du 16 novembre 2018
Date

Choisir une autre édition

Un opérateur laissait sa base de données SMS accessible à tout le monde, en quasi-temps réel

C'est la triste découverte faite par le chercheur allemand Sébastien Kaul et rapportée par TechCrunch. Il s'agit de Voxox (anciennement Telcentris), un opérateur de San Diego en Californie.

La cause de cette faille majeure de sécurité ? Simple comme bonjour, comme trop souvent malheureusement : « un serveur n’était pas protégé par un mot de passe, permettant à toute personne sachant où regarder de suivre les flux de messages texte en quasi temps réel », indiquent nos confrères. Le chercheur précise l'avoir trouvé via le moteur de recherche spécialisé Shodan.

« Pire encore, la base de données – exécutée sur Amazon Elasticsearch – était configurée avec une interface Kibana », facilitant ainsi la navigation et la recherche dans les messages. Avec chaque enregistrement se trouvait le numéro du destinataire, le contenu du message ainsi que l'identité du client Voxox.

Dans le lot, nos confrères ont trouvé des mots de passe envoyés en clair, des codes pour l'identification à deux facteurs sur plusieurs services (Booking, Google, etc.), des notifications d'expédition de produits par Amazon avec un lien de suivi, des rappels de rendez-vous d'hôpitaux, etc.

En plus de la confidentialité de certains messages exposés à la vue de tous, cette faille donnait accès aux codes d'identification en quasi-temps réel, permettant ainsi de contourner des protections. Pour rappel, la double authentification par SMS est déjà mise à mal à cause des réseaux mobiles, mais cette histoire ne va certainement pas arranger les choses.

Après une demande de renseignement de la part de nos confrères auprès de la société, la base de données a été mise hors ligne. Toujours selon TechCrunch, elle semblait contenir au moins 26 millions de SMS depuis le début de l'année, mais ce chiffre pourrait être largement supérieur.

Kevin Hertz, cofondateur et directeur technique de l'opérateur, indique à nos confrères qu'il « examine le problème et suit la politique standard en matière de violation de données ». Bien évidemment, la société est ainsi en train « d'évaluer l'impact » de cette faille majeure de sécurité.

chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

Nouvelle mouture pour Kali Linux, distribution GNU/Linux spécialisée dans la sécurité, plus particulièrement les activités de « hacking éthique », dont les tests d’intrusion.

La version 2019.2, disponible depuis hier soir, inclut notamment la mouture 2019.2 de NetHunter, qui supporte désormais plus de 50 appareils mobiles, avec des versions d’Android allant de 4.4 à 8.0.

Pour le reste, il s’agit essentiellement de corrections de bugs, de nouvelles versions mineures d’outils (seclists, msfpc, exe2hex…) ou encore d’un nouveau noyau Linux (4.19.28), la distribution restant sur la branche LTS.

Notez que les utilisateurs actuels de la distribution n’ont pas besoin de télécharger la nouvelle image ISO. Kali Linux est en « rolling release » et ne nécessite donc qu’une mise à jour des paquets pour récupérer les mêmes nouveautés.

Pour lancer la mise à jour, la commande est normalement connue des habitués :

apt update && apt -y full-upgrade

Les intéressés par une réinstallation complète ou neuve sur une autre machine pourront récupérer l’image ISO depuis le site officiel.

Copié dans le presse-papier !

Cette nuit, depuis le Space Launch Complex 40 (SLC-40) à Cape Canaveral, une fusée a décollé avec pas moins de 60 petits satellites à son bord.

Ils ont été largués à 440 km d'altitude, à charge ensuite pour eux de rejoindre leur orbite de croisière à 550 km. Il s'agit pour rappel du premier lancement en masse pour Starlink, un réseau mondial d'accès à Internet par satellite.

Pour cette mission, SpaceX a réutilisé un premier étage qui avait déjà volé par deux fois (en septembre 2018 et janvier 2019). Pour cette troisième mission, il est encore venu se poser sans encombre sur une barge en pleine mer.

Copié dans le presse-papier !

Motherboard affirme que « plusieurs départements du géant des médias sociaux Snap ont des outils dédiés pour accéder aux données des utilisateurs, et des employés ont abusé de leur privilège pour espionner les utilisateurs »

Nos confrères expliquent avoir eu confirmation de la part de plusieurs employés, dont un encore en poste, via des copies d'emails internes. Des employés auraient ainsi eu accès à la localisation d'utilisateurs, leurs Snaps et des informations personnelles (numéro de téléphone, email).

Un des outils utilisés a été baptisé SnapLion et, selon un des anciens employés, il fournit « les clés du royaume ». Son utilisation initiale devait être de fournir des informations en cas de demandes des forces de l'ordre. Toujours selon les sources de Motherboard, des accès abusifs aux données ont été commis « plusieurs fois » chez Snap.

Problème, SnapLion serait désormais utilisé plus généralement dans les équipes, notamment pour réinitialiser les mots de passe des comptes piratés.

Copié dans le presse-papier !

La 20th Century Fox a mis les petits plats dans les grands avec Tim Miller (Deadpool) à la réalisation et James Cameron à la production.

Arnold Schwarzenegger et Linda Hamilton reprennent leurs rôles respectifs du T-800 et Sarah Connor. MacKenzie Davis, Natalia Reyes, Gabriel Luna et Diego Boneta sont également au casting.

L'histoire est une suite directe à Terminator 2, ignorant les autres opus de la saga. Voici le pitch : « De nos jours à Mexico. Dani Ramos (Natalia Reyes), 21 ans, travaille sur une chaîne de montage dans une usine automobile. Celle-ci voit sa vie bouleversée quand elle se retrouve soudainement confrontée à 2 inconnus : d’un côté Gabriel (Gabriel Luna), une machine Terminator des plus évoluées, indestructible et protéiforme, un « Rev-9 », venue du futur pour la tuer ; de l’autre Grace (Mackenzie Davis), un super-soldat génétiquement augmenté, envoyée pour la protéger ».

« Embarquées dans une haletante course-poursuite à travers la ville, Dani et Grace ne doivent leur salut qu’à l’intervention de la redoutable Sarah Connor (Linda Hamilton), qui, avec l’aide d’une source mystérieuse, traque les Terminators depuis des décennies ». Bien évidemment, il n'est pas seulement question de sauver une personne, mais l'humanité tout entière.

Au cinéma le 23 octobre.

Copié dans le presse-papier !

C'est du moins ce qu'affirment trois sources différentes à Reuters. Selon l'une d'elles, le projet aurait débuté il y a un an et demi. Selon une autre, le jeu ne devrait pas arriver cette année.

Tencent a refusé de commenter, tandis que Riot n'a pas répondu aux sollicitations de nos confrères pour l'instant.