Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Le cadeau de Google et Facebook aux spammeurs

J’entends souvent dire : « Les réseaux sociaux, c’est le mal« 

Jusqu’à présent, je disais : « Mais nooon, il suffit juste de ne pas faire n’importe quoi avec…« 

Mais depuis que ces réseaux sociaux proposent en plus de leurs services, des boites emails, je suis en train de changer d’avis. Je vais vous expliquer pourquoi…

Prenons par exemple Google… Depuis peu, Google permet à chaque internaute de se créer un profil. Ce profil est public lorsque les gens cherchent votre nom… Vous pouvez y entrer votre nom, prénom, sexe, société, ville, un résumé de votre choix, vos centres d’intérêts et tout un tas de liens (blog, twitter, facebook…etc).

Jusque là, rien de bien gênant. Ces données sont dans le « réseau social Google »… et on a exactement le même genre d’infos sur Facebook (voir ma conclusion en bas de cet article).

Seulement, il y a un hic : Google vous propose d’afficher un profil public ayant comme URL votre boite Gmail.

Voici ma config (privée) :

Et voici ce que ça donne sur mon compte public :

Comme vous pouvez le voir, c’est bien mon login Gmail qui se trouve dans l’URL car j’ai activé le mode user friendly pour l’URL dans les paramètres de mon compte.

Cela veut dire que potentiellement, quelqu’un qui tombe sur mon profil, peut deviner mon adresse email @gmail.com. Trop con non ?

Bon, là vous me dites : « C’est tout ? Il est moisi ton scoop…« 

Tut, tut, tut, vous me connaissez, je garde toujours le meilleur pour la fin…

En effet, là où ça se corse, c’est que depuis 2008, Google laisse trainer publiquement sur le net, des fichiers sitemaps contenant l’intégralité des profils de ses utilisateurs. C’est logique puisqu’ils veulent les faire référencer afin de niquer Facebook.

L’info est connue depuis 4 ans, et aujourd’hui, c’est plusieurs milliers (ou millions ?) de profils qui sont accessibles via ces fichiers sitemap. Il suffit de faire un petit crawler pour récupérer ces milliers de liens vers les profils.

Bon, et alors ?

Alors vous n’avez pas une petite idée ?

Et bien, je sors mon joker Facepalm : Redirection 302 !!!

Ça veut dire que lorsque vous vous rendez sur l’une de ces URLs avec l’ID : https://profiles.google.com/000000000000000000 , celle-ci redirige automatiquement vers https://profiles.google.com/PSEUDOGMAIL.

Il faut pour cela que l’utilisateur ai configuré l’url de son profil pour qu’elle soit user friendly. Même si tout le monde ne le fait pas, le nombre d’URL vulnérables est loin d’être insignifiant.

Vous l’aurez compris, ça fait un bon paquet d’adresses emails OFFERTES par Google aux spammers… Dingue non ? Et surtout irresponsable de la part du géant d’Internet !

Le plus beau, c’est que tous ces profils, dont certains sont « privés » seront bientôt tous rendus public (ou supprimés… mais pas votre compte Gmail rassurez-vous). C’est pas moi qui le dit mais Google

A partir de votre email, mais aussi et surtout de vos centres d’intérêt, de votre nom, de votre lieu d’habitation, ou encore de vos relations amicales, il est possible très simplement pour un spammeur de forger des emails qui seront plus vrais que nature. Ce sont en effet ces informations qui ont de la valeur… Surtout les centres d’intérêt histoire de mieux cibler les emails.

Un petit exemple :

Bref, en espérant qu’ils tombent sur cet article et corrigent ce gros défaut de conception complètement hallucinant, je vous propose un moyen simple de sécuriser votre compte. Lorsque vous passez en mode édition sur votre profil Google, vous pouvez choisir l’URL que vous voulez pour votre profil : Soit avec l’ID (chiffre), soit avec votre pseudo Gmail.

Je vous recommande de sélectionner la première option, avec l’ID en chiffre. Ainsi, plus de redirection 302 et plus de possibilité pour un spammeur (ou un hacker) de « deviner » votre email.

J’ai ciblé cette news sur Google, mais sachez qu’il y a exactement le même souci avec Facebook depuis qu’ils ont mis en place l’option mail. Le login de l’utilisateur est par défaut dans l’URL (sauf si celui-ci l’a personnalisé) et il est possible de récupérer tous les profils des membres de Facebook simplement sur l’annuaire en libre accès.

Merci à Wecho pour toutes les infos et bonne nuit !

[Photo]


Amazon Music 3 mois à 0,99 €

Offre à durée limitée

Avec Amazon Music profitez de plus de 50 millions de titres sans publicité et en écoute illimitée.
Un mode hors connexion est également proposé, avec notamment la connexion aux appareils de la gamme Echo pour une commande vocale de toute votre bibliothèque musicale.

En Savoir +



LNAV – Un visualisateur de fichiers de logs libre et pratique

LNAV (Logfile Navigator) est un outil dispo pour Linux et macOS qui permet de visualiser et de parcourir des fichiers de logs de manière agréable et efficace.
En plus de la coloration syntaxique, de la prise en charge de formats de logs standards (Syslog, CUPS, dpkg, sudo, strace…etc), LNAV est aussi capable de décompresser à la volée des logs zippés (ou gzippés ou bzippés) mais aussi de rassembler (merge) des logs segmentés pour en faciliter la visualisation.

Lire la suite



Une faille de sécurité dans les processeurs risque de diminuer jusqu’à 30% les performances des machines

La grosse news d’hier, ce n’était pas Logan Paul filmant un pendu au Japon, mais plutôt ce gros « problème » qui touche l’ensemble des processeurs Intel fabriqués durant ces 10 dernières années. Le problème est en réalité 2 failles de sécurité très importantes qui permettent à n’importe quel programme malicieux d’accéder en lecture à la mémoire utilisée par le kernel (le noyau de l’OS et ses modules interagissant avec le hardware).

Lire la suite



Bandwidth Hero – Surfez compressé pour économiser de la bande passante

Si vous êtes un peu juste en bande passante et que vous voulez accélérer un peu les choses, je vous propose aujourd’hui de jeter un œil à Bandwidth Hero.

Il s’agit d’une extension open source pour Chrome et Firefox qui fonctionne de concert avec un serveur proxy. Ce serveur proxy récupère chaque image que votre navigateur demande, la compresse au format WebP/JPEG en basse résolution et vous la renvoie ensuite directement.

Lire la suite