Intrusion dans la base de données d'ag, /fear (#2)

Fil fermé
 
Partager Rechercher
Citation :
Publié par neonours
monsieur l'agent la voiture elle est à moi, je l'ai payé en liquide j'ai pas de preuve de l'achat, j'ai donné un faux nom à la préfecture pour la carte grise et à l'assurance mais j'ai un pote dans le poitou qui peut vous jurer sur sa mère que c'est la mienne (ça compte ça hein ?)
Ta voiture tu n'y as plus accès à cause de la société qui te l'a vendue ?
Lien direct vers le message - Vieux 04/08/2011, 17h11
Citation :
Publié par Villad
Ta voiture tu n'y as plus accès à cause de la société qui te l'a vendue ?
à partir du moment où les informations de ton compte sont inexacte ankama peut te bannir ton compte à tout moment quelqu'en soit la raison
meme chose pour ta voiture tant qu'elle n'est pas volé ou impliqué dans un accident ou un controle de police tu pourra l'utiliser, si jamais un jour pour une raison ou une autre tu venais a devoir justifier de sa possession tu aura des soucis, la cause de tes soucis ne sera pas le contrôle de police ou l'accident, le fond du problème c'est que t'étais pas en règle
Lien direct vers le message - Vieux 04/08/2011, 17h19
Citation :
Publié par snipii
Pour vous redonner un peu le moral j'ai envoyé une demande de nouveau mot de passe par mail avec copie de carte d'identité ce matin

j'ai reçus mon nouveau mot de passe à l'instant
Impressionant, perso j'ai envoyé un ticket hier, avec une copie de ma carte d'identité hier et je n'ai reçu aucun mot de passe. Heureusement que j'ai essayé plusieurs fois de renvoyer un mot de passe aprce que ça a fini par payer
Lien direct vers le message - Vieux 04/08/2011, 17h24
Citation :
Publié par Anarchy-UK
Un pic d'affluence peut être. Es tu sûr que l'adresse mail sur laquelle tu attends de le recevoir est la bonne? Est-elle valide?

En tout cas ne refais pas de demande tout de suite.
Elle est valide. J'ai dessus plusieurs mails de fin d'abonnement très récents (la semaine dernière), alors à moins qu'ils m'aient aussi modifié mon adresse mail... Ça comme à me pomper un peu mais je peux rien faire d'autre qu'attendre, et puis je suis en semi-pause dofus (je m'occupe que de l'élevage mais osef) donc ça pourrait être pire. J'espère que tu as raison quand tu parles de "pic". ^^
Lien direct vers le message - Vieux 04/08/2011, 17h33
Citation :
Est-ce que une personne dont les information du compte(mail,nom) sont invalide et qui a contacter le support a eu une réponse?
Oui bien sur un ami à recu une réponse pour ce genre de demande
Lien direct vers le message - Vieux 04/08/2011, 17h36
Ce qui est formidable c'est de recevoir un mail qui nous prévient que l'abonnement d'un compte se termine dans moins de 24h, compte pour lequel on a toujours pas reçu le nouveau mot de passe...
Lien direct vers le message - Vieux 04/08/2011, 17h47
j'y est eu droit aussi, mintenant que j'ai récup mes compte je me demande si il va y avoir un rollback ce qui m'ennuirai fortement étant donné que deuis que j'ai recuperer mon tailleur il est passer 65 et j'ai bien entamé l'xp de la fm ...
Lien direct vers le message - Vieux 04/08/2011, 17h54
Bonjour,
Je n'ai toujours pas reçu de mail pour deux de mes comptes, je ne possède ni le numéro ni la réponse exacte de l'un, mais les deux pour l'autre, les adresses sont valides, je n'ai fait qu'une demande de mot de passe par mail pour le second compte mais rien.. Je me doute bien que je ne suis pas le seul dans ce cas, mais ça commence à être vraiment long, et ça mange réellement tout l'abonnement alors j'en profite pour demander s'il y aura dédommagement ? Merci.
Lien direct vers le message - Vieux 04/08/2011, 17h54
Citation :
Je me doute bien que je ne suis pas le seul dans ce cas, mais ça commence à être vraiment long, et ça mange réellement tout l'abonnement alors j'en profite pour demander s'il y aura dédommagement ?
J'ai des amis qui son d’Algérie et on le même soucis que toi pas de carte d’identité ect...
Pour ce qui et du dédommagement je pense pas qu'il t'offriront un mois d'abonnement mais on bonbon sage ou autre bonbon
Lien direct vers le message - Vieux 04/08/2011, 18h15
Merci mon compte n'est peut être pas perdu alors^^ tu avait du fournir de bonne justification alors car moi je ne me souviens même plus de quelle adresse je me suis servi pour ce compte donc comment me croire?
On verra s'il me répondent toute façon^^
PS: tu a envoyé ta demande quant?
Lien direct vers le message - Vieux 04/08/2011, 18h16
Petit traité sur le hacking
Je profite de mon expérience en ce domaine pour donner mon avis et tenter d'expliquer ce qui à pu se passer. Je met ça la en vrac dans le topic, mais si un modo juge utile de créer un nouveau topic pour le mettre dedans, pas de pb.

