{"partition": "head_middle", "source_domain": "www.numerama.com", "digest": "sha1:UKIGAGYNULUY2HGIX5X4VRCBIA27QUXX", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2014-15/000_00018.parquet"}
Piratage,	MegaUpload,	Sécurité,	Chiffrement,	Mega	Publié par Guillaume Champeau, le Lundi 21 Janvier 2013
Avec Mega, le mot de passe est plus que jamais une faille de sécurité
Avec Mega, Kim Dotcom propose aux internautes 50 Go d'espace de stockage "sécurisé" gratuit. Mais attention. Si votre mot de passe est découvert, il sera impossible d'en changer pour éviter les actes malveillants.
Pour promouvoir le lancement du successeur de MegaUpload, Kim Dotcom a largement mis en avant la prétendue sécurité de Mega. Mais malgré les promesses marketing, celle-ci est loin d'être garantie dans les faits. Outre les failles d'implémentation pointées du doigt par Bluetouff, qui pourraient permettre de découvrir la clé RSA de chiffrement des données, Mega est articulé autour d'un principe fondateur qui devrait être considéré lui-même une énorme faille de sécurité.
En effet, les utilisateurs inscrits sur Mega auront peut-être remarqué qu'il leur est impossible de changer de mot de passe. Or il ne s'agit pas d'un simple oubli dû à un lancement précipité, mais bien d'une fonctionnalité voulue et assumée. "Malheureusement, votre mot de passe MEGA n'est pas seulement un mot de passe", reconnaît Mega dans sa FAQ dédiée à la sécurité. "C'est la clé de décryptage principale de toutes vos données. Si vous le perdez, vous perdez l'accès à tous vos fichiers que vous n'avez pas dans le dossier partagé et que vous n'avez pas exportés précédemment par clé."
Lorsque l'utilisateur créé son compte sur Mega, deux champs seulement sont à remplir : adresse e-mail, et mot de passe. Un code javascript est alors chargé de générer la clé de chiffrement de l'utilisateur, à partir du mot de passe, des mouvements de la souris, et de la manière dont les données ont été saisies au clavier. C'est cette clé qui est ensuite utilisée pour chiffrer les données avant qu'elles n'arrivent sur les serveurs de Mega.
Mais comme le dénonce la version anglophone de Zdnet, l'impossibilité de modifier le mot de passe implique la nécessité absolue de ne jamais être victime du moindre piratage. Si votre mot de passe est découvert, les hackers pourront uploaer en votre nom n'importe quel contenu et le partager, rendre publics des fichiers qui étaient privés, supprimer tous les fichiers stockés sur Mega, ou télécharger l'ensemble. Il n'est pas non plus possible de supprimer un compte créé par l'utilisateur, la fonctionnalité n'ayant pas été implémentée par Mega.
Il est donc plus que jamais nécessaire d'utiliser sur Mega un mot de passe unique, et surtout de prier pour ne jamais être victime de phising, d'un keylogger ou de toute autre technique qui permettrait à un hacker malveillant de mettre la main sur le mot de passe.
Enfin, les entreprises doivent s'interdire toute utilisation de Mega pour leur stockage en cloud. Il est en effet impossible de modifier l'adresse e-mail, ce qui implique que le compte est aux mains d'une seule personne. Et quand bien même le compte serait créé avec une adresse générique (du type firstname.lastname@example.org), elle impliquerait de confier le mot de passe à des collaborateurs qui ont l'assurance de toujours garder l'accès aux fichiers même après démission ou licenciement.
La seule sécurité apportée par Mega sur ce point est l'historique de session disponible dans l'onglet "Mon Compte". Il permet de voir les adresses IP à partir desquelles le compte a été utilisé, permettant de détecter un éventuel intrus :
La Sacem s'arrange avec la réalité, qu'elle choisit d'ignorer
Stéphane Richard (Orange) évincé pour avoir aidé Free Mobile ?
Mega : Kim Dotcom annonce 1 million d'utilisateurs le premier jour
Mega : le nouveau MegaUpload est lancé !
Mega pourrait être hors service les premières heures
Publié par Guillaume Champeau, le 21 Janvier 2013 à 16h42
Commentaires à propos de «Avec Mega, le mot de passe est plus que jamais une faille de sécurité»
Neinmann (Banni) le 21/01/2013 à 16:51
"Enfin, les entreprises doivent s'interdire toute utilisation de Mega pour leur stockage en cloud."
Outre le raisonnement autour du mot de passe, qui me semble logique, c'est une évidence et un rappel de force aux multiples entreprises qui ont une politique de sécurité calamiteuse ou inexistante.
Ca avait été beau, avec la fermeture de Megaupload, de découvrir dans les plaignants pour "perte de données" qu'il y avait des PME, mais aussi de grosses boites dont certains services avaient pour politique de tout stocker sur ce service qui était TOUT SAUF PROFESSIONNEL.
Faut arrêter deux secondes. C'est bien pour échanger des photos entre famille, si on ne veut pas forcer à créer des comptes Google pour Picasa, mais y mettre des données professionnelles, avec tout ce que ça comporte comme faille de sécurité, de secrets professionnels etc...
Il existe suffisamment de prestataires pros, à des tarifs compétitifs pour ne pas se livrer à ça. Comme se le coiffeur vous lavait les cheveux en récupérant des échantillons gratos à la sortie du Métro. Et "Je peux pas vous laver les cheveux cette fois-ci, ils les distribuent à une autre bouche de métro." C'est ballot, oui...
C'est comme les gens qui démarchent leurs clients via MSN. On a envie de rire (plutôt que de pleurer).
[message édité par Neinmann le 21/01/2013 à 16:52 ]
thb le 21/01/2013 à 17:04
C'est vrai qu'il y a des services pro qui sont beaucoup mieux, mais je vois pas pourquoi s'interdire de se transférer un fichier entre services ou entre client / fournisseur par le biais de Mega(upload), à partir du moment où on le crypte avant de l'envoyer.
Kryzaal le 21/01/2013 à 17:12
Ou simplement une tour et un accés haut débit. Pour la majorité des entreprises qui ne se partagent que des petits fichiers en faible nombre c'est amplement suffisant.
Sécurisé correctement c'est le top. Après des backups sous forme d'archives cryptées solidement sur un service de stockage en ligne pourquoi pas.
Curistel le 23/01/2013 à 22:11
Mouai, si ledit service informatique n'est pas capable de mettre un répertoire partagé sur le domaine ou un VPN en place, le problème, ce n'est pas la sécurité des comptes, c'est le service informatique lui même.
Au pire, on paye un prestataire de service qui pour moins de 600€ matos compris, vous installe un NAS accessible partout dans le monde.
ethan le 21/01/2013 à 16:56
Comment ça se fait qu'on ne peut pas supprimer son compte utilisateur? C'est une blague? :/
hahaha le 21/01/2013 à 19:04
en europe il me semble que c'est meme carrément illégal
marinebis le 22/01/2013 à 00:30
qu'est-ce que ça peut faire ? tu effaces le contenu et laisses la boite boite, il reste quoi ?
2176 messages publiés<