Non. La solution doit fonctionner même si le poste de l'utilisateur
n'est pas propre. Les solutions citées précédemment permettent ça.
Non. La solution doit fonctionner même si le poste de l'utilisateur
n'est pas propre. Les solutions citées précédemment permettent ça.
Non. La solution doit fonctionner même si le poste de l'utilisateur
n'est pas propre. Les solutions citées précédemment permettent ça.
Du coup, si on peut faire confiance à un site www.spplus.net et y
mettre son numéro de carte, pourquoi pas faire confiance à
www_caisse-epargne.fr ?
Du coup, si on peut faire confiance à un site www.spplus.net et y
mettre son numéro de carte, pourquoi pas faire confiance à
www_caisse-epargne.fr ?
Du coup, si on peut faire confiance à un site www.spplus.net et y
mettre son numéro de carte, pourquoi pas faire confiance à
www_caisse-epargne.fr ?
Le pire de ce que j'ai vu, c'est banque directe:
- login : No de compte
- mot de passe de 4 chiffres choisi par le client
ce login/mot de passe unique permet de faire toutes les opérations en
ligne, y compris la création de bénéficiaires et les virements.
Le pire de ce que j'ai vu, c'est banque directe:
- login : No de compte
- mot de passe de 4 chiffres choisi par le client
ce login/mot de passe unique permet de faire toutes les opérations en
ligne, y compris la création de bénéficiaires et les virements.
Le pire de ce que j'ai vu, c'est banque directe:
- login : No de compte
- mot de passe de 4 chiffres choisi par le client
ce login/mot de passe unique permet de faire toutes les opérations en
ligne, y compris la création de bénéficiaires et les virements.
Allez dire ça aux phisheurs de tous poils, ils doivent bien s'amuser.
Et lisez le reste du thread sur fr.comp.securite, vous y verrez
toutes sortes de méthodes nettement meilleurs.
La version papier n'est certainement pas la meilleure méthode non
plus. Les méthodes à partir de challenge/response utilisant une carte
à puce, ou au minimum les listes à biffer sont nettement plus
efficaces.
alors que je suis le seul à connaitre mon code secret.
C'est bon pour les utilisateurs qui ont les "deux yeux ouverts". Ils
sont malheureusement rares
Allez dire ça aux phisheurs de tous poils, ils doivent bien s'amuser.
Et lisez le reste du thread sur fr.comp.securite, vous y verrez
toutes sortes de méthodes nettement meilleurs.
La version papier n'est certainement pas la meilleure méthode non
plus. Les méthodes à partir de challenge/response utilisant une carte
à puce, ou au minimum les listes à biffer sont nettement plus
efficaces.
alors que je suis le seul à connaitre mon code secret.
C'est bon pour les utilisateurs qui ont les "deux yeux ouverts". Ils
sont malheureusement rares
Allez dire ça aux phisheurs de tous poils, ils doivent bien s'amuser.
Et lisez le reste du thread sur fr.comp.securite, vous y verrez
toutes sortes de méthodes nettement meilleurs.
La version papier n'est certainement pas la meilleure méthode non
plus. Les méthodes à partir de challenge/response utilisant une carte
à puce, ou au minimum les listes à biffer sont nettement plus
efficaces.
alors que je suis le seul à connaitre mon code secret.
C'est bon pour les utilisateurs qui ont les "deux yeux ouverts". Ils
sont malheureusement rares
Je suppose qu'ils surveillent leurs logs et que le système couine en
cas d'attaque par force brute sur le mot de passe, ou même que le
compte est verrouillé après N essais infructueux.
Reste à voir s'ils détectent quelque chose quand on fait tourner le
login au lieu du mot de passe... Vieille attaque plus difficile à
gérer.
Je suppose qu'ils surveillent leurs logs et que le système couine en
cas d'attaque par force brute sur le mot de passe, ou même que le
compte est verrouillé après N essais infructueux.
Reste à voir s'ils détectent quelque chose quand on fait tourner le
login au lieu du mot de passe... Vieille attaque plus difficile à
gérer.
