[Pinpux]

Bonjour.

Un de mes fils s'est fait hacker en janvier (ma faute puisque son PC était infecté par un keylogger non détecté par AVG à l'époque) puis de nouveau le 7 mars puis le 10 mars (oui, 4 jours après) alors que la machine était déclarée clean par Awast ET Kaspersky et avait été reformatée 10 jours avant.

Il est bien évident qu'entre le 7 et le 10 mars j'ai passé tous les AV connus sur le poste, changé le mdp du compte et de la BAL, enfin plus que le B.A. BA étant un peu du métier.

La situation me laissait perplexe et j'en suis même arrivé à remplacer le WIFI par un cable Ethernet et aujourd'hui je suis tombé sur ces deux fils :

http://forums.wow-europe.com/thread....90550928&sid=2
http://forums.wow-europe.com/thread....90762204&sid=2

Donc ma question s'adresse au gros bill de la sécurité : est ce crédible qu'un compte hacké une fois (ou plusieurs) devienne un compte facilement repiratable puisque une partie de la sécurité (le nom du compte) a sauté ?


Note aux modos : si vous pouviez virer rapidement les délires sur les achats de po, chat de la voisine qui va lire le mot de passe sur mon bureau et prêts de compte, celà éclaircira le fil ... Merci

[Dufin]

Citation :

Donc ma question s'adresse au gros bill de la sécurité : est ce crédible qu'un compte hacké une fois (ou plusieurs) devienne un compte facilement repiratable puisque une partie de la sécurité (le nom du compte) a sauté ?

Le fait de connaitre le Login est deja un enorme avantage/gain de temps.

[Tarama]

Continuer à utiliser un PC sans le formater après avoir découvert qu'il était infecté c'est un peu jouer avec le feu je trouve. Si le compte a continué a être hack, c'est qu'un keylogger était toujours présent.

[Pikachu]

Citation :

Publié par Pinpux

Donc ma question s'adresse au gros bill de la sécurité : est ce crédible qu'un compte hacké une fois (ou plusieurs) devienne un compte facilement repiratable puisque une partie de la sécurité (le nom du compte) a sauté ?

Sur un forum de type VBulletin quand tu essais de te connecter 5 fois de suite et que tu te plante dans le mot de passe, tu ne peux plus essayer pendant 15 minutes. S'il y a un truc équivalent pour se connecter à WOW alors il faudrait des milliers d'années pour trouver le passe de quelqu'un dont on connaîtrait le nom de compte.

Et même si ce n'est pas le cas, ce qui serait étonnant de la part de Blizzard, pour essayer tous les mots de passe possibles il faudrait un PC tournant pendant des mois et interrogeant le serveur de connection en boucle. Je n'y crois pas un instant.

[Elessar]

Citation :

Publié par Tarama

Continuer à utiliser un PC sans le formater après avoir découvert qu'il était infecté c'est un peu jouer avec le feu je trouve. Si le compte a continué a être hack, c'est qu'un keylogger était toujours présent.

Citation :

Publié par Pinpux

[...] alors que la machine était déclarée clean par Awast ET Kaspersky et avait été reformatée 10 jours avant.

Hum. Lire en diagonale, c'est mal.

[Dufin]

Citation :

Si le compte a continué a être hack, c'est qu'un keylogger était toujours présent.

Quand on sait que 20% des MdP se trouvent en moins d'une heure juste a l'aide d'un dictionnaire de 10 000 mots (et du programme adequat) pas forcement...

Citation :

Sur un forum de type VBulletin quand tu essais de te connecter 5 fois de suite et que tu te plante dans le mot de passe, tu ne peux plus essayer pendant 15 minutes. S'il y a un truc équivalent pour se connecter à WOW alors il faudrait des milliers d'années pour trouver le passe de quelqu'un dont on connaitrait le nom de compte.

10 000/5/4=500 h pour 20% des MdP.

Apres on peut descendre encore si le meme login/pass est utilisé a plusieurs endroits sans comparaison des connections (au hasard launcher de WoW+forum officiel).

[Pinpux]

Mes mots de passes sont générés aléatoirement avec une longueur de 10 caractères
pris parmi les lettres et chiffres (mais pas les caractères spéciaux).

