[Famille Za,]

En fait, je ne vois même pas ce qu'apporte la clef USB génératrice de mot de passe.

Si j'ai bien comprit, elle vous offre un mot de passe valide pendant 1 minute pour accéder à vos comptes, et... C'est tout ?


Qu'a-t'elle donc de mieux, de plus puissant et de plus intéressant qu'un mot de passe unique à l'ouverture du compte ? (Ormis le fait d'être inutilisable une minute après avoir été généré.)


Moi, je veux bien, hein.
Mais c'est quoi qui est nouveau et utile dans ce principe, par rapport à la situation actuelle ?

Za.

[Chatilly]

Bonjour,

Citation :

Publié par Famille Za

...Qu'a-t'elle donc de mieux, de plus puissant et de plus intéressant qu'un mot de passe unique à l'ouverture du compte ? (Ormis le fait d'être inutilisable une minute après avoir été généré.)

Ca protège des keylogger et des sites de phishing. Le mot de passe est composé d'une partie fixée par l'utilisateur (pallier à la perte de la clé) et d'une partie générée par la clé. Difficile aussi d'utiliser la force brut pour trouver le mot de passe.

C'est aussi une protection des entreprises contre les mots de passe trop simple.

[Famille Za,]

Citation :

Publié par Threepwood

Citation :

6. Où dois-je saisir le code numérique lorsque je me connecte à World of Warcraft ou sur la page de gestion de compte ?

Après avoir tapé votre nom de compte et votre mot de passe, vous serez invité à saisir le code numérique provenant de votre Battle.net Authenticator. Vous devez presser le bouton de votre Aunthenticator et entrer le code qui apparait sur l"écran pour compléter votre connexion.

Bien tenté.

Donc, en quoi est-ce que ça change de la situation actuelle ?
(Ormis d'avoir acheté un bousin à 7€ qui est vulnérable aux keyloggers pendant une minute ?)

Nota : les comptes Dofus sont déjà protégés des attaques de type BruteForce. Au bout d'un nombre d'essais raté, même le bon code ne donne pas accès au jeu.

Et l'édition (car je le veau bien) : en quoi est-ce que ça protègerait des sites de phising ? Ils demandent un accès au compte, il va donc falloir leur fournir gentiement un code provenant de la petite merveille en USB. C'est quoi l'amélioration par rapport à l'actuel ?

Za.

[wrathach]

Le but du sujet n'est pas de protéger le prêt de compte, seulement réduire les vols. Le prêt de compte en étant la principale cause, un second code qui augmente la sécurisation des items réduit de ce fait les vols, mais a l'effet pervers d'augmenter très probablement le nombre de prêts de comptes, en faisant une mesure inapplicable à la lecture de la plupart des réactions.
L'un de mes principaux objectifs en créant ce fil de discussion est de voir les avis des uns et des autres sur une mesure pourtant appliquée dans le domaine des banques et dans un certain nombre d'autres MMOs interdisant également le prêt de compte.

Vu l'attitude farouche de certains intervenants, je pense que le débat est clos, et que la question de la sécurité n'évoluera pas sur Dofus entre l'attitude des développeurs et celle de certains joueurs (que je ne critique pas, je comprend tout à fait votre point de vue).
Notre seul espoir de sécurisation de Dofus repose sur un éventuel ajout à Dofus pocket d'une fonction rappelant l'authenticator de Blizzard, mais je crains que peu de personnes y souscrivent ne réduisant que peu le nombre global de vols (vu que la multitude de gens pratiquant le prêt n'aura pas recours à cette mesure, et que seuls les gens qui comme moi ne prêtent pas leur compte en bénéficieront pleinement, j'y trouverai mon compte mais beaucoup de personnes non).

Je vais néanmoins pousser mes recherches et faire en sorte de proposer une solution plus adaptée. Si les fruits que donneront ces recherches sont exploitables, je vous en ferai bénéficier en premier lieu.

Je suppose que le sujet peut être fermé, je laisse soin aux modérateurs d'en décider.
Le débat peut également continuer si d'autres intervenants ont de nouvelles idées en tête, mais je crois qu'on a tout passé en revue.

Cordialement.

