La sécurité IT d’Adobe battue en brèche

Facebook préfère prendre les devants tant la brêche de sécurité IT chez Adobe a été énorme.

Le réseau social a demandé à ses membres utilisant la même combinaison de codes d’accès (identifiant et mot de passe) de modifier leur formule.  Si vous avez été affecté,  laissez-nous votre témoignage dans les commentaires.

C’est une mesure de précaution prise par le réseau social afin d’éviter des éventuels dégâts collatéraux c’est à dire des accès frauduleux sur la plateforme communautaire en empruntant des profils piratés via Adobe.

Interrogé sur le blog KrebsOnSecurity, Jay Nancarrow, porte-parole de Facebook, a confirmé cette mesure, sans toutefois indiquer le nombre de membres du réseau social contactés dans ce sens.

« Nous restons vigilants avec des situations à risque pouvant affecter des comptes Facebook, même si la menace est externe à notre service. »

En fait, Facebook compare les codes d’accès Adobe qui ont fuité sur Internet à ceux utilisés par ses membres lorsqu’ils se connectent.

Ce qui permet à l’équipe de sécurité de Facebook d’avertir de manière ciblée les utilisateurs les plus exposés à des risques de détournement de comptes.

Quels sont les errements d’Adobe ? L’éditeur de logiciels américain, qui s’implique désormais dans le cloud, a manqué de discernement dans la communication relative à cette brêche en sous-évaluant le trou qui s’est progressivement transformé en fossé.

Pire : il aurait montré une certaine négligence dans sa politique de sécurité IT. Ce qui pourrait se retourner contre lui par voie de justice.

Initialement, Adobe a reconnu le 3 octobre par une alerte blog qu’un volume de trois millions de cartes bancaires de ses clients s’était évaporé sur Internet, tout comme un nombre indéterminé de codes d’accès liés à des comptes utilisateurs.

C’est un peu la surenchère ensuite.Au point de considérer cette affaire comme le piratage du siècle.

De 38 millions de comptes aux codes évaporés (de l’aveu d’Adobe), on passe à…150 millions à la fin du mois d’octobre (toujours selon Brian Krebs mais aussi LastPass).

Dans les grandes remontrances adressées à Adobe, les experts de sécurité pointent du doigt le fait qu’une clé de chiffrement unique était exploitée pour camoufler toutes les informations d’accès aux comptes des utilisateurs de services Adobe.

Il suffisait qu’un hacker malicieux devine ou trouve la clé avec un peu d’obstination ou qu’il obtienne la clé de manière contournée pour qu’il accède à tous les mots de passe stockées dans la base de données.

Outre cette propagation de mots de passe, Adobe affronte également des cas de diffusions non contrôlées de codes sources de sa gamme de produits logiciels comme Adobe Acrobat, ColdFusion et ColdFusion Builder.

En guise de réaction, Imperva, spécialiste de solutions de sécurité IT, a considère dans une contribution blog qu’il faut toujours vérifier la réactualisation des logiciels exploités, garder un oeil sur les solutions exploitées par des prestataires tiers agissant sur votre propre plateforme et recourir à un pare-feu applicatif (WAF en anglais) pour identifier et bloquer les attaques avant qu’elles ne parviennent aux serveurs.

(1) : En cas d’intrusion dans une base de mots de passe en clair, il est possible de les récupérer et de les exploiter directement. Le hash permet de calculer une empreinte du mot de passe. Comme l’algorithme n’est pas réversible, on ne peut pas retrouver immédiatement le mot de passe à partir du hash. (Source : Comment ça marche)
(2) : Cette technique consiste en la concaténation d’une ou plusieurs clés (appelées aussi « salt ») au mot de passe, puis le hashage de la chaine ainsi créée (source : Apprendre-PHP.com).

Et vous, pensez-vous avoir été affecté ?
Laissez-nous votre témoignage dans les commentaires.

————-

Quiz : Êtes-vous un expert en connectique ?
15 questions / solutions pour le découvrir !

—————

(Credit photo : Shutterstock.com –  Copyright : Maksim Kabakou )