PEBKAC #7422

Comme chaque année, en ce glorieux mois de mars, je reçois un courrier pour l'appel à cotisation des assurances moto et voiture. Nouveauté de l'année : je peux désormais tout gérer en ligne via un espace personnel.

Dois-je vraiment préciser que l'identifiant et mot de passe étaient écrits dans ce même courrier ? À la rigueur c'est un service nouveau, OK.

Mais là où je suis beaucoup moins d'accord, c'est pour le mot de passe. Mon prénom seul, c'est pas super "safe".
Quitte à le mettre directement dans le courrier postal, le minimum aurait été de faire un mot de passe avec des caractères aléatoires.

Me suis empressé de changer ça... Un grand classique, mais quand même : PEBKAC.

PEBKAC #7422 proposé par Gruck le 02/04/2013 | 21 commentaires | 👍🏽 👎🏽 +185

Mars? :3

Commentaire #86574 écrit par ROB le 02/04/2013 à 12h53 | 👍🏽 👎🏽

Si ça se trouve, c'était bien une chaîne de caractères aléatoire, et par hasard c'est tombé sur ton prénom :-P

Commentaire #86589 écrit par Hasard ? le 02/04/2013 à 13h21 | 👍🏽 👎🏽

... et ça repart !

Je suis déjà loin !

Commentaire #86592 écrit par Aaargh!!! le 02/04/2013 à 13h26 | 👍🏽 👎🏽

Au moins ils auraient put essayer en 1337 :p

Commentaire #86602 écrit par Gruck le 02/04/2013 à 13h43 | 👍🏽 👎🏽

A la limite si ils pensaient que des caractères l'aléatoires sont trop dures à retenir pour le commun des mortels (qui n'a jamais ratés une clef CD?) il pouvaient faire comme certains sites qui pour les codes temporaires génèrent un mdp constitués de syllabes, oui c'est moins solide mais le mdp est prononçable.

Commentaire #86611 écrit par Partux le 02/04/2013 à 14h26 | 👍🏽 👎🏽

jvois pas bien ce que ça change que ça soit des caractères aléatoires ou pas. le mec qui choppe ton courrier, il en fait ce qu'il veut. que ça soit ton prénom ou une suite de caractères aléatoires..

Commentaire #86615 écrit par root le 02/04/2013 à 15h02 | 👍🏽 👎🏽

Autant pour le manque d'aléatoire je trouve ça abusé, autant pour la présence du mot de passe dans le courrier je vois pas où est le soucis, on reçoit bien les ID/mdp de nos box et de nos compte en ligne par courrier (idem pour les code de carte bancaire et toute une série de papier administratif).

un pour et un contre, donc un vote blanc pour moi !

Commentaire #86619 écrit par Crow le 02/04/2013 à 15h18 | 👍🏽 👎🏽

C'est plutôt que sans chopper le courrier de ton voisin (par exemple), tu peux connaitre son mot de passe et donc accéder à son compte en ligne s'il ne l'a pas encore modifié (et si c'est la même assurance bien entendu).

Commentaire #86627 écrit par juu le 02/04/2013 à 16h34 | 👍🏽 👎🏽

certes, mais l'auteur dit ceci :

Quitte à le mettre directement dans le courrier postal, le minimum aurait été de faire un mot de passe avec des caractères aléatoires.

Commentaire #86632 écrit par root le 02/04/2013 à 17h17 | 👍🏽 👎🏽

Quand la connexion n'est pas sécurisé, c'est un PEBKAC. Faire transiter des mots de passe en clair, ça ne se fait pas, et ça peut provoquer des attaques de type man in the middle.

Commentaire #86638 écrit par ROB le 02/04/2013 à 17h40 | 👍🏽 👎🏽

Justement, l'aléatoire permet de ne pas pouvoir déduire les mots de passe des autres.

