Mozilla divulgue accidentellement les mots de passe de 44 000 comptes

Liés à son catalogue d'extensions

La fondation Mozilla a malencontreusement exposé les mots de passe d'environ 44 000 comptes utilisateurs de son catalogue d'extensions en laissant une sauvegarde d'une base de donnée dans un espace web publique.

La fondation assure avoir pris depuis les précautions nécessaires pour que cet accident ne puisse pas avoir d'effet néfaste.

Seuls des comptes créés avant le 9 avril 2009 sont touchés. Les mots de passe étaient jusqu'à cette date chiffrés avec l'algorithme de hachage MD5. Depuis, ces comptes ont été désactivés et leurs mots de passe effacés de la base de donnée de production. Les utilisateurs concernés auraient été prévenues par e-mail afin de choisir éventuellement d'autres mots de passe et réactiver ainsi leurs comptes.

Les comptes créés après cette date ne seraient donc pas touchés vu qu'ils sont chiffrés avec un algorithme plus sûr (SHA-512) et en utilisant la technique du grain-de-sel (qui consiste à ajouter un préfixe ou suffixe au mot de passe avant son Hashage pour prévenir les attaques de type dictionnaire ou de force brute).

Bien que la fondation ait été prévenue discrètement de l'existence de cette fuite par un chercheur en sécurité, elle a préféré rendre publique cette affaire par mesure de précaution. Un effort de transparence que l'on ne peut que saluer.

En attendant peut-être qu'une icône soit insérée sur le site de Mozilla, avertissant les utilisateurs que leurs mots de passe pourront être mis publiquement à la disposition de tous.

Une boutade (injuste) bien sûr, pour rappeler la (louable) initiative de Aza Raskin qui propose au W3C des icône de signalétique à afficher sur les sites webs pour que ceux-ci clarifient et communiquent leurs politiques concernant la confidentialité des données récoltés sur les visiteurs.

Source : le blog de sécurité de Mozilla

En collaboration avec Gordon Fowler