Faille de sécurité Dailymotion : 80 millions de comptes concernés

Un rapport récent mentionne qu’un hacker a réussi à mettre la main sur plus de 80 millions de données appartenant au service de partage de vidéo en ligne Dailymotion.

Apparemment, une liste de 80 millions de noms d’utilisateurs et d’adresses email a été volée, avec les mots de passe hashés inclus, pour seulement 20 millions de comptes.

ZDNet a déclaré avoir vérifié le hash du mot de passe de l’un des comptes piratés, avec le hash provenant de bcrypt en utilisant le mot de passe du compte concerné, qui était connu, et a trouvé une correspondance.

Cela suggère fortement que Dailymotion stockait les mots de passe de manière sécurisée, en utilisant une technique reconnue de salage-hashage-stretch afin de compliquer d’éventuelles attaques visant à craquer les mots de passe.

L’idée derrière les algorithmes de stockage se basant sur le salage-hashage-stretch des mots de passe tels que PBKDF2, bcrypt et scrypt, est de ne pas être trop lent au moment de la validation lors de la tentative de connexion pour éviter de frustrer les utilisateurs, et de ne pas être trop rapide pour les cybercriminels qui auraient volé la base de données et essaieraient des milliards ou des milliers de milliards de mots de passe par seconde.

Rappelez-vous : plus vous ferez le bon choix pour votre mot de passe, plus il résistera face à des cybercriminels qui auront récupéré la base de données, et lanceraient une attaque visant à craquer votre mot de passe.

Ainsi, vous aurez plus de temps pour changer votre mot de passe dans le case d’une faille de sécurité : si vous changez votre mot de passe avant que le cybercriminel ne trouve votre ancien mot de passe, vous avez gagnez !

Lors d’une récente faille de sécurité au sein du site pornographique xHamster, les mots de passe hashés étaient apparemment calculés en utilisant uniquement une simple itération de l’algorithme MD5.

Des récits concernant cette faille de sécurité chez xHamster se sont focalisés sur l’aspect inapproprié de l’algorithme MD5 pour le hashage, mais il ne s’agit pas de la raison principale pour laquelle les mots de passe de xHamster ont été si facilement craqués.

Le plus gros problème dans ce cas précis est le fait qu’une seule itération avec l’algorithme MD5, ou bien avec n’importe quel autre algorithme de hashage incluant SHA-1 et SHA-256, peut être réalisée tellement rapidement sur les ordinateurs modernes, que les cybercriminels peuvent tester une quantité ahurissante de mots de passe différents pendant des jours et des semaines.

Si vous considérez que la vérification standard d’un mot de passe hashé avec bcrypt prend 10 000 fois plus de temps qu’un hashage traditionnel, alors un mot de passe simple, hashé avec MD5, et du coup craqué en 10 secondes, prendrait une journée entière, alors qu’un mot de passe qui peut résister une bonne heure avec un hashage MD5, pourrait tenir jusqu’à une année avec bcrypt !

Quoi faire ?

Ainsi, notre recommandation en matière de chiffrement de mots de passe est d’utiliser PBKDF2, avec au moins 20 000 itérations et l’algorithme de hashage HMAC-SHA-256.

Ne soyez pas inquiets si cela n’a pas de réel sens pour vous expliqué de la sorte : ce qui importe c’est que le hashage SHA-256 prend environ 60% plus de temps à calculer qu’un MD5, et le système de hashage HMAC nécessite 2 cycles de SHA-256 par itération pour le schéma de chiffrement PBKDF2, pour une vitesse globale 50 000 fois plus lente qu’un MD5 en clair.

Et ce dont vous avez vraiment besoin, c’est assez de temps pour changer votre mot de passe avant que les cybercriminels ne tombent dessus.

Bien sûr, le stockage des mots de passe sécurisés est sensé représenté la deuxième couche de sécurité, juste au cas où la base de données de vos mots de passe se retrouvait être la cible d’une cyberattaque…

…mais ceci n’est pas une excuse valable pour négliger, dès le départ, la sécurité de votre base de données !

Follow @ SophosFrance //platform.twitter.com/widgets.js
Partagez Faille de sécurité Dailymotion : 80 millions de comptes concernés : http://wp.me/p2YJS1-38f
Billet inspiré de Daily Motion video sharing service named in breach claim of 80M accounts, par Paul Ducklin, Sophos NakedSecurity.