[Famille Za,]

Je t'invite à prendre conseil auprès de ce JoLien, qui vendait de l'authentification forte il y a peu. (ninja-edit : je pensais à littlepan en JoLien, trompée avec Naphtaleen, pardon.)

Ca fera d'une pierre 2 coups : tu en sauras plus sur ce que tu désires, et lui comprendra vraiment ce qu'il vendait.

C'est ce que nous (dans mon entreprise) utilisons aussi au travail : nous avons une "carte" qui permet de se connecter au poste. Sans la carte l'accès au compte est impossible.
C'est ce qu'il faudrait sur Dofus aussi.
Malheureusement, l'infrastructure à mettre en place pour garantir une réelle sécurisation des comptes est tellement lourde, que pour protéger juste un compte Dofus, ça me paraît.. imposant.

Et j'ajoute que les règles de sécurité actuelles sur l'accès aux comptes de jeu sont tout à fait correctes d'un point de vue sécurité, la dernière faille réellement exploitable se trouve être l'utilisateur lui-même.
Ce qu'aucune protection ne pourra jamais combler totalement.

Mais c'est une bonne chose d'essayer de progresser, nous (JoLiens enfin, au-moins "je") n'avons rien contre "toi" (et tous ceux qui proposent des merveilles de sécurité), juste que la mise en place des propositions est souvent caduque dès le départ.

Za.

[Yuyu]

Citation :

Publié par Famille Za

Bien tenté.

Donc, en quoi est-ce que ça change de la situation actuelle ?
(Ormis d'avoir acheté un bousin à 7€ qui est vulnérable aux keyloggers pendant une minute ?)

Nota : les comptes Dofus sont déjà protégés des attaques de type BruteForce. Au bout d'un nombre d'essais raté, même le bon code ne donne pas accès au jeu.

Et l'édition (car je le veau bien) : en quoi est-ce que ça protègerait des sites de phising ? Ils demandent un accès au compte, il va donc falloir leur fournir gentiement un code provenant de la petite merveille en USB. C'est quoi l'amélioration par rapport à l'actuel ?

Za.

Bah tu l'as dit... l'amélioration c'est que le vol de compte doit se faire dans la minute qui suit le vol d'identifiant. Ca réduit considérablement la marge d'action pour un éventuel vol de compte.
En bonus ça rend le prêt de compte difficile, car faut à chaque fois demander la key pour se log sur le compte, impossible de taxer un compte à l'improviste.

A l'heure actuelle c'est la même sécurité qui existe dans l'environnement vidéo-ludique.

[Famille Za,]

Ca apporte un regain de sécurité, okay. Mais il ne doit pas être bien compliqué pour un keylogger de récupérer en premier l'information du compte/pass, puis d'attendre la session de jeu suivante pour récupérer le code USB qui débloquera le vol de compte instantanément.

En ça, ce n'est qu'une simple sur-couche de mot de passe, on peut y ajouter autant d'authentifications qu'on veut, si l'utilisateur a décidé de prêter son compte pour se le faire voler, on ne pourra jamais rien faire contre.
Par exemple, on peut mettre en place une reconnaissance biométrique type vocale ou empreintes digitales voire rétinienne, y ajouter une phrase logique à faire comprendre à l'utilisateur, un texte de dictée à corriger, ou même demander à taper le mot de passe à l'envers+dans le désordre, si l'utilisateur a été sur un site "Donne-ton-compte.ru", et qu'il a entré toutes les informations qui le concernaient dedans, que pourra y faire AG ?

Dois-t'on en accuser un fournisseur d'accès à un jeu vidéo-ludique de ne pas se soucier assez de la façon dont les utilisateurs se font exploiter à l'insu de leur plein gré ?
AG doit-il remplacer l'éducation des parents, pour sensibiliser ses joueurs à ne pas entrer leurs identifiants n'importe-où ..?

Za.