La com' annoncée est qu'il y à eu intrusion sur la BDD et récupération de donnée.

Avant tout je précise que je ne connait pas l'infrastructure en place chez Ankama, et que je me base donc uniquement sur mon imagination et une estimation des faits réels.

Chapitre 1 : Possibilité d'intrusions.

Avant tout, si vous ne le savez pas déjà Ankama n'héberge pas ses propres serveurs, mais utilise un espace chez un hébergeur. C'est généralement un bon point car le prestataire en charge de l'hébergement est spécialisé dans se domaine.

D'un point de vue réseau, (si cela est bien fait) il est impossible d'accéder au serveur BDD si on ne se trouve pas dans une "bulle réseau" dans laquelle se trouve aussi les serveurs de Jeu et/ou d'authentification (qui eux ont besoin d'un accès BDD).

Cependant cette bulle à bien des points d'entrée, sinon cela ne servirait pas à grand chose :
- L'hébergeur y a accès (de manière physique et ou réseau)
- Certaines personnes habilitées chez Ankama
- Nous les joueurs, mais uniquement à destination des serveurs de jeu.

Les possibilités d'intrusions sont donc soit liés à l'hébergement, soit à un accès via Ankama, soit via ce qui est accessible au grand public.

Chapitre 1-A : Exploitation de faille

L'exploit est la partie "noble" du hacking. En utilisant ses compétences, le pirate à trouvé une faille qui lui permette de dépasser les limitations imposées sur les services à sa disposition. Le but ultime ayant d'avoir l'accès à une ligne de commande (shell) sur une des machines à l'intérieur de la bulle, et pouvoir ensuite faire tout ce qu'il souhaite. A défaut d'avoir un accès complet, il est tout à fait honorable d'arriver à pouvoir passer des ordres et récupérer les réponses.

Je doute fortement que ce point d'entrée soit celui utilisé, mais on ne sait jamais.

Chapitre 1-B : Le Social Egineering

C'est la partie fourbe du hacking. Cela suppose d'avoir déjà plus ou moins un accès à un service d'un point de vue technique, mais d'être bloqué par un passage de sécurité (clef de cryptage, mot de passe, etc). La méthode est simple mais peux sembler bête, il s'agit tout simplement de demander à une personne de donner ses propres éléments de sécurité. Le cas le plus basique serait d'appeler quelqu'un par téléphone en se faisant passer pour quelqu'un d'autre.
Cela peux aussi prendre la forme d'un faux mail ou site web et s'apparente alors à de l'hameçonnage (aka Phishing).

Chapitre 1-C : L'intrusion / Utilisation de virus

Tout le monde à déjà eu à faire à un virus, et c'est peux être la le point d'entrée. Le principe d'un virus dans le but du hacking consiste systématique à exécuter du code sur la machine de sa victime dans deux optiques. Soit récupérer des données (fichiers, cookies, etc), soit installer du code malicieux (Trojan, Keylogger, etc.). Si on arrive à cela sur le poste d'une personne qui est d'un côté connecté à internet, et de l'autre au réseau Ankama contenant la BDD, c'est gagné il n'y a plus qu'à compléter le chemin vers le serveur BDD.


Chapitre 2 : Qu'est ce que l'on va récupérer.

En toute logique sur la BDD nous avons un mélange de données en clair et de données cryptées. Les données en clair sont donc directement lisibles par le pirate. On peux supposer que cela soit le cas pour le login (nom de compte).

Ankama à d'ailleurs fait une communication indiquant que les données récupérées ne permettraient pas d'accéder au compte du moins c'est ce qu'ils pensaient. Comment cela est possible, je vais tacher de vous l'expliquer dans "La cryptographie pour les nuls !"

Il existe deux méthodes pour sécuriser des données :
Le chiffrage (aka cryptage) et le hachage :

Le chiffrage consiste à appliquer une transformation au mot de passe initial :
par exemple (attention c'est simple) inverse le mot :
> monpass devient donc ssapnom
Le chiffrage peux éventuellement utiliser une clef. par exemple : 1423 pour inverse les lettres 1 et 4, puis 2 et 3
> monpass deviendrait alors pnomass

Cet algorithme est réversible, à partir du moment ou on connait la méthode et la clef.
(Il existe aussi des méthodes asymétriques, mais on ne va pas rentrer dans les détails)

Le hachage consiste à générer quelque chose à partir de morceaux uniquement.
Pour reprendre une exemple simple :
1ere lettre + 2 dernières lettres + nombre de voyelles + longueur
monpass donne alors mss0107

Quelqu'un qui arrive à récupérer le mot de passe haché ne peux alors pas remonter au mot de passe d'origine, même avec l'algo :
Hash(monspass) => mss0107
unHash(mss0107) => ???

