Reprise du message précédent :
ya une différence entre créer un compte sur un truc à peu près legit et la balancer gratos dans une page qui ne sert qu'à pomper des adresses mail

tu parles de Ziggy?

En même temps j'ose espérer que la plupart des services pètent un p'tit ban quand ils se prennent 25 000 requêtes à la seconde pour une authentification, mais bon.

C'est opensource, c'est safe, tu peux verifier les 250000 octets de code

Et surtout j'attends qu'on m'explique comment ce genre de site est capable de savoir si une adresse mail est détournée ou pas....

 
 
C'est dit sur le site, il a une base de données de fichiers leakés sur le net qui regroupent des identifiants/mdp...
 
En gros si ton email est retrouvé dans un de ces fichiers, bah, oui, tes infos sont compromises.  
 
Y'a rien de sorcier, y'a aucune arnaque.
 
Par exemple, mon adresse poubelle se trouve dans ce fichier leaké :
 
http://ceza.co.nf/minefield.sql
 
Et est donc compromise.

Parce que quand il y a un vol de données, les dump sont postés sur des sites plus ou moins publics avec email / login / mdp en clair ou hash...
Ce site récupère les dumps, les parse, ne conserve que les login/email (il ne stocke même pas les mdp) et les intègre à son moteur de recherche.
Le créateur est spécialiste en sécurité, MVP Microsoft et parfaitement reconnu pour ce site.
 
EDIT :  

 
c'était un gag de Gotlib ça
 
- Halte ! Si vous voulez entrer, il faut me donner le mot de passe.
- Le mot de passe ? Quel mot de passe ?
- "lemodpasskelmodpass" ok, c'est bon, vous pouvez entrer.

 
ça me parait chelou
ça me signale comme pwnd sur un site ou j'ai jamais mis les pieds
par contre je me suis fait hack mon email par un ptit chinois pour accéder à mon compte apple et ça n'apparait pas.

 
Y'a pas apple dans la liste des leak.
 
Pour le site ou t'as jamais mis les pieds je suppose qu'il peut s'agir d'un genre de mailing list qui aurait récupéré ton adresse ailleurs.  
 
Perso j'ai pas testé, mais je sur le principe ça parait pas déconnant ni "chelou" le principe de ce site.

ça reprend la liste des leaks de bases de données de milliers d'utilisateurs, pas les hacks individuels de mme michu qui a donné son mot de passe accidentellement ou qui avait un truc facile à trouver

Faut pas mettre sa vraie adresse e-mail mais un truc qui ressemble

le script du site pour les mdp tourne côté client tu n'as rien à vérifier à part constater qu'aucune donnée transite vers le serveur

 
Je viens de lire les 3 dernières pages du topic, et c'est surtout ça qui me vient en tête..?
Je veux dire, n'importe quel service devrait refuser plus d'un essai de mot de passe par seconde, ça me parait tellement basique ?
Mais je rentre peut-être dans le sujet du topic

tu savais que le meilleurs moyen de ne pas se faire hacké c'est le pc "blanc' cad coupé du réseau et des périphériques.
 
une fois j'ai amené un log text à la police avec les ip (preuve de fishing, 6mois après le coup). il a fallu toute une procédure d'analyse de ma clef... pour au bout du compte, ils ne savent pas ouvrir les tar.gz  
moi : "en PLS et il fallait me le dire qu'il vous fallait une version papier pour aller plus vite"

En même temps, ramener du tar.gz à la police ...

 
Converti en pdf, ca aurait peut-être pu passer.

 
+1  
Le pire étant qu'il s'étonne du résultat.  
 
 
Du coup ça nous apporte un nouvel éclairage sur memaster62.
Jusqu'ici on pensait qu'il avait simplement des difficultés en français qui rendent ses post incompréhensibles, mais en fait non, c'est très travaillé, c'est pas un accident : il cultive très attentivement le fait d'être incompris.
Non parceque targzer (verbe du premier groupe, sisi) un fichier texte avant de le remettre à un tiers, y'a pas vraiment d'autre explication que l'auto-sabotage là  

 
"lol".
 
https://www.wired.com/2015/07/resea [...] ell-phone/
https://www.wired.com/2016/06/cleve [...] teal-data/

 
En partant du principe que ce soit stocké en clair, oui.
Sinon non, c'est pas pareil (dans le cas des BDD).
 
Pour le keylogger, y'a des trucs de troll qui marchent bien sinon, genre commencer son password par un espace    
Ou utiliser un md5 ou autre hash comme mot de passe, et attendre que l'idiot en question essaye de le casser  

Si je ne me trompe pas, les 2 liens parlent d'extraction d'information sur des ordinateurs isolés déjà infectés

 
Du coup, lol
 
Par contre, il est possible de keylogger via les champs électromagnétiques produits par les claviers
http://lasecwww.epfl.ch/keyboard/
 
Il me semble que j'avais lu un truc similaire pour les écrans

et l'horodatage du fichier .log? on s'en carre? elle est pas écrite dans le pdf.

avant d'y aller je pensais que je serais reçu par un "vrai" brigadier anti-cybercriminalité qui possède des outils d'admin sys. c'est quand même pas la mer à boire que d'avoir un extracteur "universel".
Mais finalement c'était juste un RDV administratif pour prendre mon témoignage, comment voulais tu que je devine cela?  
mon seul objectif étant de vouloir donné les éléments tel que je les ai récupéré le jour du hack, je ne vois pas comment tu peux qualifier cela de sabotage  
qd tu retrouves une arme présumée être à l'origine d'un casse, tu ne vas pas t'en resservir juste après pour t'entrainer dans une salle de tir  c'est juste du bon sens.
HFR m'étonneras toujours, on préfère fustiger les gens de bonne foi

targzan c'est introduit dans votre pécé vous dites ?

