Cherchant à refouler la prolifération du phishing, des chercheurs de l'university de Stanford ont développé un truc tout bête pour empêcher le vol des mots de passe.

Le phishing, ou hameçonage pour nos amis anglophobes, est un terme désignant l'obtention d'informations confidentielles (comme les mots de passe ou d'autres informations privées), en se faisant passer auprès des victimes pour quelqu'un digne de confiance ayant un besoin légitime de l'information demandée. C'est une forme d'attaque informatique de type ingénierie sociale. La suite sur Wikipedia...

"La plupart des utilisateurs d'Internet utilisent souvent le même mot de passe pour beaucoup de sites", constate Dan Boneh, professeur d'informatique à Stanford. "Une attaque de phishing sur un site met donc en danger les utilisateurs sur beaucoup d'autres sites."

Le groupe de travail "anti-phishing" a identifié près de 12 000 sites malveillants en mai 2006, quatre fois plus que l'année avant.

La technique, connue sous le nom de Password Hash, consiste simplement à ajouter "@@" au début de son mot de passe pour indiquer au logiciel que c'est un mot de passe, justement, que l'on tape. Le logiciel va alors faire son travail: combiner votre password au nom de domaine du site grâce à un algorithme d'encryption. Le mot de passe alors fourni au site n'est pas celui que vous avez tapé et en cas de vol de ce dernier, il ne fonctionnera pas sur le site officiel.

Cette technique n'est pas nouvelle en soi, mais c'est la première fois qu'elle est facilement utilisable pour l'utilisateur final, c'est-à-dire nous. En effet, on trouve PwdHash sous forme d'add-on pour Firefox, ou de plugin pour Internet Explorer 6. La page officielle est ici.


Source: ComputerWorld, la semaine passée.