Nouvelle version temporaire de l'espace membre

Discussion dans 'Discussions Générales' démarrée par PH-Saber, Jan 10, 2011.

  1. PH-Saber

    PH-Saber Administrator Membre de l'équipe

    Bonjour à tous,

    Certains d'entre-vous l'ont peut-être remarqué, l'espace membre a changé de style. Nous venons en effet de mettre à jour l'espace membre PlanetHoster. Cette version sera uniquement en ligne temporairement le temps que nos designers terminent la nouvelle version de planethoster.

    Également, j'en profite pour vous dire que la nouvelle url de l'espace membre est désormais https://membres.planethoster.net au lieu de https://www.planethoster.net/membres .

    Plusieurs nouveautés sont encore à venir au courant des prochains jours !

    Bonne journée à tous,
     
  2. AsTr0

    AsTr0 New Member

    Chouette sa commence a bouger :)

    Se qui est bien c'est que les MDP sont plus sécurisé.

    avant il était codé en dur sans cryptage dans la BDD, maintenant on dirait que c'est différent :)

    Cependant il n'y a plus l'air avoir accès au CPanel via la services.

    Le plus est le prix des licences CPanel,WHMCS,Fantastico,Plesk 8,... (Il manque juste les VPS , IP dédié et SSL)

    Une nouvelle offre dans les plan revendeur ?Plan Semi-Dédié??? sa veut dire quoi semi ? :-D

    Attention les accents foire (regardez a l'UTF-8!)

    Vivement la suite :)
     
    Dernière édition: Jan 10, 2011
  3. PH-Saber

    PH-Saber Administrator Membre de l'équipe

    Bonjour Astr0,

    Merci pour votre réponse.

    Oui les mots de passe sont protégés en MD5 pour une plus grande sécurité.

    Il faudrait avoir un plan mutualisé ou revendeur pour avoir accès à cette option. Les plans VPS affichent cependant les accès principales pour vous connecter.

    Non ce n'est pas une nouvelle offre, elle date depuis longtemps. C'est l'offre revendeur la plus performant.

    Les accents ont été corrigés ;)

    Bonne journée à vous,
     
  4. - Chris -

    - Chris - New Member

    En effet les accents ont d'ailleur vite été corrigés.

    Sinon j'aime beaucoup ce design, contrairement au nouveau design que nous a montré Astr0.
    Vous faites du bon boulot, continuez ;)

    Hâte de voir la suite
     
  5. MaZzO

    MaZzO New Member

    J'aime bien cette petite mise à jour :)
     
  6. vincent

    vincent New Member

    pareil j'aime bien.
     
  7. foxlegend

    foxlegend New Member

    Est-ce que ça veut dire qu'avant ça ne l'était pas ? >_<

    MD5 ça ne vous inquiète pas ? Les rainbow tables sont aujourd'hui très complètes, ou alors il serait nécessaire de forcer la complexité des mots de passe des utilisateurs...
    Enfin ce que je dis ne vaut rien s'il y a du salt :)

    J'étais un peu préoccupé par le fait que vous laissiez la possibilité de se connecter à l'espace client dans un flux en clair... Les gens qui ne se préoccupent pas trop de la sécurité ne savent pas combien il est simple de récupérer des identifiants sur un réseau, que ce soit wired ou wireless...
    Peut être une idée d'amélioration pour le nouveau site => forcer le https... Ou alors sensibiliser vos clients :)

    Bonne journée !
     
  8. AsTr0

    AsTr0 New Member

    La partie /membres était de toute façon en httpS!

    Il y avais des parties sans SSL qui pointais en POST vers du httpS (donc pas de soucis!)

    Par-contre du coté affiliation & forums sur les logins , il n'y a pas d'httpS !

    Enfin je parie que notre Saber va nous corriger sa très rapidement.
     
  9. foxlegend

    foxlegend New Member

    AsTr0, tu plaisantes là j'espère ? POST n'a rien de sécurisé dans le sens où de toute manière tu verra tout dans le HTTP request.

    Par exemple, avec Wireshark tu peux lire toutes les trames d'un réseau. C'est encore pire en Wi-Fi (open/WEP) où tout le monde peut récupérer tes trames HTTP...
    Autre exemple une attaque Man in the Middle le fera sans soucis également.

    Si tu ne crois pas en ce que j'avance, essaie les plugin Tamper Data avec Firefox ou Live HTTP Headers. La seule différence entre GET et POST, c'est que les paramètres POST sont passés dans le segment data de l'HTTP request et pas dans l'url...

    Enfin bref, sinon oui je sais que le site planethoster est dispo en HTTPS. Je force d'ailleurs la navigation en HTTPS pour éviter ce genre d'attaques.