Et l'édit : En plus de ça, je suis probablement la plus mal placée de tout JoL pour parler de ça, vu que je propose un script dans lequel il faut entrer les identifiants pour se connecter à Dofus. Plus hors concours, tu meurs. :/

[Bobthelooser]

@Za : On a pas dit ça; AG ne doit pas jouer ce rôle là mais ce système permettrais que des joueurs trop confiants filent leur compte(s) à des gens qu'ils ne connaissent que pour leur avoir parlé IG. Ça permettra à ces joueurs de ne plus se faire voler bêtement leur compte.
Après niveau spywares, keylogger, chevaux de Troie et autres ça apporte une sécurité supplémentaire qui n'est pas négligeable mais bon de toute façon ce n'est pas le but premier et, comme le dit si bien l'auteur de ce post, rares sont les keyloggers qui iraient faire tout ça pour récupérer des items d'un jeu. Donc moi, bien que prêtant mon compte à quelqu'un que je connais IRL (comme je l'ai déjà dit) je ne serais pas contre un système de ce type.

[Kuro]

Citation :

Publié par Famille Za

Ca apporte un regain de sécurité, okay. Mais il ne doit pas être bien compliqué pour un keylogger de récupérer en premier l'information du compte/pass, puis d'attendre la session de jeu suivante pour récupérer le code USB qui débloquera le vol de compte instantanément.

Hum, ça me parait hautement improbable.
Etape 1 : vol compte mdp
Etape 2 : joueur se connecte, on choppe le code authentificator, on deconnecte le joueur.
En moins d'une minute, le même code authentificator est rentré 2 fois, de 2 endroits différents.

Il me semble aisé ici de repérer un problème et prendre les mesures adéquates (message d'alerte auprès du joueur, impossibilité de se connecter à un compte quand quelqu'un s'est déjà logger avec le même code authentificator, autre.).

Citation :

Publié par Famille Za

AG doit-il remplacer l'éducation des parents, pour sensibiliser ses joueurs à ne pas entrer leurs identifiants n'importe-où ..?

Beaucoup de gens disent "AG ne doit pas rajouter de surcouche de sécurité car ça déresponsabiliserait les joueurs". Donc AG doit prendre ici une position éducative : Il faut responsabiliser le joueur.

Mais à coté de ça, AG ne doit pas remplacer les parents et c'est à eux de responsabiliser le joueur ? C'est un peu paradoxal comme point de vue.

Blizzard encore une fois me parait avoir une position plus neutre dans l'affaire avec leur authentificator. On vous fournit l'outil, libre à chacun de le prendre. L'existence même de l'outil permet plusieurs choses :
- sensibiliser sur l'existence d'un risque de vol de compte (bah ouais, sinon l'outil existerait pas)
- offrir un surplus de protection
- rassurer le joueur tout en laissant à chacun la responsabilité de le prendre.
- montrer que la société prend le problème en considération.

Dans l'absolu, c'est tout bénef pour les joueurs et l'image de marque de l'éditeur de jeu.

Kuro.

[Chatilly]

Bonjour,

Citation :

Publié par Kuro

...
Mais à coté de ça, AG ne doit pas remplacer les parents et c'est à eux de responsabiliser le joueur ? C'est un peu paradoxal comme point de vue.
...

Se faire hacker permet de se responsabiliser. Vaut mieux que ca arrive avec un compte Dofus qu'un compte en banque.

Je dois avouer m'être fait "hacker" au tout début de Dofus :
* nom de compte : diminutif de prénom (pas 2 noms à l'époque)
* mot de passe : le dit prénom

Je sais très bien que ce n'est pas très sérieux (surtout pour un informaticien) mais je n'avais pas idée que l'on puisse le faire. J'utilise toujours un mot de passe simple pour les comptes sans importance et pour lesquels je ne risque pas grand chose, surtout qu'au boulot j'en utilise déjà une dizaine de mots de passe...

[Famille Za,]

Citation :

Publié par Kuro

Blizzard encore une fois me parait avoir une position plus neutre dans l'affaire avec leur authentificator. On vous fournit l'outil, libre à chacun de le prendre. L'existence même de l'outil permet plusieurs choses :
- sensibiliser sur l'existence d'un risque de vol de compte (bah ouais, sinon l'outil existerait pas)
- offrir un surplus de protection
- rassurer le joueur tout en laissant à chacun la responsabilité de le prendre.
- montrer que la société prend le problème en considération.

Dans l'absolu, c'est tout bénef pour les joueurs et l'image de marque de l'éditeur de jeu.

Kuro.

