zeldomar a dit:

Peut-on vraiment parler de “pirate” dans ce genre de cas de figure ? :)

Clairement pas à mon sens. Je ne comprends pas l’intérêt de cette communication, c’est ni nouveau ni original, et ça ne sert à rien.

ben5757 a dit:

Quand vous écrivez que ce n est pas vraiment une faille de sécurité je pense que vous vous trompez. La sécurité dbun système est définie par au moins 3 critères : la confidentialité, l intégrité et la disponibilité.

Ici la faille bloque un compte parce que leur process de vérification est pourri. Le système est indisponible pour un ou plusieurs utilisateurs si c est massivement exploite. C est bien une faille de sécurité

Franchement bof. Il faut aussi qu’il y ait un intérêt à réaliser l’action. Par exemple, le même blocage est possible avec la majorité des comptes en ligne des banques, et depuis des lustres, je peux donc m’amuser à taper n’importe quoi dans les formulaires de login pour provoquer le blocage de comptes aléatoires pour cause de trop d’erreurs de mot de passe. Or ça n’arrive jamais, pourquoi ? Parce que ça ne sert à rien pour l’attaquant et que c’est facilement résolu par l’attaqué.

On peut aussi envoyer un paquet par la poste avec une mini-bombe dedans, pour détruire la boîte aux lettres du destinataire, et il ne recevra plus de courrier. Mais ça ne sert à rien, et il va vite s’en rendre compte. Il y a plein d’exemples comme ça, de choses qui ne sont pas sécurisées parce qu’exploiter le système ne sert à rien. Il me semble que la sécurité est toujours proportionnelle au risque.

(quote:1867208:Z-os)
Sur une attaque ciblée cela peut être utile et s’apparenter à de l’ingénierie sociale : on bloque les accès d’une personne soit elle doit attendre la réactivation et on l’empêche de réaliser certaines actions, soit elle utilise un mode dégradé pour ce qu’elle doit faire dans l’urgence (passer un coup de fil ou envoyer un mail à la place d’utiliser la messagerie chiffrée)

Bien sûr, sauf que les conditions pour qu’une telle attaque soit efficace sont extrêmement difficiles à réunir. D’où ce que je disais, la sécurité est à dimensionner en fonction du risque. Après des scénarios tordus, on peut toujours en imaginer, et il s’en produira toujours quoi qu’on fasse, aucune sécurité n’est infaillible.

Et puis alors, elle est où la news de cette même “faille de sécurité” chez la majorité des banques ? Et aussi d’autres types de comptes, comme l’exemple donné par shadowfox ? Et aussi sur mon exemple de démolir une boîte aux lettres pour bloquer le courrier ?

(quote:1867247:alex.d.)
Tu ne verras donc pas d’objections à afficher ici ton numéro de compte pour qu’on s’amuse à provoquer son blocage par ta banque ?

Ben bien sûr, et ça t’apporterait quoi de le faire ? Tu le ferais peut-être pour rigoler si je te donnais ce numéro parce que ça te prendrait 10 secondes, mais si tu devais passer plus de temps pour l’obtenir, tu ne le ferais pas, parce que ça ne te servirait à rien. Devoir fournir un effort pour un résultat nul, c’est justement ce qui fait que ça n’a que très peu de chances d’arriver.

Après si tu veux t’amuser quand-même, tu peux aller le faire avec des numéros aléatoires, je peux t’assurer que ça impactera des gens si c’est ça ton but.