Les affreux mots de passe de Hacking Team

Le par  |  7 commentaire(s)
Hacking Team

Il n'est pas dit qu'ils soient la cause de ce gros piratage qui a frappé Hacking Team. Quoi qu'il en soit, la très controversée société avait une pratique de mots de passe digne de la pire des interfaces chaise-clavier.

L'exfiltration des données de Hacking Team risque de révéler pas mal de secrets pour cette entreprise italienne qui commercialise des solutions de surveillance pour les gouvernements. Un peu en marge de ce hack, il a déjà été dévoilé grâce aux données fuitées une vulnérabilité 0-day dans Flash Player utilisée par Hacking Team et maintenant les cybercriminels qui le veulent.

Et ce n'est par ailleurs pas loin d'être un gros fail pour Hacking Team avec des informations concernant le recours à des mots de passe particulièrement peu robustes aux attaques. Plus que de l'étonnement, c'est tout simplement inexplicable.

L'un des mots de passe root pour des serveurs de Hacking Team était ainsi P4ssorwd. Autant dire qu'il n'est guère difficile à casser ou tout bêtement deviner.

Expert en sécurité informatique, Graham Cluley indique également que les hackers auraient compromis le gestionnaire de mots de passe du navigateur Firefox de l'un des ingénieurs de Hacking Team. Dénommé Christian Pozzi, ce dernier avait tenté de limiter l'impact de l'exfiltration des données en déclarant que les attaquants répandaient des mensonges sur Hacking Team et que lesdits fichiers contenaient un virus.

censureIl s'avère que Christian Pozzi avait une propension à utiliser un nom d'utilisateur comme Neo ou c.pozzi, et le fameux mot de passe P4ssword ainsi que Passw0rd. Consultant pour la société de sécurité F-Secure, Sean Sullivan a déclaré à Business Insider à propos du hack de Hacking Team : " De ce que j'ai vu, l'utilisation de mots de passe faibles pourrait être le problème. "

Hacking Team est en tout cas désormais dans la panade. Et si en plus c'est la faute de mots de passe faibles… Maintenant que les petits secrets de Hacking Team sont dans la nature (code source compris), il va aussi rapidement devenir plus simple de se prémunir contre ses outils de surveillance.

Complément d'information

Vos commentaires

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Le #1849212
Entre la chaise et le clavier, un "phénomène" impossible à gérer ou contrôler ... même par les plus grands ou talentueux informaticiens
Le nœud du problème est là ...
Le #1849244
DeepBlueOcean a écrit :

Entre la chaise et le clavier, un "phénomène" impossible à gérer ou contrôler ... même par les plus grands ou talentueux informaticiens
Le nœud du problème est là ...


Un autre problème est que beaucoup de personnes se considèrent comme étant de "talentueux informaticiens"...
Le #1849256
Sicyons a écrit :

DeepBlueOcean a écrit :

Entre la chaise et le clavier, un "phénomène" impossible à gérer ou contrôler ... même par les plus grands ou talentueux informaticiens
Le nœud du problème est là ...


Un autre problème est que beaucoup de personnes se considèrent comme étant de "talentueux informaticiens"...


Ce sont même les pires
Le #1849257
Pourtant c'est si simple de créer des mots de passes relativement costaud.

Exemple :

On incorpore dans un mot de passe faible que l'on a l'habitude notre numéro de sécurité sociale, notre numéro de téléphone portable, la plaque d'immatriculation de notre voiture, etc etc ...
Le #1849284
Ces mecs sont oscillent entre génie et débilité profonde en fait... C'est fort.
Le #1849346
DeepBlueOcean a écrit :

Entre la chaise et le clavier, un "phénomène" impossible à gérer ou contrôler ... même par les plus grands ou talentueux informaticiens
Le nœud du problème est là ...


bien sûr que si ..il existe des moyens assez facile pour les "vrai" admins d'exiger un mot de passe fort avec n caractères minimum.
Bon après si même le mot de passe root d'une société de sécurité est bancal on ne peut rien pour eux.
Le #1849359
Du ssh en login/mot de passe, sur le port 22, en 2015… Si tu veux faire les choses bien:

* Utilisation d'un autre port pour le ssh, genre 59875
* Désactivation du root login (par défaut sans clef asymétrique sur Jessie)
* Authentification par clefs asymétriques uniquement pour les utilisateurs, désactivation de l'authentification par login/mot de passe

Et là tu es relativement tranquille

Après, si on regarde les IPs, c'est du RFC1918, privées et non routables sur Internet, donc ça laisse penser à du VPN derrière. Mais ce n'est pas une raison pour ne pas bien faire les choses.

Qu'une boîte qui vend des malwares (tiens d'ailleurs, tout le monde s'en fout de la légalité de la chose, mais il me semble que monsieur tout le monde n'a pas le droit de s'introduire et se maintenir dans un système de traitement de données de manière frauduleuse, eux ils vendent les outils pour le faire et personne n'a tilté? genre, une boîte qui produirait des outils pour ouvrir toutes les bagnoles, il lui arriverait quoi à votre avis?) et bosse avec des services secrets de différents pays, dont le nôtre, soit à ce point incapable, ça fout les jetons.
Suivre les commentaires
Poster un commentaire
Anonyme
:) ;) :D ^^ 8) :| :lol: :p :-/ :o :w00t: :roll: :( :cry: :facepalm:
:andy: :annoyed: :bandit: :alien: :ninja: :agent: :doh: :@ :sick: :kiss: :love: :sleep: :whistle: =]