Problème de sécurité

par Bamk Modding Dim 3 Avr 2016 - 22:17

Détails techniques

Version du forum : phpBB3
Poste occupé : Fondateur
Navigateur(s) concerné(s) : Google Chrome
Personnes concernées par le problème : Tous les utilisateurs
Problème apparu depuis : 02/04/2016
Lien du forum : http://www.samp-cs.com et http://cs-roleplay.forumsgratuits.com/

Description du problème

Les forums actifs ont des problèmes de sécurité cela fait le deuxième forum que je me fait hacker par la concurrence j'ai les ip qui ont fait sa mais qu'est ce que je peux faire si a chaque fois que je crée un forum il se fait hacker
.

par Neptunia Dim 3 Avr 2016 - 23:47

Bonjour ^^

Les forums Forumactif n'ont pas des problèmes de sécurité mais généralement un seul.

Ce problème se situe généralement entre la chaise et le clavier.

Right

Démonstration

Ce forum détourné (désolée de m'exprimer en français) n'est ni plus ni moins le résultat de la "maladresse" de son fondateur que je cite.

je demande si on peux me faire un envoie de mot de passe sur l'adresse d'origine qui est sur le compte fondateur

En gros ce fondateur a choisi comme adresse courriel de fondation, une adresse qui figure sur son panneau d'administration, c'est à dire une adresse qui n'est pas secrète.

Mais la maladresse ne s'arrête pas là.
Supposons que quelqu'un de malintentionné parvienne à deviner le mot de passe du compte forum.
Arrivé sur un forum où l'adresse courriel de fondation est exposée à n'importe quel administrateur, l'indélicat va se procurer l'adresse courriel de fondation.
Il a accès au compte fondateur donc il a accès à l'option de suppression du forum. Pas grave, Forumactif veille à notre sécurité en ne finalisant la suppression que par un lien envoyé sur l'adresse courriel de fondation (qui doit rester secrète).

Moralité, pour supprimer un forum, il faut être capable soit de consulter votre boîte courriel, soit de changer l'adresse courriel de fondation sur les outils du fondateur.
Dans les deux cas, comment expliquez-vous qu'on puisse deviner aussi rapidement deux mots de passe sachant que pour le forum on n'a droit qu'à un nombre d'essais limités avant de nous faire bloquer.

Ma conclusion est que votre "pirate" vous connait, et vous connaît tellement bien qu'il a pu casser deux de vos mots de passe en moins de deux heures.

Mais peut-être lui aviez vous facilité la tâche en prenant un mot de passe identique à plusieurs endroits ?

par Bamk Modding Dim 3 Avr 2016 - 23:59

Bais le problème c'est que ont n'a pris des mots de passe que personne meme les admins donc maladresse pour l'adresse mail ok mais pour le mot de passe sa viens pas de nous

par Neptunia Lun 4 Avr 2016 - 1:51

Vous pouvez faire l'essai sur n'importe quel forum Forumactif à "deviner" un mot de passe et vous constaterez que nos forums sont protégés contre ce type d'attaque (qui s'appelle brute-force si on essaie un mot de passe au hasard, et ingénierie sociale si on limite le hasard à des éléments que l'on connait de la "victime").

Pour qu'une personne perce si vite le mot de passe forum et le mot de passe des outils, ou mot de passe forum et mot de passe de l'adresse courriel de fondation, il n'y a pas 36.000 solutions.
- Soit le pirate a deviné un mot de passe (celui du forum) et a tenté le même mot de passe ailleurs -> Négligence, on n'utilise pas le même mot de passe à plusieurs endroits.
- Soit le pirate a pris le contrôle de votre adresse courriel de fondation et a demandé bêtement un renvoi du mot de passe forum. -> double négligence, le courriel de fondation n'était pas secret et la sécurité visant à interdire le renvoi d'un mot de passe aux admins + modos (activée par défaut) a été désactivée.
- Soit on a trouvé votre mot de passe via un site où vous êtes inscrit et où le pirate à accès à la base de données -> Négligence, vous avez utilisé le même mot de passe à plusieurs endroits.
- Soit la personne a accès à votre ordinateur et a récupéré votre mot de passe. Négligence, vous avez laissé quelqu'un récupérer vos mots de passe. Phénomène assez répandu dans le milieu des jeux en ligne, on vous propose un logiciel (généralement non recommandé voire interdit par l'éditeur) et ce logiciel contient un keylogger (qui enregistre les combinaisons de touches saisies et les transmet à l'auteur de la routine malveillante).

Bref, vous pouvez retourner le problème dans tous les sens, on en revient toujours à une erreur humaine.

Si nos forums contenaient de telles failles de sécurité, ça se saurait et aurait été corrigé depuis belle lurette.

par **The Godfather** Lun 4 Avr 2016 - 14:40

Bonjour,

Bamk Modding a écrit:
Détails techniques

Version du forum : phpBB3
Poste occupé : Fondateur
Navigateur(s) concerné(s) : Google Chrome
Personnes concernées par le problème : Tous les utilisateurs
Problème apparu depuis : 02/04/2016
Lien du forum : http://www.samp-cs.com et http://cs-roleplay.forumsgratuits.com/

Description du problème

Les forums actifs ont des problèmes de sécurité cela fait le deuxième forum que je me fait hacker par la concurrence j'ai les ip qui ont fait sa mais qu'est ce que je peux faire si a chaque fois que je crée un forum il se fait hacker
.

Si tel est vraiment le cas, il est bizarre que vous soyez le seul à être touché par ce soudain problème… ! Rolling Eyes

Et comme le souligne Neptunia, rien que dans vos 2 messages ici vous avez-vous-même révélé un comportement qui facilite le vol du forum ! Siffleur

Nous vous fournissons des forums stables et sécurisé mais ne nous blâmez pas pour ce que vous en faites. Si on oublie les clés sur le contact d’une voiture, elle a beau être la voiture la plus sécurisé au monde elle sera très facilement volé et il ne faudrait pas blâmer le constructeur pour ça…

Le nouveau forum cité a été créé il y’a 48h seulement et ne dispose donc d’aucun backup. Impossible de le restaurer. J’ai néanmoins remis le template par défaut sur le forum. Je vous recommande vivement de modifier le mail de fondation de vos forums par un mail secret inconnu du reste de vos contacts et ne le garder que pour gérer la fondation du forum et rien d’autre. Et à ne surtout pas mettre comme mail de profil. ::fleur::

par **Chacha** Jeu 7 Avr 2016 - 10:41

Bonjour,

Nous n'avons plus de nouvelle de l'auteur de ce sujet depuis plus de 3 jours. Nous considérons donc ce problème comme résolu ou abandonné. La prochaine fois, merci de nous tenir au courant de l'évolution de votre problème, ou pensez à faire un UP régulièrement !

Ce sujet est archivé afin de ne pas perdre les réponses apportées par les différents intervenants. Wink