OVH piraté, les clients européens invités à changer leur mot de passe

Le 22/07/2013 à 20h49

Grâce à cet accès email, il a obtenu l’accès sur le VPN interne d’un autre employé. Puis grâce à cet accès VPN

En gros le hacker s’est servi du compte mail de l’admin :

“Salut Maurice,

Dans le cadre d’un projet d’évolution du VPN, j’aurais besoin de tester ton compte pour faire un test de charge, tu peux m’envoyer tes infos de connexion stp”

et voilà comment on obtient un couple login/mot de passe

wartelle

Le 22/07/2013 à 21h20

benamey a écrit :

+1

Je pensais OVH au dessus du lot niveau sécurité vu leur cœur de métier …

Aucun système connecté au net n’est infaillible… " />

Zed-K

Le 22/07/2013 à 21h49

Comme le dit très clairement la société dans son message, « Il faut beaucoup de moyens techniques pour retrouver le mot de passe en clair. Mais c’est possible. » Un effort de transparence qui change de ce que l’on constate habituellement, les marques pensant avant tout à minimiser le problème.

Marrant, parc’que la formulation utilisée dans le mail minimise, justement :

Même si le chiffrement du mot de passe de votre identifiant est très fort,

nous vous conseillons de changer le mot de passe dans les plus brefs délais.

Ça fait moins peur dit comme ça je trouve " />

Anonyme

Le 22/07/2013 à 23h46

Pour l’instant pas moyen de changer de mot de passe, aucun email pour confirmer n’arrive d’OVH, enfin c’est pas la première fois qu’il faut 24 heures pour que leurs mails partent, problème récurrent…

Sharkounet

Le 23/07/2013 à 04h25

BreizFenrir a écrit :

Ta stratégie, une fois qu’on la connait pour un des mots de passe, trouver le million d’autres qui ont été piqués à côté est gratuit. C’est le principal intérêt des fonctions de hashage, surjectives mais non injectives.

Sa strategie est presque infaillible contre des machines, et c’est un systeme qui a été utilisé a de hauts niveaux avec succes. Appliquer un algorithme simple a ton secret avant de le chiffrer de sorte que meme si l’ennemi tombe sur la bonne clé, le message n’a pas de sens…

Meme un ordinateur puissant et savamment programmé aura du mal a comprendre que chaque mot de passe de la BDD fini par un chiffre et que ce chiffre a subit une operation simple avant d’etre stocké (ou tout autre algo simple qui altere le password avant utilisation).

Un ordinateur, si tu lui donnes un mot de passe, qu’il l’essaye, et que ca marche pas, il n’est pas plus avancé et ce, meme si 99 des 100 caracteres du mot de passe sont justes et bien placés, tant qu’il ne sait pas ce qui est faux.

En gros, si tu n’as pas la base de données en clair ainsi qu’un mot de passe valide (ie qui correspond presque au mot de passe de la BDD), puis en deduire l’algo utilisé…

Sachant qu’il a deja fallut voler la BDD, le master password, voir le key file si utilisé…

Du coup…

Ca commence a faire beaucoup. Apres, on peut toujours rajouter une couche de plus, mais si tu reponds encore “ouais mais cette couche la, je la pete si je veux”, on s’en sort pas… " />

Personellement, mes mots de passe gardés par KeePass ne sont pas alterés par un algo “en plus”… Malgré ca, je pense que la suereté de mes mots de passe est dans une moyenne haute par rapport au reste du monde… " />

Je rajoute qu’une fonction de hachage n’est utile que si tu as deja le bon mot de passe pour comparer, et en aucun cas pour le stocker quelque part pour pouvoir t’en souvenir… " />

SebGF Abonné

Le 23/07/2013 à 04h30

zefling a écrit :

J’ai changé le mot de passe pour un encore plus long… (Vive KeyPassX)

J’avais une mots de passe totalement inutilisé ailleurs donc je ne panique pas. " />

Hop, idem, vive le générateur de KeePassX aussi " />

C/C du mail que j’ai reçu pour les intéressés :

SAS OVH - OVH2 rue Kellermann

BP 80157

59100 Roubaix

Bonjour,

Récemment, nous avons relevé un incident de securité sur notre réseau interne

au siège social d’Ovh.

Nous avons immédiatement sécurisé et enquêté sur l’incident. Nous avons

relevé que la base de données des clients Europe aurait pu être illégalement

copiée. Cette base comporte les données suivantes :

le nom, le prénom, le nic, l’adresse, la ville, le pays, le téléphone, le

fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne

sont pas concernées puisqu’elles ne sont pas stockées par OVH.

Même si le chiffrement du mot de passe de votre identifiant est très fort,

nous vous conseillons de changer le mot de passe dans les plus brefs délais.

En savoir plus sur l’incident de securité:

http://travaux.ovh.net/?do=details&id=8998

Cordialement,

Support Client OVH

Support Technique : 08.99.49.87.65 (1,349 Euro/appel + 0,337 Euro/min)

Support Commercial : 08.20.69.87.65 (Numéro Indigo 0,118 Euro/min)

Fax : 03.20.20.09.58

Contact : OVH/fr/contact

Du lundi au vendredi : 8h00 - 20h00

Le samedi : 9h00 - 17h00

Je pense que les salves d’envois doivent être en cours, il est arrivé à 22h chez moi.

shugninx

Le 23/07/2013 à 05h56

fArAwAy a écrit :

Il faut déjà trouver le premier mot de passe.

Ensuite dans la BDD, il faut penser à ne pas mettre les vrais MdP. Une petite règle toute simple pour faire perdre du temps à l’attaquant lle temps de tous rechanger.

Genre le MdP de PCI :

indiqué dans la BDD : _tdW]tW3{:r;HAd7

utilisé en vrai : _tdW]tW3{:r;HAd8

+1 sur le dernier nombre (ou +2, ou +3, etc)

Solution à décliner à l’envie….

Question de n00B qui tâche : à quoi te sert la BDD si aucun mot de passe n’est correct ?

Par flemme, je m’en suis toujours remis au Keychain sous OSX, dont le mot de passe principal est celui de la machine. Si j’interprète bien ton astuce, cela consisterai à saisir systématiquement des mots de passe erronés sur le ou les deux derniers caractères (par ex) pour les enregistrer dans KC, puis de corriger la saisie manuellement à chaque login ? (sans les enregistrer bien sûr).

L3 G33K

Le 23/07/2013 à 06h06

Pas encore reçu le mail, mais MDP changé hier soir.

Zed-K

Le 23/07/2013 à 06h14

shugninx a écrit :

Question de n00B qui tâche : à quoi te sert la BDD si aucun mot de passe n’est correct ?

Ils sont incorrects mais sont tous altérés de la même façons, ils deviennent donc tous corrects si tu applique le bon algo avant comparaison.