Je dis que ce n'est pas à AG de responsabiliser ses joueurs (c'est le travail des parents), et qu'il ne faut pas non-plus produire des outils qui dé-responsabiliseraient les joueurs.
Qu'on me prévienne si je me contredis.

Dans l'absolu, c'est vrai que la clef USB produit un surplus de sécurité.
Mais dans ce cas, une authentification biométrique (par empreinte digitale, par exemple) serait plus efficace.

Et il ne doit pas être bien compliqué pour quelques hackeurs motivés de cloner la clef USB en question, justement attirés par un réel challenge à hacker, à leur portée.
En l'état, il suffit de s'attaquer au compte via un bête keylogger. Ce qui est (visiblement) à la portée du Dofusien moyen.
Avec une authentification par clef USB, le "hack" produirait un effet de reconnaissance potentiel bien plus alléchant.

Pourtant, la clef USB reste bien plus vulnérable aux attaques, et comment faire une fois que sa sécurité est cassée ? Produire une clef USB pour produire un chiffrement pour déchiffrer la clef USB pour produire un chiffrement [...] pour accéder au compte de jeu ?

C'est une bonne idée théorique.
Et vous avez tout mon soutiens.

Za.

[Chatilly]

Bonjour,

Il y a un article sur wikipédia concernant ce type de protection : http://fr.wikipedia.org/wiki/SecurID

Ce n'est pas le système de Blizzard, mais ca y ressemble. De mémoire en terme de prix on est pas dans la même gamme.

[wrathach]

Je verrai plutôt étant donné l'existence de dofus pocket un code de sécurité qui s'affiche dans un onglet dofus pocket, envoyé directement depuis AG au joueur. Ca permet d'inclure la solution à l'abonnement à dofus pocket, donc totalement optionnel, en évitant de se remettre à une clef usb dont le fonctionnement peut être décrypté et compris par des pirates. Et vu que le hacking de téléphones portables est assez peu présent, ça réduit les chances de voir intercepté ce code. En outre, il ne doit être utilisable qu'une fois, un peu comme un code audiotel.
Du coup avant chaque connexion au jeu on sort son portable, on lance dofus pocket, on va dans l'onglet genre "SeKhurleNé" (vu les jeux de mots parfois bancals qu' Ankama apprécie tant), cela envoie automatiquement une requête au serveur AG qui renvoit une clef (genre "A'12TY98°"). On combine cette clef à notre clef personnelle (genre AT-657-XI [oups on dirait une plaque d'immatriculation]).
On va donc rentrer pour accéder au jeu :
Son pseudo
Son mot de passe composé de sa clef + la clef renvoyée par Ankama, utilisable une unique fois.
Je suis alors connecté. Je me déconnecte, mon compte est en quelquesorte "désactivé", il n'est réactivé qu'une fois une demande envoyée au serveur AG via Dofus pocket.

Le problème ici étant la lourdeur du procédé (mais vu que c'est pas obligatoire les utilisateurs qui veulent s'en servir s'en servent conscients de cet état de fait) et la sécurité du compte dofus pocket, qui nécessiterait alors un mot de passe propre.
En cas de fin de souscription au service, le mot de passe d'accès au jeu redevient le mot de passe originel, qu'utilisent les joueurs normaux pour jouer, et dont le joueur ne se servait plus que pour se connecter à dofus pocket duquel il obtenait sa clef pour jouer.

La protection n'est pas encore parfaite, si on réussit à hacker le compte ankama, qui sert à se connecter à dofus pocket à la base, s'en est fini. Mais c'est toujours un petit plus de sécurité qui ne coûte rien à Ankama ou presque, et permet en plus de faire des sous en multipliant le nombre de souscriptions à Dofus Pocket.

Bon il faut suivre mon raisonnement, j'écris au fil de la plume donc c'est peut-être pas très clair, mais ça me paraît être une bonne piste à explorer. Je m'efforcerai de clarifier ma nouvelle proposition, en allant même jusqu'à faire des montages pour illustrer le tout.

[Kuro]

@Chatilly

Perso, mon compte Dofus date de 2004 et je n'ai jamais subis de vol. Il est pas obligatoire de se faire hacker pour comprendre qu'il ne faut pas filer ses accès à tout va Je suis d'accord que se couper est un bon moyen pour comprendre qu'un couteau c'est dangereux. Mais j'ose croire que ce n'est pas l'unique moyen.

