Les identifiants codés en dur peuvent présenter des risques pour la sécurité
Secure Code Warrior s'engage à contribuer à l'éducation de la communauté des développeurs et de la sécurité sur la façon d'écrire du code en toute sécurité et de réduire le risque de vulnérabilités introduites par du code non sécurisé. Dans le cadre de cet objectif, nous utiliserons l'histoire de l'incident de sécurité récent d'Uber comme une occasion de discuter de l'importance de la sécurité axée sur les développeurs et du changement de cap à gauche.
Incident de sécurité chez Uber
Uber a publié une déclaration sur l'incident de cybersécurité le 16 septembre et continue de l'actualiser. Les lecteurs doivent garder à l'esprit qu'il s'agit d'une affaire en cours. Récapitulons ce que nous avons appris jusqu'à présent grâce à la déclaration d'Uber et à d'autres articles réputés de la communauté de la sécurité.
Le pirate a commencé par faire de l'ingénierie sociale auprès d'un employé d'Uber, après avoir trouvé son numéro de What'sApp. Le pirate l'a contacté et a commencé à l'hameçonner en lui demandant de se connecter à un faux site Uber, puis de saisir son nom d'utilisateur et son mot de passe.
Les comptes Uber sont protégés par l'authentification multifactorielle (MFA), ce qui signifie qu'en plus de son mot de passe, l'utilisateur doit présenter un deuxième élément de preuve confirmant son identité. Dans la plupart des cas, il s'agit d'un message envoyé à un appareil mobile.
Après avoir obtenu les informations d'identification, l'attaquant a lancé une attaque de fatigue MFA en essayant continuellement de se connecter au site authentique d'Uber et en submergeant l'employé avec de nombreuses notifications push sur son appareil. L'attaquant a de nouveau contacté la victime via WhatsApp. Cette fois, il s'est fait passer pour le service d'assistance informatique et a réussi à convaincre la victime d'accepter.
Informations d'identification codées en dur
La faille de sécurité d'Uber est due à une attaque d'hameçonnage réussie. Une fois à l'intérieur, l'intrus a trouvé des partages de réseau contenant des scripts PowerShell. L'un de ces scripts contenait les identifiants codés en dur d'un utilisateur administrateur, ce qui a conduit à la compromission des services internes d'Uber, tels que AWS, G-Suite et les référentiels de code. Le pirate a également eu accès au compte HackerOne d'Uber. Selon Uber, "tous les rapports de bogues auxquels l'attaquant a pu accéder ont été corrigés".
Curieux de voir à quoi ressemblerait cette vulnérabilité dans le code ? Essayez gratuitement notre défi PowerShell.
Quelle est la fréquence de ces types d'attaques ?
Il est difficile de se défendre contre l'ingénierie sociale en tant que vecteur d'attaque, car le facteur humain a toujours été considéré comme la partie la plus faible de la cybersécurité. Le piratage d'Uber a clairement illustré le fait que les implémentations MFA peuvent facilement être contournées. Pour éviter cela, il est essentiel de sensibiliser les employés au fonctionnement des attaques par hameçonnage.
Ce qui a causé l'exposition des services internes d'Uber, cependant, c'est le nom d'utilisateur et le mot de passe de l'administrateur qui ont été trouvés dans un script PowerShell. Il n'est jamais bon de coder en dur des informations d'identification, car elles deviennent lisibles par n'importe quel développeur et, en fait, par toute personne ayant accès au code.
Mais là encore, la sensibilisation est essentielle ! Les développeurs qui ont un état d'esprit axé sur la sécurité sont plus susceptibles de repérer les vulnérabilités et moins susceptibles de les écrire.
Une double approche, à savoir une formation générale sur l'ingénierie sociale et, plus spécifiquement, une formation proactive au codage sécurisé, réduira le nombre de vulnérabilités dans une base de code et s'avérera donc essentielle dans la lutte contre les menaces à la sécurité.
Vous voulez en savoir plus sur les meilleures pratiques en matière de codage sécurisé ? Consultez Secure Code Coach. Vous pouvez y apprendre les lignes directrices en matière de codage sécurisé et tester gratuitement des exercices de formation.
Apprenez-en plus sur les risques associés aux identifiants codés en dur et à l'ingénierie sociale en discutant du récent incident de sécurité d'Uber et des raisons pour lesquelles il est si important pour les organisations de passer à gauche et de s'assurer que leurs développeurs sont à jour sur les meilleures pratiques en matière de codage sécurisé.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstration
Laura Verheyde est développeuse de logiciels à l'adresse Secure Code Warrior . Elle se consacre à la recherche de vulnérabilités et à la création de contenu pour Missions et Coding labs.