Il n’est ici question que de sécuriser le stockage.

Pour Keychain se serait possible également, mais il faut (arrêtez-moi si je dis une connerie) distinguer les systèmes :

qui ont besoin de pouvoir te ressortir le mot de passe en clair (cryptage/décryptage) comme Keychain

de ceux qui ont juste besoin d’appliquer un algo sur un mot de passe saisi pour le comparer avec la bouillie en base ayant subie le même à l’enregistrement, pour s’assurer qu’il s’agit bien du bon (hashage) comme dans le cas des sites Web

L’idée dans le second cas étant de ne SURTOUT pas stocker les mdp de façon réversible (même si ça l’est toujours, disons pas de façon aisément réversible) au vu de la quantité de mdp stockés et de l’attrait qu’une telle masse d’infos peut représenter en cas d’intrusion.

Sauf si tu t’appelle Sony et que tes clients, tu les emmerdes, auquel cas tu te fais pas chier et tu stocke tout en clair " />

romjpn

Le 23/07/2013 à 06h46

Personne pour faire remarquer que le SHA a été fait par la NSA ? " />

anonyme_97254becd5c5b064755d6772703ed968

Le 23/07/2013 à 06h49

NiCr a écrit :

Les caractères spéciaux n’apportent rien de plus dans les mots de passe :

https://xkcd.com/936/

ah ouaih ?

style ça :

fghtgv^]-450

… bien sure que si !

car les attaque par dico déjà c mort.

pareil il faut eviter les prenoms, mot anglais aussi !

nucl3arsnake

Le 23/07/2013 à 06h53

misterB a écrit :

S’est

ET

Sortent

Ce sont les vacances mais c’est ce n’est pas une raison de défoncer le français " />" />

" /> " />

nucl3arsnake

Le 23/07/2013 à 07h04

romjpn a écrit :

Personne pour faire remarquer que le SHA a été fait par la NSA ? " />

Déjà faite sur la news NSA/Linux avec comme réponse “la NSA a déconseillé depuis longtemps le SHA car cassé par des chinoix, il recommande ….”

coucou78 a écrit :

ah ouaih ?

style ça :

fghtgv^]-450

… bien sure que si !

car les attaque par dico déjà c mort.

pareil il faut eviter les prenoms, mot anglais aussi !

Et dates ^^

caesar

Le 23/07/2013 à 07h33

hadoken a écrit :

Si, çà réduit considérablement la taille du dictionnaire dans le cadre d’une attaque bruteforce, et çà réduit également le nombre de combinaisaons vu que pour la plupart des gens, “pas de caractère spécial” n’implique pas “mot de passe plus long”.

^^ faut cliquez sur le lien " />https://xkcd.com/936/

misterB

Le 23/07/2013 à 07h35

nucl3arsnake a écrit :

" /> " />

C’est toléré " />" />" />

nucl3arsnake

Le 23/07/2013 à 07h37

misterB a écrit :

C’est toléré " />" />" />

jamais vu/entendu un prof validé une négation sans le “ne” dans ce type de phrase ;).

D’aillieur en recherche sur académie française y’a que des ne/n’ - pas ;)

Winderly

Le 22/07/2013 à 15h32

Pourquoi cette actu’ est pas dans la rubrique piratage ?

Ah ben du coup j’ai zappé l’actu’ Apple aussi.

anonyme_d58ae7e2d09a5d3fb2e3eb976436dda3

Le 22/07/2013 à 15h34

Mouais, même si personne n’est entièrement à l’abri, çà fait quand même pas sérieux quand la sécurité est au premier plan dans le coeur de métier de la société…

Jet

Le 22/07/2013 à 15h34

Je suis déçu de leur part …." />

Anonyme

Le 22/07/2013 à 15h35

Avec Pirates des Caraïbes diffusé hier, cette vague de piraterie ne m’étonne guère

sepultura666

Le 22/07/2013 à 15h39

GoldenTribal a écrit :

Avec Pirates des Caraïbes diffusé hier, cette vague de piraterie ne m’étonne guère

" /> " /> !

nucl3arsnake

Le 22/07/2013 à 15h41

Après les investigations en interne, il s’avère qu’un hackeur a réussi à obtenir les accès sur un compte

email d’un de nos administrateurs système. Grâce à cet accès email, il a obtenu l’accès sur le VPN interne d’un autre employé. Puis grâce à cet accès VPN, il a fini par compromettre les accès de l’un des administrateurs système qui s’occupe du backoffice interne.

En gros le mec a ouvert un mail inconnu .. oO ?" />

seboss666 Abonné

Le 22/07/2013 à 15h42

Une attaque directe sur un employé aura toujours une chance d’aboutir.

Et malgré tout, je serais curieux de savoir combien de sociétés stockent les mots de passe avec un si fort chiffrement. Bon à côté, c’est la grosse blague, parce qu’on peut pas mettre de caractères spéciaux dans les mots de passe chez OVH, du coup ça limite un peu l’efficacité des pass.

yeagermach1

Le 22/07/2013 à 15h42

nucl3arsnake a écrit :

En gros le mec a ouvert un mail inconnu .. oO ?" />

Non plus le mec a trouvé le mot de passe du mail d’un admin. Et s’est servi de la brèche pour accéder au reste.

Funigtor Abonné

Le 22/07/2013 à 16h15

Ce qui est faisable, c’est de balancer un mail avec un mot de passe en clair, mais avec reset à la première connexion.

Reste le problème du type jamais connecté.

Zup Arkhen

Le 22/07/2013 à 16h16

Le soucis avec un hébérgeur c’est que là pour le coup ça donne beaucoup d’infos personnelles … et potentiellement très fiables. Surtout avec les bots qui envoient tous les trimestres un rappel pour garder à jour les données.

djengo Abonné

Le 22/07/2013 à 16h18

Naunaud a écrit :

Oui, le mot de passe lié à ton ID-OVH :)

Ouai mais j’en ai pass pour l’espace client et un autre pour HubiC.

Les deux sont corrompus ? " />

JohnBidule

Le 22/07/2013 à 16h19

NiCr a écrit :

Les caractères spéciaux n’apportent rien de plus dans les mots de passe :

https://xkcd.com/936/

Hé bé " />

Faire les calculs, voire expérimenter pour s’en convaincre.

Ne pas oublier que xkcd c’est de l’humour quand même un peu à la base hein?!

Maintenant on peut toujours trouver des cas spéciaux et comparer un mot de passe minuscules seulement de 64 caractères et un mot de passe de 8 caractères spéciaux, mais c’est quand même pas hyper fair-play, non?

Naunaud

Le 22/07/2013 à 16h21

scientifik_u a écrit :

Ouai mais j’en ai pass pour l’espace client et un autre pour HubiC.