Citation :

Publié par Famille Za

Et il ne doit pas être bien compliqué pour quelques hackeurs motivés de cloner la clef USB en question, justement attirés par un réel challenge à hacker, à leur portée.
En l'état, il suffit de s'attaquer au compte via un bête keylogger. Ce qui est (visiblement) à la portée du Dofusien moyen.
Avec une authentification par clef USB, le "hack" produirait un effet de reconnaissance potentiel bien plus alléchant.

Je ne m'avancerais pas sur la complexité du machin, n'étant pas moi-même très intéressé par cet aspect là de l'informatique (la cryptographie c'est intéressant pour la culture mais c'est loin d'être ma passion). M'enfin, il me semble qu'un argument qui revient souvent est "pourquoi un mec avec des vrais compétences de hack irait se prendre la tête à faire ça sur Dofus ?". C'est un point de vue que je rejoint personnellement.

Cette protection par authentification code/minute n'est pas utilisé que pour les MMO, plusieurs gros comptes (clients) de mon ancienne boite fournissait ce genre de clé pour pouvoir accéder au système. Parfois il faut taper un code à X chiffre sur la clé (qui ressemble alors à une calculette de primaire) pour obtenir la clé minute à entrer en plus du login/mdp.
Vu la manière dont la solution est répandu dans des boites disposant de données plus critiques (type militaire), j'ai tendance à croire que si des super hackeur veulent gagner en popularité, ils iront casser le machin ailleurs que sur Dofus.

Pour le passage sur l'authentification biométrique, ceci n'est qu'une supposition mais je pense que c'est clairement plus chiant/couteux à mettre en place pour une boite (= je ne l'ai jamais vu obligatoire chez un client, contrairement à l'authentification code/minute).

Après si pour toi l'unique solution acceptable est la solution parfaite, je peux comprendre que tu sois absolument contre l'idée d'une amélioration de la sécurité des comptes, même minime.

Kuro.

[Famille Za,]

Citation :

Publié par Kuro

Après si pour toi l'unique solution acceptable est la solution parfaite, je peux comprendre que tu sois absolument contre l'idée d'une amélioration de la sécurité des comptes, même minime.

Kuro.

C'est mon problème, en effet.
Si c'est pas parfait dès le départ, je trouve ça directement inutile, sans prendre en compte les étapes d'améliorations, et les potentiels soucis évités.

Perso, on m'a fait des remarques sur mes tests pour rendre les informations insensibles aux keyloggers depuis mon script, il s'est avéré qu'à chaque proposition il y avait une faille de plus en plus minime, mais qui m'apparaissait de plus en plus énorme.
Juste pour spoiler, je prévois d'envoyer les informations de logs dans le désordre, avec des caractères inutiles, en passant d'un caractère à l'autre avec la souris, et en allant entre la zone nom de compte <-> mot de passe aléatoirement.
Je ne vais pas décrire ici les étapes pour produire un espion qui pourrait retrouver les identifiants, mais ça me paraît assez simple. Trop, même. (Juste en se basant sur les informations envoyées dans la fenêtre Dofus.)

C'est pour ça que je suis facilement défaitiste sur les questions de sécurité.

Mais c'est vrai qu'une mise en place de sécurité par clef USB et/ou service DofusPocket comme indiqué plus haut serait un gros Plus qui ne peut pas nuire.

Je vous soutiens. Juste avec la réserve que plus ça se démocratisera, plus une personne risque de se demander "mais au fait, comment c'est fait, là-dedans ?", et d'y parvenir, rendant caduque cette solution.

Le pire serait que la clef soit réellement piratée (je ne parle plus de vols, mais bien de hacks), et qu'il soit possible de générer des clefs "valides" pour accéder aux informations.
Mais c'est vrai qu'une telle compétence sera plus certainement utilisée pour des comptes bancaires que des comptes Dofus. Comme dit plus haut, le public visé est naïf/crédule de base, et a peu de chances d'avoir ce genre de compétence.

Za.

[cocothebo]

Citation :

Publié par Raratork

La protection n'est pas encore parfaite, si on réussit à hacker le compte ankama, qui sert à se connecter à dofus pocket à la base, s'en est fini. Mais c'est toujours un petit plus de sécurité qui ne coûte rien à Ankama ou presque, et permet en plus de faire des sous en multipliant le nombre de souscriptions à Dofus Pocket.

