L'ICANN pense qu'elle a de nouveau été victime d'un vol de données. Les identifiants de comptes utilisateurs sont concernés et, par mesure de précaution, les mots de passe doivent être changés.
Fin décembre, l'ICANN était victime d'une attaque par phishing, qui s'était soldée par un succès pour les pirates qui avaient réussi à dérober des données personnelles comme les nom, prénom, adresse postale, email, numéro de téléphone, nom d'utilisateur et mot de passe haché et salé.
Sept mois plus tard, rebelote : « L'ICANN a des raisons de croire qu'au cours de la semaine dernière, les noms d'utilisateur/adresses e-mail et mots de passe chiffrés des comptes utilisateurs créés sur le site web public ICANN.org ont été récupérés par une personne non autorisée ». La Société pour l'attribution des noms de domaine et des numéros sur Internet précise qu'on trouve sur les profils des informations comme les préférences d'utilisation du site, des centres d'intérêt, la biographie publique, les inscriptions aux lettres d'information, etc.
L'ICANN ajoute que l'enquête est toujours en cours, mais que ces données « semblent avoir été obtenues à la suite d'un accès non autorisé à un prestataire externe ». Les mots de passe sont chiffrés, hachés et salés, ce qui complique grandement leur décryptage, « mais par mesure de précaution nous exigeons que tous les utilisateurs réinitialisent leur mot de passe » indique l'organisme. Pour cela, il faut se rendre par cette page.
Comme toujours en pareille situation, il faudra être prudent au risque d'une attaque par phishing, potentiellement soutenue par les informations volées. Si vous avez utilisé le même mot de passe sur d'autres services, l'ICANN recommande de les changer aussi. Comme nous le rappelons régulièrement, elle ajoute que, « de manière générale, vous devriez éviter de réutiliser des mots de passe sur plusieurs sites ».
Quoi qu'il en soit, la sécurité de cet organisme qui s'occupe de la régulation d'Internet soulève des questions avec deux fuites de données en l'espace de sept mois. Si la seconde n'est pour le moment pas confirmée à 100 %, le fait qu'il publie une alerte officielle sur son site ne laisse finalement que peu de place au doute. Pour rappel, l'ICANN avait déjà renforcé sa sécurité début 2014, et, suite à l'attaque de l'année dernière, elle avait « mis en place des mesures de sécurité supplémentaires ». Mais, dans les deux cas, il s'agit d'une attaque détournée : phishing sur ses membres et prestataires externes, deux maillons qui sont souvent des points faibles, et pas uniquement pour l'ICANN.
Commentaires (100)
Question : les hackers voient que les MDP sont hachés et salés. Pourquoi les prendre alors que les autres infos semblent exploitables rapidement et à moindre frais ?
et mot de passe haché et salé.
Et bon appétit!
hashé ?
Non, haché.
" />
tu vas pas en faire un plat !
" />
pas si ils sont haché et salé (
" />)
edit : j’ai rien dit, je viens de mieux comprendre, après oui dans ce cas le snifage de BDD pour récupérer les ID peut amener a un bruteforce
Pourquoi les acteurs du Web ne chiffrent pas aussi les autres données personnelles. Ça limiterai d’autant plus les problèmes de phishing. Surtout vu le surcout cpu que ça implique.
On est en train de se couper les cheveux en 4 ! hu hu hu !
Je ne me suis jamais inscrit chez ICANN, et la plupart des infos de mes domaines sont gérées par mon prestataire de NDD, et de ce que je sais, il n’est pas nécéssaire d’avoir un compte ICANN pour faire des modifs, le prestataire intermédiare étant là pour ça justement.
Les comptes piratés seraient donc des compte d’entreprise et de registrar ?
Cryptolecte va
" />
Parce que les mots de passe faible peut être extrait, même haché et salé.
et puis y’a aussi des abrutis qui pensent que mettre un mot de passe complexe et impossible a mémoriser va concurrencer la puissance de calcul d’une machine…
#entropie #motdepasse
si ton mot de passe c’est “AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA”
un dual core tout bete devrait faire le boulot.
pas vraiment, mais je trolle.
tout comme les gars qui pensent que “KeV-i_N1978” est un bon mot de passe.
sauf que moi je sais que je trolle…..
tant que je peche pas a la dynamite….
