RockYou laisse échapper 32 millions de mots de passe
Victime d'une vulnérabilité de type injection SQL, le site RockYou a mis en péril la bagatelle de 32 millions de mots de passe répertoriés en clair dans une base de données.
La société de sécurité Impreva a indiqué avoir récemment découvert une faille de type injection SQL dans le site RockYou. Lancé en 2006, ce site développe des applications pour des réseaux sociaux parmi lesquels Facebook, MySpace, Bebo. Cette faille est considérée comme très sérieuse par Impreva, précisant que bien souvent les identifiants et mots de passe sont les mêmes que ceux utilisés avec des comptes webmail.
Dans une note, RockYou concède avoir été la victime d'une brèche de sécurité, et la possibilité pour un attaquant d'avoir pu accéder aux adresses e-mail et mots de passe de son système. RockYou recommande à ceux qui utilisent les mêmes identifiants pour d'autres services en ligne de les modifier sans tarder.
Alors que le doute subsiste quant à savoir si ladite vulnérabilité a effectivement été comblée ou non, toute cette histoire semble bien faire rire un individu qui se présente sous le pseudonyme de igigi et affirme avoir en sa possession très exactement 32 603 388 comptes de RockYou. Il a déjà procédé à une petite publication, et on peut s'apercevoir que les mots de passe de la base de données de RockYou étaient stockés en clair ( avec les identifiants ), c'est-à-dire au format texte, sans le moindre chiffrement.
igigi qui suppose que sa récolte lui permettra sans nul doute de compromettre des comptes MySpace et autres, demande à RockYou d'arrêter de mentir à ses utilisateurs, sous peine de tout publier.
-
Facebook va proposer des mots de passe à durée de vie limitée pour une utilisation du réseau social depuis par exemple un lieu public.
Poser une question
c'est quand même comique que le porjet hadopi veut "punir" des internautes pour défaut de sécurisation et là, tu as une grosse boite qui :
1) n'a pas respecté un engagement simple de sécurité
2) se fout de la gueule de ses clients
3) porte atteinte a des millions d'internautes ( qui il est vrai ont moins de pouvoir lobbyiste que les majors).
Bon ils vont nous la faire à la MS'style, des excuses et ça va passer comme une lettre à la poste ...
il neige, on plaisante, les filles sont en doudoune celio, fait froid, le pere noel sera en retard cette année car '' l'a chopé le virus H1N1 cause il a pas installé son MSE.
En même temps, çà évite à l'admin de changer le chiffrement lorsqu'un devient obsolète. Je pense nottamment au MD5 que l'on a abandonné pour du chiffrement un peu plus solide (sha1, sha256 etc..).
Ceci dit, pour un site d'une telle envergure, çà ne fait pas très professionel...