Quand au niveau de sécurité de Blizzard je me souviens qu'un débat avait déjà été soulevé au lancement de Wow quand il a été clair que les maj/min n'étaient pas gérés dans le mot de passe (ce qui diminue fortement le nombre de combinaisons).

[Aratorn]

Citation :

Publié par Pinpux

Donc ma question s'adresse au gros bill de la sécurité : est ce crédible qu'un compte hacké une fois (ou plusieurs) devienne un compte facilement repiratable puisque une partie de la sécurité (le nom du compte) a sauté ?

Crédible ? Oui.

Mais d'un intérêt douteux toutefois. En effet, une fois vidé, le compte ne présente plus guère d'intérêt.

Comme Blizzard l'a indiqué, il est impossible de changer le nom du compte.
Une fois ce nom connu, une technique de craquage de type "Bruteforce" ou par dictionnaire est toujours envisageable ( je suis même persuadé qu'il est possible de créer un client modifié sur lequel on puisse rebalancer un script de cracking de mot de passe ).

Par contre, ces méthodes de type bruteforce ou dictionnaire ont leur limite.
A partir du moment où le mot de passe est composé d'autre chose qu'un mot existant, ou que de caractères simples ( chiffres et lettres ), la durée nécessaire à la récupération du mot de passe augmente d'une manière exponentielle.

Ainsi, s'il ne faut que quelques secondes à un algorithme pour retrouver "toto1789", il faudra plusieurs années, voir plusieurs siècles pour retrouver "sd$!\12hjg%432"

[Dufin]

Citation :

Mes mots de passes sont générés aléatoirement avec une longueur de 10 caractères
pris parmi les lettres et chiffres (mais pas les caractères spéciaux).

Dans ce cas il ne reste que 2 solutions:

-key-logger toujours present (ou qui est revenu)

-securité douteuse du moyen de "sauvegarde" du MdP (10 caracteres+chiffres aleatoires on a tendance a mettre ca quelquepart)

[Pikachu]

Si ton mot de passe contient 20 lettres + nombres + éventuellement des caracteres spéciaux, il te faudrait des milliers d'années pour trouver le bon. On est dans le domaine de l'inexploitable.

Par contre y a un truc qui me heurte chez Blizzard, c'est qu'ils font payer 60 ou 70 euros le changement de nom de compte via l'achat d'un second compte + transfert. Là je trouve qu'on est pas loin du raquet.

Mais bon de toute façon changer de loggin ne sert à rien. C'est pas de là que viennent les hack à répétition. Sauf si le gars se complait dans des mots de passe ultra simples alors que tout le monde dit depuis toujours de mettre des mots de passe long et compliqués ne faisant pas référence à un mot de la vie courante.

[Elvara]

Sans vouloir dévier du sujet initiale à votre avis le mot de passe doit faire combien de caractère minimum pour limiter les ennuis? le mien ne fait que 8 caractères chiffre et lettre , minuscule et majuscule mais à chaque fois que je lis un post comme ça j'ai un peu peur pour mon compte....

[Deumus]

8 caractères est largement suffisant si tu y mets chiffres et lettres et que ce n'est pas un mot mais des lettres et chiffres aléatoires.

Par contre, pour l'auteur, je ne vois pas très bien pourquoi et comment le compte a pu être hacké aussi souvent sans présence de virus dédié à WoW.

Les deux seules conclusions sont que le MDP est peut-être stocké sur le dur ou quelque part ailleurs que sur un papier/cerveau. La deuxième dépend de l'âge du fiston qui pourrait avoir refilé le MDP à un ami mais n'ose pas le dire.

[Jal Morrair]

Citation :

Publié par Elvara

Sans vouloir dévier du sujet initiale à votre avis le mot de passe doit faire combien de caractère minimum pour limiter les ennuis? le mien ne fait que 8 caractères chiffre et lettre , minuscule et majuscule mais à chaque fois que je lis un post comme ça j'ai un peu peur pour mon compte....