Les deux sont corrompus ? " />

Possible, tu peux demander à Octave sur Twitter :)

yeagermach1

Le 22/07/2013 à 16h21

JohnBidule a écrit :

Hé bé " />

Faire les calculs, voire expérimenter pour s’en convaincre.

Ne pas oublier que xkcd c’est de l’humour quand même un peu à la base hein?!

Maintenant on peut toujours trouver des cas spéciaux et comparer un mot de passe minuscules seulement de 64 caractères et un mot de passe de 8 caractères spéciaux, mais c’est quand même pas hyper fair-play, non?

Ils comparent surtout le coté apprentissage du mot de passe. Un pass a 8 avec speciaux, cela peut vite etre chiant a retenir, surtout si tu en as plein. Alors qu’un pass a 64 qui veut dire quelque chose, c’est facile a retenir meme si tu en as plein.

Eagle1

Le 22/07/2013 à 16h22

perso je n’ai jamais réussi à retenir mon identifiant ou mon mot de passe ovh donc bonne chance au pirate.

maxxyme

Le 22/07/2013 à 16h22

Glyphe a écrit :

Heu le mot de passe de mon compte OVH comporte 26 caractères dont 16 lettres comportant des minuscules et majuscules, 6 numériques et 4 caractères spéciaux.

ça doit être bien pratique à retenir tout ça… " />

Zimt

Le 22/07/2013 à 16h24

kwaio a écrit :

La dernière fois que j’ai vu ça sur un mail interne, le mec c’est pris une grosse raclée par le patron et je me suis laissé dire que ses primes de projet ont été bien moins importantes après ça…

C’est un bon patron " />

Jarodd Abonné

Le 22/07/2013 à 16h25

V’est la loi des séries en ce moment ! Quand ce n’est pas les accidents d’avion ou les chiens qui mordent des petites filles, ce sont des grosses boites qui se font “intruser”…

Total HS mais je viens de recevoir un mail du site de vente en ligne Oxybul : mot de passe en clair, et diffusé dans le mail par une personne du service client " />

Latios

Le 22/07/2013 à 16h26

scientifik_u a écrit :

Ouai mais j’en ai pass pour l’espace client et un autre pour HubiC.

Les deux sont corrompus ? " />

Dans le doute, change les deux " />

Latios

Le 22/07/2013 à 16h27

Zimt a écrit :

C’est un bon patron " />

+1

flodraft Abonné

Le 22/07/2013 à 16h27

Sony c’est fait une mauvaise réputation avec ça, Apple, Ubuntu est OHV s’en sorte bien " />

sebcap26

Le 22/07/2013 à 16h31

Merci à OVH pour leur réactivité.

Et à ceux qui critiquent, je tiens à rappeler qu’aucun système n’est infaillible, et c’est d’autant plus vrai quand le facteur humain intervient. En l’occurence, je trouve qu’OVH à été très efficace et avait un excellent niveau de sécurité des mots de passe, ce qui est assez remarquable.

misterB

Le 22/07/2013 à 16h35

flodraft a écrit :

Sony c’est fait une mauvaise réputation avec ça, Apple, Ubuntu est OHV s’en sorte bien " />

S’est

ET

Sortent

Ce sont les vacances mais c’est pas une raison de défoncer le français " />" />

Ingénieur informaticien

Le 22/07/2013 à 16h36

sebcap26 a écrit :

Merci à OVH pour leur réactivité.

Et à ceux qui critiquent, je tiens à rappeler qu’aucun système n’est infaillible, et c’est d’autant plus vrai quand le facteur humain intervient. En l’occurence, je trouve qu’OVH à été très efficace et avait un excellent niveau de sécurité des mots de passe, ce qui est assez remarquable.

+1" />

Naunaud

Le 22/07/2013 à 15h43

seboss666 a écrit :

Une attaque directe sur un employé aura toujours une chance d’aboutir.

Et malgré tout, je serais curieux de savoir combien de sociétés stockent les mots de passe avec un si fort chiffrement. Bon à côté, c’est la grosse blague, parce qu’on peut pas mettre de caractères spéciaux dans les mots de passe chez OVH, du coup ça limite un peu l’efficacité des pass.

Euh, si, on peut mettre des caractères spéciaux :)

NiCr Abonné

Le 22/07/2013 à 15h47

seboss666 a écrit :

Une attaque directe sur un employé aura toujours une chance d’aboutir.

Et malgré tout, je serais curieux de savoir combien de sociétés stockent les mots de passe avec un si fort chiffrement. Bon à côté, c’est la grosse blague, parce qu’on peut pas mettre de caractères spéciaux dans les mots de passe chez OVH, du coup ça limite un peu l’efficacité des pass.

Les caractères spéciaux n’apportent rien de plus dans les mots de passe :

https://xkcd.com/936/

anonyme_751eb151a3e6ce065481d43bf0d18298

Le 22/07/2013 à 15h47

J’ai gagné le droit de changer de mot de passe ce soir " />

« Il faut beaucoup de moyens techniques pour retrouver le mot de passe en clair. Mais c’est possible. » Un effort de transparence qui change de ce que l’on constate habituellement, les marques pensant avant tout à minimiser le problème.

Effort de transparence tout relatif puisque OVH, c’est avant tout des clients pros et des clients technophiles.

Ils n’ont donc pas intérêts à mentir sous peine de dégrader leur image de marque, déjà écornée par l’affaire HubiC.

anonyme_5308cee4763677866e1421efa4474f79

Le 22/07/2013 à 15h51

Sérieux, y a pas des universités françaises qui forment des spécialistes en sécurité info ? " />

Après, ce sont souvent les DG débiles qui refusent de filer le fric pour mettre en place un vrai système sécurisé (et parfois contraignant pour l’employé).

anonyme_d58ae7e2d09a5d3fb2e3eb976436dda3

Le 22/07/2013 à 15h51

NiCr a écrit :

Les caractères spéciaux n’apportent rien de plus dans les mots de passe :

https://xkcd.com/936/

Si, çà réduit considérablement la taille du dictionnaire dans le cadre d’une attaque bruteforce, et çà réduit également le nombre de combinaisaons vu que pour la plupart des gens, “pas de caractère spécial” n’implique pas “mot de passe plus long”.

Ingénieur informaticien

Le 22/07/2013 à 15h52

On va tous passer au cryptage généralisé je vous le dis …

yeagermach1

Le 22/07/2013 à 15h53

Crysalide a écrit :

Sérieux, y a pas des universités françaises qui forment des spécialistes en sécurité info ? " />

Après, ce sont souvent les DG débiles qui refusent de filer le fric pour mettre en place un vrai système sécurisé (et parfois contraignant pour l’employé).

Ben si il y en a plein mais cela aurait rien changé … C’est pas le système qui est en cause, c’est le maillon faible humain qui a pris/mis un mot de passe qui s’est fait avoir.