Sauf que la ou cette technique à une faille c'est que généralement tout le monde utilise les mêmes algorithmes de hachage, par exemple le MD5 (sans salt pour les experts).

il suffit donc de réaliser une "rainbow table" et de mémoriser quel pass correspond à quel hachage :
Hash(aaaaaaa) => sdjqhsdj
Hash(aaaaaab) => sdfkdlfdl
...
Hash(monspass) => mss0107


D'ou l'utilité d'avoir un mot de passe long et complexe (lettes + chiffres + symboles)


C'est tout pour aujourd'hui. je compléterai l'article prochainement si cela vous intéresse.
Lien direct vers le message - Vieux 04/08/2011, 19h50
Bonjour a tous.

Pour ma part j'ai retrouvé un compte vidé de ses équipement, j'ai fait le tour des HDV (Raval) j'ai retrouvé toute sa panoplie Glours ainsi qu'un Aimgéroks, j'ai tout de suite pris ces équipement en Screen ainsi que l'adresse IP du présumé hacker.

Pensez vous que le support puise y faire quelque chose ?

Merci.
Lien direct vers le message - Vieux 04/08/2011, 19h59
Citation :
Publié par drallieivEHD
...
Le truc, c'est que y'a d'autres moyens de passer outre un hachage meme si on a pas décrypté. Si par exemple il s'agit du client qui fait le hachage et qui envoie la valeur hachée au serveur (qui compare) a ce moment la le fait de disposer du hach(c'est le mot ?) suffit a accéder au compte, en créant un simili-client qui ne hache pas...

Après, le souci vient évidemment de la facon dont est faite le hachage. Le truc, c'est que utiliser une fonction de hachage trop simple permettra facilement de trouver des doublons. Ton exemple de
Hash(monspass) => mss0207 (2 voyelles pas une...)

on a aussi
Hash(maappsss) => mss0207

bref, faut se méfier...
Lien direct vers le message - Vieux 04/08/2011, 20h08
Et voila les dernière nouveautés, après avoir galéré pour récupérer mes comptes, dont un qui s'est fait hacké ..... me voici banni avec impossibilité de savoir pourquoi.

Je suis à la ramasse ce soir
Lien direct vers le message - Vieux 04/08/2011, 20h11
Citation :
Publié par IaOrana
Oh non, tu n'es pas seul .

Comme il a été dit, la pile de mail à envoyer doit être assez énorme donc patience, même si j'en conviens c'est toujours trop long.

Même moi qui prône la patience, j'avoue que là on dépasse les bornes des limites, +48h sans mail, relance via "mot de passe oublié" (qui était censé être désengorgé...) depuis +2h et toujours pas de signe de vie.

Si ils veulent un système de gestion de mail professionnel performant je peux leur en conseiller un, j'en vend.....
Lien direct vers le message - Vieux 04/08/2011, 20h39
Citation :
Publié par Papy-Increvable
'soir,

Je souhaitais changer l'adresse mail d'un de mes compte et puis plus tard je voulais créer un compte.
Le problème c'est que les e-mails censés confirmer la nouvelle adresse mail et l'autre attestant la création du compte ne me parvienne pas.
Est-ce leur boîte d'envoi d'e-mails qui est toujours surchargée? Parce qu'ils avaient dit que la plus grosse parties des problèmes seraient régler hier soir mais apparemment c'est toujours pas le cas.
D'autres gens sont dans mon cas?
J'ai toujours le même problème. Chiant de pas pouvoir se faire un compte et sûr de l'adresse e-mail.
Lien direct vers le message - Vieux 04/08/2011, 21h52
Hum sinon pourquoi pas une page qui expliquerait quoi faire pour récupérer les logs (sur le laucher comme pour les majs) ?

Nous on sait ce qu'il faut faire, mais certains ne lisent pas les forums ni les news d'ankama et c'est dur de tenir tout le monde au courant !
Lien direct vers le message - Vieux 04/08/2011, 22h16
Citation :
Publié par Roxas-and-the-Moon
@Feldi c'est facile pour toi de dire ça, tu n'es peut-être pas concerné par ce problème...

Moi j'ai toujours rien reçu pour mes 4 comptes, j'ai pas le droit de m'inquiéter un petit peu ?
Moi je l'ai eu et pour le coup : Soit t'attends soit t'envoie un SmS.

C'est pas compliqué.


Edit : Perso' j'ai pas eu la patience d'attendre , j'ai envoyé un SMS ça a pris 40 secondes ...
Lien direct vers le message - Vieux 04/08/2011, 22h29
Fil fermé

Connectés sur ce fil

 
1 connecté (0 membre et 1 invité) Afficher la liste détaillée des connectés
Thème visuel : Fuseau horaire GMT +2. Il est actuellement 21h40.
^^ Haut de page ^^