Jamais eu de problème personnellement avec un mot de passe de ce type.
Il me semble que pour pas mal de choses il y a un nombre de caractères mini à entrer pour un mot de passe, ça ne doit pas être pour rien. Tant que tu es au dessus de 6 lettres/chiffres (mélangés) à mon avis ça roule.

[Assurancetourix]

Citation :

Publié par Aratorn

Par contre, ces méthodes de type bruteforce ou dictionnaire ont leur limite.
A partir du moment où le mot de passe est composé d'autre chose qu'un mot existant, ou que de caractères simples ( chiffres et lettres ), la durée nécessaire à la récupération du mot de passe augmente d'une manière exponentielle.
"

caractères simples: majuscules+minuscules+chiffres=62 possibilités

mdp de 10 caractères: 839299365868340224 combinaisons, ça devrait suffire (8*10^17).

Si il ne s'agit pas d'un mot existant ou combinaison de mots existants, comme tu le dis.

[Pinpux]

Citation :

Les deux seules conclusions sont que le MDP est peut-être stocké sur le dur ou quelque part ailleurs que sur un papier/cerveau. La deuxième dépend de l'âge du fiston qui pourrait avoir refilé le MDP à un ami mais n'ose pas le dire.

Les mots de passes sont générés sur une machine tierce sous forme d'une liste sans lien avec les login.

Les mots de passe générés par Bli² arrivent dans ma BAL et non les leurs.

Quand aux 'fistons' ils ont 17 et 19 ans, ont passé 3 ans sur DAOC avant Wow et sont sensibilisés aux dangers du net

Aucun autre soft, login ou mdp n'a été hacké sur aucun des PC.

Ce qui m'arrive me laissait perplexe mais j'ai toujours tendance à mettre en question mes procédures (déformation pro peut etre ) mais le fait que ca arrive aussi à d'autre m'inquiète.

[Dufin]

Citation :

mdp de 10 caractères: 839299365868340224 combinaisons, ça devrait suffire (8*10^17).

Il n'y a pas si longtemps les MdP de 14 caracteres alpha-numeriques utilisés dans "certains" protocoles windows se craquaient en maximum quelques minutes...

Ce qui est important, ca n'est pas la taille (enfin ya un minimum a respecter et 8 caracteres sont largement suffisants) c'est le mode d'utilisation et de stockage.

[Tixu]

N'ayant jamais essayé personnellement, quelqu'un sait s'il y a une protection contre le bruteforce justement?
Du genre: apres 5 essais ratés, pause de 15 minutes avant nouvel essai, ou autre mecanisme...?

Citation :

Quand aux 'fistons' ils ont 17 et 19 ans, ont passé 3 ans sur DAOC avant Wow et sont sensibilisés aux dangers du net

Autre solution: le probleme est interne à la famille... je fais mon dr House, mais es tu certain qu'ils sont completement honnetes?

[Einara]

Citation :

Publié par Assurancetourix

caractères simples: majuscules+minuscules+chiffres=62 possibilités

Malheureusement , le mdp de blizzard n'est même pas sensible aux minuscules/majuscules

[Assurancetourix]

Citation :

Publié par Dufin

Il n'y a pas si longtemps les MdP de 14 caracteres alpha-numeriques utilisés dans "certains" protocoles windows se craquaient en maximum quelques minutes...

Ce qui est important, ca n'est pas la taille (enfin ya un minimum a respecter et 8 caracteres sont largement suffisants) c'est le mode d'utilisation et de stockage.

Je ne suis pas sûr donc je demande: il s'agit de mdp stockés sur la machine avec un algo de hash obsolète?
Donc oui, les problèmes d'utilisation et/ou de stockage existent.

Mais là, on parlait de la sécurité d'un mdp face à un "bruteforce".

Citation :

Malheureusement , le mdp de blizzard n'est même pas sensible aux minuscules/majuscules

Effectivement . ca fait toujours 36^10= 3656158440062976 soit 3*10^15, amplement suffisant vs bruteforce, mais quand même, ça fait tâche.

[Zubr0wsk4]

Bonjour à tous,

Je viens aussi de me faire pirater mon compte wow. Mon compte est suspendu pendant 3 jours par Blizzard pour enquête. Ils m'ont donné un nouveau mot de passe.