Je suppose qu'ils surveillent leurs logs et que le système couine en
cas d'attaque par force brute sur le mot de passe, ou même que le
compte est verrouillé après N essais infructueux.
Reste à voir s'ils détectent quelque chose quand on fait tourner le
login au lieu du mot de passe... Vieille attaque plus difficile à
gérer.
Et quand ca derape, plutot que faire un gros scandale qui fait froid
dans le dos et qui fout le systeme par terre, soit on achete le
silence, soit on fait un proces, on met une bonne couche de comm
derriere, on remet une planche "pour renforcer", on redonne un coup de
peinture et zou.....
Cf l'histoire mouvementee du systeme de cartes a puce......
Et quand ca derape, plutot que faire un gros scandale qui fait froid
dans le dos et qui fout le systeme par terre, soit on achete le
silence, soit on fait un proces, on met une bonne couche de comm
derriere, on remet une planche "pour renforcer", on redonne un coup de
peinture et zou.....
Cf l'histoire mouvementee du systeme de cartes a puce......
Et quand ca derape, plutot que faire un gros scandale qui fait froid
dans le dos et qui fout le systeme par terre, soit on achete le
silence, soit on fait un proces, on met une bonne couche de comm
derriere, on remet une planche "pour renforcer", on redonne un coup de
peinture et zou.....
Cf l'histoire mouvementee du systeme de cartes a puce......
VANHULLEBUS Yvan wrote:Mais meme un token "pour une session" ne protege pas completement,
bien que ca protege effectivement de "la plus grosse partie des
problemes", y compris (surtout) le phishing.
N'étant pas totalement idiot, j'ai bien sais ce qu'est le phising (même
si c'est plutôt un truc de hacker que d'ingé sécu, mébon).
Une chose m'échappe encore :
Que le malfaisant crée un nom de domaine "ressemblant", encore mieux,
s'introduit sur le DNS autoritaiore de la banque, je peux le concevoir.
Mais il ne peut tout de même pas piquer les certificats qui valident la
session HTTPS, non ? Les navigateurs couinent, comme lorsque je me
commecte sur mon propre serveur, dont Mozilla ne connaît pas l'autorité
de Certif.
VANHULLEBUS Yvan <vanhu@nospam_free.fr> wrote:
Mais meme un token "pour une session" ne protege pas completement,
bien que ca protege effectivement de "la plus grosse partie des
problemes", y compris (surtout) le phishing.
N'étant pas totalement idiot, j'ai bien sais ce qu'est le phising (même
si c'est plutôt un truc de hacker que d'ingé sécu, mébon).
Une chose m'échappe encore :
Que le malfaisant crée un nom de domaine "ressemblant", encore mieux,
s'introduit sur le DNS autoritaiore de la banque, je peux le concevoir.
Mais il ne peut tout de même pas piquer les certificats qui valident la
session HTTPS, non ? Les navigateurs couinent, comme lorsque je me
commecte sur mon propre serveur, dont Mozilla ne connaît pas l'autorité
de Certif.
VANHULLEBUS Yvan wrote:Mais meme un token "pour une session" ne protege pas completement,
bien que ca protege effectivement de "la plus grosse partie des
problemes", y compris (surtout) le phishing.
N'étant pas totalement idiot, j'ai bien sais ce qu'est le phising (même
si c'est plutôt un truc de hacker que d'ingé sécu, mébon).
Une chose m'échappe encore :
Que le malfaisant crée un nom de domaine "ressemblant", encore mieux,
s'introduit sur le DNS autoritaiore de la banque, je peux le concevoir.
Mais il ne peut tout de même pas piquer les certificats qui valident la
session HTTPS, non ? Les navigateurs couinent, comme lorsque je me
commecte sur mon propre serveur, dont Mozilla ne connaît pas l'autorité
de Certif.
VANHULLEBUS Yvan writes:
[calculettes]
Mais meme un token "pour une session" ne protege pas completement,
bien que ca protege effectivement de "la plus grosse partie des
problemes", y compris (surtout) le phishing.