Glyphe

Le 22/07/2013 à 15h53

seboss666 a écrit :

Une attaque directe sur un employé aura toujours une chance d’aboutir.

Et malgré tout, je serais curieux de savoir combien de sociétés stockent les mots de passe avec un si fort chiffrement. Bon à côté, c’est la grosse blague, parce qu’on peut pas mettre de caractères spéciaux dans les mots de passe chez OVH, du coup ça limite un peu l’efficacité des pass.

Heu le mot de passe de mon compte OVH comporte 26 caractères dont 16 lettres comportant des minuscules et majuscules, 6 numériques et 4 caractères spéciaux.

Pc_user

Le 22/07/2013 à 15h53

De quel(s) mot(s) de passe s’agit il ?

Connexion au manager ?

benamey

Le 22/07/2013 à 15h54

hadoken a écrit :

Mouais, même si personne n’est entièrement à l’abri, çà fait quand même pas sérieux quand la sécurité est au premier plan dans le coeur de métier de la société…

+1

Je pensais OVH au dessus du lot niveau sécurité vu leur cœur de métier …

idsquare

Le 22/07/2013 à 15h56

Pc_user a écrit :

De quel(s) mot(s) de passe s’agit il ?

Connexion au manager ?

Peut-être la connexion à la v10 du manager qui aura toutes les fonctionnalités… :)

RisingForce

Le 22/07/2013 à 15h57

Jet a écrit :

Je suis déçu de leur part …." />

OVH a quand même plutôt bien réagi sur ce coup" />:

si les noms, prénoms, adresses, tél. ont bien fuité en clair, les mots de passe sont assez bien chiffrés, et ils recommandent tout de suite de les modifier.

Maintenant, pour ceux qui utilisent partout le même mot de passe, associé au même login qui est le mail qui a fuité… il serait préférable de mettre à jour tous ces comptes.

Quant à ce “piratage”, d’après les détails fournis par OVH, il n’y a clairement pas de négligence caractérisée de sécurisation, d’autant plus qu’ils semblent réagir rapidement, et faire un bon suivi des incidents.

" /> OVH, continuez comme ça" />

Maicka

Le 22/07/2013 à 16h01

C’est la journée dites donc " />

Zimt

Le 22/07/2013 à 16h02

Et voilà, des admins qui envoient des login/pass en clair par mail…

Naunaud

Le 22/07/2013 à 16h08

Pc_user a écrit :

De quel(s) mot(s) de passe s’agit il ?

Connexion au manager ?

Oui, le mot de passe lié à ton ID-OVH :)

kwaio

Le 22/07/2013 à 16h14

Zimt a écrit :

Et voilà, des admins qui envoient des login/pass en clair par mail…

La dernière fois que j’ai vu ça sur un mail interne, le mec c’est pris une grosse raclée par le patron et je me suis laissé dire que ses primes de projet ont été bien moins importantes après ça…

Pc_user

Le 22/07/2013 à 16h38

Naunaud a écrit :

Oui, le mot de passe lié à ton ID-OVH :)

Thanks

Blakbear

Le 22/07/2013 à 16h45

A ceux qui tappent sur OVH sans même savoir exactement comment c’est arrivé, je les invite à découvrir l’effet Dunning Kruger s’ils ne connaissent pas : WikipediaPour moi c’est probablement un problème PEBKAC, on peut faire le système le plus sécurisé du monde, si il y a des interactions avec des humains c’est quasi impossible de faire un truc 100% secure et moron-proof. Le social engineering a toujours été un des moyens les plus efficaces de compromettre un système… je serais curieux d’avoir des détails sur le hack dans leur cas, genre est-ce qu’un admin a laissé un mot de passe sur un post it… " />

flodraft Abonné

Le 22/07/2013 à 16h47

misterB a écrit :

S’est

ET

Sortent

Ce sont les vacances mais c’est pas une raison de défoncer le français " />" />

ce n’est pas

Je ne suis pas en vacances, ça doit venir de là (Mais oui j’avoue je ne me suis pas relu) " />

Glyphe

Le 22/07/2013 à 16h49

maxxyme a écrit :

ça doit être bien pratique à retenir tout ça… " />

Heureusement, on a inventé les gestionnaires de mots de passe ! " />

Certains sont open-source et permettent de chiffrer le fichier où est stockée la BDD.

JoePike

Le 22/07/2013 à 16h49

maxxyme a écrit :

ça doit être bien pratique à retenir tout ça… " />

OuiC’est10fi6le90%DuTemps

" />

Ingénieur informaticien

Le 22/07/2013 à 16h50

Glyphe a écrit :

Heureusement, on a inventé les gestionnaires de mots de passe ! " />

Certains sont open-source et permettent de chiffrer le fichier où est stockée la BDD.

Le seul problème c’est quand tu te fais piquer la BDD …

yeagermach1

Le 22/07/2013 à 16h51

Glyphe a écrit :

Heureusement, on a inventé les gestionnaires de mots de passe ! " />

Certains sont open-source et permettent de chiffrer le fichier où est stockée la BDD.

Qui font que si le méchant pirate, il découvre le mot de passe du gestionnaire et a accès a la BDD, tu ais encore plus baisé.

Glyphe

Le 22/07/2013 à 16h52

Ingénieur informaticien a écrit :

Le seul problème c’est quand tu te fais piquer la BDD …

Je ne suis pas quelqu’un de très important et vu le chiffrement possible actuel, il faudra de toute façon des mois pour la bruteforcer avec du très bon matos … donc ça n’en vaut strictement pas la peine.

OVH est une cible intéressante, moi pas ! " />

Glyphe

Le 22/07/2013 à 16h54

yeagermach1 a écrit :

Qui font que si le méchant pirate, il découvre le mot de passe du gestionnaire et a accès a la BDD, tu ais encore plus baisé.

Encore une fois (faut vraiment radoter ces temps-ci !) la sécurité absolue n’existe pas ! Mais je fais finalement plus confiance à mes propres capacité à sécurisé mes ordinateurs qu’à des boites dont la seule existence est la rentabilité ! :)

fArAwAy

Le 22/07/2013 à 17h05

yeagermach1 a écrit :

Qui font que si le méchant pirate, il découvre le mot de passe du gestionnaire et a accès a la BDD, tu ais encore plus baisé.

Il faut déjà trouver le premier mot de passe.

Ensuite dans la BDD, il faut penser à ne pas mettre les vrais MdP. Une petite règle toute simple pour faire perdre du temps à l’attaquant lle temps de tous rechanger.

