Dévoiler Votre Mot De Passe

par Rob Sobers

Vous avez surement entendu parler des employés américains contraints de dévoiler leur mot de passe Facebook à l’occasion d’entretiens d’embauche. Une violation de la vie privée ? C’est le moins que l’on puisse dire.

Malheureusement, la Chambre des représentants des Etats-Unis a rejeté l’amendement qui aurait empêché ce type de demande abusive. Après avoir lu les raisons de ce refus, j’espère que ce projet de loi aboutira sous une forme ou une autre.

Ce type de comportement fait figure d’exception et un employeur demandant les mots de passe de candidats reste une pratique rare.

En revanche, il existe beaucoup de sites Web demandant vos mots de passe. Quand un site tiers vous demande d’entrer le nom d’utilisateur et le mot de passe d’un autre service, un conseil, fuyez!

Le fait qu’une application tierce vous demande votre mot de passe Twitter (ou autre) est une pratique pouvant s’avérer dangereuse ! Ce type d’application devrait vous rediriger vers Twitter pour vous authentifier en personne, ou presque. Cela donne ça :

L’intention d’un site demandant votre mot de passe n’est pas nécessairement mauvaise – la plupart du temps il ne le fait pas dans le but d’en abuser (mise à part les cas phishing). Il est probable qu’il veuille vous aider à trouver vos amis, importer vos photos, ou, d’une certaine façon, améliorer le service en se connectant à un autre.

Mais en dépit de la bonne intention, le danger est bien réel. Prenons l’exemple fictif d’une application qui souhaite importer l’ensemble de vos contacts Gmail. L’application vous demande votre mot de passe Gmail et vous lui faite confiance pour conserver votre mot de passe de manière sécurisée sans pour autant en avoir la garantie.

Imaginez avoir confié votre mot de passe à 15 autres applications. L’une d’entre elles subit une faille de sécurité. Si vous ne changez pas votre mot de passe Gmail assez rapidement, les pirates peuvent vous empêcher d’y accéder. Le pire reste à venir car la plupart des applications que vous utilisez vous permettent de réinitialiser leurs mots de passe par l’intermédiaire de votre e-mail. C’est pour cette raison que le mot de passe de votre boite aux lettres est considéré comme le maitre des mots de passe.

Même si vous parvenez à modifier votre mot de passe à temps, vous avez ensuite 14 applications à mettre à jour. Un cauchemar.

La bonne nouvelle vient du fait qu’il existe un moyen permettant d’autoriser l’accès d’une application à une autre de manière sécurisée, limitée et contrôlée. C’est ce qu’on appelle OAuth.

Restez à l’écoute. La semaine prochaine nous parlerons davantage de OAuth – quel est le fonctionnement, quelles sont les points positifs et négatifs.

The post Dévoiler Votre Mot De Passe appeared first on Varonis Français.