Un émulateur vous donnera facilement un ID, mais aucun ne sera capable de générer un One Time Password...
Seule la validation de l'OTP peut permettre de se connecter à un site
Rien de plus facile, il me suffit de demander au membre de se connecter sur mon forum avec votre module, je récupère session et le reste, juste le temps de faire mes manips.
J'attends toujours de savoir en quoi se mode pose un problème de sécurité...
Aucune vérification de variable, sql injection dans chaque requête, répétition de code inutile, enfin bref y'a encore du boulot.
Oui, car les utilisateurs utilisent souvent le meme mot de passe...
Avec le mot de passe d'un utilisateur de forum on peut souvent accéder à sa boite mail.
Récupération d'information:Alors si je veux faire du phising, première chose je vais m'inscrire sur le même forum que lui, et je consulte bêtement son profil, comme ici, avec de la chance j'aurais sa date de naissance et sa région, et si je fais une recherche sur google avec son pseudo ou ces références, je verrais sur quasiment tous les forums, le référencement de ces profils. Je vais choisir par exemple les forums de voyages, d'animaux ou de puériculture, j'ai plus de chance de trouver des novices.
Ensuite j'utilise les posts avec de la chance 95% des forums ne masquent pas l'email, j'aurais donc son email, sinon je prétexte lui donner une info super intéressante qui l'intéresse mais par email.
Conception de l'action de phising:Je suis pas trop bête, je pompe l'interface d'un site comme le crédit mutuel/bnp ou la poste, juste la présentation de la page d'accueil, ou encore si je vois qu'il découvre internet je lui envois simplement un rappel par mail en lui demandant de vérifier ces infos bancaires.
Je fais ça sur un domaine proche, en rajoutant un s par exemple ou encore un .tw ou un truc dans le genre, et j'attends qu'il se connecte. J'aurais pris soin de router la page de connexion sur le site officiel pour que ça soit transparent.
Voilà je viens de faire du phising, avec la présence ou non de votre module et à aucun moment le membre n'a été protégé. Y'a d'autres techniques, je vous passe le faite d'implanter un détournement de login sur la page de formulaire d'un forum ou encore l'utilisation de troyen. Sachant que la cible n'est pas un passe de mail mais plutôt les coordonnées bancaire.
Sécurisation simple et gratuitePar contre si les admins étaient moins préoccupé par leur référencement et leur gain de pub, ils mettraient un point d'honneur sur leur forum à ce que ceux ci ne servent pas à récolter ce genre d'informations.
Pour information avec le module Netcraft disponible là
http://toolbar.netcraft.com/ gratuitement, l'utilisateur aurait vu tout de suite qu'il y avait un risque potentiel sur ma fausse page web.
Avec en plus un filtre anti-spam gratuit sous thunderdbird (lui aussi gratuit), il aurait vu que ce mail était frauduleux.
Et si en dernier recours il a été attentif au recommandation de son banquier, il a un mot de passe différent pour son compte et le reste des sites internet qu'il consulte.
Votre technique est intéressante pour renforcer l'identification, c'est moins couteux qu'un certificat verisign, mais à mon sens ça s'arrête là.
Cordialement