    AsTr0, si ce genre de problématiques t'intéresse, essaie le plugin Firesheep pour Firefox. Tu te met sur du Wi-Fi puis tu testes :) S'il y a du monde, tu récupère tous les identifiants de session (Facebook, Gmail...) :)

    Ce que je propose en tout cas c'est :
    1. n'afficher les champs d'identification que si l'utilisateur navigue en HTTPS;
    2. afficher un lien Connexion qui redirige vers la page HTTPS si l'utilisateur navigue en HTTP.

    Enfin vous voyez ce que je veux dire ?
     
  10. EnYgmA

    EnYgmA New Member

    Plop ,

    super sympa ce nouveau panel :cool:

    Par contre petit bémol que je rencontre depuis le début c'est que lorsque nous accédons à Cpanel via Chrome on a un message de sécurité comme quoi le contenu est pas sécurisé ( https barré ) :rolleyes:

    Je suis tout seul dans ce cas ou pas ? :p

    En tout cas super boulot de la part de l'équipe ;)

    Edit Ah oui aussi quand on change de mot de passe le changement se fait bien mais on a pas de message comme quoi il a bien été pris en compte , nous avons un cadre vert vide ( par déduction on pense que c'est bon mais rien le dit ) ;)
     
    Dernière édition: Jan 12, 2011
  11. pat46fr

    pat46fr New Member

    Bonjour, ben moi, je ne sais pas si c'est le changement ou quoi mais depuis hier, l'accès au CPanel est hyper lent, et de plus j'envoie sur mon site des fichiers toutes les 10 mns, à certains moments aucun ne passe pendant plusieurs heures. Comme je connait pas grand chose je me demande s'il y a un rapport. Bizarre que ça tombe pile à ce moment là :(

    Pat
     
  12. PH-Saber

    PH-Saber Administrator Membre de l'équipe

    Bonjour Pat,

    Je vous invite svp à me parvenir vos informations par courriel: saber@planethoster.info , je vais regarder cela pour vous.

    Bonne journée à vous,
     
  13. pat46fr

    pat46fr New Member

    ;) Merci de la réponse et chapeau pour la rapidité (comme d'hab). Je viens d'envoyer un mail avec un peu plus d'infos.
    Merci, Pat
     
  14. AsTr0

    AsTr0 New Member

    C'est pas la méthode d'envoi par POST qui n'est pas sécurisé ...

    Mais si tu surf sur un page en HTTP , que tu poste un formulaire depuis celle-ci vers une en HTTPS les informations ne seront pas sniffable ;)

    C'est cela que j'ai voulu dire précédemment !
     
  15. foxlegend

    foxlegend New Member

    En effet. Je viens de vérifier à l'instant. Pour cette partie je me suis trompé, je n'avais pas compris la situation.

    Mais ça confirme mon histoire de Man in the Middle et l'intérêt des certificats.
    Dans le cas où tout va bien, le formulaire est envoyé vers une page en HTTPS. Pas de problèmes, le certificat est approuvé. Je suis un utilisateur lambda, je ne regarde pas la code source de la page qui est également très remplit, limite indigest. Même moi, je n'ai pas regardé le code source de la page (bad practice pour moi :D).

    Dans le cas où tout va mal : je suis sur ton réseau, wired ou pas et je vois les trames circuler. J'ai fait un petit proxy en python adapté à mon besoin : je peux récupérer les pages web de PH, en modifiant ce form d'une manière ou une autre afin de rediriger le résultat vers mon propre serveur/ordinateur.
    Maintenant que j'ai ce proxy, je vais attaquer le réseau. ARP cache poisonning par exemple, simple à mettre en place et efficace (cf Scapy). Je me fait passer pour la passerelle ou le routeur...
    Du coup, la connexion d'un ordinateur du réseau passera forcément par mon ordinateur. Lorsque l'utilisateur souhaitera se connecter à PH, il tombera sur ma copie de page contrefaite. Mais qu'ais-je fait ?
    J'ai modifié le formulaire pour que les données soient envoyées sur mon propre serveur, en HTTP même pas en HTTPS, comme ça il n'y aura pas d'alertes sur un possible certificat auto-signé.
    Pour finir, j'ai deux solutions pour que l'utilisateur ne s'aperçoive de rien : je vais soit utiliser mon propre certificat, mais l'utilisateur aura une erreur, soit je vais le renvoyer sur une page d'erreur de connexion :
    https://membres.planethoster.net/clientarea?incorrect=true
    et le laisser naviguer tranquillement après cela...
    Du coup j'ai obtenu tout ce dont j'avais besoin...