Actuellement, la banque directe demande de saisir à nouveau le
login/mot de passe lorsque l'on fait un virement. S'ils se mettent à
utiliser ces calculettes, il n'y a pas de raison que ça change. Le
defi/réponse sera donc nécessaire pour chaque opération critique
(virement, ...) ce qui limitera les possibilités d'exploitation depuis
une machine compromise.
VANHULLEBUS Yvan <vanhu@nospam_free.fr> writes:
[calculettes]
Mais meme un token "pour une session" ne protege pas completement,
bien que ca protege effectivement de "la plus grosse partie des
problemes", y compris (surtout) le phishing.
Actuellement, la banque directe demande de saisir à nouveau le
login/mot de passe lorsque l'on fait un virement. S'ils se mettent à
utiliser ces calculettes, il n'y a pas de raison que ça change. Le
defi/réponse sera donc nécessaire pour chaque opération critique
(virement, ...) ce qui limitera les possibilités d'exploitation depuis
une machine compromise.
VANHULLEBUS Yvan writes:
[calculettes]
Mais meme un token "pour une session" ne protege pas completement,
bien que ca protege effectivement de "la plus grosse partie des
problemes", y compris (surtout) le phishing.
Actuellement, la banque directe demande de saisir à nouveau le
login/mot de passe lorsque l'on fait un virement. S'ils se mettent à
utiliser ces calculettes, il n'y a pas de raison que ça change. Le
defi/réponse sera donc nécessaire pour chaque opération critique
(virement, ...) ce qui limitera les possibilités d'exploitation depuis
une machine compromise.
Le seul système résistante au phishing c'est une authentification des deux
côtés, avec côté utilisateur un certificat générant une signature dynamique.
Et encore, ça peut être attaqué à l'étape de génération du certificat. Je ne
connais qu'un seul site qui l'utilise, celui des impôts pour effectuer sa
déclaration en ligne.
La seule méthode d'authentification invulnérable au phishing c'est avec un
certificat sur une carte à puce à signature dynamique. Mais ça oblige à se
trimballer son lecteur (en plus de sa carte) partout où on veut accéder au
site internet de sa banque, et ça génère un surcoût non négligeable.
Le seul système résistante au phishing c'est une authentification des deux
côtés, avec côté utilisateur un certificat générant une signature dynamique.
Et encore, ça peut être attaqué à l'étape de génération du certificat. Je ne
connais qu'un seul site qui l'utilise, celui des impôts pour effectuer sa
déclaration en ligne.
La seule méthode d'authentification invulnérable au phishing c'est avec un
certificat sur une carte à puce à signature dynamique. Mais ça oblige à se
trimballer son lecteur (en plus de sa carte) partout où on veut accéder au
site internet de sa banque, et ça génère un surcoût non négligeable.
Le seul système résistante au phishing c'est une authentification des deux
côtés, avec côté utilisateur un certificat générant une signature dynamique.
Et encore, ça peut être attaqué à l'étape de génération du certificat. Je ne
connais qu'un seul site qui l'utilise, celui des impôts pour effectuer sa
déclaration en ligne.
La seule méthode d'authentification invulnérable au phishing c'est avec un
certificat sur une carte à puce à signature dynamique. Mais ça oblige à se
trimballer son lecteur (en plus de sa carte) partout où on veut accéder au
site internet de sa banque, et ça génère un surcoût non négligeable.
C'est le plus connu, mais il y en a d'autres (si si, on a d'autres
clients).
Si le poste sur lequel on va a déjà un lecteur de carte, pas besoin
d'apporter le sien.
C'est le plus connu, mais il y en a d'autres (si si, on a d'autres
clients).
Si le poste sur lequel on va a déjà un lecteur de carte, pas besoin
d'apporter le sien.
C'est le plus connu, mais il y en a d'autres (si si, on a d'autres
clients).
Si le poste sur lequel on va a déjà un lecteur de carte, pas besoin
d'apporter le sien.