Genre le MdP de PCI :

indiqué dans la BDD : _tdW]tW3{:r;HAd7

utilisé en vrai : _tdW]tW3{:r;HAd8

+1 sur le dernier nombre (ou +2, ou +3, etc)

Solution à décliner à l’envie….

luxian Abonné

Le 22/07/2013 à 17h19

A cette heure-ci, je constate qu’il n’y a aucune alerte sur le site web d’OVH.com ni OVHTELECOM (OVH.fr) ….

En temps que client je viens de leur envoyer une demande d’explication ……..

Ils auraient pu au moins mettre une alerte sur leur site web avant de dire par news interposée qu’ils vont un jour envoyer un mail.

Ca fait pas très pro pour le coup !

Même s’ils n’ont pas qualifié leur incident, vu l’impact, ils peuvent dire qu’ils sont en incident et qu’ils s’engagent à mettre à jour toutes les X heures l’avancement de l’analyse !

zefling Abonné

Le 22/07/2013 à 17h24

J’ai changé le mot de passe pour un encore plus long… (Vive KeyPassX)

J’avais une mots de passe totalement inutilisé ailleurs donc je ne panique pas. " />

doom_Oo7

Le 22/07/2013 à 17h28

y’a un mec qui a réussi à prouver P=NP ou quoi ?

enfin en tout cas je ferais comme lui, vachement plus rentable de revendre des mots de passe que les 1M de dollars promis

phil337

Le 22/07/2013 à 17h41

O la VH ! " />

juninho69

Le 22/07/2013 à 17h43

sinon petit HS.

C’est bien de bosser pou OVH ?

Niveau ambiance et paye … .

Merci

Bejarid

Le 22/07/2013 à 17h52

Blakbear a écrit :

Pour moi c’est probablement un problème PEBKAC, on peut faire le système le plus sécurisé du monde, si il y a des interactions avec des humains c’est quasi impossible de faire un truc 100% secure et moron-proof. Le social engineering a toujours été un des moyens les plus efficaces de compromettre un système… je serais curieux d’avoir des détails sur le hack dans leur cas, genre est-ce qu’un admin a laissé un mot de passe sur un post it… " />

La conclusion d’OVH est qu’ils n’avaient pas été assez parano, ce qui a permit l’attaque. cf compte rendu officiel :http://travaux.ovh.net/?do=details&id=8998

Moi je ne suis pas du même avis, au vu de leur compte rendu : ils avaient une grosse faille via des accès VPN bien trop puissants et mal contrôlé. Bref, ce qui est arrivé leur pendait au nez.

Maintenant qu’ils contrôlent la machine, faut rajouter le vol du portable d’un employé pour permettre l’accès VPN, ce qui rend l’attaque peu aisé (quand tu sais plus ou est ton portable ne serait-ce que pendant un court moment, t’appel ta boite et ton accès est verrouillé). Mais clairement, ils ont tendu le baton pour se faire battre et se sont fait battre, faut pas dire que c’est la faute de l’impossibilité de faire un système 100% sécurisé, c’est juste qu’ils n’avaient pas assez de contrôles sur les accès à leur infra.

Enfin, si leur transparance quand à l’incident est appréciable, il faut bien noter que l’on parle là d’un incident qui est arrivé il y a plusieurs jours. Et qu’ils n’en avaient rien dit, alors qu’ils auraient du immédiatement avertir leur clientèle…

kontas

Le 22/07/2013 à 17h59

J’ai bien aimé l’actualité sur le site de OHV, ils peuvent y retourner

OVH

Burn2 Abonné

Le 22/07/2013 à 18h32

juninho69 a écrit :

sinon petit HS.

C’est bien de bosser pou OVH ?

Niveau ambiance et paye … .

Merci

C’est la question que je me pose. Niveau paye je ne me fais pas trop d’illusion… Après faut voir pour le reste?

herbeapipe

Le 22/07/2013 à 18h41

Les données des clients ADSL sont aussi dans la nature ?

Texas Ranger

Le 22/07/2013 à 18h44

le SHA512 n’est pas un chiffrement non ? c’est “juste” un Hachage de haut niveau nan ?

un chiffrement pour moi ça serait AES 256 ou Serpent ou Blowfish/twofish etc

Texas Ranger

Le 22/07/2013 à 18h52

enfin je suppose que “ si “.

quelque part un password en SHA512 donne un truc vraiment complexe à decripter.

luxian Abonné

Le 22/07/2013 à 18h55

http://travaux.ovh.net/?do=details&id=8998

Veuillez accepter nos sincères excuses pour cet

incident. Merci pour votre compréhension.

Nos téléphones et données personnelles sont dans la nature.

Pour envisager un dédommagement, on prend des oignons pour pleurer, mais pas trop gros dans le cas où ils devront rentrer quelque part ?

jenkins1963

Le 22/07/2013 à 19h11

misterB a écrit :

S’est

ET

Sortent

Ce sont les vacances mais c’est pas une raison de défoncer le français " />" />

Une pacefraze avé dé phot sé plu difissil a retrouvé pour le pis rat kan mèm !

Nithril

Le 22/07/2013 à 19h11

Texas Ranger a écrit :

enfin je suppose que “ si “.

quelque part un password en SHA512 donne un truc vraiment complexe à decripter.

Avec une bonne centaine de GPU, cela le devient nettement moins ;)

Shuffle Bot

Le 22/07/2013 à 19h18

Personnellement je connais quelqu’un qui a vu les mots de passes de son compte OVH changés hier ! (manager + ftp) ainsi que ses comptes GMAIL attaqués…

Il n’a compris que ce qu’il lui arrivait aujourd’hui en voyant ça… il pensait à une attaque ciblée!

eyce

Le 22/07/2013 à 19h20

Texas Ranger a écrit :

le SHA512 n’est pas un chiffrement non ? c’est “juste” un Hachage de haut niveau nan ?

un chiffrement pour moi ça serait AES 256 ou Serpent ou Blowfish/twofish etc

On ne stoque jamais de mot de passe chiffrés avec un algo symétrique (tu chopes la clé tous les pwd sont corrompus, gg), mais des empreintes.

Et sur le coup on ne peut pas reprocher grand chose à OVH sur ce point, sachant que contrairement à certaines boites ils ne se sont pas contentés d’un simple hash (sensible aux rainbow tables) mais qu’ils ont annoncés que les mdp sont saltés (http://fr.wikipedia.org/wiki/Fonction_de_hachage#Salage )

NIPSEN

Le 22/07/2013 à 19h23

Mot de passe changé ^^

Diazeeeee

Le 22/07/2013 à 19h37

Le soucis principal semble provenir d’un acces remote (VPN) peu ou mal protege. Surement une authentification basique avec login / mot de passe. Malheureusement beaucoup trop d’entreprises ne mesurent pas assez le risque induit par de tels accès depuis l’exterieur.

Shuffle Bot

Le 22/07/2013 à 19h44

Les données ont été distribuées sur les forums hacker, j’ai plusieurs comptes qui recoivent des dizaines de demandes de modifications de mot de passe et d’email.

