Alors que le monde de la sécurité est en pleine ébullition suite aux révélations d’Edward Snowden sur la surveillance de masse opérée par les États-Unis, la société Starbucks vient d’avouer que les mots de passe enregistrés par son application américaine pour iOS n’étaient pas chiffrés.
Un stockage en clair des identifiants
Au sein de la plupart des applications mobiles, le stockage des mots de passe se fait sous une forme sécurisée, autrement dit chiffrée. Ce n’est toutefois pas le cas de l’application américaine Starbucks sur iOS. C’est en effet ce que viennent d’admettre les dirigeants de la fameuse enseigne. Les mots de passe sont ainsi stockés en clair au sein de la zone de stockage de l’application.
En quoi est-ce un problème ? En cas de raccordement de l’iPhone sur un ordinateur, cela signifie une transmission en clair lors de la sauvegarde. Selon ComputerWorld, il serait également possible d’obtenir très facilement les informations d’identification en récupérant les fichiers d’erreurs générés par l’application.
La faille a été initialement rapportée à Starbucks par le chercheur Daniel Wood, qui avait expliqué sa trouvaille sur Seclists. Starbucks avait bien été avertie, mais la mise à jour intervenue entre temps n’a pas corrigé le problème. Dans son billet initial, Wood rappelle qu’un développeur ne devrait jamais utiliser l’espace local pour stocker des identifiants. L’utilisateur devrait s’authentifier via une méthode en ligne et une connexion chiffrée.
Le problème de la réutilisation des mots de passe
Dans la pratique, le risque n’est évidemment pas catastrophique. En cas de piratage de ces données, il ne s’agit que des identifiants et de l’adresse email. Aucune donnée vraiment sensible n’est donc piratable, mais la situation pourrait être pire, et c’est surtout l’inaction de Starbucks qui est pointée du doigt par le chercheur. Après tout, l’adresse postale ou encore le numéro de carte bancaire pourraient être inclus pour simplifier les achats, ce qui causerait alors de vrais problèmes.
Cependant, il ne faut pas oublier qu’il existe un danger connexe et qui n’est pas forcément visible tout de suite : la réutilisation des mots de passe. Même si les informations ne sont pas forcément dangereuses prises isolément, la « fainéantise » des utilisateurs pourrait leur causer du tort. Beaucoup se servent en effet des mêmes identifiants un peu partout, notamment quand les comptes sont créés sur la base d’une adresse email : on réutilise alors la même, avec un même mot de passe pour aller plus vite. Auquel cas, le vol de ces informations pourrait s’avérer plus dangereux.
Commentaires (30)
Beaucoup se servent en effet des mêmes identifiants un peu partout, notamment quand les comptes sont créés sur la base d’une adresse email : on réutilise alors la même, avec un même mot de passe pour aller plus vite.
Et parfois, le mdp associé à l’e-mail pour un compte sur un site, est le même pour accéder à ladite boite e-mail…
C’est induit par la citation…
Quel intérêt d’une appli Starbucks honnêtement ? Trouver à quel coin de rue il n’y en a pas encore ? (vraie question, pas simple troll)
Un mot de passe est un authentifiant et non un identifiant.
Les mots de passes sont en clairs ou pas ? J’ai du mal à comprendre la news, parce que quand je lis identifiant, j’entend login, pas mot de passe.
" />
Un identifiant permet justement d’identifier un utilisateur, ce que ne fait pas un mot de passe. Auquel cas, si ce n’est que les logins qui sont stockés, ceux qui mettraient la main dessus ne pourraient pas en faire grand chose.
EDIT : la prochaine fois je lirai mieux la news, c’est précisé dans l’article (mais ça reste ambigüe)
L’application Starbucks pour iOS stocke les identifiants en clair
C’est un peu fort de café !
(désolé il fallait que je la fasse
rm mycomment.txt
C’est au faux problème, certes les devs auraient pu chiffrer le mot de passe avec “Data protection”, m’enfin les informations ne sont pas nécessairement sensibles, d’autant plus que difficilement accessibles a distance (hors jailbreak).
Le plus grave serais que les mots de passes soient stockées en clair ou avec un algo de hash dépassé (MD5) sur leurs serveurs.
logique pour une boite où l’on écrit les prénoms des clients sur les produits
c’est fort de café starbuck que de facilite le travail de la NSA.
" />
la société Starbucks vient d’avouer que les mots de passe enregistrés par son application américaine pour iOS n’étaient pas chiffrés
FileZilla fait pareil. L’argument donné étant qu’entre un mot de passe en clair et un mot de passe pseudo chiffré (car c’est bien de ça qu’il s’agit, à moins d’imposer à l’utilisateur de rentrer la clé de chiffrement à chaque utilisation), la différence ne mérite pas l’effort.
https://forum.filezilla-project.org/viewtopic.php?f=1&t=9543
Après, on est d’accord ou pas, mais en tout cas je vois pas pourquoi on jetterait la pierre spécifiquement sur Starbucks. La sécurité sur les smartphones est une grosse blague de toute façon, en l’état actuel des choses. Si on veut la jouer en mode parano (le seul mode qui marche en sécurité), on considère que le smartphone est en permanence compromis et on ne met dessus que des données qu’on peut accepter de voir fuiter.
Quelqu’un a t’il un site simple et clair sur les best practices en ce qui concerne le chiffrement des com, des pass, le non envoi de passe par mail, le hashage,…
" />
" />
" />
" />
Voilà par exemple le retour d’une société l’autre jour, après que je leur ai indiqué que je n’appréciais pas que le pass que je saisisse à l’inscription arrive en clair dans mes mails, déjà car il est lisible par les opérateurs Tier 1, 2, et les fouineurs gouvernementaux. Ensuite car c’est indexe par le serveur mail pour la recherche.
Réponse d’un support:
“Effectivement le mot de passe n’est pas crypté, mais cela n’aurait aucun intérêt de le crypter dans un mail de confirmation censé être conservé par le conso au cas où il oublie ses identifiants.
De même pour le mail de mot de passe oublié : nous sommes bien obligés d’envoyer le mot de passe tel quel.
De plus, aucune données de ce type n’est stockée.
Starbucks, c’est bien entreprise qui ne paye pas ses impôts en France? Bon alors on s’en cogne de son application et de ses failles.