La vie numérique d’un journaliste détruite en une heure

La vie numérique d’un journaliste détruite en une heure
Google recommande l’utilisation de l’authentification à deux facteurs pour sécuriser son compte

Google exhorte les internautes à utiliser l’authentification à deux facteurs suite au pirate du compte d’un journaliste de Wired.

Mat Hanon, un journaliste du magazine Wired a publié récemment un article de quatre pages qui a fait un véritable tollé sur Techmeme.com. Celui-ci raconte comment sa vie numérique a été détruite en moins d’une heure.

« En l’espace d’une heure, toute ma vie numérique a été détruite. D’abord, mon compte Google a été piraté, puis supprimé. Ensuite, mon compte Twitter a été compromis et utilisé comme une plateforme pour diffuser des messages racistes et homophobes » explique Hanon « Et le pire de tout, mon compte AppleID a été piraté, et les pirates l’ont utilisé pour effacer à distance toutes les données sur mon iPhone, iPad et MacBook ».

Une triste situation qui aurait pu être évitée si Hanon avait eu recours à une authentification à deux facteurs. « À bien des égards, ce fut de ma faute » regrette Hanon « Mes comptes étaient liés. En accédant à Amazon, les pirates sont entrés dans mon compte AppleID, qui les a permis de s’infiltrer dans Gmail et par la suite à Twitter. Si j’avais utilisé l’authentification à deux facteurs sur Google, j’aurais pu limiter les dégâts ».

L’authentification à deux facteurs est un mode d’identification sécurisé qui oblige l’utilisateur à posséder un mot de passe et un jeton ou un certificat. Ce mode de sécurisation avancé avait été intégré à l’ensemble des services de Google en février 2011.

Suite à la mésaventure de Hanon, Matt Cutts, ingénieur en chef chargé de la recherche chez Google, attire l’attention des internautes sur les risques de sécurité dont peut être victime leur compte, et encourage ceux-ci à utiliser l’authentification à deux facteurs.

http://www.youtube.com/watch?v=zMabEyrtPRg

:fleche: L'article de Mat Hanon sur Wired


Source : Billet de Matt Cutts


Et vous ?

:fleche: Utilisez-vous l'authentification à deux facteurs ? Que pensez-vous de cette mésaventure de Mat Hanon ?

Citation:

---

Envoyé par Hinault Romaric

:fleche: Utilisez-vous l'authentification à deux facteurs ?

---

L'inconvénient de l'authentification en deux étapes, c'est que ça ne marche pas lorsque vous utilisez par exemple un client pour lire vos courriels.
Si tel est le cas, Google vous génèrera un simple mot de passe à utiliser dans l'application : https://support.google.com/mail/bin/...answer=1173270

Donc l'attaquant n'aura qu'à s'attaquer à ce mot de passe, et on en revient au problème initial.
À deux détails près :
* l'attaquant ne pourra pas accéder à la configuration du compte
* si vous oubliez votre téléphone chez vous, vous êtes grillés jusqu'à ce que vous rentriez.

Je vais ce pas me renseigner sur cette option. Je me rappelle pas en avoir vu parler à l'époque.

De toute manière, je m'emploie à utiliser un couple d'identifiant et de mot de passe différent pour chacun des comptes que je peux avoir. C'est même parfois compliqué de se souvenir de tout ses mots de passe. Le seul point faible reste l'adresse email au final.

Merci.

Un mot de passe complexe (enfin plusieurs différents selon les comptes) est selon moi la meilleure sécurité quant à un log...
Une dizaine de caractères minimum avec des spéciaux, maj, min, et chiffres (qui ne formant évidemment pas un mot compréhensible)...
Après, si le hacker s'acharne à le forcer, sans être bloqué automatiquement par le serveur pour tentatives trop nombreuses, c'est qu'il vous en veut vraiment...

Les autres solutions présentent des avantages, mais également des inconvénients, qui peuvent être vachement handicapants selon l'utilisation... :aie:

En tout cas, ça ne m'est jamais arrivé encore, le risque existe, mais j'espère ne jamais vivre ce que cet homme a vécu, car bien que ce ne soit que du virtuel (bien que le mail ait une portée autrement plus importante..), c'est quand même du temps et de l'investissement qui part en fumée à cause de la bêtise de deux-trois plaisantins...

Citation:

---

Envoyé par Hinault Romaric

:fleche: Utilisez-vous l'authentification à deux facteurs ?