J’ai tout juste eu le temps de modifier tous les mdp FTP et nic ovh.

Les emails associés sont attaqués systématiquement (pour ceux qui ont mis le même mot de passe, j’en connais, ça veut dire par exemple sur gmail, email de secours modifié, numéro de tél associé modifié etc… du coup galère pour récupérer son compte, google ne vous croyant pas).

Vos numéros de téléphone sont certainement sur des listes de spam sms désormais…

Bref merci OVH " />" />" />

Sharkounet

Le 22/07/2013 à 19h54

simK a écrit :

Personnellement je connais quelqu’un qui a vu les mots de passes de son compte OVH changés hier ! (manager + ftp) ainsi que ses comptes GMAIL attaqués…

Il n’a compris que ce qu’il lui arrivait aujourd’hui en voyant ça… il pensait à une attaque ciblée!

Il y a beaucoup plus de chances que ca soit effectivement une attaque ciblée plutot que le hackeur qui a retrouvé son mot de passe a partir des hash volés…

Du SHA512 salté n’a presque aucun interet pour celui qui le vole. Meme pour attaquer une seule personne en y mettant des moyens enormes.

Et quand tu dis que son compte Gmail a été attaqué aussi, le detecteur de mauvaises pratiques se met a clignoter de partout…

S’il utilise le meme mot de passe partout, ses soucis ne sont sans doute pas dus au piratage d’OVH…

Shuffle Bot

Le 22/07/2013 à 20h02

non car il avait utilisé un mot de passe pas très secure, un bete bruteforce a du casser ça en 10min

mais effectivement, même mdp partout, du coup depuis OVH (il a reçu une notification de connexion puis de changement de mdp à la suite) ils ont eu l’email et ils ont tenté le même mdp, il a donc perdu tout accès 15min plus tard.

Je l’ai engueulé et il comprend pq il faut des mdp différents !

BreizFenrir

Le 22/07/2013 à 20h33

fArAwAy a écrit :

Ensuite dans la BDD, il faut penser à ne pas mettre les vrais MdP. Une petite règle toute simple pour faire perdre du temps à l’attaquant lle temps de tous rechanger.

Genre le MdP de PCI :

indiqué dans la BDD : _tdW]tW3{:r;HAd7

utilisé en vrai : _tdW]tW3{:r;HAd8

+1 sur le dernier nombre (ou +2, ou +3, etc)

Solution à décliner à l’envie….

Ta stratégie, une fois qu’on la connait pour un des mots de passe, trouver le million d’autres qui ont été piqués à côté est gratuit. C’est le principal intérêt des fonctions de hashage, surjectives mais non injectives.

Correctement utilisées, associées à un sel, il est extrêmement difficile et coûteux en ayant récupéré le résultat de la fonction de hashage de trouver une des valeurs à son origine. Et quand on trouve une valeur, c’est la même difficulté pour trouver chacune des autres.

Après, c’est pas toujours bien utilisé (c’est mal), quand c’est utilisé (si non, c’est très mal).

Texas Ranger a écrit :

le SHA512 n’est pas un chiffrement non ? c’est “juste” un Hachage de haut niveau nan ?

un chiffrement pour moi ça serait AES 256 ou Serpent ou Blowfish/twofish etc

Tout à fait. " />

misterB

Le 23/07/2013 à 07h47

nucl3arsnake a écrit :

jamais vu/entendu un prof validé une négation sans le “ne” dans ce type de phrase ;).

D’aillieur en recherche sur académie française y’a que des ne/n’ - pas ;)

En langage courant ça l’est " />

nucl3arsnake

Le 23/07/2013 à 07h48

misterB a écrit :

En langage courant ça l’est " />

Comme beaucoup de chose, autant à l’oral je dirais d’accord, autant à l’écrit non ;)

misterB

Le 23/07/2013 à 07h50

nucl3arsnake a écrit :

Comme beaucoup de chose, autant à l’oral je dirais d’accord, autant à l’écrit non ;)

En tout cas ça pique moins que de mettre un verbe à la place d’une conjonction " />

anonyme_d58ae7e2d09a5d3fb2e3eb976436dda3

Le 23/07/2013 à 08h17

caesar a écrit :

^^ faut cliquez sur le lien " />https://xkcd.com/936/

nan mais j’ai vu et je connais ce lien, mais c’est pas parce que les caractères spéciaux ne sont pas utilisés que les users vont écrire des trucs plus longs… Si au mieux de p@ssw0rd! on a password, on perd clairement en sécurité…

caesar

Le 23/07/2013 à 08h22

hadoken a écrit :

nan mais j’ai vu et je connais ce lien, mais c’est pas parce que les caractères spéciaux ne sont pas utilisés que les users vont écrire des trucs plus longs… Si au mieux de p@ssw0rd! on a password, on perd clairement en sécurité…

‘j’ai pas de mot de passe à la con’ et paf on est pas prêt de te le casser celui la

Virtual_Spirit

Le 23/07/2013 à 08h24

Mouais, même si SHA512 c’est costaud et que les mot de passe sont salé, le gain financier que peut représenté l’accès à toutes les données de tous les clients OVH Europe se chiffre certainement en millions d’euro.

Et si les mecs s’attaquent a si gros (et réussissent) c’est peut être qu’ils ont les moyens de se construire des raimbow tables qui correspondent au salage OVH (Si il utilise un seul grain de sel et pas un grain différent par mot de passe) en pas trop longtemps…

NiCr Abonné

Le 23/07/2013 à 08h56

Virtual_Spirit a écrit :

Mouais, même si SHA512 c’est costaud et que les mot de passe sont salé, le gain financier que peut représenté l’accès à toutes les données de tous les clients OVH Europe se chiffre certainement en millions d’euro.

Je serai curieux de savoir comment ils peuvent s’y prendre pour générer des millions d’euros.

Des idées ?

Raknor Abonné

Le 23/07/2013 à 09h20

Sais pas, liste d’email valide pour envoyer du spam par exemple? arnaques, phising, virus etc….

Nithril

Le 23/07/2013 à 09h35

hadoken a écrit :

nan mais j’ai vu et je connais ce lien, mais c’est pas parce que les caractères spéciaux ne sont pas utilisés que les users vont écrire des trucs plus longs… Si au mieux de p@ssw0rd! on a password, on perd clairement en sécurité…

En gros au lieu de casser ton password en 5s, il va le casser en 30s.

On gagne clairement en sécurité " />

spidy

Le 23/07/2013 à 09h36

typhoon006 a écrit :

En gros le hacker s’est servi du compte mail de l’admin :

“Salut Maurice,

Dans le cadre d’un projet d’évolution du VPN, j’aurais besoin de tester ton compte pour faire un test de charge, tu peux m’envoyer tes infos de connexion stp”

et voilà comment on obtient un couple login/mot de passe

j’ai compris la mêm chose. si c’est ça, l’admin est un gros boloss " />

étant chez OVH pour l’ADSL ça me fait chier quand même.

