pb de sécuritésur votre site

Reporters_sans_front · Janvier 16, 2003, 9:21

Bonjour,

j'ai recu ce mail :

Bonjour,

Faites un peu gaffe quand même...

Il suffit de se rendre compte que vous utilisez SPIP (moins d'une seconde)
de tester /ecrire (moins d'une seconde)
pour trouver un log "admin" (encore moins d'une seconde)
et de jouer un dico pour trouvre le mot de passe.
...

Ce que je dis c'est pour votre bien...

et je me demande bien quoi en penser ?

--
Nicolas

From jp@votre-hebergement.net Thu Jan 16 11:07:52 2003

From: "jp jost [votre-hebergement.net]" <jp@votre-hebergement.net>
To: <spip@rezo.net>
Subject: =?iso-8859-1?Q?RE:_=5BSpip=5D_pb_de_s=E9curit=E9sur_votre_site?=
Date: Thu, 16 Jan 2003 11:07:51 +0100
Message-ID: <HGEOJNNAFKCCJHNEBKAOGEAPDBAA.jp@votre-hebergement.net>
MIME-Version: 1.0
Content-Type: text/plain;
  charset="iso-8859-1"
Content-Transfer-Encoding: 8bit
Importance: Normal
In-Reply-To: <p05100371ba4c29a46370@[192.168.0.1]>
Precedence: list
Status: O
Content-Length: 414
Lines: 22

Bonjour,

Bonjour,

j'ai recu ce mail :
(.../...)

et je me demande bien quoi en penser ?

Bah apparemment c'est quelqu'un qui a rÃ©ussi Ã trouver ton login/pass, qui
n'a apparemment pas de mauvaise intention, et qui te suggÃ¨re (Ã juste titre
je pense) de :

- ne pas prendre "admin" comme login

- de prendre un mot de passe un peu + compliquÃ© que celui que tu dois avoir
actuellement

Cordialement,

JP

Patrice_HARDOUIN2 · Janvier 16, 2003, 10:19

Effectivement, un ami m'a montré un jour comment tester les mots de
passe. Il est souvent facile de trouver le login d'un administrateur
(prénom ou nom de celui qui écrit le plus sur le site, ou tout
simplement "root" ou webmaster"...). Ensuite on lance un petit soft qui
va remplacer et tester les mots de passe les plus usités sur la case du
formulaire. Il est facile de trouver les mots de passe les plus
utilisés, ils sont regroupés dans des dictionnaires et contiennent une
grosse quantité de prénoms, de noms de fleurs... Il faut donc avoir un
peu d'originalité dans la nom de login du webmestre ainsi que dans le
mots de passe (choisir une suite alphanumérique sans logique apparente :
45GD53SDG par exemple). Plus le mdp sera long, plus retrouver le mdp
sera difficile.

>et de jouer un dico pour trouvre le mot de passe.
From sburlot@coriolis.ch Thu Jan 16 11:27:43 2003

Return-Path: <sburlot@coriolis.ch>
Received: from local.coriolis.ch (pop-ls-15-1-dialup-409.freesurf.ch
  [194.230.234.153])
  by miel.brainstorm.fr (Postfix) with ESMTP id 727471C8AE3
  for <spip@rezo.net>; Thu, 16 Jan 2003 11:27:43 +0100 (CET)
Received: from coriolis.ch (localhost [127.0.0.1])
  by local.coriolis.ch (8.12.2/8.12.2) with ESMTP id h0GARfbW005593
  for <spip@rezo.net>; Thu, 16 Jan 2003 11:27:42 +0100 (CET)
Date: Thu, 16 Jan 2003 11:27:41 +0100
Subject: =?ISO-8859-1?Q?Re:_[Spip]_pb_de_s=E9curit=E9sur_votre_site?=
Content-Type: text/plain; charset=ISO-8859-1; format=flowed
Mime-Version: 1.0 (Apple Message framework v551)
From: Stephan Burlot <sburlot@coriolis.ch>
To: spip@rezo.net
Content-Transfer-Encoding: quoted-printable
In-Reply-To: <20030116111913.000043cb.Patrice.Hardouin@ac-creteil.fr>
Message-Id: <24A333F8-293D-11D7-B6EE-000393563802@coriolis.ch>
X-Mailer: Apple Mail (2.551)
X-BeenThere: spip@rezo.net
X-Mailman-Version: 2.1rc1+
Precedence: list
List-Id: SPIP : questions/reponses <spip.rezo.net>
List-Unsubscribe: <http://listes.rezo.net/mailman/listinfo/spip>,
  <mailto:spip-request@rezo.net?subject=unsubscribe>
List-Archive: <Discuter chez rezo.net;
List-Post: <mailto:spip@rezo.net>
List-Help: <mailto:spip-request@rezo.net?subject=help>
List-Subscribe: <http://listes.rezo.net/mailman/listinfo/spip>,
  <mailto:spip-request@rezo.net?subject=subscribe>
X-List-Received-Date: Thu, 16 Jan 2003 10:27:44 -0000
Status: O
Content-Length: 522
Lines: 19

Ma technique, c'est de prendre une phrase, par exemple:

"Allons Enfants De La Patrie", et de prendre la premi=E8re lettre de=20
chaque mot:
AEDLP

On peut compliquer en remplacant les I par des 1 et les O par 0 (zero),=20=

(et aussi E par 3 et L par 7).

Ce qui donne A3D7P

Ca fait des mots de passe difficile =E0 trouver, mais facile =E0 se=20
rappeler. Suffit de se rappeler de la phrase...

Stephan Burlot, Coriolis Technologies
D=E9veloppements MacOS X Cocoa, PHP
Email: sburlot@coriolis.ch