Secure Code Warrior s'engage à contribuer à l'éducation de la communauté des développeurs et de la sécurité sur la façon d'écrire du code en toute sécurité et de réduire le risque de vulnérabilités introduites par du code non sécurisé. Dans le cadre de cet objectif, nous utiliserons l'histoire de l'incident de sécurité récent d'Uber comme une occasion de discuter de l'importance de la sécurité axée sur les développeurs et du changement de cap à gauche.
Incident de sécurité chez Uber
Uber a publié une déclaration sur l'incident de cybersécurité le 16 septembre et continue de l'actualiser. Les lecteurs doivent garder à l'esprit qu'il s'agit d'une affaire en cours. Récapitulons ce que nous avons appris jusqu'à présent grâce à la déclaration d'Uber et à d'autres articles réputés de la communauté de la sécurité.
Le pirate a commencé par faire de l'ingénierie sociale auprès d'un employé d'Uber, après avoir trouvé son numéro de What'sApp. Le pirate l'a contacté et a commencé à l'hameçonner en lui demandant de se connecter à un faux site Uber, puis de saisir son nom d'utilisateur et son mot de passe.
Les comptes Uber sont protégés par l'authentification multifactorielle (MFA), ce qui signifie qu'en plus de son mot de passe, l'utilisateur doit présenter un deuxième élément de preuve confirmant son identité. Dans la plupart des cas, il s'agit d'un message envoyé à un appareil mobile.
Après avoir obtenu les informations d'identification, l'attaquant a lancé une attaque de fatigue MFA en essayant continuellement de se connecter au site authentique d'Uber et en submergeant l'employé avec de nombreuses notifications push sur son appareil. L'attaquant a de nouveau contacté la victime via WhatsApp. Cette fois, il s'est fait passer pour le service d'assistance informatique et a réussi à convaincre la victime d'accepter.
Informations d'identification codées en dur
La faille de sécurité d'Uber est due à une attaque d'hameçonnage réussie. Une fois à l'intérieur, l'intrus a trouvé des partages de réseau contenant des scripts PowerShell. L'un de ces scripts contenait les identifiants codés en dur d'un utilisateur administrateur, ce qui a conduit à la compromission des services internes d'Uber, tels que AWS, G-Suite et les référentiels de code. Le pirate a également eu accès au compte HackerOne d'Uber. Selon Uber, "tous les rapports de bogues auxquels l'attaquant a pu accéder ont été corrigés".
Curieux de voir à quoi ressemblerait cette vulnérabilité dans le code ? Essayez gratuitement notre défi PowerShell.
Quelle est la fréquence de ces types d'attaques ?
Il est difficile de se défendre contre l'ingénierie sociale en tant que vecteur d'attaque, car le facteur humain a toujours été considéré comme la partie la plus faible de la cybersécurité. Le piratage d'Uber a clairement illustré le fait que les implémentations MFA peuvent facilement être contournées. Pour éviter cela, il est essentiel de sensibiliser les employés au fonctionnement des attaques par hameçonnage.
Ce qui a causé l'exposition des services internes d'Uber, cependant, c'est le nom d'utilisateur et le mot de passe de l'administrateur qui ont été trouvés dans un script PowerShell. Il n'est jamais bon de coder en dur des informations d'identification, car elles deviennent lisibles par n'importe quel développeur et, en fait, par toute personne ayant accès au code.
Mais là encore, la sensibilisation est essentielle ! Les développeurs qui ont un état d'esprit axé sur la sécurité sont plus susceptibles de repérer les vulnérabilités et moins susceptibles de les écrire.
Une double approche, à savoir une formation générale sur l'ingénierie sociale et, plus spécifiquement, une formation proactive au codage sécurisé, réduira le nombre de vulnérabilités dans une base de code et s'avérera donc essentielle dans la lutte contre les menaces à la sécurité.
Vous voulez en savoir plus sur les meilleures pratiques en matière de codage sécurisé ? Consultez Secure Code Coach. Vous pouvez y apprendre les lignes directrices en matière de codage sécurisé et tester gratuitement des exercices de formation.
Secure Code Warrior s'engage à contribuer à l'éducation de la communauté des développeurs et de la sécurité sur la façon d'écrire du code en toute sécurité et de réduire le risque de vulnérabilités introduites par du code non sécurisé. Dans le cadre de cet objectif, nous utiliserons l'histoire de l'incident de sécurité récent d'Uber comme une occasion de discuter de l'importance de la sécurité axée sur les développeurs et du changement de cap à gauche.
Incident de sécurité chez Uber
Uber a publié une déclaration sur l'incident de cybersécurité le 16 septembre et continue de l'actualiser. Les lecteurs doivent garder à l'esprit qu'il s'agit d'une affaire en cours. Récapitulons ce que nous avons appris jusqu'à présent grâce à la déclaration d'Uber et à d'autres articles réputés de la communauté de la sécurité.
