A l’heure où BlogBang se fait hacker (les utilisateurs se font rediriger vers un registrar), ou que de la même façon, WebRankInfo a été dépossédé (le nom de domaine ayant été transféré depuis OVH vers Godaddy), Le Journal du Blog vous propose en trois parties (une chaque semaine) un article à but informatif des considérations et mesures à prendre pour se protéger contre les hackeurs.

Ce sujet a été de nombreuses fois abordé un peu partout sur Internet, mais il convient de faire un petit rappel et surtout d’en énoncer les plus grands principes. On se focalisera bien évidemment principalement sur ce qui nous concerne, à savoir les blogs.

Veuillez noter le fait que cet article n’est pas exhaustif (n’hésitez pas à donner vos autres recommandations en commentaire) et n’entrera pas non plus dans les détails techniques.

Tout d’abord, quels sont les risques ?

Comme vous pouvez vous en douter, ils sont de plusieurs ordres :

• Transfert de nom de domaine
• Redirection sur un site tiers
• Affichage non voulu de contenu
• Modification/suppression de base de données
• Modification/suppression de fichiers sur le FTP
• Vol de bande passante
• Vol de zone de stockage
• …

Comment les hackeurs s’y prennent-ils ?

Il y a bien évidemment plusieurs façons pour hacker un site, voici quelques unes des méthodes avancées utilisées :

• Session Hijacking
• Brute Force Attack
• Html Injection
• Upload de scripts malicieux
• Phishing
• Cross site scripting
• Command Injection
• SQL injection
• …

Ou bien, (et c’est cela qui arrive le plus souvent) les hackeurs peuvent subtiliser vos accès car :

• vous utilisez des ordinateurs publics
• laissez vos sessions ouvertes
• stockez vos mots de passe dans les explorateurs web
• utilisez partout le même mot de passe
• n’êtes pas discret lorsque vous tapez vos accès dans une zone exposée

Dans les cas ci dessus, le terme « hackeur » n’est peut être pas le plus approprié, car les personnes n’ont rien eu à faire ou presque d’un point de vue technique.

Comment se protéger efficacement ?

Pour commencer, utilisez Firefox ou Opera. Vous pouvez sans trop de soucis naviguer sous Safari mais vraiment en dernier recours sous Internet Explorer.

Pourquoi ? Simplement parce qu’il est bien connu que les hackeurs s’attaquent à la masse. Or les utilisateurs lambda utilisent le plus souvent ces deux derniers explorateurs Web car installés de base sur leurs ordinateurs. Il y aura donc plus de recherche de faille de ce côté-là que sous les explorateurs Web peu connus. D’autres raisons liées à ce choix se trouvent dans ce document très complet.

Conclusion : les hackeurs ont plus souvent à leur disposition des failles sur des explorateurs web dit: « grand public ».

En ce qui concerne maintenant les mots de passe :

• Privilégiez les longs mots de passe contenant des caractères spéciaux et chiffres
• Changez vos mots de passe régulièrement
• Ne stockez jamais vos mots de passe sans les crypter
• Et surtout ne laissez pas vos explorateurs Web enregistrer vos identifiants!

Pour le dernier point ci-dessus voilà comment faire sous Firefox :
Allez dans Outils puis Option :

Rendez vous maintenant dans la partie Sécurité et décochez : « Enregistrer les mots de passe »

Pour plus de sécurité, cliquez sur l’onglet Vie Privée et décocher l’option surlignée dans l’image suivante :

Les manipulations sont à peu près les même sous tous les explorateurs Web pour un résultat similaire (si vous voulez plus d’explications, n’hésitez pas à nous contacter).

Lorsque vous travaillez en équipe, que vous n’avez pas les compétences pour modifier votre site, ou dans d’autres contextes, il peut arriver le cas où vous ayez besoin de donner vos accès à une tierce personne. Dans ce cas, prévenez-la qu’elle est alors responsable, le temps de son intervention, de la sécurité du site. De préférence, rappelez lui quelques principes de base même si vous pensez que cette personne les connaît. Dès que son intervention est finie, changez tous vos mots de passe en relation direct ou indirect avec le site. En effet, on n’est jamais trop à l’abri en matière de sécurité. Retenez que de façon générale que plus un secret est partagé (ici les accès), plus il y a de risque qu’il soit découvert.

Passons maintenant à la partie que j’intitulerai : Que font les hackers pour accéder aux droits administrateur de nos blogs?

La suite de cet article la semaine prochaine, soyez au rendez-vous!

Vous avez aimé cet article : abonnez-vous au flux RSS !