Histoire de faille
Nous découvrons et recevons, en moyenne par jour, une faille ou un accès
vers un serveur web. La première chose que nous effectuons, avertir la
direction du serveur faillible. Voici une histoire que nous aurions pu garder
pour nous, mais nous préférons vous la relater car des cas comme
celui que nous allons vous présenter arrive encore trop souvent et les
sociétés que nous avons aidé aurait pu se faire piller par
des pirates sans aucune autre forme de procés.
(Article diffusé en 2002)
A l'abordage
La société Beneteau, n°1 mondial dans son secteur possède
un site "vitrine" avec une partie boutique en ligne. Il se trouve
qu'en cliquant sur le logo en haut à gauche, depuis l'une des pages de
la boutique en ligne, on arrivait sur une page administrateur avec un accès
login et mot de passe.
Cette page affichait fièrement un message de type "Vous arrivez
ici par hasard, cliquez là". Première chose, il est aberrant
de mettre un lien sur le site en direction de la section administration du site,
surtout que nous avons trouvé cette page en tapant le mot "Hasard"
via le moteur de recherche Google. Il se trouve que, par hasard justement et
un peu par curiosité, nous tapons "admin" en login (NDR : original
non ?) et "admin" en mot de passe et devinez quoi ? Cela a fonctionné.
Le plus terrible est que les mots de passe ne servaient à rien. Les pages,
censées être protégées par le mot de passe, étaient
accessibles via des liens référencés par les principaux
moteurs de recherche.

Exemples d'administrations accessibles...
trop facilement. Heureusement, depuis, elles sont corrigées.
Poussant la curiosité plus loin, nous avons été faire un tour sur le site de la société X, prestataire pour la société Beneteau. L'adresse pour les pages d'administration n'était pas située sous le nom de domaine de Beneteau mais sous celui de son prestataire. L'url était du type : /Pages/Admin/Adminxxx.html. Une erreur grave car en recherchant ce lien sur Google, par exemple, nous découvrons qu'aucun mot de passe n'est utile pour accéder aux sections "protégées". Nous avons rapidement contacté le prestataire qui va mettre moins de 2 heures pour corriger le problème. Il faut savoir qu'un pirate aurait pu effacer, modifier ou voler toutes les informations contenues dans cette partie.

Modifier les infos, les prix... des
possibilités offertes aux pirates face à des administrations de
sites mal protégées.
Cas d'école
Le cas Beneteau n'est pas unique. En une semaine nous avons eu le même
problème pour MTV.fr ou encore Prosys. Des failles ouvertes qui auraient
pu permettre à n'importe quel idiot du village, ou concurrent, d'avoir
une masse d'informations sensibles sur ces sociétés. Pour MTV
par exemple, l'accès à la partie administration aurait pu permettre
de modifier les classements des chanteurs en France, Angleterre,
Mtv.fr
nous a répondu dans l'heure, dans la foulée le problème
était corrigé. Pour Prosys, la timidité ne leur à
pas permis de nous répondre. Ils ont corrigé, c'est le principal.
Juste un détail, imaginez que des gosses découvrent ce genre de
problème, décident de contacter les " victimes " et
ne reçoivent aucune réponse. Fabriquer des frustrés n'est
pas la meilleure des solutions pour protéger nos entreprises.
a>
Un client très populaire pour Windows Live Messenger, MessengerFX, laisse la possibilité à un pirate d'accéder à la liste des contacts d'un utilisateur légitime.
Le Centre de formation à la défense contre des attaques cybernétiques sur Internet va ouvrir en Estonie.
Radware reçoit le prix de l’innovation produit 2008 du Network Products Guide DefensePro, lauréat dans la catégorie de la sécurité comportementale.
La première déconnexion pour piratage de musique sur Internet vient de toucher un pirate informatique pas comme les autres. Un gouvernement !
Nouvelle attaque informatique de type hameçonnage visant les clients de Paypal. Wistee de nouveau exploité par des pirates.
Le jugement sur l'affaire du piratage du système de chiffrement des chaînes de télévision à péage se termine par le blanchiment du principal accusé, NDS.
Les problèmes du Service Pack 3 dédié à Windows XP n'a pas fini de pertuber les utilisateurs. Aujourd'hui, la fermeture intempestive de certains ordinateurs.
Originalité marketing. L'ultra PC d'ASUS, l'Eee PC 900, sera vendu moins cher avec Windows XP qu'avec Linux.
L'espace FaceBook du portail communautaire Flixster pourrait servir à piéger les internautes. Explication.
Un probléme informatique affichait des informations sensibles sur un des sites de la banque Caisse d'Epargne.
Une faille de sécurité découverte sur le serveur Internet de SOS Racisme ouvrait l'accès aux petits secrets de l'association.
Le site de rencontres LovinSide a eu chaud. Un problème de sécurité a pu être corrigé grâce à l'aide d'un cyber-citoyen.
Les hackers du cDc, CULT OF THE DEAD COW, viennent de mettre en ligne GoolagScan, un scanner de site Internet à la sauce Google.
SkyRecon est à l’origine de la découverte d’une faille du système Active Directory récemment corrigée par Microsoft.
Le site Internet du magazine Entrevue a eu chaud ! Un accès à l'administration du site ouvert aux pirates. L'ensemble des informations pouvaient être modifiées.
Attention, prudence ! Un pirate pourrait exploiter le site du journal La Tribune afin de lancer une attaque de type phishing.
Radware reçoit le prix de l’innovation produit 2008 du Network Products Guide DefensePro, lauréat dans la catégorie de la sécurité comportementale.
Deezer annonce la signature d'un accord portant sur 35 pays avec le géant Universal Music.
La nouvelle fonction SearchScan de Yahoo! Search signale les sites dangereux avant de cliquer sur le lien.
La Quadrature du Net s'inquiète d'amendements dangereux pour la protection de la vie privée déposés par les rapporteurs de la commission Culture du Parlement Européen.
La Brésilienne Gisele Bündchen reste au top. D’après le journal économique Forbes, la belle a touché 23 millions d’euros pour 2007. L’Allemande Heidi Klum est seconde et pourtant loin derriére avec 9 millions d’euros. Kate Moss (34 ans) a touché 5 millions d’euros. L’autre Brésilienne de ce top, Adriana Lima, a perçu 4,5 millions d’euros. Cinquiéme et derniére de [...]
Vous aimez les peoples ? Vous aimez la bonne zic ? Vous aimez délirer ? Chaque jeudi soir, de 18 heures à 19h30, dans l’émission d’Happy et Fax (Radio Contact), retrouver les news fraiches de Stars-Buzz. Un avant goût, ci-dessous ! Happy et Fax en train de torturer votre aimable serviteur !
La sublime Elsa Zylberstein nous a refait le coup de Sophie Marceau sur les marches du festival de Cannes. Un petit bout de tissu qui vole et le tour est joué pour les fans. Sacré bretelle !
Le Groupe culte des adolescents, qui doit reprendre la route des concert, lance une ligne de vêtements “TRè’Choli”. Les quatre Allemands à la sauce Manga-Gothique ont signé un contrat avec a marque de vêtements JBC. Toute une collection (22.99 euros à 30 euros), fille et garçon, de tee-shirts et débardeurs Tokio Hotel baptisée “übercool”. Disponible [...]