Oui mais non, CF ma réponse d’au dessus.

Chez Orange, au SAV, notre batiment était connecté à Internet pour le transit des infos clients.      

Alors effectivement c'est chiffré, via un VPN d'entreprise, etc. ; mais internet est tout de même là.      

Et c'est le cas pour énormément de FAI, la faille intervenant presque à 100 % des cas avec les intermédiaire et pas directement sur la BDD à proprement parler.     

KP2 a écrit :



Non, non, la conf par defaut est juste pourrie sous mongo… et les mecs en charge de la base n’ont pas fait l’effort de la securiser. Pour bien connaitre Mongo, ca ne m’etonne pas du tout…







C’est pas le problème de Mongo ça. Il proposent un outil et les boites sont libre de le prendre ou pas. Qu’il soit complexe, pourri, mal documenté ou peu importe au final.



Et à partir du moment où tu prend un outil, tu assume de sécuriser ce qui peut l’être ; et dans notre cas il n’y a appartement pas exploit sur une faille de sécurité, mais sur un manquement à la sécurité.



La faute est, à priori, totalement à imputer aux Admin’ syst/BDD qui n’ont pas fait leur travail ou/et pas été formés par leur boites à ces outils, pas eu les moyens de le faire, etc.

m1k4 a écrit :



“Dans ce cas, la solution la plus facile est de placer la ligne bind ip = 127.0.0.1 en commentaire ou bien de la supprimer”

  Quel admin ferait ca sans vérifier ce que ca fait sans déconner ??        


  (meme si c'est f**king obvious ce que ca fait)

  Y'a des centaines de possibilités :       


 - Un AUTODIDACTE incompétent ;       


 - Un non-formé (c'est différent) ;       


 - Fatigué à faire cette manip à 21 h après 14 heures de travail et il fait une erreur conne (plus courant qu'on le pense dans les gros SI avec des Admin Multi-rôles) ; <--- C'est du vécu    


 - Il le fait, a un autre soucis, note qu'il faut le faire plus tard et oublie ;       


 - Il est remplacé et son suivant ne sait pas ;       


 - etc..       


         


 Bref, je te fais pas une liste, mais dans l'idée c'est les principaux soucis qui me viennent à l'esprit en premier lieu.     

Après je crois que tu te pose “mal” la question.



Le problème n’est pas tant de savoir “pourquoi” y’a eu erreur, ça peut arriver de temps en temps, c’est normal.

Mais pourquoi à AUTANT de monde à la fois.



Et là, tu incrimine logiquement l’Admin’, c’est basique, mais aussi le logiciel qui doit être mal branlé pour que tant de boites soient tombées dans le panneau " />

francois-battail a écrit :



Il manque quand même le stagiaire de 3ème dans la liste. Mais c’est clairement une faute professionnelle. Après rechercher les responsabilités, les liens de causalité et les sanctions qui vont bien est un autre problème mais en prod’ c’est simplement inconcevable et inacceptable de faire une connerie pareille. D’autant que ce n’est pas du live éphémère mais du durable, donc en plus aucune supervision.

Ah oui mais clairement, la faute première est à imputer au Tech'/admin qui a pas fait correctement son taf.      

Après, comme j'ai dis, vu le nombre de boites qui sont tombées dans le panneau, il serait aussi intelligent de la part de MongoDB de revoir un peu leur logiciel au risque de passer un peu pour des cons   

Parce que bon, leur seule réponse a été un gros “RTFM dude !”, c’est un peu léger quand la moitie (au pif) de ses clients ont le même problème " />









m1k4 a écrit :



Et c’est du fichier de conf en cli donc je dirais que non, le “logiciel” n’est pas mal branlé :p

Je te rejoins sur la masse par contre, j'ai du mal à comprendre comment il peut y en avoir autant

Par “logiciel mal branlé” j’entends que y’a forcément quelque chose qui foire dans leur produit (peu importe la parte) au point qu’autant de boite tombent là dedans quoi ^^ Mais oui techniquement parlant je suis ok avec toi.

Ah les licences libre … depuis le temps qu’on nous le dit que c’est une mauvaise idée de les utiliser pour des choses vraiment sérieuses … " />  il est loin le temps où c’était qu’un délire d’étudiant mal rasé.



" />



 

gastaman a écrit :



Je pense que l operateur c’est BT, ils ont utilisé mongo dans un de leur projet pour gérer les ticket de connexion2/3/4G et les tokens netflix. Après c’est vrai que chez mongo faut en vouloir pour leur docs….





SFR & Orange utilisent aussi MongoBD, en partie.



Tant que c’est pas certifié, c’est potentiellement tout le monde ou personne.

Oui, surtout dans des grands FAI où 42 000 personnes (au pif) ont besoin de la BDD :

         


 - Les employés d'agence ;       


 - Les SAV Niv'1, 2, etc. ;       


 - L'administration ;       


 - Les entreprises tierces ;       


 - Les services de l'état ;       


 - Etc.       

 Bref, la brèche est potentiellement partout en soit.       

 J'ai été employé en SAV Pro' Orange, et sur la 40aine d'outils que nous utilisions, dont plus de la moitier partagée avec d'autres entreprises pour la sous-traitance, tous utilisaient les dizaines (!) de BDD des utilisateurs sous une forme ou une autre.       

 A partir de là, comme on dit "Il suffit d'une fois" et boum.     

Skywa a écrit :



Comme les commentaires précédent, j’ai l’impression qu’on manque d’infos.

Si ça se trouve il y a un identifiant "passe-partout" qui permet de se connecter une fois la BDD accessible sur internet.

Un identifiant “passe-partout” je ne pense pas, c’est des logiciels Pro’ tout de même " /> C’est pas une backdoor.



Comme beaucoup ici, même si on a pas toutes les infos, je pense plus à des défauts de sécurisation niveau client, genre l’admin’ qui laisse les mdp Root par défaut, ou les stocks en clair à un endroit au pif, etc.



C’est beaucoup plus courant qu’on ne le pense a force de coller des novices sur des postes clés (réalité & expérience du terrain inside …).



Bref, l’affaire d’incompétents plus qu’autre chose surtout (comme souvent).

Oui, mais faut comparer ce qui est comparable ;)



Evidement qu’un étudiant tout frais sera pas forcément capable de tout faire, y’a une certaine logique là-dedant.



Et un autodidacte qui aura passé son temps devant ton écran, à pratiquer, il saura pas mieux faire parce qu’il aura jamais eu accès à un équipement, aux critique positives et à l’aide d’un enseignant, au travail de groupe avec ses camarades et ses stages, et je t’en passe.



Et encore ! je prend même pas en compte les à-côté : les cours de langues, de gestion, de compta, d’encadrement, enfin tout le barda qui font partie d’une formation un minimum sérieuse.

Cacao a écrit :



hmmm le titre de la news est trompeur. La technologie employée pour la base de données n’a rien à voir avec la sécurisation ou non de celle-ci. Comme Mongo le précise : RTFM.



En lisant juste le titre, on pourrait croire qu’à cause de MongoDB, des bases de données sont librement accessibles.





C’est souvent le cas sur NxInpact comme les autres journaux, une technique vieille comme le monde : un titre accrocheur pour faire vendre/faire des vues.



Et à ce niveau, bien que je le déplore comme toi, NxInpact n’a rien à envier à d’autres ^^



Tout l’intérêt de bien lire les news " />