Des millions de mot de passe de KikoooLOOLOLLMDR dans la nature
Envoyer à un ami
Partager sur ViadeoImpertinences, Internet, Les Potins, Sécurité
Par : La Rédaction - Mardi 25 mai 2010 à 8:38
Les gus de Skyblog n’ont pas jugé bon de stocker les mots de passe de leurs membres de façon cryptée. Du coup, un (ou plusieurs) individus malveillants ont réussi l’exploit de pirater… 32 millions de mots de passe.
L’info a été révélée par son excellence Sieur Zataz après que l’équipe de la première communauté de KIkoOOLOLMDR de France (et d’Europe) ait dit laconiquement à ses membres qu’il fallait changer son mot de passe suite à une “tentative” d’intrusion… Quelle communication de crise remarquable !
Encore mieux : Skyrock, qui édite Skyblog, n’a d’ailleurs aucune info sur l’origine de l’acte malveillant.
Zataz croit savoir que les pirates en culotte courte seraient parvenus à insérer du code malicieux sur un serveur de Skyblog en utilisant un script mal sécurisé de la plate-forme Waka, un site conçu par des stagiaires de Skyrock pour le compte du gouvernement qui désire communiquer avec les adolescents.
Chez Sky, on aime les choses claires et d’ailleurs, pas question d’utiliser SHA1 ou MD5 pour crypter les mots de passe des utilisateurs dans les bases de données.
“Nous conservons dans une base protégée un historique des mots de passe en clair afin, d’une part, d’assister les utilisateurs lors des vols de mots de passe et, d’autre part, de pouvoir restituer leur mot de passe aux utilisateurs qui le demandent et dont les emails d’inscription ne sont plus valides” explique le directeur de production de Skyblog au Monde.
Cette fois au moins, on est sur que les mots de passe seront restitués… aux yeux du monde entier. Ils viendront à n’en pas douter enrichir les dictionnaires de codes qui permettront sans doute d’aller encore plus loin dans la quête du graaaaaaaal.
INQ
Envoyer à un ami
Commentaires
Crypter ou non les MDP dans une BDD est un choix. Celui par défaut est bien sur le cryptage mais dans le cas présent, au vu de la faible criticité de l’application (des blogs de boutonneux) et des connaissances limités en informatique des utilisateurs il est bien plus simple pour tout le monde de les garder en clair afin de leur renvoyer si ceux-ci les oublie. Le problème bien plus grave ici est la méthode d’intrusion pour obtenir cette BDD.
Poster un nouveau commentaire