Aller au contenu principal
own2pwn
Toutes les catégories

Identifiants

Les identifiants volés ailleurs puis réutilisés chez vous, étudiés sur le catalogue de Have I Been Pwned et sur des mots de passe pourtant conformes à une politique classique. L'article sur le credential stuffing explique la mécanique de l'attaque et les défenses qui tiennent, commencez par lui. Le test des mots de passe compromis et l'avis sur Have I Been Pwned montrent ensuite ce que vaut une vérification contre les fuites connues.

3 articles
Credential stuffing : la mécanique, les défenses qui tiennent, et ce que la CNIL sanctionne désormais
Appsec·17 min

Credential stuffing : la mécanique, les défenses qui tiennent, et ce que la CNIL sanctionne désormais

Le credential stuffing rejoue de vrais mots de passe volés ailleurs. 674 fuites du catalogue HIBP en exposent, et la CNIL retient une journalisation ou une détection insuffisante dans 6 de ses 8 sanctions sécurité publiées depuis 2024.

MMaxime J
Mot de passe compromis : 3 127 mots de passe "conformes" passés au crible des fuites
Appsec·11 min

Mot de passe compromis : 3 127 mots de passe "conformes" passés au crible des fuites

12 caractères, majuscule, chiffre, caractère spécial : selon le motif, de 13 % à 48 % de ces mots de passe conformes sont déjà dans Pwned Passwords. Le test, puis quoi faire dans l'ordre.

MMaxime J
Have I Been Pwned : notre avis, et ce que racontent ses 1 041 fuites
Appsec·12 min

Have I Been Pwned : notre avis, et ce que racontent ses 1 041 fuites

On a téléchargé tout le catalogue de Have I Been Pwned : 1 041 fuites, une entrée au catalogue 4,6 mois après les faits en médiane, et 57,5 % des fuites d'organisations avec mots de passe décrites au moins en partie en clair, MD5 ou SHA-1.

MMaxime J
EASM31Conformité26Pentest26NIS217DevSecOps10Vulnerability Management8