eBay invite ses utilisateurs à changer leur mot de passe, Réactions à la publication du 21/05/2014

[Lionel]

Après bien d'autres sociétés eBay a annoncé avoir été la victime d'une cyberattaque massive ayant conduit à un vol de données.
La société invite donc tous ses utilisateurs à modifier au plus tôt leur mot de passe de connexion afin d'éviter tout piratage de leur compte.

Pour en revenir à l'attaque, il semble que les pirates aient réussi à récupérer identifiants et mots de passe d'employés de la société et qu'ils les aient utilisé pour accéder à des serveurs contenant les bases de données des utilisateurs de leurs services contenant nom, adresse mail, adresse postale, identifiant et mot de passe chiffré.
Les données bancaires n'auraient pas été atteintes par cette attaque.

Il y a hélas fort à parier que ces mots de passe aient été récupérés via des malwares ou via une autre cyberattaque ayant porté sur d'autres bases de données de sociétés comme il y en a tant eu ces derniers mois.

[MàJ] Ebay commence enfin à avertir ses clients en français qu'ils doivent changer de mot de passe (merci manu). Attention, d'ici à ce qu'un malin lance un phishing identique il ne s'écoulera pas longtemps !
Lien vers le billet original

[Kilt]

Oufti, j'ai l'impression de devoir changer mes mots de passe tous les quinze jours en ce moment... Par contre, je remarque que ce sont les médias qui font circuler l'info de ce piratage de données. J'ai beau me balader sur mon compte ou dans ma boite mail, je ne vois aucune annonce m'invitant à changer Ce n'est pas très sérieux de la part d'ebay de ne pas mettre un bandeau ou autre sur le site pour prévenir ses utilisateurs...

[Joël Pierre]

Ce n'est pas très sérieux de la part d'ebay de ne pas mettre un bandeau ou autre sur le site pour prévenir ses utilisateurs...

Ce qui n’est pas sérieux, c’est qu’on soit encore obligé d’utiliser des identifiants et mots de passe. Il faudrait que les géants du numérique trouvent quelque chose de plus fiable (empreinte digitale).

[SartMatt]

Ce qui n’est pas sérieux, c’est qu’on soit encore obligé d’utiliser des identifiants et mots de passe. Il faudrait que les géants du numérique trouvent quelque chose de plus fiable (empreinte digitale).

Baser l'authentification pour un service distant sur l'empreinte digitale, c'est pas franchement une bonne idée...

Parce que ton authentification, elle va se transmettre via un réseau, et pourra potentiellement être interceptée... Et si ce qui est intercepté est exploitable pour s'identifier à ta place, c'est mort pour toi : contrairement à un mot de passe, tu ne peux pas changer ton empreinte digitale !

Le mot de passe est loin d'être un moyen d'authentification obsolète, c'est au contraire un très bon compromis, pour peu qu'on éduque un minimum les utilisateurs sur la façon de choisir leur mot de passe. Et pour tout ce qui est un peu sensible, l'idéal est de le compléter par un système d'authentification à deux facteurs. Ça renforce grandement la sécurité, et ça permet toujours de changer le mot de passe au cas où...

[Joël Pierre]

Baser l'authentification pour un service distant sur l'empreinte digitale, c'est pas franchement une bonne idée...

Parce que ton authentification, elle va se transmettre via un réseau, et pourra potentiellement être interceptée...

Le mot de passe est loin d'être un moyen d'authentification obsolète, c'est au contraire un très bon compromis, pour peu qu'on éduque un minimum les utilisateurs sur la façon de choisir leur mot de passe.

L’authentification de l’empreinte digitale se ferait toujours localement. Ce ne sont pas les données de l’empreinte digitale qui seraient envoyée. Uniquement sa reconnaissance positive.

Ce n’est pas les utilisateurs qu’il faut éduquer à la sécurité informatique, mais les responsables informatiques qui se font régulièrement piratés leurs bases de données.

[SartMatt]

L’authentification de l’empreinte digitale se ferait toujours localement. Ce ne sont pas les données de l’empreinte digitale qui seraient envoyée. Uniquement sa reconnaissance positive.

Le problème reste le même, les données locales peuvent être interceptées localement par un malware. Ou tout bêtement par un attaquant "physique" qui viendrait collecter tes empreintes à un endroit où tu les a laissées... Il y a eu plus d'une démo en ce sens à la sortie de Touch ID (où l'empreinte n'est effectivement que traitée localement, et dans un espace censé être à l'abri des malwares).

Un mot de passe couplé à un token à usage unique offrira le même niveau de sécurité, voir plus que l'empreinte seule (il faudrait aussi la coupler à un token à usage unique pour être vraiment efficace), tout en offrant bien plus de souplesse : partage de compte, changement d'identification, utilisation à partir de n'importe quel ordinateur, sans qu'un lecteur d'empreintes soit nécessaire et quelque soit l'état de tes mains (parce que en cas de blessure, t'as l'air con avec tous les trucs qui utilisent l'empreinte digitale comme identification...).

