fred42 a écrit :



OK, ils auraient pu communiquer vers tout le monde dès qu’ils ont su suffisamment de choses sur l’attaque, mais peut-être cela aurait peut-être entravé l’enquête suite à a plainte, les pirates se sachant repérés.

Ils ont prévenu tous ceux qui devaient  l'être : les usagers, les opérateurs de boite mail et la CNIL plus dépôt de plainte.      

En fait, si on lit leur communiqué (en lien dans leur tweet), il se sont rendu compte de l'attaque à cause du nombre important de demandes de renouvellement de mots de passe. Ils sont donc exhaustifs sur les comptes attaqués : pas de renouvellement de mot de passe => pas d'attaque du compte.

C'est délicat à identifier les méthodologies de qualifications de comptes, par exemple le cheminement probable peut être celui-là :     

• les “pirates” avaient probablement une liste de comptes emails avec identifiant/pass (db poutrée ou achetée etc…),
  


• ils testent les comptes emails et conservent ceux auxquels ils peuvent accéder,
  


• ils testent alors l’identifiant/pass sur d’autres sites courants fb, twitter etc… et le site des impôts,
  


• x comptes de sites passent avec les mêmes identifiant/pass que ceux du compte email,
  


• sur les comptes où ils maîtrisent l’email mais pas fb, twitter, etc et le site des impôts, ils identifient où ils peuvent demander une réinitialisation du mot de passe si on détient déjà l’email.
  
  
  
  Au final, si tu ne prends comme critère d’identification de ton attaque que la demande de réinitialisation du mot de passe pour détecter les comptes qui sont “piratés” tu passes à coté de tous les comptes dont les identifiants du compte email étaient les mêmes sur le site des impôts et donc une part non déterminée de tes utilisateurs continue à se faire poutrer. 
  
  
  
  Pour avoir étudier ce type d’attaques pour des clients et les contremesures à mettre en œuvre, clairement tu ne peux jamais certifier à 100% que tu as identifié tous les comptes piratés (et inversement tu vas en détecter des brouettes qui sont des faux positifs).

Tout le monde parle de l’intérêt d’intégrer l’authentification double facteur, sauf que lorsque je souhaite le proposer pour mes sites je ne trouve de “simple” et courant que des solutions de géants du net. Et il est naturellement pas question de passer par eux (je me casse pas le bol à tout détacher d’un quelconque géants du net pour finir avec google authenticator à la connexion…).



Mais pour trouver une intégration simple d’une solution open source, doublée d’une applications dispos sous android os et android, là je galère. J’ai tenté de bricoler avec des librairies dispos sur github mais ça a toujours foirré (du coup j’ai pas encore cherché pour l’appli mobile).



Si certains ont des pistes voire un tuto, je suis preneur car la manipulation des libs trouvées et loin d’être simple.

arhenan a écrit :



Pour PHP, j’ai trouvé celle-là mais je n’ai pas encore eu le temps de la tester (intégrer la 2FA avant même d’avoir fait le reste, ça marche pas trop xp) : GitHubMais je confirme le fait que les libs pour la 2FA ne sont pas très claires…





C’est celle-ci que j’ai testé et… j’ai pas du comprendre car ça plante totalement " />





Si tu y arrives n’hésites pas à me dire comment ^^

Tsinpen a écrit :



(piratages, usurpations numériques, etc.) : ça va se finir qu’il faudra des assurances (évidemment obligatoires) contre cette catégorie de risques.

Bienvenue dans le futur… " />





Si tu es une entreprise, ces assurances existent déjà et sont couramment souscrites lorsque la boite veut mettre en avant sa volonté de protéger les données de son personnel et ses clients.



On l’a beaucoup vu notamment avec les mises en conformité avec le RGPD; si les assurances n’ont rien d’obligatoire, elles te garantissent la reconstitution des données et la remise en service du système, ce qui est par contre une obligation du Règlement, et même si ton prestataire informatique a fondu les plombs (ce qui est hélas courant).



Concrètement (et c’est un sentiment non une vérité statistique), le RGPD s’est traduit pour beaucoup de pros par le fait d’investir au bénéfice d’entreprises privées promettant la conformité et notamment les assureurs, mais que très accessoirement pour améliorer l’effectivité de la protection des données à caractère personnel.