---

Oui, depuis quelques mois. C'est pas mal, c'est vraiment sécurisant.

Par contre c'est un peu contraignant : à chaque fois qu'on essaie de se connecter à partir d'un nouvel ordinateur, il faut saisir un code reçu par SMS... sauf que le SMS n'arrive pas toujours. Dans ce cas il y a aussi une option pour se faire appeler, qui marche généralement bien. Cette procédure est répétée toutes les quelques semaines, même sur les ordinateurs qu'on utilise régulièrement.

Citation:

---

Envoyé par ProgVal

L'inconvénient de l'authentification en deux étapes, c'est que ça ne marche pas lorsque vous utilisez par exemple un client pour lire vos courriels.

---

Si, ça marche très bien... c'est juste qu'il ne faut plus utiliser le mot de passe "principal" du compte, mais un mot de passe généré par application. Ce système permet aussi de révoquer les mots de passe séparément ; par exemple si tu t'es fait voler ton téléphone, tu as juste à révoquer le mot de passe utilisé par le téléphone, sans impacter les autres applications.

Je suppose que l'OTP est lié à "l'appareil" (modèle, serial nr...).

Et si l'on perd/vole cet appareil, comment accéder notre compte Google pour redéfinir un autre appareil (et détruire l'ancien lien entre le compte et l'appareil perdu)? :aie:

Edit: la réponse est au dessus :ccool:

Je viens de le faire et j'ai reçu cet email de la part de Google:

Citation:

---

Cher titulaire de compte Google,

Nous vous remercions d'avoir activé la validation en deux étapes. Maintenant que votre compte est mieux protégé, il ne vous reste plus qu'à suivre quelques étapes supplémentaires pour vous assurer de toujours avoir accès à celui-ci.

DÉFINISSEZ UN NUMÉRO DE TÉLÉPHONE DE SECOURS

Que faire si vous n'avez pas votre téléphone sur vous ? Si vous perdez l'accès au téléphone correspondant à votre numéro de téléphone principal, nous pouvons envoyer un code à un numéro de téléphone secondaire, à votre domicile ou au travail. Pour configurer un numéro de téléphone secondaire, procédez comme suit :

Rendez-vous sur https://accounts.google.com/SmsAuthConfig.
Cliquez sur "Ajouter un numéro de téléphone" à côté de "Numéro de téléphone secondaire".
Saisissez votre numéro de téléphone et choisissez de recevoir les codes par SMS ou appel vocal.

IMPRIMEZ PLUSIEURS CODES SECONDAIRES

Si vous êtes en déplacement ou si vous n'avez pas accès à votre téléphone principal ou secondaire, vous pouvez utiliser un code de secours pour vous connecter. Nous vous fournirons 10 codes à conserver dans votre portefeuille ou à enregistrer sur votre ordinateur. Si vous n'avez plus de codes, vous pouvez en créer de nouveaux.

Rendez-vous sur https://accounts.google.com/SmsAuthConfig.
Cliquez sur "Afficher/Générer des codes".
Imprimez ou téléchargez vos codes, et conservez-les en lieu sûr.

---

Donc on peut se permettre d'utiliser ces codes secondaires pour éviter l'oubli du téléphone ou tout simplement le fait de ne pas recevoir le SMS.

Chaque code secondaire n'est aussi valable qu'une seule fois comme indiqué sur la page:

Citation:

---

Rappel
Si vous êtes en déplacement, ou que vous n'avez pas votre téléphone à portée de main, vous pouvez utiliser les codes supplémentaires pour accéder à votre compte. Chaque code vous permet de vous connecter une fois sans votre téléphone. Ils ne sont soumis à aucune date d'expiration.

---

Bref ça me va :-)

Petite précision: son mot de passe n'a pas été cassé. L'assaillant, à la base, cherchait à pirater le compte Twitter car celui-ci avant un identifiant à trois lettres (j'ai un peu de mal à comprendre l'intérêt de ceci: est-ce-que cela a une importance particulière sur Twitter, ou est-ce-que c'était juste facile à trouver au hasard?).

