Questions de repêchage

[Enthalpy]

Bonjour tout le monde !

Vous connaissez : les sites accessibles avec un mot de passe proposent souvent une liste de questions de repêchage pour les usagers ayant oublié le mot de passe. Exemples de telles questions :
- Quelle est votre ville de naissance ?
- Quel est le nom de jeune fille de votre mère ?

Toutes ces questions ont en commun que l'utilisateur devrait savoir la réponse et qu'un attaquant inconnu installé à Zanzibar devrait l'ignorer. Mais elles ont un autre point en commun.

Avez-vous trouvé lequel ? Non ?

C'est que les barbouzes des RG et autres savent ces réponses de mémoire ou après consultation des archives de l’État. Quand ils ont envie d'utiliser votre compte pour leurs méfaits, la porte leur est grand ouverte.

Si donc vous voulez utiliser ces questions de repêchage, je vous exhorte à ne pas indiquer "Orléans" ou "Chéreau" comme réponse de référence, mais une chaîne au hasard, comme "SB XS 3007" ou n'importe quoi d'autre.

Allez, amusez-vous bien, et sortez couverts !
-----

[Ikhar84]

Bonjour !

Si on en arrive aux questions de "repêchage", aussi dites "de sécurité", on procède en général à la réinitialisation du mot de passe (sinon pas d'interêt, cela veut dire que l'on possède déjà ce mot de passe...).
Qui dit réinitialisation du mot de passe, dit changement de ce mot de passe... et envoi d'un mail de notification à l'adresse de contact...

Donc tant que vous pouvez acceder normalement, avec votre ancien mot de passe, et que vous n'avez pas reçu de mail de notification, il n'y a pas lieu de craindre, à priori, qu'un barbouze des RG ou de la NSA ait accedé à votre compte...

Sauf si bien sûr celui ci connaît déjà votre mot de passe, et dans ce cas, donc, à moins qu'il ne veuille vous avertir subtilement, il n'a aucun interêt à tenter de répondre à ces questions de sécurité... cqfd...

Sachant que vous avez toujours un moyen de consulter un historique des connexions (ou tentatives) à votre compte, ou moins la dernière connexion, il est beaucoup plus façile de vérifier par ce biais que personne ne consulte vos petits secrets... (sauf votre fournisseur de service sur ce site, votre fai, votre moteur de recherche, le fabriquant de votre mobile ou l'editeur de votre os, votre employeur, ... (je m'arrète là...))

[Enthalpy]

Oui, Ikhar84 !

Sauf qu'un seul accès au compte de la personne ciblée permet déjà de faire trop de dégâts. Mieux vaut se protéger contre ce risque.

Tous les sites sécurisés imposent-ils de renouveler immédiatement le mot de passe si la personne qui se connecte utilise les questions de repêchage ? On aurait des surprises en vérifiant...

En outre, les barbouzes utilisent facilement le service de courriel de la cible. Par exemple chez Orange.fr, il suffit de se connecter depuis la ligne téléphonique de l'abonné, sans aucun mot de passe.

Quelqu'un recevant de son site Internet protégé un courriel disant "votre mot de passe a été réinitialisé" pensera-t-il spontanément à une attaque ? Ou plutôt à un mauvais fonctionnement ?

[Kissagogo27]

Bonjour, et souvent , on a une notification par mail quand l'adresse IP utilisée pour se connecter n'est pas celle habituellement utilisée, ou depuis un autre appareil , Mobile après un PC etc

[A voir en vidéo sur Futura]

[Enthalpy]

Entièrement d'accord, Kissagogo27 ! Mais l'attaquant peut avoir nui avant que l'usager légitime de l'identifiant ne réagisse.

Délire hors charte supprimé Que l'usager légitime rétablisse un mot de passe un jour après ne suffira pas.

D'où ma recommandation de se protéger contre ce risque.