du 20 mars 2018
Date

Choisir une autre édition

Firefox : une faiblesse dans le gestionnaire de mots de passe depuis 9 ans

Wladimir Palant, l’auteur d’Adblock explique sur son blog que le gestionnaire intégré de mots de passe ne fait qu’une seule passe de fonction de hachage SHA-1 sur la clé de chiffrement, alors qu’il en faudrait au moins 10 000.

Le résultat serait une vraie faiblesse face à des tentatives d’attaques par force brute. Il rappelle qu’une GeForce 1080 GTX est en mesure de calculer 8,5 milliards d’empreintes (hash) SHA-1 par seconde. Selon un article cité de Microsoft, les mots de passe ne font en moyenne que 40 bits de long, soit cinq caractères. L’article a 11 ans, mais montre qu’il ne faudrait que 2^39 essais, soit moins d'une minute avec le matériel cité.

Le problème existe depuis neuf ans chez Mozilla et rejaillit sur Thunderbird. Il ne représente un danger bien sûr que si les utilisateurs se servent du gestionnaire intégré. S’ils possèdent une solution de type LastPass, Dashlane ou 1Password, ils ont tout intérêt en effet à désactiver la fonction intégrée du navigateur, quel qu’il soit – ne serait-ce que pour éviter les demandes doublons.

En attendant une réponse de Mozilla (le débat reste ouvert), Palant propose diverses solutions, dont l’augmentation des passes de SHA-1 jusqu’à 100 000 (comme le fait notamment LastPass). Il estime surtout que SHA-1 devrait faire place à une autre fonction de dérivation de clé, comme Argon2, conçue justement pour résister aux attaques soutenues par des GPU, notamment en faisant exploser la quantité de mémoire requise.

Mozilla devra donc sans doute prendre une décision, maintenant que l’attention des médias a été attirée.  En attendant, les utilisateurs se voient conseillés par Palant de se tourner vers une autre solution pour les mots de passe, et de couper la fonction intégrée de Firefox. Un conseil rapide, mais pas si simple, car il implique de nouvelles habitudes et éventuellement un abonnement.

On notera enfin que Mozilla travaille depuis un moment sur un gestionnaire de mots de passe indépendant. Nommé Lockbox, il est actuellement disponible en version alpha, donc bien loin d’être prêt pour le grand public, en plus de n’être disponible que pour les moutures desktop du navigateur.

chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

L'éditeur profite de la GDC (Game Developers Conference) pour dévoiler la nouvelle interface qui sera déployée dans le courant de l'année. Ce n'est pas une surprise puisque les travaux avaient été annoncés à la mi-janvier.

La page d'accueil intègre évidemment des miniatures des jeux auxquels vous avez récemment joué, mais aussi ceux ayant été récemment mis à jour et la liste de vos amis sur la droite. Un curseur permet de modifier la taille des miniatures des jeux de votre bibliothèque pour en afficher plus ou moins.

Les pages individuelles des jeux ont aussi été retouchées pour mieux mettre en avant les nouveautés le concernant et d'éventuels événements comme des diffusions en direct.

Valve n'a pas donné de date, mais une bêta devrait arriver cet été selon PCGamer.

Copié dans le presse-papier !

Des chercheurs ont révélé que Steam contenait une faille qui, exploitée, pouvait permettre une exécution de code arbitraire sur la machine.

La faille résidait dans toutes les versions du client, mais les chercheurs ne sont arrivés à l’exploiter que sous Windows. Les chances de succès étaient d’environ 0,2 % à chaque fois. Le chiffre peut paraître faible, mais les chercheurs évoquent une victime toutes les 512 tentatives, un ratio bien assez dangereux.

La vulnérabilité se situait dans le navigateur de serveurs. Ce dernier permet aux joueurs de chercher un serveur disponible pour certains jeux, dont CS:GO, Half-Life 2 et Team Fortress 2. Les chercheurs ont montré qu’il était possible d’y placer un serveur malveillant.

