Aller au contenu principal
own2pwn
Toutes les catégories

Fuite de données

Ces articles s'appuient sur le catalogue Have I Been Pwned et sur les sanctions publiées par la CNIL pour dire ce qui fuit réellement et ce qui est reproché ensuite. L'article sur la fuite de données donne la marche à suivre dans les 72 heures : lisez-le en premier si l'incident est en cours. Pour la prévention, enchaînez avec les mots de passe compromis et le credential stuffing, puis avec la fuite de secrets dans le code.

7 articles
Gitleaks : détecter les secrets dans Git (mesure sur trois corpus à secrets connus)
Appsec·9 min

Gitleaks : détecter les secrets dans Git (mesure sur trois corpus à secrets connus)

Gitleaks scanne l'historique Git à la recherche de clés d'API et de tokens. Je l'ai lancé sur trois corpus dont je connais chaque secret : ce qu'il trouve, ce qu'il rate, et ce qu'une .gitleaks.toml cache en coupant le bruit.

MMaxime J
Credential stuffing : la mécanique, les défenses qui tiennent, et ce que la CNIL sanctionne désormais
Appsec·17 min

Credential stuffing : la mécanique, les défenses qui tiennent, et ce que la CNIL sanctionne désormais

Le credential stuffing rejoue de vrais mots de passe volés ailleurs. 674 fuites du catalogue HIBP en exposent, et la CNIL retient une journalisation ou une détection insuffisante dans 6 de ses 8 sanctions sécurité publiées depuis 2024.

MMaxime J
Fuite de données : ce que la CNIL sanctionne vraiment, et quoi faire en 72 heures
Appsec·17 min

Fuite de données : ce que la CNIL sanctionne vraiment, et quoi faire en 72 heures

On a relu les 31 sanctions de la CNIL pour défaut de sécurité et 1 041 fuites du catalogue HIBP. Une sanction sur deux ne suit aucune fuite, 22 visent les mots de passe. Et les 72 heures.

MMaxime J
Fuite de secrets : quatre scanners mesurés, et ce qu'aucun ne voit
Featured
Appsec·17 min

Fuite de secrets : quatre scanners mesurés, et ce qu'aucun ne voit

gitleaks, trufflehog, detect-secrets et la passe regex de SecAI sur deux corpus, même règle pour tous : le classement s'inverse, et réunis ils ratent la moitié des secrets de leaky-repo.

MMaxime J
Surveillance du dark web : ce que 1 041 fuites disent de ce qu'elle peut voir
Appsec·15 min

Surveillance du dark web : ce que 1 041 fuites disent de ce qu'elle peut voir

On a analysé les 1 041 fuites du catalogue HIBP et testé des mots de passe conformes à une politique classique. Une fuite y entre 4,6 mois après les faits en médiane : ce que la surveillance dark web voit, et ce qu'elle rate.

MMaxime J
Mot de passe compromis : 3 127 mots de passe "conformes" passés au crible des fuites
Appsec·11 min

Mot de passe compromis : 3 127 mots de passe "conformes" passés au crible des fuites

12 caractères, majuscule, chiffre, caractère spécial : selon le motif, de 13 % à 48 % de ces mots de passe conformes sont déjà dans Pwned Passwords. Le test, puis quoi faire dans l'ordre.

MMaxime J
Have I Been Pwned : notre avis, et ce que racontent ses 1 041 fuites
Appsec·12 min

Have I Been Pwned : notre avis, et ce que racontent ses 1 041 fuites

On a téléchargé tout le catalogue de Have I Been Pwned : 1 041 fuites, une entrée au catalogue 4,6 mois après les faits en médiane, et 57,5 % des fuites d'organisations avec mots de passe décrites au moins en partie en clair, MD5 ou SHA-1.

MMaxime J
EASM31Conformité26Pentest26NIS217DevSecOps10Vulnerability Management8