Yes, ICANN
Toujours le même sous-titre quand ça parle de l’ICANN ^^
 http://www.nextinpact.com/news/90166-pour-l-icann-l-independance-se-conjugue-a-l…
 http://www.nextinpact.com/archive/53318-icann-dependante-etats-unis-europe.htm
 http://www.nextinpact.com/news/85276-gouvernance-net-rapport-conseil-economique-…
:P
Tout dépend l’algorithme qui est utilisé en fait.
MD5, SHA-0 et SHA-1 sont tous vulnérables de nos jours.
oui mais non.
la longueur d’un mot de passe est utile.
mais les caractères alphanumériques et spéciaux ne le sont pas.
dans la sécurité, on est encore dans le mythe des années 80’ ou on pense que notre mot de passe va etre testé par un humain.
et donc que pour lui ca va etre plus dur de trouver ‘648OL(mrt” que “barbiedu12”
mais cette vision est fausse. de mémoire un clavier fr propose 112 caractères possibles.
un algo qui parcourt les caractères, il n’a pas plus de difficultés a trouver un A un E ou un -
Les algorithmes de hachage cryptographique sont un peu particulier, car la sécurité repose sur la très grande difficulté qu’il y a de trouver deux messages qui ont le même hash. Or cette difficulté est purement calculatoire. Et plus la puissance des ordinateurs augmente plus ils sont attaquables. Sans parler des failles statistiques qui peuvent être découverte en plus.
Et quand tu as une pointure comme Adi Shamir qui le dit, il vaut mieux le croire.
et donc tu dis exactement la meme chose que moi.
la difficulté vient de la longueur au final binaire du mot de passe.
et le reste n’est que de l’esbrouffe de consultants en sécurité en mal d’argumentaire.
exemple reel:
j’ai discuté avec le responsable qualité des notaires de France à ce sujet.
déjà rien que le calcul entropique en théorie c’était dur , et sa seule reaction ca a été “on a jamais fait comme ca, donc on va pas changer” et “ vous dites n’imp car dans ma boite on est au top”
je veux pas trop charger le mec, mais en meme temps c’est l’archétype du mec qui se prend pour un geek et qui a un pc portable rempli de virus qui met 10 minutes pour démarrer.
Pour un algo de hachage classique.
Mais justement la propriété principale des algorithmes de hashage cryptographique est de faire en sorte que ces collisions soit les plus difficile à trouver. Dans l’idéal non réalisable par les ordinateurs à disposition.
Quand les collisions deviennent calculable par un ordinateur du commerce, l’algo est vulnérable.
Non pas vraiment, la longueur ne veux rien dire.
L’histoire a prouvé qu’en matière de sécurité l’esbroufe n’existe pas.
Soit tu prouves mathématiquement que ton algorithme est sûr, soit tu peux le mettre à la poubelle.
C’est surtout que CRC n’a jamais prétendu avoir des propriétés cryptographiques.
Il faut une grande diffusion des bits en entrée dans la structure de ton algorithme, sinon ta sortie ne sera pas assez modifiée.
CRC n’a pas cette propriété, ce n’est même pas un vrai algorithme de hashage.
tu pourrais te repencher sur le sujet ?
ca serait pas mal en fait.
parce que tes trois affirmations sont totalement fausses.
après je m’en fout totalement d’avoir tort ou raison, mais voir dans le métier des jeunes devs qui arrivent en disant moi je sais tout, c’est juste nul.
tellement nul que tu ne saurait pas expliquer ton affirmation “la longueur ne veut rien dire”
stp fait toi pousser des couilles, et explique moi techniquement ta vision.
Les japonnais en 1942 avait un système de chiffrement via 2 dictionnaires. Un système très fiable s’il est bien utilisé.
Un gros malin certainement un mec comme toi a utilisé pour transmettre des messages toujours la même clé de chiffrement. Les Américains , certainement plus malin que toi, on pu déchiffrer le message.
Résultat : 4 portes avions coulés … c’est ballot juste à cause d’un bouffon dans ton genre.
quelqu’un sait ça à quoi ça correspond le fait que les mdp soient chiffrés ?
