Sévère piratage de FA

[Rimou]

Je viens de recevoir ceci :

Users, If you are receiving this e-mail it is because we detected an intrusion on your account. Unfortunately, some accounts were compromised by this and we were able to prevent as much damage as we could. This is not result of a new incident, but leftover issues from one previous problem. I encourage all users to change your passwords regularly - at least once every 90 days. Do not user simple dictionary words such as "secure" or "password". Mix them up with numbers and symbols. A password can easily transform from "security" to "S3cur1ty!!" and be stronger and more secure. Please e-mail me to reclaim your account or send me an AIM at "Murasadramon". I apologize for this, and would like to ensure you that we did everything we could to secure your account. Dragoneer,FA Owner

Après quoi j'ai reçu un autre email répondant à celui-ci (façon groupe de discussion) "f**k you all you motherf**kers"

Je vais sur FA pour voir si tout va bien. Mes informations de connexions semblent erronnées...

Voilà Je ne peux plus accéder à mon compte FA ! C'est la grosse nouba-teuf ! tiens j'vais danser la Tektonik *se tord comme un idiot* Tektonik. Tektonik *se coince le dos* aîeux p'tain...

[Lord Foxhole]

Comme je ne m'y connais pas plus que ça, j'avoue que j'ai du mal à comprendre...
Depuis le début, il semblerait que les administrateurs de FurAffinity éprouvent constamment des problèmes avec la sécurité de leur site...
Ils sont si nuls que ça, ou bien ils sont une cible de choix pour les hackers !?

[darkou]

aucun soucis pour moi :3

[VobE]

Ca m'a pas l'air très adroitement écrit tout ca, tu devrai prendre contact avec un admin de FA (un vrai, pas celui du mail) ;)

[Ozone Griffox]

Le premier programmeur de Furaffinity n'était pas fameux, mais il faut lui valoir le mérite d'avoir posé la base fonctionnelle du site WEB.

Les nouveaux programmeurs sont loins d'êtres mauvais, mais quand on hérite d'un produit mal pensé, on le paie longtemps.

Un projet de reprogrammation complet a été lancé récemment avec des bénévoles. Reste à voir si le projet fonctionne bien. Il faudra de longs mois avant de voir la nouvelle version en ligne.

[Rimou]

Ayé j'ai du nouveau. Un mec a réussi à choper des login avec des mots de passes plutot fastoches (genre courts et bateaux) pour les mettre en pature sur 7fchan apparemment et j'étais dedans (Num8 et quelques autres avec, pas que des français, loin de là)

Le message : justement, le mauvais cryptage des mots de passes, la mauvaise protection des données des utilisateurs de FA... comme quoi c'est tout de meme pour une bonne cause. Mais bon... sur le procédé, je suis pas convaincu, c'est un peu comme les grèves des transports en ce moment

[cLx]

S'ils stoquent les pass non cryptés, c'est que c'est vraiment pas sécure. (ça s'est déjà révélé une fois il me semble, au moins)

Par exemple, sur la carte, quand vous indiquez un mot de passe, celui ci est chiffré de façon irreversible. Impossible de retrouver le mot de passe original (a moins de tous les essayer et d'avoir des machines très puissantes) si jamais quelqu'un arrivait a piquer la base de données.

Quand quelqu'un se log, ça crypte le mot de passe, et ça les compares cryptés.

[Ozone Griffox]

On me dit qu'il y a eu des sniffers (programmes informatiques pour voler les données non sécurisées sur un réseau) à la convention MFF. Potentiellement à l'EuroFurence aussi du coup.

Les mots de passes ne sont pas cryptés avant l'envoi au site WEB. Je leur ai suggéré d'ajouter un cryptage en JavaScript, comme font quasiment tous les sites sérieux maintenant.

On m'a répondu que c'est en cours de considération. Ca ou du SSL.

En tout cas, on me confirme que les mots de passe dans la base de données sont cryptés.

[Defurét]

Je fais plus confiance à FA.

Euh tient j'y faisais pas confiance au premier lieu...c'est nulllll. La seule chose qui me confort est que mon mot de passe serait douloureusement dur à deviner.

[cLx]

Oz: Ah oui, effectivement c'est pas protégé contre ça. Ni contre un éventuel keylogger installé sur la machine...

Le SSL serait une solution élégante.

[Eustache]

Dans un fandom plein de geeks, je crois qu'il ne faut pas trop s'étonner qu'il y ait de la piraterie intensive tous azimuts !

[Snarl]

Le SSL serait une solution élégante.

Et encore : si la convention est en LAN, y'a encore moyen de faire du man-in-the-middle. Enfin c'est toujours pareil, en rajoutant des moyens sur la sécurité, on peut au mieux augmenter les moyens necessaires (le coût) pour la casser.

[Tamara]

FA est HS pour le moment. Il diesent être en train de changer de serveurs, donc ca m'empeche de voir les zoulis dessins de Kaimorgan...

Pour la conv FA, si je me rapelle bien les Admins utilisaient une connexion sans fil non sécurisé (dixit certains posts dans les forums FA et certains blogs) donc piquer les pass est un jeu d'enfant dans ces cas-la.

J'avais vu la même chose pour une convention de geeks/hackers aux USA appelée DEFCON, ou ils avaient mis en place un truc marrant: le Wall of Sheep! C'est leur version du tableau de la honte: les connexions sans fil utilisés a la conv sont constamment surveiléles par les ordis des orgas, et si quelqu'un utilise une connexion sans fil non-sécurisé pour se logger sur quoique ce soit-AIM, un site, etc) son nom et son mot de apsse apparaissent sur le tableau, avec un joli mouton pour bien afficher le fautif!

[cLx]

Le SSL serait une solution élégante.

Et encore : si la convention est en LAN, y'a encore moyen de faire du man-in-the-middle. Enfin c'est toujours pareil, en rajoutant des moyens sur la sécurité, on peut au mieux augmenter les moyens necessaires (le coût) pour la casser.

Ouais j'avais fait ça à FF1, pour Ash-Fox qui me disait qu'il avait un super firewall et que donc il était à l'abri.

Sa réponse : "Very interesting!" :P

[VobE]

Avec
https://www.furaffinity.net/
mon pr0n est transformé en joli purée binaire !

Ouais bon la il est offline mais d'habitude ça marche