Url forum Mercotribe non sécurisé

[argos]

Salut,

Pourquoi est-ce que l'adresse du forum n'est pas protégé par un certificat de chiffrement TLS comme let's Encrypt (gratuit et qui permet d'avoir le https dans l'url et de protéger le fofo d'une attaque type MITM)?

https.png (26.71 Kio) Consulté 28819 fois

[max551]

Le forum n'est pas tout jeune et à l'époque c'était loin d'être systématique sur les site. apres en vrai les info qui circulent entre ton navigateur et le forum n'ont pas vraiment besoin d'être crypté puisque c'est publique.

[Yool]

Le forum n'est pas tout jeune et à l'époque c'était loin d'être systématique sur les site. apres en vrai les infos qui circulent entre ton navigateur et le forum n'ont pas vraiment besoin d'être crypté puisque c'est publique.

Chiffrées*
Bah mettons que tu tombes en rade et que tu viens voir comment te démerder en allant au bar du coin qui propose un wifi public, tu te connectes au forum (même si c'est totomatique) bah y à ton mot de passe qui peu fuité et pour peu que ton combo pseudo/mot de passe soit similaire sur d'autre site (comme la plupart des gens) bah te voila avec tes autres compte non publique piraté

Et c'est assez simple à mettre en place une attaque de ce genre, sur smartphone y a Zanti qui le fait très facilement, sans connaissance particulière en cybersec par exemple

[loiseleur]

Ya pas vraiment de réponse à la question du pourquoi.
Je vais regarder du côté de let's encrypt.

[argos]

apres en vrai les info qui circulent entre ton navigateur et le forum n'ont pas vraiment besoin d'être crypté puisque c'est publique.

Comme le souligne Yool, c'est pas tellement au niveau du chiffrement des échanges courant entre le serveur et ton navigateur mais celui de l'identifiant et mdp sur un point d'acces publique ou de rogue hotspot

En ce qui me concerne je passe toutes mes connection par vpn...

[Geronimo aka Dj-M]

Sachez que je me suis fait piraté le mot de passe du forum, et comme j'utilisais ce mot de passe sur d'autre site, j'ai vite tout changé sauf celui du forum car c'est pas grave y a pas trop d'info bancaire ici

[loiseleur]

Ouai je vais refaire un mail à l'hébergeur pour passer en https.

[Geronimo aka Dj-M]

Ce ne sera pas du luxe car étant donné que le forum possède plein de formulaires de saisi, il est facile pour les masturbateurs de clavier de piraté des sites comme celui si, je le sais car mon ancien site perso, possédé des formulaires de saisi, et j'ai tout perdu mais il faut dire qu'à l'époque j'avais un serveur free gratuit donc niveau sécurité c'est pas le top. Maintenant j'ai un serveur ovh et aucune page de saisi, je fait tout par logiciel ou directement sur l'interface ovh.

[max551]

Chiffrées*

Geek spoted

[max551]

Ce ne sera pas du luxe car étant donné que le forum possède plein de formulaires de saisi, il est facile pour les masturbateurs de clavier de piraté des sites comme celui si, je le sais car mon ancien site perso, possédé des formulaires de saisi, et j'ai tout perdu mais il faut dire qu'à l'époque j'avais un serveur free gratuit donc niveau sécurité c'est pas le top. Maintenant j'ai un serveur ovh et aucune page de saisi, je fait tout par logiciel ou directement sur l'interface ovh.

Le problème que tu indiques est différent du chiffrement des échanges du site. il s'agit ici d'une faille d'injection (sql souvent) qui permet de faire passer des commandes dans les champs de saisi. La plupart du temps ce genre de faille n'existe pas sur des sites comme un moteur de forum fourni par un editeur. Si elles existent elles sont souvent patchée.
Il existent d'autre faille liée plutot au librairie utilisée par le site (genre php) encore une fois elles sont patchée par l'editeur au fur et à mesure qu'elles sont divulguées.
Le gros problème c'est qu'une fois découverte les failles et leurs exploit est disponible publiquement. Si le site n'est pas mise a jour elles sont facilement exploitable via des scripts automatiques qui vont se charger de trouver le site de trouver les failles et de les exploiter.
La plupart du temps le bu et d'extraire la liste des utilisateurs et leur mot de passe afin de voir si a tout hasard ils n'utilisent pas le meme mot de passe sur d'autre site (genre gmail) ou d'utiliser les infos pour faire du hameçonnage.

le https pour résumer simplement il s'agit d'un système de cadenas et de clé. le site fournis un cadenas à tout le monde dont lui seul à la cle. nous envoyons un code secret qui est mis dans une boite que l'on ferme avec le cadenas. le site ouvre la boite avec sa clé et regarde le code. tout les échange suivant se feront avec des boites à code qui s'ouvre avec ce code . sans ca chaque echange est lisible par tout le monde y compris le login/mot de passe du formulaire de login

[Geronimo aka Dj-M]

Le problème que tu indiques est différent du chiffrement des échanges du site. [...]

oui

T'es plus caler que moi j'ai laché l'affaire avec le codage vers les années 2005 quand les script, java et compagnie sont arrivé en masse .... je suis resté bloqué ou Woueb 1.0 avec des sites où la seul dynamique était les gif en abondance

[jim]

c'est cela oui

[max551]

Quoi quoi quoi. Notre forum favori ce serait il équipe d'un certificat ssl depuis le 5 avril.
Magnifique