Ben nan le principe de l'OTP, c'est de ne pas à avoir à vraiment se logguer pour avoir son code, la tu te loggue en plus avec ton nom de compte et ton mdp dofus...
Soit c'est un code différent (et tu enlèves celui de ton compte, tu n'en as plus besoin, juste besoin du password généré), soit c'est sans aucune forme de pseudo authentification (bof bof quand même).

Citation :

Publié par Kuro

Pour le passage sur l'authentification biométrique, ceci n'est qu'une supposition mais je pense que c'est clairement plus chiant/couteux à mettre en place pour une boite (= je ne l'ai jamais vu obligatoire chez un client, contrairement à l'authentification code/minute).
Kuro.

Et après ne parlons même pas des autorisations de CNIL et autre pour avoir des données biométriques de tes clients

Citation :

Publié par Famille Za

C'est mon problème, en effet.
Si c'est pas parfait dès le départ, je trouve ça directement inutile, sans prendre en compte les étapes d'améliorations, et les potentiels soucis évités.

Bah la sécurité absolue ca existe pas...tous les systèmes ont un point faible à un moment ou un autre...
Le but de la sécurité, c'est pas d'éviter tout danger, c'est juste de les minimiser à un niveau acceptable (qui bien sur dépend de beaucoup de choses...)

Citation :

Publié par Famille Za

Le pire serait que la clef soit réellement piratée (je ne parle plus de vols, mais bien de hacks), et qu'il soit possible de générer des clefs "valides" pour accéder aux informations.

La c'est pareil, que ce soit un pseudo terminal, ou un logiciel qui te génère ton OTP, celui-ci est unique. Donc si quelqu'un arrive à trouver la "suite logique de password" pour un terminal/log, elle ne sera applicable qu'à celui-ci.
(donc c'est un mécanisme de personnalisation et diversification qui fait que chaque clé est unique...le même principe que pour les cartes bleus, chaque transaction est signée par la carte, par contre la clé de signature est différente sur chaque carte)

[Famille Za,]

Citation :

Publié par cocothebo

Le but de la sécurité, c'est pas d'éviter tout danger, c'est juste de les minimiser à un niveau acceptable (qui bien sur dépend de beaucoup de choses...)

Et c'est au nom de la sécurité actuellement présente sur Dofus que j'estime que l'authentification forte n'est pas nécessaire, peut-être à la limite optionnelle.

Comme dit dans un autre thread, si quelqu'un veut attaquer mon poste, il a tout loisir de le faire. (À quelques notions près.)
Or, je n'ai jamais eu de soucis qui ne soit pas de mon dû.

Il ne reste donc que les abus de confiance et/ou les keyloggers (ou assimilés) comme attaques réelles.
Dans le second cas, l'authentification forte apporte un intérêt particulier bien que ponctuel. (Un environnement sain n'en nécessite pas.)
Dans le premier cas, quelle que soit la sécurité mise en place, elle sera contournée par l'utilisateur lui-même.

Donc au final, je vois la solution proposée comme une protection anti espions uniquement, ce qui réduit grandement son champs d'efficacité, et qui le relègue au rang de logiciels type "Spybot".

Que d'efforts pour si peu, je trouve. Mais "c'est toujours ça de prit".

Za.

[littlepan]

Le système securID est hyper présent pour tout ce qui est login a distance dans les grosses entreprises, à priori le temps qu'un keylogger récupere le mot de passe de ta securID, l'interet c est qu'il est déja plus valide donc ca bloque et du coup ca rajoute une couche 'physique' de sécurité a la couche logique: si on veut te pourrir, il faut ET avoir ton mot de passe perso, ET avoir la fameuse 'calculette'.

Je trouve que c'est juste une super idée, mais j'imaginais pas que ca pouvait etre si peu cher en fait.

edit: bin je vois pas trop comment ca marche, c'est le coté synchro qui me toudulque un peu en fait, meme au bout de plusieurs années d'utilisation de la meme 'calculette' ...

Message supprimé par son auteur.

