Une banque est la risée des hackers et du web, suite à sa manière de se prémunir des injections SQL

Une banque est la risée des hackers et du web, suite à sa manière particulière de se prémunir des injections SQL

Une banque californienne a une manière bien particulière de se protéger des attaques par injection SQL. Dans la FAQ de son site, l'établissement demande à ses clients de ne pas utiliser les mots suivants (comme réponse à leur question secrète) : insert, delete, drop, update, null et select.

Cette information a été découverte le 14 mai et depuis, elle a fait le tour du web, suscitant de grands fous rires dans la communautés des amateurs et professionnels de la sécurité informatique. Depuis hier, la FAQ n'est plus en ligne mais, fort heureusement, nous disposons d'une capture d'écran de ce qui avait été publié :

http://sqlblogcasts.com/blogs/simons/image_5E4D2DE6.png

Source : Le site Internet de la banque Sactocu

:fleche: Que pensez d'une telle publication de la part de professionnels, qui plus est, dont le rôle est de protéger votre argent ?

:fleche: Le site de cette banque est-il suffisamment sécurisé selon-vous ?

Ça me fait penser à une entreprise qui avait fait sous traiter un projet web en Inde. Lors de l'inscription, quand on choisissait son mot de passe, on pouvait avoir comme erreur :
"ce mot de passe est déjà utilisé, veuillez en choisir un autre" :mrgreen:

Utiliser une blacklist de mots pour securiser des forms contre les injections SQL est une mauvaise idee (j'espere que quelqu'un a prit le temps de leur dire).

Vraiment trop drôle... d'autant plus que leur système s'appelle "Protection Plus" !!!

Rohhh ils préviennent peut-être simplement qu'ils seront refusés, si ça se trouve il y a d'autres sécurités plus sérieuses derrière... enfin j'espère!

Je ne comprends pas les choses de cette manière, même si c'est effectivement curieux.

Ce qu'ils me semblent essayer de faire, c'est demander à leurs clients qui ne connaissent rien à SQL de ne pas utiliser ces mots, car ils font l'objet d'un traitement particulier.

Cela ne signifie pas que les clients risquent de mettre la base par terre en les utilisant, mais peut-être que les internautes utilisant ces mots sont trackés dans le but de répertorier les sources d'attaques potentielles, peut-être à l'aide de techniques particulièrement pointues comme celle du browser fingerprint décrite par l'EFF.

Je peux me tromper, mais c'est tellement tentant de chercher la bêtise innommable en première lecture.

J'espère bien pour eux que ce n'est pas la seule barrière anti injection qu'ils aient trouvé !!

En attendant ça va que ce n'est qu'une réponse à une question secrète. Car si cette technique devait être généralisée et appliquée partout, et notamment sur le forum développez nous ne pourrions pas répondre à cette news qui n'aurait pas pu être publiée...

C'est risible surtout et simplement parce que ce n'est pas comme ça que l'on combat l'injection.

Citation:

---

Envoyé par jayfaze

Ça me fait penser à une entreprise qui avait fait sous traiter un projet web en Inde. Lors de l'inscription, quand on choisissait son mot de passe, on pouvait avoir comme erreur :
"ce mot de passe est déjà utilisé, veuillez en choisir un autre" :mrgreen:

---

Oh les boulets :ccool:

En même temps si deux personnes choisissent le même mot de passe, c'est probablement qu'elles devraient faire un effort d'originalité, mais du coup j'aurai plutôt mis comme message:
" merci de ne pas mettre 'Motdepasse123' " :D

Déjà rien que le nom de la banque....:mouarf3:

Citation:

---

Envoyé par Katleen Erna

:fleche: Le site de cette banque est-il suffisamment sécurisé selon-vous ?

---

• Est-ce une invitation à tester leur sécurité ?:bug:
• Où bien un mot d'explication, parmi d'autres causes possibles, à destination des blondes américaines pour leur expliquer pourquoi leur réponse à la question secrète est rejetée ? :cfou:
• Où encore, une connerie de leur service de marketing :hola: qui a pensé que ce serait bien d'expliquer que leur site est sécurisé et n'ont rien pigé à ce que le service informatique leur a expliqué ? :scarymov: :mur: :boulet:

Citation:

---

Envoyé par Katleen Erna

Dans la FAQ de son site, l'établissement demande à ses clients de ne pas utiliser les mots suivants (comme réponse à leur question secrète) : insert, delete, drop, update, null et select.

---

Génial ! On peut quand même utiliser le mot TRUNCATE... :aie:

Citation:

---

Envoyé par Perplexe

Je ne comprends pas les choses de cette manière, même si c'est effectivement curieux.

Ce qu'ils me semblent essayer de faire, c'est demander à leurs clients qui ne connaissent rien à SQL de ne pas utiliser ces mots, car ils font l'objet d'un traitement particulier.

Cela ne signifie pas que les clients risquent de mettre la base par terre en les utilisant, mais peut-être que les internautes utilisant ces mots sont trackés dans le but de répertorier les sources d'attaques potentielles, peut-être à l'aide de techniques particulièrement pointues comme celle du browser fingerprint décrite par l'EFF.

Je peux me tromper, mais c'est tellement tentant de chercher la bêtise innommable en première lecture.

---

j'aime bien cette explication.

Qu'attendiez vous d'une banque qui s'appelle Sactocu ? (sac ton cul)
:aie:

Citation:

---

par Namica
:arrow:Est-ce une invitation à tester leur sécurité ?

---

Effectivement en regardant ça donne terriblement envie de tester leur securité ^^ (juste pour essayer je ne suis pas un pirate ni un voleur...enfin après c'est une banque vu ce qu'elle contient :s...)

J'espère juste qu'il y a d'autres securités derriere parceque sinon... :X

Apparition de premiers braqueurs en ligne? :)

Citation:

---

Ça me fait penser à une entreprise qui avait fait sous traiter un projet web en Inde. Lors de l'inscription, quand on choisissait son mot de passe, on pouvait avoir comme erreur :
"ce mot de passe est déjà utilisé, veuillez en choisir un autre"

---

Ils auraient pu mettre "Ce mot de passe est déjà utilisé par jayfaze" :mouarf: