Le 24 juin dernier c’était la XVe Nuit du Hack. Une fois encore un excellent cru, même si malheureusement, je n’ai pas pu aller jusqu’au bout avec mes 40° de fièvre.
Tant pis, je me rattraperai l’année prochaine, mais heureusement, Nowtech.tv était là et je peux donc me consoler avec la super émission qu’ils ont réalisée là bas.
Merci Marion, merci Jérôme !
Il y a un truc simple que vous devez absolument faire sur tous les services que vous utilisez (ou au moins ceux que vous jugez comme cruciaux), c’est activer l’authentification double facteur appelée aussi 2FA. Le concept est simple, une fois activé, en plus de votre mot de passe, on vous demandera un code unique valide sur une durée limitée. Ce code unique est parfois envoyé par email, parfois par SMS, et parfois disponible dans une application dédiée rien qu’à ça.
C’est très important d’activer l’authentification double facteur, car en cas de vol de mot de passe (via une attaque man in the middle, un phishing ou autre), il n’y a plus de barrière qui s’oppose au criminel qui veut se connecter sur l’un de vos comptes. Et cela peut avoir des conséquences dramatiques comme le vol d’argent (PayPal, la banque…etc.), ou l’usurpation d’identité (Twitter, Facebook, votre boite mail…etc.).
L’envoi de code par SMS ou email est la méthode la plus courante, car la plus commode. Il suffit d’avoir as à votre boite mail ou à votre carte SIM avec le bon numéro de téléphone et c’est réglé.
MAIS si j’écris cet article aujourd’hui, c’est pour vous décourager d’utiliser l’authentification double facteur autrement qu’avec une application dédiée. Et je vais vous expliquer pourquoi.
Prenons d’abord l’exemple de la boite mail. Si un quelqu’un prend le contrôle de votre boite mail, il pourra tout faire, y compris réinitialiser vos mots de passe sur tous vos sites préférés et lorsqu’un code 2FA lui sera demandé, il le recevra direct par mail. Donc ça ou rien c’est presque la même chose.
Le code 2FA reçu par SMS est-ce qu’il y a de plus pratique et c’est ce que la plupart des gens choisissent. Il suffit d’avoir accès à une SIM avec son numéro et c’est bon. Évidemment, le jour où vous changez brusquement de numéro de téléphone, vous l’avez dans l’os. Et là, ça dépendra des sites. Pour certains, ce sera mort et perdrez à tout jamais votre compte. Pour d’autre, il y aura toujours moyen de récupérer un mot de passe et de faire sauter le 2FA (mais à quoi bon avoir mis cette protection dans ce cas ?) et dans d’autres cas, l’accès pourra vous être rendu, mais toutes les données de votre compte seront effacées. Ce qui peut aussi être problématique.
Mais je vous déconseille aussi d’activer le 2FA par SMS.
Pourquoi ?
Et bien pour 2 raisons…
La première, c’est que certains ont trouvé le moyen d’exploiter une faille dans le protocole SS7 des réseaux mobiles afin de détourner des SMS. Comme l’explique cet article, des gens se sont fait piller leur compte en banque juste comme ça à cause de cette faille.
Mais il n’est pas nécessaire d’aller aussi loin dans la technique quand on peut compter sur la négligence de nos opérateurs téléphoniques (et ça, c’est la seconde raison). En effet, je vois souvent des articles ou des tweets qui expliquent qu’un criminel à trompé le call center d’un opérateur pour se faire envoyer une copie de la carte SIM de sa victime et ainsi lui dérober de l’argent.
C’est moche hein. C’est donc aussi pour ça que je vous déconseille de vous faire envoyer vos codes 2FA par SMS.
Alors que nous reste-t-il ?
Et bien la dernière option, c’est une application qui vous génère des codes 2FA à la volée. Et là sans être infaillible, c’est déjà un peu plus costaud, car si quelqu’un veut accéder à vos comptes, il devra, en plus de récupérer votre mot de passe, vous voler votre téléphone et connaitre le code pour le déverrouiller. Bien sûr si vous n’avez mis aucune sécurité de verrouillage à votre smartphone, que votre application 2FA ne vous réclame pas de code PIN ou de mot de passe et qu’en plus, vos mots de passe de sites web sont enregistrés dans votre navigateur, je ne peux rien faire pour vous. Limite, vous méritez de vous faire piller votre compte bancaire.