J'ai formaté mon PC.
J'ai installé Avast et Spybot. J'ai lu que le launcher du jeu peut aider à repérer des programmes malveillants, je le laisserai se lancer à présent.

Je me demande réellement comment j'ai choppé un keylogger.

Quels programmes me conseillez-vous pour éviter que cela se reproduise ? A quoi je dois faire gaffe particulièrement (je supprime déjà tout email suspect, ne vais pas sur des sites louches).

Merci d'avance pour tous conseils.

[Quild]

Citation :

Publié par Tixu

N'ayant jamais essayé personnellement, quelqu'un sait s'il y a une protection contre le bruteforce justement?
Du genre: apres 5 essais ratés, pause de 15 minutes avant nouvel essai, ou autre mecanisme...?

Y'en a pas. Un pote changeait régulièrement son mot de passe, mais genre 1 caractère. M'arrivait d'oublier lequel il avait changé, donc je faisais rapidement des essais quand il était pas sous msn, jamais eu de blocage. Comme quoi une légère modification du mot de passe suffit à moins que ça soie de notorioté commune qu'un seul caractère est changé.


Sinon pour le sujet, la première question que je me suis posée, c'est si y'avait pas quelqu'un qui récuperait le compte via la question secrète. Tu l'as faite changer ? Tu l'as récupéré via ça toi non ?

Normalement si quelqu'un hacke une BAL via un truc genre question secrète, il doit choisir un nouveau mdp (ce qui permet de savoir qu'on a été hack par ce moyen).
Ces questions secrètes sont quand même vachement dangereuses si on y répond sérieusement, pour ma part si par exemple la réponse devrait être une valeur numérique, je choisis une couleur.


Par contre, tu sais comment ça se fait que son PC aie chopé un keylogger destiné à piquer un compte WoW ?

J'en profite pour demander :
- Si je mémorise mon login dans l'écran de login wow, un keylogger est incapable de le retrouver non ? A moins qu'il fasse spyware à côté. Pour ce que j'en sais, ils le font ptêt tous :x

[Dufin]

Citation :

Mais là, on parlait de la sécurité d'un mdp face à un "bruteforce".

Face a un "brute force", le critere principal sera le ratio operation/temps pour "tester" les MdP.

C'est bien pour ca que beaucoup de forums bloquent temporairement les essais possibles apres un nombre defini d'echecs (ce qui augmente "artificiellement" le ratio operation/temps).

Je rejoins donc la question de Tixu sur les protections anti-spam de MdP en vigueur sur WoW (je suis jamais monté au dela de 3 essais avec mes 2 mains gauches armées de 10 pouces).

[Pinpux]

Citation :

Publié par Quild

Sinon pour le sujet, la première question que je me suis posée, c'est si y'avait pas quelqu'un qui récuperait le compte via la question secrète. Tu l'as faite changer ? Tu l'as récupéré via ça toi non ?

Par contre, tu sais comment ça se fait que son PC aie chopé un keylogger destiné à piquer un compte WoW ?

Pour la BAL aucun problème de ce côté là je ne passe pas par la question secrète et les MDP n'arrivent pas sur la sienne.

Pour le keylog, inclus dans un add-on pour CS (depuis, seule la version originale est installée et très peu jouée).

[Aratorn]

Citation :

Publié par Quild

J'en profite pour demander :
- Si je mémorise mon login dans l'écran de login wow, un keylogger est incapable de le retrouver non ? A moins qu'il fasse spyware à côté. Pour ce que j'en sais, ils le font ptêt tous :x

Je pense que tous les keyloggers WoW intègrent une partie qui consiste à récupérer le login, qui est en clair.

[linoa]

Juste une idee en l'air
Si tu as choppé un keylogger sur la machine, c'est potentiellement tous tes mdp qui sont connus
La boite mail liée à ton compte WoW aurait pas été hackée des fois ?

EDIT
Oups désolé

Citation :

Publié par Pinpux

Pour la BAL aucun problème de ce côté là je ne passe pas par la question secrète et les MDP n'arrivent pas sur la sienne