Ce n’est pas les utilisateurs qu’il faut éduquer à la sécurité informatique, mais les responsables informatiques qui se font régulièrement piratés leurs bases de données.

Tu crois vraiment que les responsables informatiques d'eBay ne sont pas éduqués à la sécurité ?
Des fuites de données, il y en aura toujours. Parce que l'homme est faillible, parce que le logiciel est faillible.

Ce qui est important, c'est l'éducation des utilisateurs pour limiter les dommages potentiels liés à ses fuites. Par exemple apprendre aux gens que c'est une très mauvaise idée d'utiliser le même mot de passe pour la boîte mail et un petit forum, surtout quand l'adresse mail est enregistrée dans le profil du forum... Ou encore qu'utiliser la date de naissance comme question secrète quand on met cette même date de naissance en accès public sur Facebook, c'est pas forcément très intelligent...

[Applecherry]

L’authentification de l’empreinte digitale se ferait toujours localement. Ce ne sont pas les données de l’empreinte digitale qui seraient envoyée. Uniquement sa reconnaissance positive.

Le problème reste le même, les données locales peuvent être interceptées localement par un malware. Ou tout bêtement par un attaquant "physique" qui viendrait collecter tes empreintes à un endroit où tu les a laissées... Il y a eu plus d'une démo en ce sens à la sortie de Touch ID (où l'empreinte n'est effectivement que traitée localement, et dans un espace censé être à l'abri des malwares).

Un mot de passe couplé à un token à usage unique offrira le même niveau de sécurité, voir plus que l'empreinte seule (il faudrait aussi la coupler à un token à usage unique pour être vraiment efficace), tout en offrant bien plus de souplesse : partage de compte, changement d'identification, utilisation à partir de n'importe quel ordinateur, sans qu'un lecteur d'empreintes soit nécessaire et quelque soit l'état de tes mains (parce que en cas de blessure, t'as l'air con avec tous les trucs qui utilisent l'empreinte digitale comme identification...).

Ce n’est pas les utilisateurs qu’il faut éduquer à la sécurité informatique, mais les responsables informatiques qui se font régulièrement piratés leurs bases de données.

Tu crois vraiment que les responsables informatiques d'eBay ne sont pas éduqués à la sécurité ?
Des fuites de données, il y en aura toujours. Parce que l'homme est faillible, parce que le logiciel est faillible.

Ce qui est important, c'est l'éducation des utilisateurs pour limiter les dommages potentiels liés à ses fuites. Par exemple apprendre aux gens que c'est une très mauvaise idée d'utiliser le même mot de passe pour la boîte mail et un petit forum, surtout quand l'adresse mail est enregistrée dans le profil du forum... Ou encore qu'utiliser la date de naissance comme question secrète quand on met cette même date de naissance en accès public sur Facebook, c'est pas forcément très intelligent...

Sartmatt, regarde les choses en face, on nous oblige à inventer des mots de passe de plus en plus compliqués qu'on est de toute manière obligés de changer régulièrement car un nouveau site se les fait dérober chaque semaine... Et en plus il ne faut pas avoir le même mot de passe partout... donc 50 sites où je suis inscrit = 50 mots de passe différents... comment tu les retiens ? tu les marque sur un post-it ?

[SartMatt]

Sartmatt, regarde les choses en face, on nous oblige à inventer des mots de passe de plus en plus compliqués qu'on est de toute manière obligés de changer régulièrement car un nouveau site se les fait dérober chaque semaine...

Et justement, une fois que c'est basé sur l'empreinte, tu fais comment si tu te la fait dérober ? Celui qui l'a accède alors à tout, et tu n'as pas la possibilité de la changer.
Tu peux être sûr que le jour où ça se généralisera, il va se généraliser de nouveaux modèles "commerciaux" du côté des malveillants : on relève les empreintes, par exemple à l'occasion d'un cambriolage, puis on fait du chantage au mec en le menaçant d'effacer toutes ses données...
À l'arrivée du Touch ID, il y en a qui ont montré qu'il était possible de le tromper avec une empreinte fabriquée à partir d'une simple photo de la vitre de l'iPhone...

comment tu les retiens ? tu les marque sur un post-it ?

Perso j'utilise un gestionnaire de mots de passe, qui se charge de la génération (gestionnaire "maison", mais il en existe aussi des clés en main) et un autre pour la sauvegarde des mots de passe (avec une extension Firefox et une application Android qui me permettent d'y accéder facilement). Et ce gestionnaire est accessible via un mot de passe unique et robuste que je n'utilise pas ailleurs et que je change régulièrement.
Et à côté de ça, j'ai aussi un mot de passe unique et non stocké dans le gestionnaire pour mon compte mail principal et quelques autres comptes importantes.
Du coup, je n'ai que quelques mots de passe que j'ai vraiment besoin de retenir, même si au total j'ai plus de 200 mots de passe différents.