Notez que quand vous activez l’authentification double facteur pour l’utiliser via une app, il faut être très précautionneux. En effet, le site vous fournira une clé ou un QR code qu’il faudra conserver en sécurité quelque part pour que si vous perdez votre téléphone ou que vous le formatez, vous puissiez toujours accéder à votre compte.
Il existe masse d’applications 2FA donc loin de moi l’idée de vous en conseiller une ultime… Mais évitez Google Authenticator ou FreeOTP qui ne permettent pas de configurer un code de verrouillage (Pin ou mot de passe). Évitez aussi toutes les apps qui vous force à stocker vos configs 2FA dans le cloud en échange de la création d’un compte chez eux.
De toutes celles que j’ai testées, mes préférées sont Authy et LastPass Authenticator (qui propose un backup sur votre compte Lastpass, mais vous n’êtes pas obligé de l’activer).
Voilà… Donc pour résumer :
Je pense que j’ai tout dit !
Bonne activation de 2FA à tous !!
Je pense que vous n’avez pas encore la place d’accueillir chez vous un ordinateur quantique (ni chez moi je vous rassure), puis de toute façon Steam n’est pas encore dispo sur ce genre de bécanes, alors à quoi bon ?
Non, ce n’est pas une raison pour ne pas s’intéresser à cette techno. Je vous propose de regarder cette vidéo en anglais (avec sous titres VO) de Linus tech tips, qui s’est rendu chez D-Wave, l’un des fabricants d’ordinateurs quantiques les plus connus, pour vous montrer à quoi ça ressemble *vraiment* et comment ça fonctionne.
J’ai toujours beaucoup aimé les films catastrophes même ceux de seconde zone avec des effets spéciaux pourris qui passent sur M6. Quoique maintenant que le climat part en sucette, c’est un peu moins « fun ».
Mais bon, nos amis américains n’ont pas abandonné le genre et reviennent avec Geostorm. L’histoire se situe dans un monde où l’Humain a appris à maitriser le dérèglement climatique grâce à une flopée de satellites capable d’influencer la météo. Le mec en charge de ce truc c’est Jake, incarné par Gerard Butler et malheureusement, il galère un peu, car il semblerait que le réseau de satellites soit sous l’emprise de quelqu’un d’autre (un hacker avec une capuche ?) qui s’amuse à lancer une giga tempête mondiale… Une « geostorm ».
On est donc dans le même esprit que le film 2012 sauf que là ce n’est pas la nature toute seule, mais l’Homme qui prend le contrôle de la nature pour détruire l’Humanité. D’une logique sans faille. Un peu triste quand même de se dire qu’à Hollywood, ils considèrent que le réchauffement climatique c’est mort, et qu’on a plus qu’à espérer qu’un génie trouve le moyen technologique de réguler le climat.
J’ai lu quelques critiques de la bande-annonce et tout le monde pense que ce film est une grosse bouse annoncée. Ça tombe bien, j’adore les grosses bouses cinématographiques. C’est donc un film que je vais attendre avec impatience.
Date de sortie le 1er novembre 2017 !
Hier, le développeur Christian
Mais avant d’aller plus loin, qu’est-ce qu’une « zip bomb » ? Et bien cela consiste à créer un fichier zip contenant de la donnée ultra répétitive qui ne pèsera que quelques kb dans sa version compressée, mais qui générera un fichier de plusieurs petabytes si vous tentez de le décompresser. L’idée est bien évidemment de faire crasher la machine ou le soft en saturant le disque dur ou la RAM.
Vous pouvez trouver une bombe zip en téléchargement ici, si vous voulez faire sauter votre disque dur. Le concept de la zip bomb est assez ancien et Christian l’a adapté pour défendre son site et faire chier les scripts kiddies.
Les navigateurs ne sachant pas décompresser du zip, il a donc fabriqué une gzip bomb…
…qu’il envoie ensuite via une page PHP lorsqu’il détecte le user-agent d’un scanner de vuln (voir son article pour consulter le code associé).
C’est basic, mais efficace car ça fait planter des navigateurs comme Chrome, IE ou encore Edge et détraque certains scanners de vuln comme SQLmap ou Nikto.
Maintenant si vous voulez tester par vous même, vous pouvez cliquer ici à vos risques et périls : https://blog.haschek.at/tools/bomb.php
Source
Après les Galaxy Note 7 qui prend feu, le spot de pub qui nous explique que maintenant, ça y est, ils ont compris et ils font les meilleurs tests qualité possibles sur leur matos, voici que la sécurité de déverrouillage par l’iris présente dans le Galaxy S8 et le Galaxy S8 Plus est mise à mal.
En effet, les hackers du CCC…