Zed-K

Le 23/07/2013 à 09h37

nucl3arsnake a écrit :

jamais vu/entendu un prof validé valider une négation sans le “ne” dans ce type de phrase ;).

D’aillieur D’ailleurs en recherche sur académie française y’a il n’y a que des ne/n’ - pas ;)

Mode casse-couilles " />

kwaio

Le 23/07/2013 à 09h43

Zimt a écrit :

C’est un bon patron " />

Ben Octave quoi =)

Anonyme

Le 23/07/2013 à 09h52

En un mot, nous n’avons pas été assez parano et on passe désormais en mode parano supérieur.

" />

Nithril

Le 23/07/2013 à 10h01

kwaio a écrit :

Ben Octave quoi =)

C’est sur " />

OVH

zefling Abonné

Le 23/07/2013 à 10h09

SebGF a écrit :

Hop, idem, vive le générateur de KeePassX aussi " />

Par contre, je mets des trucs que je peux me souvenir… parce que j’ai pas KeePassX sous la main, je suis dans la merde.

Mapics

Le 23/07/2013 à 10h35

Je vient de recevoir l’émail cette nuit, un trou dans la Connexion au manager et en plus les donnée de la personne dans la nature je trouve ça quand même pas mal de la part d’ovh, je pense qu’il faut qu’il revoie l’acces au manager avec une identification plus dure.

Virtual_Spirit

Le 23/07/2013 à 10h48

NiCr a écrit :

Je serai curieux de savoir comment ils peuvent s’y prendre pour générer des millions d’euros.

Des idées ?

NiCr a écrit :

Je serai curieux de savoir comment ils peuvent s’y prendre pour générer des millions d’euros.

Des idées ?

Sans être exhaustif :

-> Récupération d’accès aux serveurs / BDD et revente des emails / adresse / infos

-> Récupération d’accès aux serveurs et exploitation des ressources pour du calcul distribué (Pour craquer des hash SHA-512 par exemple " /> )

-> Récupération d’accès aux serveurs et exploitations des ressources pour faire un réseau de botnet et le louer

-> Récupération des accès SIP et appels vers numéro surtaxés (100 000Lignes OVH * 100€ = 1 Millions d’euros…)

-> Reventes d’informations à des concurrents (Ils doit bien y’avoir au moins quelques dizaines de gros clients avec des informations très très sensibles qui pourraient être revendu)

-> Chantage : Coucou, on vous à effacé votre site web, versez nous 10 000€ si vous voulez récupérer vos donnés.

-> Exploitation des données piratés pour récupérer de l’argent par d’autre moyens (Par exemple accès aux serveurs d’un site marchand, modification du code du site pour avoir des grossse grosse réduction et revente des produits acheté à très bas prix ou alors récupération de données bancaire que certains sites stokes)

Et vu que toute la base à été piqué apparemment, c’est facile de cibler les clients “intéressant” pour se faire de l’argent.

Donc oui, je pense qu’une attaque comme ça peut bien rapporter quelques millions.

gogo77

Le 23/07/2013 à 11h28

Après leur problème sur la fonction de reset de password qui générait des tokens plus ou moins prévisibles (ce qui a causé le piratage de plusieurs sites actifs autour du bitcoin) ils se font maintenant pirater leur BDD de clients…

J’ai jamais réussi à avoir confiance en OVH, et c’est encore moins le cas maintenant ^^

Blakbear

Le 23/07/2013 à 12h09

Bejarid a écrit :

La conclusion d’OVH est qu’ils n’avaient pas été assez parano, ce qui a permit l’attaque. cf compte rendu officiel :http://travaux.ovh.net/?do=details&id=8998

Moi je ne suis pas du même avis, au vu de leur compte rendu : ils avaient une grosse faille via des accès VPN bien trop puissants et mal contrôlé. Bref, ce qui est arrivé leur pendait au nez.

Maintenant qu’ils contrôlent la machine, faut rajouter le vol du portable d’un employé pour permettre l’accès VPN, ce qui rend l’attaque peu aisé (quand tu sais plus ou est ton portable ne serait-ce que pendant un court moment, t’appel ta boite et ton accès est verrouillé). Mais clairement, ils ont tendu le baton pour se faire battre et se sont fait battre, faut pas dire que c’est la faute de l’impossibilité de faire un système 100% sécurisé, c’est juste qu’ils n’avaient pas assez de contrôles sur les accès à leur infra.

Enfin, si leur transparance quand à l’incident est appréciable, il faut bien noter que l’on parle là d’un incident qui est arrivé il y a plusieurs jours. Et qu’ils n’en avaient rien dit, alors qu’ils auraient du immédiatement avertir leur clientèle…

Pour être plus précis, ce qui m’intéressait c’était le détail de la partie “ il s’avère qu’un hackeur a réussi à obtenir les accès sur un compte email d’un de nos administrateurs système” de leur compte rendu. Comment il a fait le hackeur en question? Un petit keylogger sur un ordi utilisé par un admin un peu boulet qui s’est connecté sur son webmail pro depuis un ordi pas secure? C’est en ça que je voyais plus un PEBKAC qu’autre chose, sans ça pas d’obtention des paramètres de connexion au VPN et pas de connexion au VPN et au reste. Ils auraient peut être dû éviter de donner la possibilité de se connecter sans secureid ou équivalent ceci dit.

maxxyme

Le 23/07/2013 à 13h14

Glyphe a écrit :

Heureusement, on a inventé les gestionnaires de mots de passe ! " />

Certains sont open-source et permettent de chiffrer le fichier où est stockée la BDD.

Certes, mais il faut se balader avec le fichier sur soi (ou alors le stocker en ligne mais si ton entreprise bloque les sites de stockage en ligne… taybaysay)

Et ensuite il faut pouvoir installer le logiciel de gestion sur l’ordi (ce qui n’est pas toujours possible si tu as des droits restreints).

gaetan.cambier

Le 23/07/2013 à 13h34

Et la double authentification sur le mail d’un admin, et le vpn avec certificat plutôt qu’un simple password ça serait déjà des avancées pour la sécurité

anonyme_8fe67b0cabbd915c2ea96e7f993f0b32

Le 23/07/2013 à 13h40

Bejarid a écrit :

La conclusion d’OVH est qu’ils n’avaient pas été assez parano, ce qui a permit l’attaque. cf compte rendu officiel :http://travaux.ovh.net/?do=details&id=8998

Moi je ne suis pas du même avis, au vu de leur compte rendu : ils avaient une grosse faille via des accès VPN bien trop puissants et mal contrôlé. Bref, ce qui est arrivé leur pendait au nez.

