Brèves de Jean-François Mayer

Brèves de Jean-François Mayer

Mots de passe: quelques enseignements de l’affaire Stratfor

—

Service privé d’analyse stratégique américain, Stratfor a été victime en ce mois de décembre 2011 d’un hacking aussi massif qu’embarrassant pour une firme travaillant dans le domaine de la sécurité (à moins qu’il ne s’agisse d’une intervention malveillante au sein de l’entreprise, comme le suggèrent certains). Les hackers ont eu accès aux données de milliers de clients, y compris leurs cartes de crédit et leurs mots de passe. Des cartes de crédit ont été utilisées pour faire des dons à des organismes humanitaires (auxquels cela va en réalité coûter de l’argent, en raison des nombreuses oppositions de paiement). Les adresses électroniques et mots de passe de clients sont publiés en ligne. Il faut savoir que Stratfor ne s’adresse pas seulement à des entreprises: tout particulier qui le désire peut s’abonner à des services de Stratfor, avec des niveaux et coûts d’abonnement différents selon les produits désirés.

Il ne faut que quelques minutes pour trouver en ligne les listes rendues publiques. J’ai eu la curiosité de les parcourir, pas seulement pour voir lesquelles de mes connaissances figurent sur ces listes. Je me suis intéressé au choix des mots de passe.

Certaines personnes optent apparemment pour un mot de passe qui sera le même pour toutes les listes ou sites qui en demandent un. Par exemple ces utilisateurs qui associent un prénom et une date (pas nécessairement le leur, mais celui de leur épouse), ou le nom d’un philosophe célèbre, comme l’a fait un abonné que j’ai reconnu grâce à son adresse électronique. Certains de ces mots de passe peuvent être relativement solides: mais c’est une grosse erreur que de choisir le même pour de nombreux sites. En effet, si ce mot de passe est compromis, comme c’est le cas ici, il faut le changer pour tous les services et sites que l’on utilise.

Le plus étonnant est le nombre de personnes qui choisissent comme mot de passe tout simplement… le nom du site! Des centaines de clients de Stratfor ont adopté “strafor” comme mot de passe. Probablement font-ils de même sur chaque site qui demande un mot de passe. Un certain nombre ont cru malin d’ajouter le chiffre “1”: “stratfor1”. Si j’étais hacker, je retiendrais la leçon: la première chose à entreprendre pour percer les mots de passe de clients d’un site est d’essayer le nom de ce site, le cas échéant complété d’un chiffre, comme mot de passe. Sur une liste de clients, cela produira à coup sûr une belle moisson!

Bonne occasion de rappeler quelques principes en la matière. Tout d’abord, utilisez des mots de passe qui ne sont pas des mots du dictionnaire et qui combinent des chiffres et des lettres (il est possible de créer des combinaisons aisément mémorisables pour des mots de passe d’usage courant). Ensuite, n’utilisez pas le même mot de passe pour chaque site ou service, mais des mots de passe différents pour chacun. Enfin, conservez la liste de vos mots de passe dans un fichier crypté ou un logiciel de gestion des mots de passe lui-même protégé par mot de passe (en faisant de temps en temps un copie sur papier conservée en lieu sûr, sous clef ou de préférence dans un coffre). Si une mésaventure survient, les dégâts resteront ainsi circonscrits.

Protection et désinfection de site: quand Sucuri vient à mon secours

—

Hier soir et ce matin, j’ai perdu plusieurs heures à tenter de comprendre, puis de résoudre d’étranges incidents sur l’un des sites dont je m’occupe, géré avec WordPress. Le fil RSS produit par le site à l’aide de Feedburner ne fonctionnait soudain plus. Impossible de le rétablir: un étrange message d’erreur apparaissait. J’ai testé plusieurs autres outils pour fils RSS: sur l’un d’eux, des publicités pour des produits pharmaceutiques douteux apparaissaient au lieu des articles que j’avais écrits. A ce moment, j’ai commencé à soupçonner un hacking. Après des recherches supplémentaires, les soupçons se confirmaient. Le hacking était ingénieux: rien n’apparaissait sur le site, qui semblait normal; mais sur les pages de résultats de Google apparaissaient, sous le nom du site, les douteuses publicités. Quelques jours encore, et nul doute que le site allait disparaître de l’index, voire être placé sur liste noire.

Ce n’est pas le premier cas d’intrusion auquel je dois faire face: je n’ai donc paniqué et ai décidé, après avoir consulté quelques sites et forums, d’éliminer les fichiers pirates. Pourtant, cette fois-ci, après de longs efforts, il m’a fallu admettre que le problème dépassait mes compétences: je n’arrivais même pas à localiser et à supprimer les fichiers, malgré une exploration de toute l’arborescence du site.

C’est alors que, en cherchant un outil qui me permettrait d’évaluer la situation, j’ai découvert Sucuri. Si seulement j’avais connu Sucuri plus tôt, j’aurais évité toutes ces heures perdues. Sucuri propose en effet non seulement de contrôler à intervalles réguliers un ou plusieurs sites web, mais ses spécialistes assurent aussi la désinfection des sites de leurs clients!

Cela semblait trop beau pour y croire, mais je me suis inscrit et ai payé ma cotisation annuelle. J’ai ensuite entré le nom du site contaminé dans mon tableau de bord. Puis j’ai envoyé au service technique une demande de suppression des fichiers malicieux. C’était samedi à midi: le site de Sucuri indique des heures de bureau du lundi au vendredi, et je ne m’attendais donc pas à une réponse avant lundi.

Et pourtant, agréable surprise: en fin d’après-midi, j’avais déjà une réponse de Sucuri, m’annonçant que le site avait nettoyé et me fournissant la liste précise des fichiers contaminés. J’ai vérifié: tout était en effet revenu à la normale, et Feedburner fonctionnait à nouveau normalement pour ce site.

Inutile de dire que je vais surveiller et protéger dès maintenant plusieurs de mes sites avec Sucuri. Le service de contrôle (et de désinfection en cas de besoin) coûte US $ 89.99 pour une année pour un seul site, ce qui n’est pas cher payé quand on pense à tout le temps que peut faire perdre un hacking. En outre, Sucuri offre la protection de 10 sites pour un montant annuel de $ 289.99: une option très intéressante pour ceux qui, comme moi, gèrent plusieurs sites (au cours de l’année écoulée, j’ai subi plusieurs hackings). Il existe aussi un utile service (avec plugin) pour la protection d’un site construit avec WordPress ($ 9.99 par mois, prix réduit à $ 4.99 par mois pour les clients de Sucuri).