Avec ça il a trouvé le site web du journaliste,il a utilisé la récupération de mot de passe, qui lui a donné une nouvelle addresse mail, celle-ci liée à un compte AppleID. Ensuite, il a appelé le support d'Amazon et s'est fait passer pour Honan en utilisant l'addresse mail de celui-ci et les informations trouvée par un Whois sur son site web, ce qui lui a permis d'ajouter une (fausse) carte de crédit au compte. Ensuite, grâce aux infos de la nouvelle (fausse) carte, il a rappellé Amazon en disant avoir perdu l'accès à son compte, et voilà, il a eu accès au compte Amazon (WTF #1).

Ensuite, il a pu voir sur Amazon les 4 derniers chiffres du numéro de la vrai carte de crédit du journaliste, et avec cela il s'est fait passer pour lui auprès du support Apple (WTF #2). Avec le compte AppleID, il avait accès aux appareils et à tous les comptes divers du journaliste: Gmail, Twitter, etc (WTF #3).

(source: Honan lui-même)

Deux leçons majeures à en retenir:
1) cloisonnez vos comptes (c'est le B.A. BA!)
2) le maillon faible est presque toujours humain; dans ce cas, c'était les supports d'Amazon et d'Apple

Citation:

---

Une dizaine de caractères minimum avec des spéciaux, maj, min, et chiffres (qui ne formant évidemment pas un mot compréhensible)...

---

à méditer...

J'aime les site forçant à utiliser un mot de passe de 6 à 8 caractère comprenant au moins 2 chiffres et 1 majuscules, 3 caractères spéciaux, ... Dans 99.99% des cas, le mot de passe se retrouve en claire dans notre boite e-mail ou sur un post-it sous l'écran car impossible de s'en rappeler autrement...

Citation:

---

Ensuite, il a appelé le support d'Amazon et s'est fait passer pour Honan en utilisant l'addresse mail de celui-ci et les informations trouvée par un Whois sur son site web, ce qui lui a permis d'ajouter une (fausse) carte de crédit au compte.

---

Violent Amazon sur le coup... Là, ça fait vraiment peur :/


pyros : ben après l'humain est toujours le maillon faible de la chaîne mais bon... Je ne parle pas professionellement parlant, mais dans le milieu personnel, tu risques bien moins d'avoir un mot de passe complexe écrit sous l'écran, qu'un mot de passe style "tulipe" que t'utilises de partout et qui est facilement cassable par un petit chinois.
Perso j'utilise plusieurs mots de passes complexes suivant le type de compte (inutile, adresse mail, compte ayant de l'argent dessus, etc...), et en 5 ans que j'ai ce système, je connais très bien mes pass, où les utiliser, et je n'ai jamais eu un seul soucis (ce qui ne veut pas dire que je n'en aurais jamais^^).
Donc je ne note rien nulle part (un mot de passe complexe ne veut pas forcément dire qu'il est dur à retenir... Faut avoir un système perso après, et un minimum de mémoire par la suite^^), et les mots de passes sont je pense assez difficiles à forcer...

Malheureusement, si Amazon ou Apple fait fi de toute sécurité, et qu'un simple appel et quelques informations trouvables très facilement, suffisent à faire des opérations sur le compte (cf la fausse carte chez Amazon), là... toutes les sécurités du monde n'y peuvent rien :/
Quoique, peut-être que la hotline Google n'est peut-être pas aussi teubée...

J'avais lu un article je ne sais plus où disant qu'il vaut mieux avoir un mot de passe long mais simple plutôt que court mais compliqué avec des majuscules, chiffres etc.

Sinon c'est bien gentil tout ça, mais si ça doit devenir un parcours du combattant d'arriver à sa boîte mail je n'en vois pas bien l'intérêt.

Un jour prochain, une grosse société adepte du cloud, de ses facilités et de son image 'dans le vent' va se faire planter comme ce monsieur.

Les dégâts seront colossaux même avec la restore gratuite inclue dans le forfait 'starto cumulus'.

Les nuages c'est bien, les pieds sur terre, c'est pas mal aussi.

WOZ à raison.

Citation:

---

Envoyé par Ble4Ch

c'est quand même du temps et de l'investissement qui part en fumée à cause de la bêtise de deux-trois plaisantins...

---

Rien n'a été perdu, notre brave journaliste a récupéré toutes ses données grâce à Apple.