Valve a été averti du problème en décembre et a corrigé depuis la faille sur l’ensemble des plateformes. Les chercheurs ont été récompensés de 15 000 dollars, auxquels est venue s’ajouter une prime de 3 000 dollars.

On ne sait cependant pas si la faille a eu le temps d’être exploitée, ni Valve ni les chercheurs n’abordant ce point.

Copié dans le presse-papier !

Metropolitan a mis en ligne une nouvelle vidéo de présentation pour le troisième épisode des aventures du célèbre tueur à gages, incarné par Keanu Reeves bien évidemment.

Pour rappel, cet opus se déroule juste après le deuxième film : « John Wick a transgressé une règle fondamentale : il a tué à l’intérieur même de l’Hôtel Continental ». Sa tête est ainsi mise à prix pour la bagatelle de 14 millions de dollars.

La sortie au cinéma est programmée pour le 22 mai.

Copié dans le presse-papier !

La CISA (Cybersecurity and Infrastructure Security Agency), du département américain de la Sécurité intérieure, vient de publier une alerte anxiogène : des défibrillateurs implantables sont vulnérables à plusieurs failles de sécurité.

Selon le bulletin, les modèles connectés Medtronic seraient susceptibles d’être attaqués par des pirates ayant suffisamment de connaissances techniques et se trouvant près des personnes concernées. Selon le Star Tribune, 750 000 de ces appareils seraient concernés.

Les risques potentiels sont évidemment grands, puisque le ou les pirates auraient la main sur le fonctionnement du défibrillateur, pouvant dérégler l’appareil et donc entrainer un vrai danger pour le patient.

D'après Ars Technica, ces vulnérabilités ne sont pas nouvelles. Elles auraient été signalées en janvier 2018 à Medtronic par des chercheurs de Clever Security.

Les problèmes remontés étaient sérieux : pas de chiffrement, pas d’authentification et différentes failles permettant de capter sans problème les informations circulant entre le défibrillateur connecté et les appareils conçus pour en exploiter les données. En plus d’une action directe, il est donc simple de dérober des données médicales.

Medtronic ne s’était pas exprimée l’année dernière, mais le bulletin d’alerte de la CISA, accompagné d’une note de sévérité de 9,3 sur 10, a forcé l’entreprise à communiquer.

Selon le porte-parole Ryan Mathre, le risque est très faible et aucune exploitation de ces failles n’a été notée à ce jour. En outre, il faudrait selon l'entreprise des connaissances techniques particulièrement aiguisées pour détourner un défibrillateur de son rôle.

Pour chaque patient, un pirate devrait connaître le modèle précis implanté, quels changements pourraient réellement entraîner des conséquences, sur quels paramètres agir, les commandes télémétriques pour le faire, si tant est que le modèle permette ce genre de manipulation.

En accord avec la FDA (Food and Drugs Administration), Medtronic recommande donc que les patients et médecins continuent d’utiliser les appareils normalement. La société précisé toutefois qu’elle développe actuellement des mises à jour.

Copié dans le presse-papier !

Elle sera proposée de série sur toutes les voitures du constructeur à partir de 2021. Le propriétaire de la voiture peut ainsi définir une limite de vitesse pour lui-même, les membres de sa famille ou des amis à qui il prête son véhicule.

Cette annonce intervient peu de temps après celle d'une limite de vitesse à 180 km/h sur toutes ses voitures « à compter de 2020 ». Le constructeur veut ainsi « envoyer un message fort sur les dangers de la vitesse au volant ».

Håkan Samuelsson, directeur général de Volvo Cars, en profite pour affirmer que son entreprise « entend engager un dialogue portant sur le droit, voire l’obligation, pour les constructeurs de doter leurs véhicules d’équipements technologiques susceptibles de modifier le comportement de leurs utilisateurs ».