Ils sont chiffrés dans la bdd avec une clé commune pur justement limiter la casse en cas de fuite de cette bdd ?
oui mais non…
si demain je fais un algo moisi en c++, php, python ou whatever pour deviner une combinaison.
il va etre logique de faire une boucle sur le nombre de possibilités.
donc sur un clavier tu as une boucle avec le nombre maximum de possibilités du clavier.
et dans cette boucle osef si les caractères sont des lettres des chiffres, spéciaux ou carrément de l’ascii.
ils vont passer dans la boucle.
la longueur du traitement va etre directement liée à la longueur de la chaine testée.
ceci est une démonstration facile et non scientifique. mais elle a le merite de bien montrer que l’alphanumérique ou des caractères spéciaux dans un mot de passe sont accessoires.
Ok mais là le temps de calcul sera extrêmement long.
Imaginons qu’un “hacker” veuille tester différente combinaison rapidement, ne se limiter-t-il pas aux caractères alphanumériques (qui elle prendra moins de temps)? Et donc que la présence de caractère spéciaux entravent leur recherche?
Je suis d’accord, c’est en fonction de ce que cherche le “hacker”. S’il veut un mdp bien précis, il fera une recherche sur tous les caractères. S’il en veut le maximum, il se limitera aux alphanumériques. Enfin selon ma logique.
sérieusement vous mélangez tout….
si comme le demande lyaume un hacker veut tester des combinaisons tres rapidement.
sa solution va etre de passer par un dictionnaire de mot de passe.
pour les gens qui ne connaissent pas, on va tester des bibliothèques de mots de passe déjà découverts.
on peut aussi tester le brute force…
mais malgré les efforts des medias pour dire que le net est un far-west, c’est la solution la plus connue, et il me semble la moins meritante et efficace.
sinon, on peut aussi tester le social engineering. ou on va tromper l’utilisateur pour avoir accés a ses identifiants.
et la c’est que de la psychologie de base, et open bar ensuite.
merci de me faire passer pour un connard.
en meme temps, lyaume a posé une question et la reponse qu’il a eu est tres bancale….
merci de me rappeler pourquoi je viens en intermittence.
les débats qui pourraient etre techniques se finissent en attaques personnelles, et personne n’est jamais responsable de rien.
ho merde on dirait les jeunes devs que je croise depuis 20 ans.
Ok merci pour ces précisions.
Mais il y a truc où vous m’avez mis le doute, c’est concernant la longueur du MdP.
A mon sens, plus il est long, plus il est sécurisé, et plus il y a de type de caractères différents, encore mieux sécurisé il devient.
Est-ce un bon raisonnement ou alors je mélange tout?
Pour ce cas, je parle du “bruteforce” qui est, si j’ai juste, de tester les chaînes de caractères sans dictionnaire.
Donc de faire une pétée d’opération en somme.
Et donc ma question derrière ceci : si mes MdP contiennent 12 caractères alphanumériques aléatoire, alors il est “pas mal sécurisé” (ex1: f1f5g487e5GH). Par contre si c’est un chaine de mot il l’est moins (ex2 : jaimelavache).
Et le mieux est d’avoir 12 caractères aléatoires différents avec caractères spéciaux (exemple 1 en incluant en plus des /, !, µ, etc.). Mais si je veux encore plus sécurisé mon MdP, alors je passe de 12 caractères à 20.
ai-je tord?
en fait c’est pas si simple..
ton mot de passe “ f1f5g487e5GH” ou “jaimelavache” va etre supposé plus sécurisé s’il n’est pas est intelligible humainement.
mais ceci n’est qu’une supposition datée.
du temps ou on pensait qu’un pirate aller taper “aaaa” “aaab” etc etc pour trouver un mot de passe.
maintenant y’a une autre vision de voir:
on réduit le mot de passe en binaire, et on calcule le nombre de test qu’il faut pour le trouver.
et apparemment cette vision très mathématique gene enormément les gens qui bossent dans la sécurité.
parce que ca montre bien que dire “faites un password avec plein de truc imbitable” c’est juste faux.
elium, on ne parle pas de la meme chose.
tu me parles de tester “le service” ce qui pourrait inclure tout et n’importe quoi en sécurité. qui pourrait aller du sel a un blocage d’IP.