(d'ailleurs faudrait que je relise plus attentivement les clauses de Me (iCloud).
Si les documents supprimés sont restauration sous quelques jours, ok, si Apple a le droit de conserver tout ce qu'il veut, même quand l'utilisateur souhaite vraiment les supprimer ... :? )

Citation:

---

Envoyé par tomlev

Si, ça marche très bien... c'est juste qu'il ne faut plus utiliser le mot de passe "principal" du compte, mais un mot de passe généré par application. Ce système permet aussi de révoquer les mots de passe séparément ; par exemple si tu t'es fait voler ton téléphone, tu as juste à révoquer le mot de passe utilisé par le téléphone, sans impacter les autres applications.

---

Je sais, lis la suite de mon message ;)

J'avais lu à propos de cette mésaventure que tout n'était pas parti du compte Google mais du compte iCloud après que les pirates aient réussi à embobiner un hotliner Apple pour avoir l'Apple ID du journaliste. Dans ce cas, la faille est humaine, même si une authentification à deux facteurs aurait probablement permis de limiter la casse.

Je suis adepte de la vérification en deux étapes depuis ses débuts, j'avais toujours peur de me faire voler mon compte gmail lié à pas mal de service.
Sachant que si on vous vole votre compte on peut très bien modifier l'adresse de récupération, la question secrète, le numéro de récupération, bref toutes les options de récupération... Et après pour récupérer le compte on a droit à une super page posant des questions sur le compte et son utilisation, notamment la date d'inscription aux différents services (franchement, qui peut répondre à ça ?!)

J'ai toujours voulu un système à deux mots de passes, l'un pour se connecter et utiliser les services google, l'autre pour modifier les paramètres sensibles du compte.

La vérification en deux étapes ajoute beaucoup de sécurité au compte.
On peut mémoriser un PC pendant 30 jours pour ne plus avoir à rentrer le code secondaire (sur PC personnel par exemple).

Jamais eu de problème, si j'oublie mon téléphone au boulot j'ai toujours la possibilité de récupérer un code sur mon Fixe (numéro secondaire), et si j'ai aucun des téléphones à portée de main, j'ai toujours les numéros de secours.

Associé à mon MDP de 18 caractères (Chiffres / majuscules / caractères spéciaux) je pense que le compte est pas mal sécurisé.

Le dernier risque c'est que l'on connaisse mon MDP (keylogger) et qu'on ait accès à une session ouverte de mon compte, le système permettant de modifier les options de sécurité sans passer par la validation.

Citation:

---

Envoyé par ProgVal

Je sais, lis la suite de mon message ;)

---

Par contre me semble bien qu'un "MDP d'application" n'est utilisable qu'une seule fois à la fois : deux services ne peuvent pas l’utiliser en même temps, donc le risque semble faible tout de même.

Et je ne vois pas trop comment se faire voler ce MDP, à part en ayant accès physiquement à la machine en question et encore, la plupart des logiciels chiffrent les MDP stocké.

J'avais écrit un article il y a plusieurs mois au sujet des passwords, pour éviter d'utiliser toujours le même tout en se facilitant la vie.

L'idée : utiliser un password de base, plus 5 lettres tirées du nom de domaine, et avec une permutation quelconque (césar, changement d'ordre, etc).

L'idée était de permettre d'utiliser un seul mot de passe sur sa machine, et les 5 lettres en plus sont ajoutées par un script greasemonkey. Dans le cas où l'utilisateur doit utiliser une autre machine, il peut retrouver le mot de passe complet en mémorisant la permutation.

L'article complet : http://www.xurei-design.be/2011/12/s...-greasemonkey/

Citation:

---

Envoyé par alextdr

Par contre me semble bien qu'un "MDP d'application" n'est utilisable qu'une seule fois à la fois : deux services ne peuvent pas l’utiliser en même temps, donc le risque semble faible tout de même.

---

D'accord, je ne savais pas

Citation:

---

Envoyé par alextdr

Et je ne vois pas trop comment se faire voler ce MDP

---

brute-force

Citation:

---

Envoyé par alextdr

la plupart des logiciels chiffrent les MDP stocké.

---

Si tel est le cas, il faut qu'ils le déchiffrent, donc la clef de déchiffrement est forcément stockée quelque part sur l'ordinateur.

Citation:

---

Envoyé par ProgVal

Si tel est le cas, il faut qu'ils le déchiffrent, donc la clef de déchiffrement est forcément stockée quelque part sur l'ordinateur.

---

Absolument pas. Le principe des systèmes d'authentification moderne est de comparer le cryptogramme de la saisie utilisateur au cryptogramme du mot de passe, donc le serveur peux ne jamais avoir connaissance du mot de passe en clair.