Commentaire #86642 écrit par juu le 02/04/2013 à 17h49 | 👍🏽 👎🏽

Après, faut que le mec trouve l'identifiant aussi, et c'est pas forcément gagné sans voler le courrier.

Aussi dingue que ça puisse paraître, dans ce cas précis, entropie(login) > entropie(password)

Commentaire #86685 écrit par superzamp le 02/04/2013 à 21h59 | 👍🏽 👎🏽

Pas faux, mais souvent le numéro d'assuré se trouve sur la vignette verte derrière le pare brise.

Commentaire #86690 écrit par juu le 02/04/2013 à 23h20 | 👍🏽 👎🏽

C'est vrai que le mot de passe de service de paiement d'assurance doit être super sûr au cas où tu aurais l'envie irrépressible de payer pour le voisin ;)

Commentaire #86790 écrit par but2ene le 03/04/2013 à 14h21 | 👍🏽 👎🏽

Y a pas que le paiement, y a la gestion des différents contrats, les demandes de devis, tes coordonnées, etc...

Commentaire #86816 écrit par Gruck le 03/04/2013 à 16h15 | 👍🏽 👎🏽

Bon certes, tu peux à partir de la carte verte collé sur un par-brise d'un véhicule, trouver l'adresse du proprio.
Mais la modification d'un contrat doit-être signé et les demande de devis bof.

Commentaire #86827 écrit par but2ene le 03/04/2013 à 17h21 | 👍🏽 👎🏽

Faire transiter des mots de passe en claire par mail, on est d'accord, c'est la mal (Ouhh ~~)
Mais là il l'a reçu par courrier (format papier a l'ancienne donc), alors je vois pas en quoi ça gène, ça fait des années qu'on envoie/reçoit nos avis d'impositions (et divers papier hautement important) ou qu'on payent différentes factures de cette façon, c'est pas la mort du petit cheval pour autant.

Commentaire #86832 écrit par Crow le 03/04/2013 à 17h38 | 👍🏽 👎🏽

En même temps, n'importe qui passant à côté de ta voiture peut lire la vignette sur ton pare-brise et connaitre ton assureur, et regarder ta plaque d'immatriculation. N'importe quelle lettre (voire la boîte aux lettres de la maison devant laquelle est garée ta voiture) lui donnera ton nom et ton adresse. Avec ça et un peu de baratin, il n'aura aucun mal à obtenir tous les détails qu'il veut sur tes contrats, devis etc.

D'accord, là il a toutes les infos en te piquant la lettre. Mais, sauf à penser à un facteur mal intentionné (je ne dis pas que ça n'arrive jamais, mais à ce rythme tu ne fais plus confiance à ta banque pour t'envoyer ton code secret non plus !), quelqu'un qui peut piquer une lettre peut connaitre les autres infos autrement. Alors un mot de passe trop simple, franchement, c'est bien le dernier des problèmes...

(lire http://www.codinghorror.com/blog/2012/09/computer-crime-then-and-now.h[...] pour voir à quel point la connaissance ou non des mots de passe est inutile pour pirater un compte...)

Commentaire #86884 écrit par Mufman le 03/04/2013 à 19h13 | 👍🏽 👎🏽

La moindre des choses serait de ne pas mettre login et mot de passe dans le même courrier. Pour ma carte bancaire j'ai reçu le code sur un deuxième courrier séparé.

Commentaire #86889 écrit par Acorah le 03/04/2013 à 19h23 | 👍🏽 👎🏽

Roh zut. Fail. J'ai mal lu et j'ai conclu a la va-vite que c'était un email. Oubliez ce que je viens de dire.

Mais les mots de passe en clair, c'est quand même le mal!

Commentaire #86905 écrit par ROB le 03/04/2013 à 20h19 | 👍🏽 👎🏽

Je conclurais par un magnifique : MOUAHAHAHAH !

Un rire diabolique vaut toutes les railleries du monde =P

Commentaire #86974 écrit par Crow le 04/04/2013 à 09h46 | 👍🏽 👎🏽