, j'utilise à peu près le même (des petites variantes) un peu partout. Avec un double auth si les infos sont sensibles (mail, banque, … etc)

Ou deux trois suites de caractères aléatoires que je connais à force

J'ai reçu ça de l'Agence Régionale de Santé de ma région qui a envoyée ça à tous les établissements de santé qui sont sous sa tutelle.