Code source et mot de passe accessibles pour Mega

Publié le 21-01-2013 à 00:47:44 dans le thème Réseau - Sécurité

Pays : International - Auteur : La rédaction

Pub : Tous les logiciels antispyware gratuits disponibles sur Internet

Note des lecteurs: 2.4/5

Comme de nombreux sites et amateurs d'enquêtes numériques, plusieurs failles (allant du XSS à des détails sur le chiffrement) ont été décelées dans le nouveau site du très médiatique Kim DotCom. Le fondateur de MegaUpload a lancé ce dimanche 20 janvier son nouvel espace de stockage cloud, MEGA.

Premier détail qui peut inquiéter, zataz.com a constaté que les codes sources du site étaient accessibles en claquant du doigt. Register.js ; login.js ; account.js ; rsa.js ... sont à la disposition de qui sait les trouver... et les modifier/réutiliser à souhait. A noter que les fichiers templates sont dans les .js. Autre petite finesse, et pas des moindres, votre mot de passe, une fois tapé dans l'espace d'identification semble léger comme l'air. Votre "précieux" pourrait être intercepté, comme le montre la capture écran ci-dessous que nous a communiqué Sl1nk de chez NinjaSec. Il faut, cependant, qu'un malveillant soit entre vous et MEGA. Une attaque de l'homme du milieu somme toute assez simple à mettre en place. Nous finirons par le fameux "bouges ta souris" pour générer la clé. Mega explique que le mouvement permet de créer une clé aléatoire. Sauf que ce détail est une "blague". Le fait de bouger sa souris et taper sur le clavier ne sert à rien. Mega utilise un simple "math.random".

Bref, comme le faisait remarquer Cyb, contributeur de talent sur zataz.com, les non-crédules savent très bien que les arguments et les technologies de MEGA ne sont ni révolutionnaires, ni extraordinaires. MEGA n'est pas MEGA tout rose et, oui, il y aura toujours des faiblesses, comme... partout dès l'instant où des personnes "soulèvent le capot".

Offline, cryptez, chiffrez, splittez, envoyez ce que vous voulez depuis différents terminaux des fragments/morceaux que vous re-chiffrés à plusieurs endroits en usant de votre imagination pour les dissimuler… et là, oui, peut-être que vous "embêterez" quelqu'un… à commencer par vous ! Merci à Marc Rees de PCInpact pour la mise en relation avec le responsable technique de Mega.

Mise à jour : Un crack hash Mega a été mis en ligne ce mardi.