Après l'attaque et le vol de donnée dont a été victime le PlayStation Network de Sony et ses utilisateurs, il est plus que temps que les entreprises si avides de stocker nos données le fasse sérieusement et de façon plus transparente. Espérons que cette affaire aura au moins eu le mérite de tirer le signal d'alarme et que d'autres entreprise susceptibles de subir les mêmes intrusions sauront réagir rapidement afin d'éviter que cela se reproduise. D'après nos informations, c'est pas gagné.
Aujourd'hui, la résurgence sur un forum de discussion d'un compte rendu dans lequel des hackers de la PlayStation 3 discutent des failles de sécurité de PSN, éclaire d'un jour nouveau et inquiétant les problèmes de sécurité de Sony. Ce compte rendu, daté du 16 février et publié le même jour sur les sites de hackers de la PS3, doit bien entendu être pris avec des pincettes : la provenance de ces informations, très faciles à contrefaire et à publier, est au mieux suspecte.
Malgré tout, le contenu de ce document m'a été décrit par quelqu'un de bien informé et qui connaît bien la PlayStation 3 comme « paraissant exact », et cela corrobore de précédentes informations vérifiées sur la façon dont la PS3 dialogue avec les serveurs PSN. Cela ouvre le champ à une foultitude de nouveaux problèmes quant à ce qui est rapidement en train de se transformer en une des intrusions frauduleuses les plus énormes de l'ère Internet.
"Si Sony observe ce canal de diffusion, il devrait savoir que faire tourner une ancienne version d'Apache sur un serveur Red Hat aux vulnérabilités avérées n'est pas très indiqué, notamment quand ce serveur indique librement sa version et que c'est le serveur d'authentification."
La conclusion est simple : les vulnérabilités de PSN étaient bien connues et discutées publiquement il y a plusieurs mois, et Sony n'a pas réagi suffisamment tôt. Vu la pléthore de preuves tangibles que le propriétaire de la plate-forme a recueillies sur les sites de hackers de la PS3 et présentée lors du procès l'opposant à Georges « Geohot » Hotz, il est évident qu'il ne peut prétendre avoir ignoré ces affirmations. Sony observe manifestement de très près le monde du hacking et il le fait depuis l'apparition du PSJailbreak original l'été dernier.
Les informations fournies par Sony quant à la nature du piratage sont déjà assez alarmantes, mais certains indices laissent à penser que l'histoire est loin d'être terminée. Beaucoup ont pensé au début de la « panne » du PSN que le service avait été arrêté pour combler une faille de sécurité qui permettait aux utilisateurs d'un firmware personnalisé d'exploiter les serveurs de test pour s'authentifier de façon à pirater des jeux et des DLC. Malheureusement, la vérité était beaucoup plus choquante.
La sécurité de PSN a été battue en brèche côté serveur et toutes les informations que l'utilisateur donne confidentiellement à Sony quand il s'abonne au service n'étaient plus protégées. Les noms, les adresses, les détails d'authentification, les questions de sécurité et les mots de passe ont été dérobés – et, même si Sony n'est pas certain à 100 % que des informations confidentielles concernant les cartes de crédit aient été volées, il n'en écarte pas la possibilité.
Le seul fait que les informations d'authentification aient été volées va à l'encontre de tout ce que l'on sait des usages en matière de stockage de données sensibles. Il y a une bonne raison pour laquelle la plupart des sites Internet ne peuvent pas vous donner votre propre mot de passe et ne peuvent que le réinitialiser : le serveur lui-même ne le stocke jamais.
Le mot de passe que l'on choisit est découpé et crypté après sa première transmission et seule la valeur résultant de ce cryptage est conservée. Quand vous entrez votre login, le mot de passe est à nouveau découpé et crypté, puis comparé à ce que conserve le système – si les deux valeurs correspondent, l'accès vous est accordé.
En bref, il n'est absolument pas nécessaire de conserver le mot de passe côté serveur. Les déclarations de Sony laissent à penser qu'il stockait pourtant des informations sensibles dans un simple format texte, ce qui dépasse l'entendement.
La seule autre explication est que les hackers n'ont eu accès qu'au découpage et au cryptage, et n'ont donc piraté qu'une petite minorité de mots de passe en moulinant ces données à l'aide de quelque chose comme un dictionnaire d'indexation structurelle. Cela dit, à en juger d'après la tonalité des excuses de Sony, cela ne semble pas être le cas.
Mise-à-jour : Dans un nouveau message, Sony a confirmé qu'il avait bien utilisé une fonction de découpage et de cryptage.
Si des hackers ont accès à votre nom, à votre adresse et à votre date de naissance, ces informations sont en elles-mêmes plus que suffisantes pour vous causer des problèmes, et le fait que les questions de sécurité puissent avoir été percées à jour ne fait qu'ajouter à la sévérité des dégâts potentiels. Des informations de ce genre sont d'une immense valeur pour les usurpateurs d'identité, mais uniquement votre nom et votre adresse peuvent suffire pour un escroc habile – comme je l'ai appris à mes dépens.
