Le 16/01/2015 11:17, Hervé Le Dantec a écrit :
Avec les piratages / défaçages de sites y compris ceux à jour (spip 3 à jour et plugins à jour), je cherche une solution pour sécuriser les mot de passes d'un site Spip 3.
Tu as des exemples avec sites entièrement à jour ? C'est juste parce que le bug ce sont les humains qui ont mis des mots de passe super bidons ?
Sinon, il faut en parler à l'adresse de sécu spip-team@rezo.net.
Bonjour,
C'est un cheval de bataille avec beaucoup de débutants, ça.
Dans la façon de documenter, déjà, j'ai pris l'habitude de recommander d'écrire en préalable le mot de passe sur un callepin AVANT de créer le compte.
Et pourquoi pas un script de vérification qui obligerait à la saisie à :
- à utiliser au moins huit caractères
- à mettre des chiffres
- à mettre des majuscules ET des minuscules
- à mettre au moins un caractère spécial
???
Bonne journée.
Philippe
Et pourquoi pas un script de vérification qui obligerait à la saisie à :
- à utiliser au moins huit caractères
- à mettre des chiffres
- à mettre des majuscules ET des minuscules
- à mettre au moins un caractère spécial
Comment intégrer cela à l’Espace Privé de Spip 3 dans la rubrique de création et de gestion des auteurs?
J’avoue mon manque de compétence dans ce domaine.
Merci d’avance,
Hervé / Fennec72
Envoyé de mon iPhone
marcel a écrit :
Le 16/01/2015 11:17, Hervé Le Dantec a écrit :
Avec les piratages / défaçages de sites y compris ceux à jour (spip 3
à jour et plugins à jour), je cherche une solution pour sécuriser les
mot de passes d'un site Spip 3.Tu as des exemples avec sites entièrement à jour ? C'est juste parce
que le bug ce sont les humains qui ont mis des mots de passe super
bidons ?Sinon, il faut en parler à l'adresse de sécu spip-team@rezo.net.
Bonjour,
C'est un cheval de bataille avec beaucoup de débutants, ça.
Dans la façon de documenter, déjà, j'ai pris l'habitude de recommander
d'écrire en préalable le mot de passe sur un callepin AVANT de créer le
compte.
Et pourquoi pas un script de vérification qui obligerait à la saisie à :
- à utiliser au moins huit caractères
- à mettre des chiffres
- à mettre des majuscules ET des minuscules
- à mettre au moins un caractère spécial
Horreur !
Ce genre de dispositif est absolument épouvantable du point de vue utilisateur et a mon avis très contre-productif :
- un mot de passe composé de plusieurs mots comme "il est mort le soleil" est bien plus sécurisé et facile à retenir que ceux préconisés par la règle que tu proposes, et pourtant il ne passe pas ton test
- en forçant les gens à mettre des trucs impossible à retenir tout ce qu'on gagne c'est qu'ils le notent sur un post-it collé à l'écran ou ils utilisent le même partout ce qui est contraire à ce qu'on veut
Plus ça va plus plus je me dis qu'il faudrait virer les mots de passe et reposer :
- sur un jeton de login unique envoyé par email : en gros quand tu veux te connecter tu rentre ton email dans le form de login, et tu reçois un email avec un bouton a cliquer qui te connecte (bouton à usage unique et limité dans le temps)
- sur du login social du genre FB/Twitter/Google (genre de SSO) qui te permet de te connecter au site une fois que tu as associé ton compte FB/Twitter/Google avec celui de SPIP
L'accès par mot de passe ne serait conservé que pour les webmestres qui, en tant qu'utilisateurs confirmés, sont supposés être un peu sensibilisé à la question de sécurité. Et parcequ'il faut bien pouvoir accéder au site quand il n'est pas encore configuré, qu'il ne peut pas envoyer d'email (en local par exemple) et dans certains autres cas...
Cédric
Tu as des exemples avec sites entièrement à jour ? C’est juste parce que le bug ce sont les humains qui ont mis des mots de passe super bidons ?
Donner la liste des sites que je sais avoir été dans cette situation ne t’apprendrait rien, puisque la quasi totalité d’entre eux ont été restauré.
Ce que je peux te dire et dont je suis sûr, concerne un site dont je m’occupe et pour lequel je suis sûr que Spip 3 et les plugins étaient à jour au moment où il a été attaqué.
Peut-être qu’en analysant plugin par plugin, on pourrait trouver une faille dans un plugin pourtant à jour, mais, là, ça dépasse clairement mes compétences.
De toute façon, dans l’absolu, forcer à l’utilisation de mots de passe un minimum complexe ne peut qu’améliorer la sécurité de Spip.
Hervé / Fennec72
Envoyé de mon iPhone
Bonjour,
Je suis du même avis .. du point de vue utilisateur c’est la mouise et SPIP perdrait en flexibilité et capacité d’adaptation à une multitude d’utilisations.
Pour la sécu, il faut d’abord évaluer la sensibilité du contenu .. pour un contenu peu sensible et un site peu fréquenté, des sauvegardes quotidiennes base/squelettes permettent à moindre effort de tout remettre très vite en place ( avec un changement de mots de passe dans la foulée bien sûr … )
Pour les contenus sensibles ou les sites très fréquentés, les solutions les plus efficaces seront de toute façon, et quoi qu’on fasse, hors du CMS et au delà des seuls mots de passe:
- restriction sur IP de l’admin
- accès par VPN seulement de l’admin
- fermeture en prod de l’admin avec réplication depuis des serveurs de préprod à accès restreint
- … et j’en passe
bref, pour moi la gestion des mdp est parfaite comme ça, minimale et efficace.