je te parle non pas de la sécurité du service a laquelle tu t’inscris, mais de la longueur de ton mot de passe
zut, le commentaire n’a pas pris tout mon pavé.
on peut en mathématique, calculer la complexité de variables de chaines de caracteres. en les reduisant a l’état de binaires.
et affirmer par exemple que “BFG4T6frt(-” est plus complexe que “tatajosie43” sans aucune source n’est que de l’aveuglement.
un aveuglement tellement fort qu’on croit encore a vos théories des mots de passes.
le binaire est utilisé dans la théorisation et le calcul de la durée du hack
edit: je te la fait courte parce que apparemment t’as du mal.
une chaine qui se résume a “01” sera plus rapide a déchiffrer que “01101100011”
j’explique:
si je veux configurer une sécurité sur un site “untel.com”,
je fait mettre en place un sel aléatoire hashé avec le mot de passe donné avec derriere une vérif d’ip et/ou de mac adress.
par contre c’est dommage qu’un informaticien de base en 2015 n’ai pas encore intégré que le calcul sur une chaine de caractere va se faire sur la réduction en binaire.
c’est a dire que mon mot de passe “toto” vaut “01110100011011110111010001101111” et donc peut se réduire en possibilités de test.
C’est marrant le discours semble être en train de changer
" /> 
" />
" />
enfin que légèrement
Est ce qu’on est tous d’accord ( MAINTENANT) que de mettre des caractères spéciaux ou pas ne change strictement rien à l’affaire face à la puissance CPU ! ( c’était quand même la première raison de cette discussion ou quelqu’un parlait d’esbrouffe ou de bullshit de pseudo consultant en sécurité )
toto ça fait 4 octets ça fait 32 bits et pour 32 bits on 4giga de possibilités
et si je met (T&U ça fait toujours 32 bits et 4 gig de possibilités
Est ce qu’on est d’accord maintenant sur la première partie ?
oui il y’a des trucs qui sont non pas bien plus sioux, mais vraiment très trés plus sioux.
mais bon maintenant, on est d’accord que de dire “mettez de l’alphanumérique dans vos mots de passe” c’est une blague de consultant en sécurité ?
@joe pike (et a d’autres devs qui liraient):
comme apparement tu saisis le sujet.
j’ai entendu parler d’une rumeur. de calcul stochastique en binaire couplé a des dicos qui ferait des calculs sur des series de deux bits.
perso c’est hors de mes compétences mathématiques, donc je ne sais pas si c’est vrai ou faux.
mais comme ca vient de russie, je tend a croire qu’on va voir ca arriver.
@saf04
" />
" />
d’abord c’était un exemple et ensuite je suis pas dev car j’aurais honte
Par contre mon background fait que je sais comment fonctionne le hardware en général et ce dans des couches qui ne sont plus enseignées depuis de nombreuses années
calcul stochastique connait , jamais joué dans l’aléatoire
Mon age sûrement
Du coup j’ai envie de dire oui et non.
" />
Car si on suppose que le “hacker” souhaite obtenir le maximum de MdP qui sont couplés à une liste d’id qu’il a pu récupérer, alors il ne va pas s’obstiner à tester toute les possibilités. Mais sachant qu’il suppose que les utilisateurs sont novices et n’utilisent pas de caractère spéciaux, alors il va rester sur un test à base d’alphanumérique. Ce pour aller plus vite et trouver le maximum de MdP.
Ainsi le fait d’intégrer des caractères spéciaux tend à “sécuriser” un peu plus son MdP.
Par contre si on est une personnalité qui intéresse énormément “hacker”, alors la sécurité du MdP sera la même qu’il y ai des caractères spéciaux ou non.
Ai-je raison?
Cette affirmation se base sur une hypothèse qui tend à être de moins en moins crédible plus la puissance de calcul augmente.
Mais sinon je semble assez d’accord pour dire qu’un MdP à longueur égal, sera aussi facilement déchiffrable qu’il contienne ou non des caractères spéciaux (même nombre d’opération).