    Cette manoeuvre aurait pu être évitée si l'utilisateur avait été forcé de passer par une page web liée à un certificat SSL, celui de PH. Evidemment, avec une attaque MiM, on peut très bien essayer d'utiliser son propre certificat, mais maintenant les navigateurs sont très bien faits afin de prévenir l'utilisateur de ce genre de manoeuvre.

    Autre désavantage de faire du POST transparent avec HTTPS, l'utilisateur est moins sensibilisé aux problèmes de sécurité liés au sniffing du réseau...

    D'où ma proposition d'une page dédiée in fine...

    J'ai essayé de présenter un exemple bateau. Il y a des subtilités que je n'ai peut être pas présentées. C'est ce que je ferai si j'étais un attaquant...

    Et ne me dites pas qu'il y a peu de chances qu'un attaquant recherche des trames spécifiques à PH: l'attaquant ne cherchera pas que ça...

    Enfin, ce ne sont que mes idées :) Ça s'adapte à plein de situations sympas :) (obtenir le cookies et l'identifiant de session => Facebook).

    Il n'empêche AsTr0 excuse-moi pour ma méprise tout à l'heure :)

    La morale de l'histoire: surfez avec un serveur VPN (celui de votre entreprise, de votre université...), ne faites confiances qu'aux pages web en HTTPS pour saisir vos identifiants, et à défaut, lisez le source...
     
  16. pat46fr

    pat46fr New Member

    Houlala, ça devient trop compliqué pour moi, lol. Mais je ne peux m'empêcher de poser une question suite à votre échange sur la sécurité:
    hormis un site qui travaillerait avec des numéros de CB par exemple (ou autres données hautement sensibles), sites qui je pense sont hautement sécurisés, quel est le but de piquer un identifiant Facebook (je prend ton exemple) avec le mot de passe? Pour les conner.... qui se disent la dessus je ne vois pas l'intérêt. Idem pour un site perso, pouvoir y accéder? pourquoi faire? virer les fichiers? juste pour que le mec passe une heure à restaurer son backup? Et être le roi des enfoirés pour avoir fait un truc gratuitement qui ne rapporte rien à son auteur? Désolé mais ces gens là doivent vraiment être mal dans leur tête, lol.
    Tout ça pour dire que je trouve un peu limite d'expliquer les trucs pour pirater un mot de passe ici, mais ce n'est que mon humble avis.

    Bonne soirée, Pat
     
  17. AsTr0

    AsTr0 New Member

    Il s'agit d'image/js/css/... qui sont chargé dans la page via un lien http et non http !
     
  18. foxlegend

    foxlegend New Member

    Non, mais les informations personnelles se revendent à prix d'or. Imaginez Facebook, c'est un énorme potentiel ! L'usurpateur aura a disposition plein d'informations, rien que pour faire du social engeneering...

    De plus le préjudice peut être très important, il n'y a pas que des particuliers qui utilisent PH. On ne parle pas de script kiddies là... Il y a des données personnelles etc sur ton serveur, peut être des mots de passes, même en MD5 on s'en fiche ! Une base de donnée coûte cher à mon avis :)
    Le defacing on s'en fout également, c'est qu'une catégorie infime du résultat d'un hack (dans cette catégorie, je suis d'accord je vois pas trop l'utilité plutôt que de donner la vuln à l'auteur de l'application en question...)

    Sinon les problèmes de sécurité sont de notoriété publique... Les moins technophiles ne comprennent pas ce genre d'implication... Et c'est tellement dommage.

    Enfin est-ce que si j'avais dit "attention POST -> HTTPS c'est mal" on m'aurait pris au sérieux ? Beaucoup aurait dit "un parano" et c'est tout...

    Je dois avouer que ce genre de problématiques c'est mon secteur. Pas du côté attaquant, mais de l'autre côté :)
    Je suis en train de faire mon blog qui contiendra, entres autres, ce genre de thématiques.

    Bonne soirée :)

    EDIT: j'y pense également, combien d'entre vous utilisent le même mot de passe dans plusieurs applications web ? ;-)
    EDIT2: si ce genre d'informations dérange/ne répond pas à la charte d'utilisation du forum/etc, un modérateur peut très bien retirer mes posts à ce sujet sur ce forum, ça ne me dérange pas :)
     
  19. AsTr0

    AsTr0 New Member

    Il en va donc de la formation de sécurité des utilisateurs et non du panel de Planethoster ...

    Un peu comme souvent ^^

    Sortez couvert ;)
     
  20. mytika

    mytika New Member

    Bonjour à tous,
    Excellent le nouveau Panel, un peu perdu au départ, mais il faut s'adapter.
    Bravo à toute l'équipe de PlanetHoster pour le travail effectué.
    Bonne journée à tous.
     
    Dernière édition: Jan 27, 2011

Partager cette page