Si on veut absolument mettre une limitation en forçant un format de mot de passe, on peut à la limite ajouter une option à cocher dans la configuration, ou une case de saisie d’expression régulière personnalisée … mais en aucun cas appliquer cette option par défaut.
vala vala mon avis quoi ..
Bonne journée ensoleillée à tous,
fwd
tldr; Si vous avez un site SPIP *à jour* hacké, et accès aux logs serveur il faut d'urgence se mettre en contact avec spip-team@rezo.net pour se faire aider à identifier la potentielle faille de SPIP.
Hervé Le Dantec a écrit :
Ce que je peux te dire et dont je suis sûr, concerne un site dont je
m'occupe et pour lequel je suis sûr que Spip 3 et les plugins étaient à
jour au moment où il a été attaqué.Peut-être qu'en analysant plugin par plugin, on pourrait trouver une
faille dans un plugin pourtant à jour, mais, là, ça dépasse clairement
mes compétences.De toute façon, dans l'absolu, forcer à l'utilisation de mots de passe
un minimum complexe ne peut qu'améliorer la sécurité de Spip.
Mais non !
Pour *vraiment* améliorer la sécurité de SPIP il faut surtout et prioritairement faire un retour d'expérience sur toute attaque réussie sur une instance à jour.
Car cela veut potentiellement dire qu'une faille non répertoriée et non corrigée existe et est exploitée.
Si on ne trouve pas avec certitude la voie par laquelle l'attaque a eu lieu, alors on peut toujours essayer de boucher des trucs au hasard, mais on a autant de chance de résoudre le problème que de gagner au loto.
La bonne nouvelle c'est que si tu n'as pas identifié la faille et que tout était à jour elle est toujours là, les hackers vont revenir, et la prochaine fois on regardera ensemble le site hacké pour comprendre si SPIP est en cause ou pas 
Je rappelle qu'il y a tout plein d'autres voies d'attaque, à commencer par le serveur si c'est un serveur auto-administré, ou par un autre site hébergé par le même serveur.
En espèce il est très peu probable que l'attaque ait été par force brute sur les mots de passe, plus personne ne s'embête à faire ça quand il est si facile de lancer un bot qui repère des milliers de site pas à jour avec des failles connues. Sauf si c'est précisemment *ton* site qui est visé, mais je pense que dans ce cas tu serais au courant.
Cédric
Salut
Pour ajouter mon grain de sable, j'ai plus de facilité à me connecter avec un mot de passe que j'ai choisi plutôt qu'avec un x7gj2qOm qui traîne je ne sais où dans une pile de mail.
Sur le site de notre asso, j'ai mis en avant le formulaire de changement de mot de passe pour que dès la première connexion, l'internaute puisse remplacer x7gj2qOm par son propre mot de passe. De mémoire, pendant un temps j'avais ajouté une ligne du genre "Pour sécuriser votre compte, compliquez votre mot de passe". Au contact de nos membres,
on s'est rendu compte que ça ne servait à rien. Puis on a eu les problèmes que tu as rencontré et les mots de passe
se sont compliqué d'eux même je pense.
L'idée du jeton durable me semble très bien. N'y aurait-il pas aussi une possibilité de bloquer un temps la machine qui entrerait des mots de passe après 5 tentatives à la foulée? Et d'interdire la redemande mot de passe avant une heure? On a ça sur Prestashop.
@+
Stephan a écrit :
N'y aurait-il pas aussi une possibilité de bloquer un temps la machine
qui entrerait des mots de passe après 5 tentatives à la foulée?
On pourrait bloquer 1h le compte pour lequel il y a eu 5 tentatives erronées, en effet.
On pourrait bloquer aussi une IP qui fait N tentatives erronées de login, mais cela risque d'être plus compliqué à gérer dans le cas de site d'entreprise auquel tout le monde accède via le même proxy par exemple, on risquerait de bloquer a tord des IPs... a reflechir plus en détail en tout cas.
Et
d'interdire la redemande mot de passe avant une heure? On a ça sur
Prestashop.
Oui sur un compte bloqué.
Tout ça pourrait au moins être developpé en plugin dans un premier temps, mais encore une fois, y a-t-il vraiment eu des cas constatés de tentatives par force brute sur les login/pass ?
Ça ne passe pas inaperçu : des POST en nombre très important, du load sur la machine puisque chaque POST se fait sans cache SPIP.
Cédric
Tout à fait d'accord !
Est-ce qu'un indicateur de complexité de mot de passe ne serait pas une bonne idée ? C'est pédagogique et non bloquant quoi qu'il arrive...
C'est déjà en place dans Inscription 3.
Voir ce message de James sur les tests zxcvbn : http://seenthis.net/messages/332210
jean marie
dans http://contrib.spip.net/Couteau-KISS il y a une option sur la longueur mini des mots de passe
Claude
Attention : en mutu au moins, ces informations ne parviennent jamais à l'admin.
(Et le significatif n'est pas un ralentissement, mais un non-ralentissement.)
JL