En tout cas j’apprends plein de chose.
ai-je raison ? demande lyaume.
ben non.
pour calculer la résistance d’un mot de passe, tu le passes en binaire et tu comptes le nombre de possibilités.
voila ca c’est un pur calcul, que meme un dev qui n’a pas son BTS devrait piger.
sauf que ca fait 20 ans qu’on entend n’importe quoi sur les mots de passe.
et que le n’importe quoi est devenu plus important que tout le reste.
Les hackers ne sont pas des humains mais des programmes.
" />) salés pas des caractères alpha numériques
" />
Les mots de passe ne sont pas stockés
Ce qu’il y a dans les tables sont des hash(brown
On ne peut pas raisonner comme un humain, la machine ne sait pas ce qu’est un caractère spécial ou une lettre espagnole , elle ne voit que du binaire et sait que le bit peut être 0 ou 1 point barre
une rainbow table c’est déja construit , on peut prendre des grosses des petites pour hacker mais on ne les refabrique pas en fonction de la cible.
et 4 caractères feront toujours 32 bits peu importe ce que dans un pays cela représente des caractères spéciaux ou pas et 8 caractères feront 64bits qu’ils soient spéciaux ou pas
donc plus c’est long plus il y aura de bits et plus il y aura de possibilités peu importe ou sont les 0 ou les 1
@joe ce n’est alors pas un hasard.
je suis aussi un vieux de la vieille du hard. (j’etais dans l’aéronautique)
et meme en etant devenu dev sur le tard, j’ai encore le reflexe du 0/1.
le courant passe ou ne passe pas.
et quand j’entend des gars dire des énormités genre “ha mon algo marche bien mais uniquement de 11h à minuit” ou alors “ha le mot de passe va etre meilleur avec des caractères spéciaux dedans” je me demande si j’aurais pas du me recycler dans “inscrire ici un métier”.
et plus me faire chier.
helium. je vais pour une fois essayer d’etre très pédagogue.
un mot de passe avec des caractères spéciaux va etre de base compliqué.
compliqué pour un humain.
l’humain va argumenter sur son ressenti et dire “oui c’est un mot de passe balaise”.
sans argument technique
mais la machine elle va au tester sur des 0 et des 1.
pour une machine tester des caractères, ca ne sera que des caractères. alors qu’un humain va croire que c’est plus dur de tester “‘(- oç01que helium.
et avec cette approche humaine on a encore le meme discours depuis 20 ans.
mais zut, on a évolué depuis 20 ans.
C’est même encore plus basique que ça ( mais tu as raison dans ta conclusion)
Helium veut absolument tester toutes les possibilités et moi je veux trouver la solution avant de tester
( c’est pour ça que j’avais pris l’exemple simple du WEP)
Ayant l’habitude que mes systèmes révoquent un compte après 3 tentatives on ne peut pas se comprendre
Ne pouvant pas tester , je parle de me battre contre une trace ou une base de donnée et de déduire grace à un ordinateur qui ne pourra répondre que par oui ou par non à mes questions.
et il est bien sûr hors de question de tester toutes les possibilités car ce serait trop long
Et sinon safi04 et j03p1ke, vous savez que c’est cool d’écorcher l’orthographe de la personne à qui vous parlez ? Vous savez ce truc archaïque que les vieux en principe connaissent : le respect de l’autre.
Désolé eliumnick
" /> mais bon c’était dur à taper pour un humain 
" />
Je ne voulais pas manquer de respect
( la j’ai fait cop/coll)
Non bien sûr je ne reconnais pas du tout que de mettre des caractères spéciaux aidera beaucoup ( à part les attaques par dictionnaire qui ne se font presque plus mais ça je l’ai déja dit )
Pour répondre à ton interrogation sur l’exemple des tables ascii
Le parrallèle est de trouver par exemple un chiffre secret de 1 à 99 en posant des questions que la bécane ne répondra que par oui ou par non.
L’idée tant de trouver en moins de questions possibles.
C’est dans cette idée que je donnais l’exemple ASCII comme quoi ça ira plus vite de réfléchir en binaire qu’en alpha
mais bon … C’était simplement pour répondre à la question
[quote:5451794:eliumnick saf04 n’a fait que brasser de l’air.[/quote]Et être compris par Joe, ce qui a mon sens veut dire qu’il ne dit pas que des co**eries…
Après moi je dis rien, je suis pas expert donc je lis.