[Nikator]

J'ai lu avec attention tous les messages, et je vais essayer d'apporter mes 2 kamas à la réflexion.

1) Avant toute chose, un petit rappel: la loi fait obligation aux entreprises (et non aux utilisateurs !) de sécuriser physiquement et logiquement les données (article 226-17 du code pénal, punit de 5 ans d'emprisonnement et 300.000 euros d'amende).

Il est évident que l'utilisateur doit respecter des consignes de sécurité, mais rappelons le, il n'est pas le professionnel et ne peut donc voir sa responsabilité engagée totalement. De plus, en cas de problème de "vol de comptes", la charge de la preuve appartiendrait à l'entreprise de prouver que l'utilisateur n'a pas respecté des consignes de sécurité. Ceci est important, car ce que propose des systèmes d'authentification forte multi-facteur c'est justement une preuve que si un inconnu se connecte à la place de l'utilisateur dûment enregistré, alors forcément cela s'est fait avec le consentement (ou la complicité) de l'utilisateur "propriétaire" du compte.

La question est donc de savoir si la sécurité mise en place par Ankama permet de prouver sans équivoque la complicité du joueur. La réponse est définitivement non.

La sécurité utilisant un simple mot de passe unique réutilisable à volonté ne résiste pas à des attaques du type:
- Man in the middle;
- Phishing.

Pour ceux qui répondrait que le phishing faut être débile pour se faire avoir, je vous répondrais qu'il existe des attaques de phishing très bien réalisées et qui combinées à une attaque DNS ne laisse aucune chance à l'utilisateur pour découvrir qu'il est sur un faux site.

2) Authentification forte multi-facteur:

Les systèmes de type OTS sont effectivement une authentification forte. Le principe étant de coller au plus près des 3 conditions énoncées par Shannon dans son théorème de 1949 pour qu'un système de cryptographie soit incassable:

1. La clé de cryptage doit être aussi longue que le texte à crypter;
2. La clé doit être totalement aléatoire;
3. La clé doit être à usage unique.
   

La génération de nombre aléatoire est impossible par un ordinateur (qui est foncièrement déterministe, le nombre étant généré par un algorithme déterministe). Il existe des générateurs pseudo-aléatoires qui permette de diminuer très fortement la probabilité que le prochain nombre aléatoire tiré par le générateur soit "deviné". C'est sur ce principe que se base les OTS.

Mais ce n'est pas suffisant pour prouver que l'utilisateur est complice en cas d'accès non autorisé. En effet, quelqu'un qui volerait le générateur aurait toute lattitude de se connecter le temps que le vol soit déclarer/découvert.

Pour celà il faut une authentification "multi-facteur". Le principe en est simple: multiplié les facteurs d'authentification afin d'empêcher que le vol d'un des facteurs compromette la sécurité. C'est par exemple ce que vous avez avec votre carte bleue: si quelqu'un vous vole votre CB, il doit également disposer de votre code PIN pour pouvoir retirer de l'argent à un distributeur.

C'est ce même principe qui est maintenant utilisé avec les OTS de dernière génération: pour générer votre mot de passe à usage unique vous devez saisir un code personnel que vous êtes le seul à connaître. L'utilisation frauduleuse ne peut donc plus se faire sans la complicité du joueur.

3) Concernant le phishing:

Comme dit précédemment, une entreprise ne peut se retourner contre son client en prétextant sa négligence lorsque celui est victime d'un phishing.

Là aussi, l'entreprise se doit d'avoir une attitude pro-active pour lutter contre le phishing. Différentes techniques existent pour le faire. Par exemple, l'apparition d'un "hologramme" spécifique à chaque joueur sur les pages du site, permettant à l'utilisateur de vérifier l'identité du site quelle que soit son adresse DNS.

Conclusion:
Existe-t-il des solutions miracles et pas chères ?
Oui. Personnellement je connais une entreprise française proposant une solution 3 en 1. Solution d'authentification forte multi-facteur, d'anti-phishing et de SSO (single sign on). Le coût proposé est de 2 centimes d'euros par connexion. Le support pour le générateur de mot de passe/vérificateur anti-phishing est le téléphone portable.

Je ne citerai pas cette entreprise, ni sa solution (je pense que la publicité est interdite sur ce site :-) ). Mais tout ce que je peux dire c'est que ça existe. (Petite info: je ne travaille pas pour cette entreprise, hein ! Que les choses soient claires !)

