J’ai lu un article de Korben sur la fuite de données du journal en ligne le Figaro.
Pour faire court, on peut trouver sur Google les liens vers des commentaires d’utilisateurs du journal. Seulement voila, dans l’url se trouve le login et le mot de passe de celui qui a écrit le commentaire. Ce n’est pas beau, ça ? Non, clairement non, et pour plusieurs raisons.
Déjà, pourquoi avoir mis le login et le mot de passe de la personne dans l’url ? Un numéro en base qui correspond au commentaire et au login de la personne est plus suffisant (début deuxième année d’informatique ça, au maximum).
Ensuite, si le mot de passe apparait en clair dans l’url, ça signifie qu’il est stocké ainsi dans la base de données (ou dans le ldap suivant le cas). C’est le pire truc qu’on puisse faire. Lorsqu’on fait un développement un tant soit peu sérieux (c’est-à-dire au moins niveau TP à l’université), on crypte les mots de passe et on les insère ainsi en base. Lorsque l’utilisateur tape son login / mot de passe, on récupère et crypte ce dernier. Si le résultat crypté correspond à ce qui est en base alors ça veut dire qu’il s’agit du même mot de passe. En gros, l’administrateur ne peut pas (et ne doit pas) pouvoir voir mon mot de passe et si sa base de données est piratée, les pirates ne pourront pas connaitre facilement les mots de passe.
Autre point, et là il n’est pas technique mais humain. Je trouve ça pitoyable de la part du journal d’avoir réagit en disant que ce problème était l’œuvre d’un piratage informatique. Ce n’est pas possible ! Ca voudrait dire que le pirate est rentré sur la base de données du site. Il a vu la table des mots de passe cryptés. Il les a tous décrypté et au lieu de les récupérer, il serait entré sur le site, aurait eu accès à son code source, et l’aurait modifié pour faire apparaitre tout ça dans l’url. Vous imaginez sérieusement un gars assez con pour se faire chier à modifier tout le code d’un site pour faire ça, alors qu’il n’a qu’à mettre les logins / mot de passe sur Internet ?
Donc Le Figaro a essayé de cacher le fait qu’ils ont acheté un site mal fait en disant que c’est l’œuvre d’un pirate.
De même, le temps de réaction du journal pour commencer à traiter le problème a été trop long : 2 jours. 2 jours sur Internet est équivalent à une décennie en temps normal. L’information a eu le temps de se propager, d’être lue et stockée par les moteurs de recherche, etc.
Tout ça pour dire, que si vous avez un compte sur leur site, je vous conseille très fortement de changer votre mot de passe et de vous attendre à vous faire spammer votre boite mail dans les prochains jours.
