Durant le weekend, le forum américain d'Ubuntu a subi une attaque en règle ainsi qu'un défaçage. 1,82 million de comptes utilisateurs sont potentiellement touchés et dans la nature. Canonical se veut néanmoins rassurant en expliquant que les mots de passe ne sont pas stockés en clairs sur les serveurs.
Une faille de sécurité semble avoir été exploitée sur les serveurs du forum d'Ubuntu durant le week-end. En effet, le site a été victime d'un défaçage ce samedi, ce qui a poussé les administrateurs de Canonical à le fermer ou tout du moins à le mettre en statut de maintenance.
Suite à une première analyse, il semblerait que 1,82 million de comptes utilisateurs (nom d'utilisateur, adresse mail et mot de passe) aient été exposés et se retrouvent dans la nature. Canonical se veut rassurant en expliquant que les mots de passe ne sont pas stockés en clair sur les serveurs, mais qu'ils sont hashés avec une pincée de sel. Une méthode utilisée par défaut sur les serveurs de vBulletin qu'exploite la société.
L'auteur revendiqué du méfait, connu sous le nom de @Sputn1k_, n'a semble-t-il pas encore publié d'une manière ou d'une autre le contenu de son larcin. Mais il serait très étonnant qu'au moins une partie de celui-ci ne se retrouve rapidement sur la Toile. Car, habituellement, c'est comme cela qu'est validée l'attaque.
En attendant, si vous vous êtes enregistrés sur les forums d'Ubuntu et que vous utilisez ce même mot de passe sur d'autres services, nous ne saurions que vous conseiller d'en changer rapidement.
Commentaires (136)
Ah tiens un hacker frustré qui utilise Windows ?
" />
Entre Apple et Ubuntu, ce fut un bon week-end pour les hackers !
J’avais perdu mon mot de passe , s’il pouvait me le redonner ?
Ca concerne le forum de quel pays?
Pour être original, c’est une annonce originale !
http://www.pcinpact.com/breve/81297-ubuntu-se-preparerait-il-a-annonce-son-edge-…
Vous êtes banni(e) de ce forum. L’administrateur ou le modérateur qui vous a banni envoie le message suivant :
Hors sujet total à répétition
Bon ça va, mon compte là-bas était bien protégé.
Comprend pas … si les mdp ne sont pas stockés en clair; où est le risque?
Je suis content d’avoir changé mon mdp il y a quelques mois. Vive 1Password.
Ca y est les pub a la con viennent de frapper sur PCi. Elles s’agrandissent au survol et pas au click (eg CitroHaine)
ils sont hashés avec une pincée de sel
Rhooo c’est pas bien, tout le monde ne va pas comprendre
Canonical se veut néanmoins rassurant en expliquant que les mots de passe ne sont pas stockés en clairs sur les serveurs.
Oui enfin des hash de mots de passe ca se casse. Il faut pas croire que parce que on a utilisé du md5 dessus que ca y est c’est la fête !
indyiv, le chiffrage utilisé par la plupart des sites ne tient pas la route face à la puissance disponible avec un simple PC de 2013 et une carte graphique à 200€.
S’ils indiquent cryptage+salage, ça veut dire qu’ils n’ont rien compris à la sécurité et n’utilisent pas un moyen de chiffrement efficace comme bcrypt (sinon ils sauraient que cryptage+salage n’offre pas plus de sécurité depuis très longtemps) - en quelques heures, le pirate, même sans connaissances particulières, aura décrypté la plupart des mots de passe associés aux comptes récupérés. Disons que, comme beaucoup de sites (PCInpact y compris je pense, vu qu’à chaque fois qu’on a un article dessus l’équipe évite soigneusement d’en parler), ils ont dix ans de retard par rapport aux mesures (pourtant simples) qu’il faudrait adopter.
Autrement dit, à moins de tomber sur un site qui prend ça au sérieux, et qui au lieu d’annoncer hashage+salage annonce un chiffrement adaptatif, tu peux assumer que tout mot de passe que tu laisses sur un site est stocké en clair, parce que hashage+salage, c’est ce à quoi ça équivaut depuis des années.
Moi ce qui me fait chier c’est les millions d’émail qui ce ballade dans la nature. Car le nerf de la guerre des pirates c’est bel et bien ça ( les emails pour spamer ),après les mots de passe ils s’ent foutent un peu je pense.
Tiens tiens… comme c’est étrange, ça arrive au moment ou ubuntu doit parler de son edge. Etrange… etrange…
" />
Ça arrive à tout le monde.
" />
C’est ce que certains libriste devrait comprendre.
il te faut donc 50 bouquins si tu as 50 sites…
Attention le problème de sécurité ne concerne pas Ubuntu ou linux, mais un problème de codage d’un l’un des modules du forum.
" />
C’est toujours les appli tierces qui foutent la merde ^^
Une faille de sécurité semble avoir été exploitée sur les serveurs du forum d’Ubuntu durant le week-end.
Ubuntu Server….
C’est fou tout ce débat sur les mots de passe. Blablabla ils sont salés, blablabla il ne faut pas crypter, blablabla je suis un boulet. Le mec s’en branle de voler le mot de passe de geeks poilus qui doivent tous en utiliser un différent par sites.
1,82 millions de compte c’est surtout 1,82 millions d’adresses email qui pourront être exploitées, vendues. C’est bien pour Canonical de rassurer les utilisateurs pour leur mot de passe, mais l’adresse email est dans la nature, ce qui n’est pas tout le temps souhaitable. Prochaine étape, faire des stats sur les adresses emails et cibler les noobs auto-hébergés pour rooter leur serveur.
Et moi qui n’arrête pas d’entendre qu’Ubuntu a une sécurité optimale comparé à d’autres…on m’aurait menti.
Le site d’Apple réservé aux développeurs a été piraté également et j’en suis sur qu’il est hébergé sur un serveur Linux. Après Linux ne fait pas tout, il faut voir le développement du site mais bon, on parle ici d’un site d’Apple réservé aux développeurs, j’imagine que le site n’a pas été déveloper avec les pieds
Impossible de faire de maj d’ubuntu cet aprem, et j’ai eu beau expliquer que ce n’était pas à cause du système d’exploitation, ça n’a pas convaincu
" /> 
" />
Heureusement j’ai pu compter sur microsoft pour rattraper le coup, leur site s’est mis à bugguer, impossible d’avoir une licence
En attendant, si vous vous êtes enregistrés sur les forums d’Ubuntu et que vous utilisez ce même mot de passe sur d’autres services, nous ne saurions que vous conseiller d’en changer rapidement.
Ben oui mais le forum est par terre, qu’on te dit
Ou alors s’il y a un lien, merci de le mettre dans l’actu !
Bah, vu que mon mdp en était un généré aléatoirement par Keepass et que c’était une adresse mail poubelle, donc ça va perso, je risque pas grand chose
" />
certes mais c’est pas comme si 1.8 M de personne poster tout les jours sur leurs forum (pis c’est que “un forum” si j’ose dire :x).
Je n’ai pas lu toutes les pages, mais est ce que les comptes Ubuntu One sont touchés ou ce sont juste les forums ?
La cyber War commence à se voir
" />