davidbgk
/
larlet-fr-david


<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">lordphoenix</span> le <span class="comment-date" property="schema:commentTime">18/04/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>à noter cette adresse : <a href="http://openiddirectory.com/" title="http://openiddirectory.com/" rel="nofollow">openiddirectory.com/</a> qui recense des sites utilisant OpenID</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">NiCoS</span> le <span class="comment-date" property="schema:commentTime">18/04/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Le relooking était nécessaire de toutes façons et c'est une bonne chose que ce soit fait :-)<br />
<br />
Pour le certificat ou l'image, à voir parce qu'en utilisant plusieurs pcs, c'est un peu pénible à gérer ça, non ??</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">haypo</span> le <span class="comment-date" property="schema:commentTime">18/04/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Attention au vol de cookie ! Il faut que site d'authentification n'est pas de faille XSS.</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">Mehdi Kabab</span> le <span class="comment-date" property="schema:commentTime">18/04/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>La mise en place d'un certificat SSL est une solution intéressante effectivement.<br />
<br />
La solution de l'image cookie était en place depuis un moment, mais disons que le design du site ne la mettait pas en évidence.</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">David, biologeek</span> le <span class="comment-date" property="schema:commentTime">18/04/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>@lordphoenix : merci pour le lien, je ne connaissais pas.<br />
<br />
@NiCoS : personnellement j'ai 2 machines sur lesquelles je suis susceptible d'utiliser OpenID, après le public n'est pas forcément geek non plus...<br />
<br />
@haypo : XSS est assez documenté maintenant, je pense (et j'espère !) que de telles failles ont été testées. De toute façon, lorsqu'on s'intéresse au phishing c'est la première chose à laquelle on pense.</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">Eric Daspet</span> le <span class="comment-date" property="schema:commentTime">19/04/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Bah, même avec une XSS, ça devient plus complexe quand même. Ca veut dire qu'il faut viser quelqu'un particulièrement, préalablement arriver à lui faire exécuter le XSS sur son provider openid, puis après arriver à l'envoyer sur le faux site pour lui demander son login.<br />
<br />
Je ne suis pas en train de dire que ce n'est pas possible ou que ce n'est pas très grave si ça arrive, mais ça implique de cibler une personne particulièrement et pas d'avoir un exploitation en masse. Ca implique aussi une exploitation qui n'est pas forcément facile.<br />
<br />
Bref, des failles nous en aurons, comme dans toutes les applications. Là on a paré le problème principal, celui qui est exploitable en aveugle.</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">mat</span> le <span class="comment-date" property="schema:commentTime">19/04/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>L'idée de l'image est exploitée en test depuis quelque temps par yahoo (ils appellent ca sign-in seal), mais ca pose une tonne de problèmes. Si on éduque l'utilisateur à se méfier quand il ne voit pas l'image, alors il aura le reflexe de se méfier à des mauvais moments (cookies nettoyés, nouveau navigateur, etc). <br />
<br />
Et sur les PCs ou plein de monde circule (bibliothèques, cybercafés, etc) c'est risqué de laisser l'image dans un cookie, l'utilisateur croit qu'en se déconnectant c'est bon son compte est à l'abri, mais pas de bol le cookie est resté et peut être récupéré par quelqu'un ensuite. Il ne reste plus à ce quelqu'un qu'a mettre l'image sur un faux site pour feinter l'utilisateur quand il reviendra... Bien sur, c'est tiré par les cheveux, mais c'est quand même vachement problématique, je trouve.</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">naked</span> le <span class="comment-date" property="schema:commentTime">29/06/2010</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Ca implique aussi une exploitation qui n&#39;est pas forcément facile.</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">j&#39;arrive apres la guerre</span> le <span class="comment-date" property="schema:commentTime">29/04/2011</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Mais, l&#39;utilisation d&#39;un certificat SSL client ne protège PAS contre le phishing.</p>

<p>Un site contrefait peut très bien accepter une authentification par certificat SSL client.</p>

<p>En revanche, pour se protéger du phishing, un site en https avec un certificat SSL serveur, certifié par une AC reconnue chargée dans le navigateur du client (Thawte, Verisign...), serait une bonne option.<br /></p>
    </div>
</div>