Comment réinitialiser le mot de passe sur Freelancer Reloaded : guide pratique et sécurité

La réinitialisation d'un mot de passe entraîne sa modification pour les comptes en ligne de l'utilisateur. Si l'utilisateur dispose de Google Drive pour ordinateur, le mot de passe ne change pas dans ce service. Vous devez disposer du droit de gestion des utilisateurs approprié. Si la liste est longue, tapez du texte dans la barre de recherche tout en haut de la page pour trouver la page du compte de l'utilisateur. Pour les invités, sélectionnez leur nom pour ouvrir la page de leur compte. À gauche de la page de son compte, cliquez sur Réinitialiser le mot de passe. Générer automatiquement un mot de passe (pour un compte piraté, par exemple). Un mot de passe sécurisé est alors généré. L'utilisateur en aura besoin pour accéder au compte. Créer un mot de passe, par exemple, pour saisir un mot de passe plus simple que vous pourrez communiquer à l'utilisateur par téléphone. Pour afficher ce que vous saisissez, cliquez sur Aperçu. Par défaut, le mot de passe doit comporter au moins huit caractères. Cliquez sur Copier le mot de passe, par exemple, pour envoyer le mot de passe dans une conversation Google Chat. L'utilisateur ou l'invité reçoit également un lien pour réinitialiser son mot de passe. Vous devez disposer du droit de gestion des utilisateurs approprié. Ouvrez la page du compte de l'utilisateur : cliquez sur son nom. Vous pouvez également saisir le nom de l'utilisateur dans le champ de recherche en haut de la page, puis ouvrir la page de son compte. Une fois le mot de passe et les cookies de connexion réinitialisés, l'utilisateur ou l'invité est déconnecté de toutes les sessions actives.

Étapes pratiques pour réinitialiser le mot de passe

Applications Google sur Android : l'utilisateur ou l'invité est informé qu'il doit valider son identité en se connectant à son compte.
Applications Google sur Apple iOS : le compte Google de l'utilisateur ou de l'invité est supprimé de la liste des comptes. Pour cela, l'utilisateur doit se réauthentifier avec le nom d'utilisateur et le nouveau mot de passe associés à son compte Google.
Applications tierces nécessitant des mots de passe spécifiques à des applications : lorsque la validation en deux étapes est utilisée, des mots de passe spécifiques à des applications peuvent être requis pour d'anciennes applications non compatibles avec le protocole OAuth. Après une réinitialisation du mot de passe, tous les mots de passe spécifiques à des applications sont révoqués et doivent être générés de nouveau.
Pour réinitialiser le mot de passe d'un autre administrateur, vous devez disposer des droits de super-administrateur.

Bonnes pratiques de sécurité autour des mots de passe

Les mots de passe restent le moyen le plus répandu pour authentifier un utilisateur. Nous verrons dans cet article les erreurs courantes que l’on peut retrouver sur ce type de fonctionnalité, les exploitations possibles ainsi que les moyens de se prémunir.

Fonctionnement général de la réinitialisation

La fonctionnalité de réinitialisation de mots de passe est un mécanisme essentiel dans la gestion des comptes utilisateurs sur des plateformes web. Elle permet à un utilisateur de récupérer l’accès à son compte lorsqu’il a oublié son mot de passe. Ce lien conduit l’utilisateur à une page où il peut saisir un nouveau mot de passe.

Du côté des développeurs, l’implémentation standard consiste à s’assurer que le processus est sécurisé. Des mesures sont souvent prises pour empêcher les attaques par brute force ou le spam de demandes de réinitialisation, telles que la limitation du nombre de demandes autorisées ou l’implémentation de captchas.

Validation et sécurité des liens de réinitialisation

Normalement, cet en-tête indique le domaine ciblé par la requête, mais parfois, il peut être manipulé par un attaquant. Une autre exploitation pourrait être le fait que certaines ressources JavaScript du serveur se basent sur le Host header. La première étape consiste à implémenter une validation stricte de l’en-tête Host. Cette mesure implique de configurer l’application pour n’accepter que des en-têtes Host connus et valides, en comparant l’en-tête Host de chaque requête avec une liste blanche d’hôtes approuvés.