Illustration de ce que je constate couramment : la boite prend une Société de DPO externe qui balance des mails standard d’information (outre une veille re-pompant les annonces sur le site de la CNIL, le DPO balance un modèle de signature des emails, un d’une clause type dans les contrats et un d’affichage à destination des salariés), complète le registre simplifié de la CNIL après un questionnaire (en y collant son logo ça fait plus chic) et met en place une adresse email type “[email protected]”.



Parallèlement, l’entreprise prend une assurance pour la question de la restauration des données, enfin elle adresse un courrier à son prestataire informatique qui répond dans des termes vagues que le RGPD est au cœur de ses préoccupations (mais en réalité ne prend aucun engagement clair et ne reprend pas la clause de sous-traitance obligatoire dans sa mission de maintenance…).



Bref, beaucoup d’affichage pour se donner l’illusion d’être conforme, parfois avec des investissements financiers pas anodins, mais concrètement la réglementation reste toujours aussi mal maitrisée et pour cause, elle est extrêmement mal pensée, et surtout prétend systématiquement renvoyée à une Juridiction unique et centralisée à Paris, la CNIL, pour trancher tous les litiges qui sont pourtant du quotidien.

 

(Pardon pour cette digression un peu HS)

dylem29 a écrit :



Du coup où est le problème?



Les gens n’ont qu’à sécuriser leurs boites mails, et la DGFIP mettre en place l’authentification double-facteurs.





S’il ne s’agit pas de critiquer l’infrastructure, en revanche on peut regretter que l’information ne soit découverte que deux mois après et par la presse.



Une info rapide de tous (qui en plus n’aurait pas mis en en cause l’infra mais les mauvaises pratiques des usagers) cela  permet d’une part de faire un peu de pédagogie mais surtout à tous ceux qui le veulent de vérifier s’ils ne sont pas concernés et au cas où les investigations de Bercy sont passées à côté.



On peut imaginer que les mecs se sont lancés dans une campagne de qualification de comptes (2 000 ça commence à faire), généralement ça se fait en changeant d’user agent, d’ip etc… Donc c’est difficile d’identifier à 100 % les comptes qui ont été impactés.

Tsinpen a écrit :



Bah nan, je ne suis que moi. " />

Rien que l'expression me donne déjà des boutons : comment pourrait-on être une entreprise ?      


Syndrome fusionnel avec une création de l'esprit ?      

" />



Ca me semble clair, si tu agis pour le compte de ton entreprise, ca va mieux ?







Tsinpen a écrit :



Mais non, là tu me parles d’assurances contre le risque d’un recours contre l’entreprise quand elle n’est pas elle-même victime mais au contraire cause ou bien vecteur passif du préjudice causé à un tiers.

Ça n'a absolument rien à voir avec ce dont je parlais : assurances contre le risque d'être soi-même victime d'un tiers causant le préjudice (ou d'une administration qui en serait elle-même la cause ou bien le vecteur passif).      


Après tout il y a bien une Hadopi pour sanctionner le « défaut de sécurisation »... ça fait des années...

Non. Tout d’abord, tu peux écarter ton exemple avec l’HADOPI: il est interdit en France de s’assurer contre le risque de sanction (c’est la même pour une sanction pénale).



Ensuite je parle bien d’assurance qui t’assure les conséquences d’une “piratage” dont tu es victime (ou l’entreprise) : reconstitution des données, remise en place du matos, et pour certaines de la perte d’exploitation le temps de la remise en place.

 

Et pour certaines, elles t’assurent les conséquences éventuellement dommageables pour les clients et/ou membres du personnel. (Par exemple, une entreprise de livraison se fait poutrer son serveur et n’a pas pu livrer comme voulu faute de pouvoir fonctionner, du coup l’entreprise doit des pénalités, dans ce cas l’assurance peut éventuellement les prendre en charge (avec plafonds naturellement)).



Par contre je suis pas certain que tu maîtrises la notion de vecteur passif en matière de faute causant un dommage (développé notamment s’agissant des accidents de la circulation), parce que là la référence fonctionne absolument pas s’agissant des obligations du responsable du traitement ^^