Et veuillez respectez les orientations sexuels de tout le monde monsieur, nous sommes en France dans le pays de la liberté  

 
On te fustige pas, on s'amuse de ta découverte du monde exterieur, nuance

J'ai ami qui y est,  il a aucune formation spéciale en info, de son propre aveu il s'est retrouvé la bas quand son chef s'est rendu compte qu'il savait faire des trucs pointu comme rebrancher les câbles réseau.

et ça a donné quoi cette histoire ?

y'aura bien un résumé en 10 ligne quelque part sur le web, j'ai pas besoin de regarder leur pub en direct ....

edit: c'est quoi ce delete de fourbe

l'interrogatoire lui était en règle par contre : il y avait eu des plaintes de vol de numéro de CB
- vous êtes l'admin sys, donc vous avez les clefs du serveur isn't it?  
- où étiez vous le jour de l'attaque?
- comment cela s'est passé?
- qd avez vous été informer de l'attaque?
...
j'avais eu quelque rentrées d'argent liquide de mes beaux parent pour financer les frais de notaire de la maison a peu près à la même période, autant te dire qu'il fallait éviter de dire des conneries

rien   : que voulais tu qu'ils fassent d'une IP d'un log 6 mois après (un traceroute peut être? ). et je suppose que les pauvres clients ont été remboursés par leur banque des montants prélevés après l'utilisation par le pirate de leur carte. Moi ça m'a couté une réinstalle complète+config (pendant mes congés), une mise à jour de la soluce et un ban de la plage IP via iptables.
le pirate avait ecrit en clair son adresse de récup @gmail.com dans le code, j'ai donc également alerté dans les jours qui ont suivi le hack abuse@google.com (jamais eu de retour )

Surtout tarer un seul fichier. Quelle efficacité Autant gzipper directement le fichier.
 

 
Il a pas dit "rend 100% inattaquable"
 

Les infos complètement falsifiables tu veux dire ?
Comme le log en lui même d'ailleurs

 
J'y crois tellement pas à ces articles
A chaque fois c'est "Chercheurs israéliens"    
Le dernier en date c'était genre un virus qui changeait la fréquence du CPU pour que les ondes ou le son produit puisse être écouter ou chépakoi

A l'époque de la démocratisation de l'informatique (fin des 90's), on me disait qu'on pouvait m'espionner en captant les ondes de mon écran.

 
Et puis surtout targzer un seul fichier texte, a l'époque ou on a des clés usb de plusieurs Go, franchement... ( a moins que le log en question fasse des dizaines de Go mais j'y crois moyen )

se pointer à la gendarmerie avec un targz c'est quand même y mettre un max de mauvaise volonté

 
Oui, je le fais régulièrement en passant derrière les gens dans l'open space.

Ouais, on disait que les écrans CRT émettent des ondes électromagnétiques et/ou des rayons X jusqu’à 15 mètres, et donc qu'il était possible de les "capter"
Bon après si on peut se trouver à 15 mètres du bouzin avec une machine capable de "lire" les ondes en direct ou de les enregistrer, y'a sans doute moyen d'avoir accès physiquement à la machine donc bon

Idem pour le clavier... Alimenté en 5Volts, à mon avis, pour capter les émissions "électromagnétiques" d'un clavier, faut placer un appareil sur le câble... Donc du coup autant intercaler un appareil entre la prise PS/2/USB de la tour et du clavier pour enregistrer ce qui est tapé

 
 
C'est tout 100% techniquement possible et vrai.
 
Le seul et unique petit détail dans ce genre de machins, c'est la quantité de prérequis pas possibles dans leurs experiences controllées de A à Z pour faire marcher leurs trucs qui font que ça sert à rien dans la vraie vie. On est dans du risque equivalent à zéro.
 
Dans les deux articles cités par exemple, il faut un accès physique à la machine pour installer le malware qui ensuite transmettra les infos à la vitesse extraordinaire de 15bits/minute.
Bref, le temps d'installer le malware (si tu peux, parcequ'ils faut les droits admin etc, et on parles de machines en haute sécurité et tout, donc le concept de base part déja mal), tu aurais eu le temps de récuperer plus d'infos que 50 ans de transmissions de ton malware..
 
Et ne parlons pas du fait qu'il faut que le récepteur soit dans la même piece.. et qu'on parle d'un firmware custom dans le téléphone, qu'il faut choisir les datas à transmettre à l'avance etc.
 
C'est un peu la chauve-souris de Bigard quoi. Il y a beaucoup de "admettons"...

Un truc genre des yeux ? Ou un appareil photo ? C'est vrai que seul le FBI chinois a cette technologie

Ça va bien plus loin que 15m ces ondes électromagnétiques, perso j'arrive à voir des écrans à plusieurs dizaines de mètres - mais il faut effectivement un zoom optique pour distinguer ce qui est affiché.

Redface is red
Et puis je me souviens que les gens citaient la distance de 15 mètres, stoo.