Maintenant qu’ils contrôlent la machine, faut rajouter le vol du portable d’un employé pour permettre l’accès VPN, ce qui rend l’attaque peu aisé (quand tu sais plus ou est ton portable ne serait-ce que pendant un court moment, t’appel ta boite et ton accès est verrouillé). Mais clairement, ils ont tendu le baton pour se faire battre et se sont fait battre, faut pas dire que c’est la faute de l’impossibilité de faire un système 100% sécurisé, c’est juste qu’ils n’avaient pas assez de contrôles sur les accès à leur infra.

Il suffit de se rendre à une réunion qui dure 1h ou 2 et cela suffit largement pour que le voleur puisse exploiter le matériel.

Enfin, si leur transparance quand à l’incident est appréciable, il faut bien noter que l’on parle là d’un incident qui est arrivé il y a plusieurs jours. Et qu’ils n’en avaient rien dit, alors qu’ils auraient du immédiatement avertir leur clientèle…

D’abord réfléchir, ensuite prendre les mesures appropriées. Ce qu’ils ont fait visiblement. Sans compter que ne pas révéler de suite que l’attaque a été repérée peux amener certains avantages pour en remonter les origines.

Quel dommage que tu ne bosse pas chez eux.. tu aurais sûrement pu empêcher tout cela… lance toi dans l’audit!

Ingénieur informaticien

Le 23/07/2013 à 14h05

Ca y’est, je viens de recevoir les mails d’OVH …

Ils ont pris le temps, comparé à PCI, je trouve …

L3 G33K

Le 23/07/2013 à 14h35

Mail reçu à l’instant.

L3 G33K

Le 23/07/2013 à 14h36

SAS OVH - OVH2 rue Kellermann

BP 80157

59100 Roubaix

Bonjour,

Récemment, nous avons relevé un incident de securité sur notre réseau interne

au siège social d’Ovh.

Nous avons immédiatement sécurisé et enquêté sur l’incident. Nous avons

relevé que la base de données des clients Europe aurait pu être illégalement

copiée. Cette base comporte les données suivantes :

le nom, le prénom, le nic, l’adresse, la ville, le pays, le téléphone, le

fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne

sont pas concernées puisqu’elles ne sont pas stockées par OVH.

Même si le chiffrement du mot de passe de votre identifiant est très fort,

nous vous conseillons de changer le mot de passe dans les plus brefs délais.

En savoir plus sur l’incident de securité:

http://travaux.ovh.net/?do=details&id=8998

Cordialement,

Support Client OVH

Support Technique : 08.99.49.87.65 (1,349 Euro/appel + 0,337 Euro/min)

Support Commercial : 08.20.69.87.65 (Numéro Indigo 0,118 Euro/min)

Fax : 03.20.20.09.58

Contact : OVH/fr/contact

Du lundi au vendredi : 8h00 - 20h00

Le samedi : 9h00 - 17h00

Ingénieur informaticien

Le 23/07/2013 à 14h50

En un mot, nous n’avons pas été assez parano et on passe désormais en mode parano supérieur

" />

Bejarid

Le 23/07/2013 à 15h27

chacalVSdundee a écrit :

Quel dommage que tu ne bosse pas chez eux.. tu aurais sûrement pu empêcher tout cela… lance toi dans l’audit!

Pas d’accord (pratique pour te répondre quand tu t’insérèe de façon brutale (" />) dans mon quote !).

En une ou deux heures, tu n’as pas le temps pour explorer un intranet que tu ne connais pas. Et d’après les explication d’OVH, le gars a eu besoin de faire encore un certain nombre de manip, après l’intrusion dans le VPN. Plus le temps de téléchargement de la base. Bref, c’est une ou deux journées qu’il faut, certainement pas quelques heures. Donc certe le verrouillage par machine ne garanti pas la sécurité, mais c’est un vrai frein, et quand ça arrive tu as aussi plus de chance de retrouver le coupable (empreinte sur les lieux du vol, témoignage ou caméra de surveillance vu que y en a partout maintenant…).

Et sinon, mon discours n’a jamais été de rabaisser la compétence en sécurité des gens chez d’OVH, elle est largement supérieur à la mienne, mais bien de contredire son PDG.

Le niveau de sécurisation qu’il avait mit était sans doute pratique et donc rentable, mais clairement insuffisant. Ce qu’il avait demandé à ses troupes ce n’est pas une sécurité de parano comme il le dit, mais une sécurité de PME ! Après, forcément, quand on demande une sécurité au rabais (pour pouvoir se connecter à son intranet depuis n’importe quelle appareil en déplacement), tôt ou tard, et quand bien même on a parmi les meilleurs experts en sécurité français, on tombe. Mais c’est la faute à la trop grande souplesse demandé par les décideurs, comme c’est régulièrement le cas (pas simple de dire non à son patron quand il insiste).

Latios

Le 23/07/2013 à 17h03

Je viens seulement de recevoir le mail, à l’instant. Il était temps " />

Azinya

Le 23/07/2013 à 17h49

Juste pour info. La BDD a à priori été piratée il y a approximativement 2 semaines (et non pas hier ou avant-hier).

Source interne (il y a un peu moins de 2 semaines) :

“Fait chier, j’ai plus accès à mes mails de boulot depuis la maison”

Cela sous-entends que le problème était déjà à l’époque connu et que le “re-“sécurisation en interne a débutée il y a 2 semaines.

millcaj

Le 24/07/2013 à 14h00

Aujourd’hui seulement, il y a quelques instants, soit 2 jours après la détection du hack par OVH (qui est donc survenu “plus tôt”), je reçois d’OVH :

Bonjour,

Récemment, nous avons relevé un incident de securité sur notre réseau interne

au siège social d’Ovh.

Nous avons immédiatement sécurisé et enquêté sur l’incident. Nous avons

relevé que la base de données des clients Europe aurait pu être illégalement

copiée. Cette base comporte les données suivantes :

le nom, le prénom, le nic, l’adresse, la ville, le pays, le téléphone, le

fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne

sont pas concernées puisqu’elles ne sont pas stockées par OVH.

Même si le chiffrement du mot de passe de votre identifiant est très fort,

nous vous conseillons de changer le mot de passe dans les plus brefs délais.

En savoir plus sur l’incident de securité:

http://travaux.ovh.net/?do=details&id=8998

Pas vraiment rapide pour un problème aussi sérieux… OVH a peut-être besoin d’un bon fournisseur email. " /> (Bon, les fanboys peuvent flamer maintenant.)

Catégories

Nous Suivre

À propos

OVH piraté, les clients européens invités à changer leur mot de passe

Y'en a qui ne savent pas comment occuper leurs vacances...

Commentaires (118)