Vouloir éduquer les usagers, c'est bien. Mais ce n'est pas sur eux que l'on doit faire reposer toute la sécurité.

Cordialement,

Nikator

[Koontz]

Citation :

Publié par Yopimarus

mais au moins ça fera une partie des joueurs pouvant dormir sur leurs deux oreilles

je n'ai jamais changer de mot de pass,j'ai le firewall et l'anti spy de windaube et avast en version gratuite et pourtant je dors sur mes 2 oreilles,question de point de vue.
10 ans de jeu en ligne et jamais voler...

[Iopéra]

Citation :

Publié par Nikator

Existe-t-il des solutions miracles et pas chères ? .....

....Le coût proposé est de 2 centimes d'euros par connexion. !!!

Y'a vraiment des mecs qui se font des c......s en or sur internet. Il suffit de vendre un système inutile et couteux en profitant de l'ignorance de l'immense majorité des utilisateurs, tu l'emballe dans un joli paquet de mots technique et hop c'est vendu !

Merci de cette belle pub à peine déguisée, mais un mot de passe est largement suffisant si on respecte les règles d'utilisation.

[Nikator]

Citation :

Publié par Iopéra

Y'a vraiment des mecs qui se font des c......s en or sur internet. Il suffit de vendre un système inutile et couteux en profitant de l'ignorance de l'immense majorité des utilisateurs, tu l'emballe dans un joli paquet de mots technique et hop c'est vendu !

Merci de cette belle pub à peine déguisée, mais un mot de passe est largement suffisant si on respecte les règles d'utilisation.

Euh, je n'ai pas cité la société en question (et il y en a plein qui font ça), donc je ne vois pas la "pub". Et pour information, je ne bosse pas dans le privé :-) donc aucun intérêt à faire de la pub pour une boîte privée. En revanche, la sécurité informatique je connais un peu...

En revanche, déclarer le système "inutile" va falloir me le prouver. Parce que je peux te garantir qu'un simple mot de passe est insuffisant pour te protéger.

Mais bon, tu peux toujours dire que ça sert à rien de mettre une ceinture de sécurité parce que tu as jamais eu d'accident. Cela est vrai pour la majorité des personnes. Vraiment, le lobby des fabricants de ceintures de sécurité a fait un coup en or: vendre un truc inutile et couteux pour rien... Ils profitent vraiment de notre crédulité...

Nikator

[EDIT]
La technique peut être utilisée dans le monde entier. Le téléphone portable est simplement utilisé en tant qu'"ordinateur de calcul": aucune communication n'est nécessaire à priori. Mais on peut transposer sur une clef USB, ou sur des "calculettes" comme cité plus haut par d'autres intervenants.

Concenant le prêt de compte, celà est du ressort de la stratégie commerciale de Ankama. Ils sont libres de choisir de l'autoriser ou de l'interdire. En revanche, au niveau sécurité, ils ont moins de liberté. D'autant que la législation européenne se renforce actuellement pour protéger les consommateurs. Ce n'est qu'une question de temps pour qu'ils soient obligés de le faire.

[Kikako]

Ta proposition est intéressante Nikator mais (égocentrisme) n'est applicable que pour les résidents français. Un générateur portable de codes à usage unique me paraîtrait être une meilleur solution.

Quoiqu'il en soit, le principal problème reste celui déjà évoqué du prêt de compte. Ce n'est pas pour rien que de plusieurs sujets proposent un verrouillage par mot de passe supplémentaire du coffre ou de la panoplie, laissant libre le personnage. Dans l'état actuel (ou plutôt ce que j'en sais), une couche supplémentaire de sécurité ne me semble pas LA mesure la plus efficace, puisque dans le cas d'un perso joué à plusieurs, elle ne sera pas activée ou le code communiqué. Dans ce dernier cas, il faudra s'attendre à des billets au support du genre "je sais qui m'a hacké".

On protégerait seulement les personnes inconscientes d'être espionnés et aussi, chose probablement non négligeable, les communications de loggin d'un tiers à un autre. A mon avis : peu utile, mais je n'ai aucun chiffre pour le confirmer.