Un admin réseau me fait remarquer qu'avec l'extension des wifi non chiffrés, des possibilités
d'interception de logins pourraient être effectuées.
Voir p. ex. l'extension firesheep de mozilla firefox qui permet de prendre les
cookies d'authentifications de sessions utiliséess; cette vulnérabilité est
exploitée au travers des connexions WiFi non-chiffrées (WPA2 ou VPN):
Techniquement parlant, qu'est-ce qui protège les logins sous SPIP? Sont-ils cryptés à tout moment?
Est-il utile de passer en https sur le répertoire /ecrire ?
Crayon devient-il vulnérable dans le même cas?
SPIP-Team n’a pas pour ambition de sécuriser le web dans son ensemble.
Autrement dit à partir du moment où une connexion est non sécurisée et où un outil permet de voler les cookies,
aucune protection n’est possible.
SPIP est un peu moins vulnérable car dans la mesure où il n’échange pas le mot de passe en clair sur le réseau,
on évite au moins la divulgation du mot de passe.
Mais ça n’empêche pas l’homme du milieu (http://fr.wikipedia.org/wiki/Attaque_de_l%27homme_du_milieu)
de piquer la cookie, et donc d’être authentifié comme toi sur ton SPIP pour y publier tout ce qu’il veut.
Le mot de passe n’étant pas divulgué, il suffit alors de « se deconnecter » pour invalider la session et rendre le cookie inutilisable, sans plus de dommage.
Mais la seule protection qui vaille est en effet d’utiliser une connexion https sur ecrire/
Si tu utilises les crayons, cela devient plus problématique puisqu’alors ceux-ci fonctionnent depuis l’espace public.
Il faudrait donc pouvoir servir l’espace public en http pour le public et en https pour les rédacteurs du site.