Page 2 →
Un secret de polichinelle
Il y a deux ans, j'ai été victime d'un vol d'identité : quelqu'un a contacté ma banque, changé mon adresse et réussi à se faire livrer une toute nouvelle carte de crédit à un endroit dont je n'avais jamais entendu parler. J'ai eu de la chance dans mon malheur, car l'escroc ou la banque a fait une erreur dans la nouvelle adresse et la carte a été envoyée à un bon samaritain qui l'a rapportée à l'agence locale. À partir de là, l'alarme a été tirée. Ouf !
C'est un exploit tout à fait impressionnant de la part de l'escroc, qui s'est probablement servi des informations les plus basiques contenues dans une liste électorale. La carte frauduleuse est restée essentiellement inutilisée et n'a servi qu'à valider un emprunt à 0 %. Le fait que j'étais de surcroît hors du pays pendant des mois rendait l'exploit encore plus incroyable. Quand j'ai sommé la banque de me fournir une explication, cette dernière a finalement dit qu'il s'agissait d'une manipulation de données à partir de mon adresse personnelle.
En bref, mêmes avec des fragments d'informations « simples » du type de celles volées sur les serveurs PSN, on peut avoir des ennuis. La question qui se pose maintenant, au-delà et prioritairement à ce qui a déjà été révélé, est de savoir le volume et l'importance des informations que Sony détient sur nous ? Ces données ont-elles également été piratées ? À la suite de cette « intrusion externe », dans quelle mesure pouvons-nous en toute sécurité confier des informations personnelles à n'importe lequel des propriétaires de plate-forme ?
Il est probable que Sony en sait beaucoup plus sur nous qu'il ne le dit. C'est désormais un secret de polichinelle depuis des mois : chaque fois que l'on se logue sur le PlayStation Network ou même qu'on y accède via Internet, la PS3 envoie une pléthore d'informations sur vos interactions avec lui. Bien que ces informations soient loin d'être aussi sensibles que les données d'abonnement sur PSN, Sony doit vraiment être transparent quant au volume de données personnelles qu'il récupère, notamment si des soupçons pèsent que ces informations aient pu être piratées.
" Mêmes avec des fragments d'informations « simples » du type de celles volées sur les serveurs PSN, on peut avoir des ennuis."
Les données interceptées sur la PS3 révèlent que les jeux que l'on joue et la durée de jeu font partie des informations envoyées, mais les hackers laissent à penser que bien d'autres données sont extraites de votre console : ne serait-ce que pour commencer, les identités numériques de tous les appareils USB et HDMI que l'on connecte à l'appareil. Cela dit, dès lors qu'il bénéficie d'un accès sans limite, quelles sont les autres choses que Sony aimerait bien connaître ? Peut-être la liste des DVD et des disques Blu-ray que nous avons lancés sur le système ?
Toutes les informations concernant les données du disque dur de votre PS3 ont déjà presque certainement été communiquées au quartier général de Sony. La présence de données pirates a déjà été une des techniques de détection utilisée par Sony pour bannir une vague de hackers de la PS3 en début d'année. Il est difficile de s'offusquer de comportements comme celui-ci qui cherchent à sécuriser le réseau, mais la question logique à poser par rapport à cela concerne la nature des scans de disque dur et l'utilisation de ces données par Sony. J'ai lu intégralement le contrat de service du PlayStation Network et il n'est nulle part fait mention que ce genre d'information est transmis à Sony. Les consommateurs sont laissés dans l'ignorance.
Pour équilibrer les choses, rajoutons qu'il est prouvé que Microsoft fonctionne sur les mêmes principes, tout du moins dans une certaine mesure. Par exemple, comment Epic aurait-il pu dire combien de ses utilisateurs de la 360 utilisaient toujours un écran TV de définition standard s'il ne s'appuyait pas sur des données rapatriées via l'usage de Xbox LIVE ?
En conclusion, quelles que soient les informations que Sony agrège à nos comptes personnels – qu'elles soient importantes ou non – nous devons être prévenus, s'il y a ne serait-ce que le plus infime soupçon qu'elles ont été piratées. Toutes les sortes de liens entre les différents ensembles de données susceptibles d'avoir été piratées devraient aussi être révélées : si les types d'usage sont corrélés à l'identité spécifique d'une console et si les comptes PSN sont reliés à l'identité de cette même console, nous nous avons le droit d'en être informés.
À la suite de cette intrusion frauduleuse, il convient de se poser des questions sur la globalité de notre relation avec les fabricants de consoles et sur les informations qu'ils récupèrent sur nous à notre insu. On pourrait faire un parallèle avec les systèmes d'exploitation des ordinateurs, où il y aurait violation de l'intimité du consommateur et des poursuites légales si Microsoft ou Apple rapatriait en permanence des informations sur notre façon d'interagir avec leurs produits. Si ces données ont une valeur commerciale ou publicitaire, ils doivent nous dédommager pour cela.
Après ce fiasco, Sony doit regagner la confiance de ses utilisateurs – mais de mon point de vue, cette confiance est perdue à jamais. Pour ma part, je vais retirer toutes les informations personnelles de mes comptes PSN et XBL (ce qui me conduira techniquement à contrevenir aux termes du contrat de service) et je n'utiliserai plus que des cartes prépayées.
← Page 1
moi aussi, mais Steph a ajoué que sa était démenti mais que c'était une rumeur il me semble
attendons un communiqué officiel, ça éviteta les membres d'étre déçu.