Lire aussi: SARL AU PASSE TEMPS : Notre avis

Pour les liens de réinitialisation de mots de passe eux-mêmes, il est important d’utiliser des tokens de réinitialisation sécurisés et uniques. Ces tokens devraient être conçus pour être valides seulement pour une courte période et associés de manière indiscutable à l’utilisateur concerné. Dans le contexte de la sécurité des tokens, notamment ceux utilisés dans les procédures de réinitialisation de mot de passe, l’absence d’un délai d’expiration peut constituer une faille majeure. Un token sans expiration peut potentiellement fuiter et être réutilisé par un attaquant, compromettant ainsi la sécurité des comptes utilisateurs.

Par exemple, les services d’archivage web, tels que WebArchive, peuvent involontairement ou volontairement enregistrer des versions de pages web contenant des tokens non expirés. Face à ces vulnérabilités, l’implémentation d’un délai d’expiration pour les tokens est une mesure de sécurité cruciale. Cela est particulièrement pertinent dans le contexte où même des vecteurs de fuite moins évidents, comme l’archivage web, peuvent poser un risque réel. Certes, la fuite de token via l’en-tête « referer » peut être exploitée presque instantanément, rendant l’expiration moins efficace contre ce type d’attaque spécifique.

Pour les jetons de réinitialisation de mot de passe, il est conseillé d’établir un délai d’expiration ne dépassant pas une heure après leur génération. Une période encore plus courte, comme 20 minutes, est souvent recommandée pour minimiser les risques. En outre, il est vital que le jeton soit conçu pour être utilisé une seule fois. Après utilisation, le token doit être invalidé, empêchant ainsi toute tentative de réutilisation par un attaquant.

On remarque un paramètre « baseurl » qui va servir à construire l’url de réinitialisation de mot de passe. À la place, l’application devrait utiliser une URL de base préconfigurée et vérifiée côté serveur (whitelist), garantissant que le lien de réinitialisation mène toujours à un domaine légitime. Ensuite, il est important d’implémenter un système de tokens de réinitialisation à usage unique, qui expirent après un délai court. Lors d’une demande de réinitialisation de mot de passe, un jeton aléatoire est généré afin de vérifier l’intégrité de l’utilisateur qui l’utilise. Un UUIDv1 est une version spécifique d’un identifiant généré en utilisant l’heure actuelle et l’adresse MAC de l’ordinateur qui le produit. L’attaque dite « Sandwich » cible les UUIDv1 en exploitant leur caractère prédictible.

Tout d’abord, un attaquant va créer un compte utilisateur sur la plateforme cible. L’objectif est de minimiser le délai entre les trois requêtes pour réduire la charge du bruteforce qui sera effectué par la suite. On aura donc besoin d’un peu plus de 23 000 tentatives pour trouver le token de la victime. A la fin du brute force, on détermine que l’uuid 6b897a32-845d-11ee-8227-00155d4e2cec est valide. Une approche préconisée consiste à privilégier l’utilisation de tokens robustes tels que les UUIDv4. Les jetons de réinitialisations de mot de passes ne doivent pas pouvoir être déterminés.

Récapitulatif des rôles et droits

Pour réinitialiser le mot de passe d’un utilisateur, vous devez disposer du droit de gestion des utilisateurs approprié.
Pour réinitialiser le mot de passe d’un autre administrateur, vous devez disposer des droits de super-administrateur.

Impact sur l’expérience utilisateur et données associées

La réinitialisation du mot de passe et des cookies de connexion déconnecte l’utilisateur ou l’invité de toutes les sessions actives. Cela peut nécessiter une reconfirmation de l’identité lors de la prochaine connexion et peut influencer les flux sur les applications Google et les services tiers intégrés.

En résumé, la réinitialisation de mot de passe est un mécanisme clé, mais elle doit être implémentée avec des mesures rigoureuses pour éviter les abus et les compromissions. Les tokens doivent expirer rapidement, être à usage unique, et les contrôles de validation d’en-tête et d’hôte doivent être stricts pour limiter les vecteurs d’attaque.

SUPRIMER Un COMPTE GOOGLE sur Android Après Réinitialisation.

Les erreurs courantes incluent l’absence de délai d’expiration sur les tokens, l’absence de validation stricte de l’en-tête Host, et l’absence de revocation des mots de passe spécifiques à des applications après réinitialisation. En restant vigilant et en appliquant les meilleures pratiques présentées, on peut améliorer considérablement la sécurité des comptes utilisateurs sur Freelancer Reloaded.

balises: #Freelance