Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Gestionnaires de mot de passe sous Android – Attention à la fuite…

Si vous utilisez un gestionnaire de mot de passe de type Lastpass, SecureSafe, RoboForm et d’autres, il y a un truc sur lequel j’aimerai attirer votre attention.

Lorsque vous utilisez un logiciel client de ce genre sous Android, celui propose généralement de remplir automatiquement les champs login et mot de passe de vos sites web ET de vos applications. Si ce n’est pas le cas, ce qu’on fait tous en général, c’est d’aller dans le gestionnaire de mot de passe, copier le mot de passe et le coller dans le champ qui va bien.

Dans les 2 cas, grave erreur ! Car il est très simple pour une application tierce tournant sur votre téléphone, d’intercepter le contenu du presse papier. Évidemment, et contrairement aux versions desktop, il n’y a pas d’API sous Android et les navigateurs mobiles pour permettre de passer des mots de passe de manière sécurisée. Les développeurs de ces gestionnaires de mot de passe mobile ont donc dû trouver un moyen détourné de transmettre ce login et ce mot de passe et cela se fait via le presse papier.

Voici la liste des applications testées par les chercheurs qui soulèvent ce problème :

tests

Il faut que vous ayez bien conscience de ça avant d’utiliser de tels logiciels. N’importe quelle app vérolée installée sur votre smartphone peut récupérer ces identifiants et les transmettre dans votre dos à d’affreux criminels. Pour démontrer cette possibilité, le développeur Xbao a mis au point un soft baptisé ClipCaster qui intercepte tout simplement le contenu de votre presse papier (et donc vos logins et vos mots de passe). Il s’agit d’un proof of concept pour montrer que ça fonctionne…

clipcaster

Les chercheurs en sécurité qui soulèvent ce problème proposent 2 solutions pour arranger ça. La première consiste à modifier le presse-papier d’Android afin de le segmenter et le sécuriser pour que seules les applications autorisées puissent accéder à son contenu. La seconde possibilité passe par un soft de clavier qui pourrait communiquer avec les gestionnaires de mot de passe via une API et transmettre le mot de passe en toute sécurité aux sites et aux applications. Je pense que Swiftkey a un coup à jouer sur ce créneau. Voici comment ça se passerait en théorie :

usb

Mais attention, rien de tout cela n’existe pour le grand public… Donc ce que je vous recommande si vous utilisez un gestionnaire de mot de passe sous Android, c’est d’afficher en clair votre mot de passe, de le mémoriser et d’aller le retaper vous-même dans le bon champ. Bref, d’utiliser votre mémoire comme d’un presse papier ;-)Autrement, choisissez bien votre gestionnaire de mot de passe, car certains ne sont pas sérieux lorsqu’ils communiquent avec les serveurs (dans le cas de mots de passe stockés dans le cloud). Si la TLS (couche de chiffrement) n’est pas correctement implémentée, il est possible via une attaque Man In The Middle (MITM) d’intercepter votre identifiant principal (login+pass) pour déverrouiller cette base de mots de passe. C’est le cas par exemple de RoboForm et SecureSafe qui échouent lors de la vérification des certificats TLS, laissant la porte ouverte aux interceptions MITM. Par contre sur LastPass, les chercheurs n’ont pas réussi à pratiquer d’attaque MITM, car la vérification des certificats TLS se fait bien.Maintenant vous savez…

Merci à Nicola pour le partage.


Microsoft Surface Book 2, 13,5″ Argent

Core i5, 8Go de RAM, 256Go, Windows 10 Pro – 22% de réduction

Profitez de 4 fois plus de puissance et de jusqu’à 17 heures1 d’autonomie. Des performances graphiques exceptionnelles désormais disponibles en deux tailles d’écran PixelSense
Le nouveau Surface Book 2 regroupe un ordinateur portable polyvalent, une tablette et un studio portable tout-en-un.

Léger et puissant, Surface Surface Book 2 offre un design innovant avec sa charnière si particulière qui confère à la machine un aspect robuste mais sans sacrifier la mobilité de l’appareil.

En Savoir +



6 outils pour cloner un disque dur sous Windows et Linux

Cloner c’est facile… Bon, ok, cloner un bébé, c’est déjà plus complexe mais un disque dur, c’est l’enfance de l’art… Alors bien sûr le logiciel le plus connu pour ça, est Ghost de Symantec mais au prix de 999,99 euros HT (j’déconne, je ne connais pas le prix en vrai), c’est déjà plus rentable de se mettre à cloner son petit frère artisanalement dans le garage …

Lire la suite



Générer du bruit de fond pour polluer les datas récoltées par les boites noires

Si vous voulez surcharger les boites noires utilisées par votre pays afin de tout savoir sur vous et ainsi mieux vous contrôler, voici Noisy.

Ce script python n’a d’autre but que je générer de fausses données sur le réseau afin de pourrir les éventuelles données récoltées sur vous.

Ce bruit de fond est constitué de requêtes DNS / HTTP(S) aléatoires et peut tourner aussi dans un Docker…

Lire la suite



Que faire quand on n’arrive pas à tomber sur le portail captif d’une borne wifi publique ?

Quand on se connecte à un réseau public wifi, il arrive parfois qu’on ait du mal à obtenir le fameux « portail captif »‘ où on nous demande en général notre adresse email, avant de nous laisser librement surfer. En effet, sur certaines bornes wifi, le truc est tellement mal configuré que si vous entrez l’URL de votre moteur de recherche préférée ou de Facebook et bien vous n’obtiendrez rien…

Lire la suite



Comment accélérer l’indexation de la recherche Windows ?

Pour proposer une recherche locale rapide, Windows utilise ce qui s’appelle un « indexeur« . Il s’agit d’un process qui tourne en tâche de fond sur votre ordinateur et qui réalise un index de l’ensemble des fichiers et dossiers présents sur votre disque dur. Pour ne pas consommer trop de ressources, ce service se déclenche uniquement lorsque votre machine n’est pas trop utilisée et à intervalle régulier…

Lire la suite