Le pirate a commencé par faire de l'ingénierie sociale auprès d'un employé d'Uber, après avoir trouvé son numéro de What'sApp. Le pirate l'a contacté et a commencé à l'hameçonner en lui demandant de se connecter à un faux site Uber, puis de saisir son nom d'utilisateur et son mot de passe.
Les comptes Uber sont protégés par l'authentification multifactorielle (MFA), ce qui signifie qu'en plus de son mot de passe, l'utilisateur doit présenter un deuxième élément de preuve confirmant son identité. Dans la plupart des cas, il s'agit d'un message envoyé à un appareil mobile.
Après avoir obtenu les informations d'identification, l'attaquant a lancé une attaque de fatigue MFA en essayant continuellement de se connecter au site authentique d'Uber et en submergeant l'employé avec de nombreuses notifications push sur son appareil. L'attaquant a de nouveau contacté la victime via WhatsApp. Cette fois, il s'est fait passer pour le service d'assistance informatique et a réussi à convaincre la victime d'accepter.
Informations d'identification codées en dur
La faille de sécurité d'Uber est due à une attaque d'hameçonnage réussie. Une fois à l'intérieur, l'intrus a trouvé des partages de réseau contenant des scripts PowerShell. L'un de ces scripts contenait les identifiants codés en dur d'un utilisateur administrateur, ce qui a conduit à la compromission des services internes d'Uber, tels que AWS, G-Suite et les référentiels de code. Le pirate a également eu accès au compte HackerOne d'Uber. Selon Uber, "tous les rapports de bogues auxquels l'attaquant a pu accéder ont été corrigés".
Curieux de voir à quoi ressemblerait cette vulnérabilité dans le code ? Essayez gratuitement notre défi PowerShell.
Quelle est la fréquence de ces types d'attaques ?
Il est difficile de se défendre contre l'ingénierie sociale en tant que vecteur d'attaque, car le facteur humain a toujours été considéré comme la partie la plus faible de la cybersécurité. Le piratage d'Uber a clairement illustré le fait que les implémentations MFA peuvent facilement être contournées. Pour éviter cela, il est essentiel de sensibiliser les employés au fonctionnement des attaques par hameçonnage.
Ce qui a causé l'exposition des services internes d'Uber, cependant, c'est le nom d'utilisateur et le mot de passe de l'administrateur qui ont été trouvés dans un script PowerShell. Il n'est jamais bon de coder en dur des informations d'identification, car elles deviennent lisibles par n'importe quel développeur et, en fait, par toute personne ayant accès au code.
Mais là encore, la sensibilisation est essentielle ! Les développeurs qui ont un état d'esprit axé sur la sécurité sont plus susceptibles de repérer les vulnérabilités et moins susceptibles de les écrire.
Une double approche, à savoir une formation générale sur l'ingénierie sociale et, plus spécifiquement, une formation proactive au codage sécurisé, réduira le nombre de vulnérabilités dans une base de code et s'avérera donc essentielle dans la lutte contre les menaces à la sécurité.
Vous voulez en savoir plus sur les meilleures pratiques en matière de codage sécurisé ? Consultez Secure Code Coach. Vous pouvez y apprendre les lignes directrices en matière de codage sécurisé et tester gratuitement des exercices de formation.
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstration
Laura Verheyde est développeuse de logiciels à l'adresse Secure Code Warrior . Elle se consacre à la recherche de vulnérabilités et à la création de contenu pour Missions et Coding labs.
Secure Code Warrior s'engage à contribuer à l'éducation de la communauté des développeurs et de la sécurité sur la façon d'écrire du code en toute sécurité et de réduire le risque de vulnérabilités introduites par du code non sécurisé. Dans le cadre de cet objectif, nous utiliserons l'histoire de l'incident de sécurité récent d'Uber comme une occasion de discuter de l'importance de la sécurité axée sur les développeurs et du changement de cap à gauche.
Incident de sécurité chez Uber
Uber a publié une déclaration sur l'incident de cybersécurité le 16 septembre et continue de l'actualiser. Les lecteurs doivent garder à l'esprit qu'il s'agit d'une affaire en cours. Récapitulons ce que nous avons appris jusqu'à présent grâce à la déclaration d'Uber et à d'autres articles réputés de la communauté de la sécurité.
Le pirate a commencé par faire de l'ingénierie sociale auprès d'un employé d'Uber, après avoir trouvé son numéro de What'sApp. Le pirate l'a contacté et a commencé à l'hameçonner en lui demandant de se connecter à un faux site Uber, puis de saisir son nom d'utilisateur et son mot de passe.
Les comptes Uber sont protégés par l'authentification multifactorielle (MFA), ce qui signifie qu'en plus de son mot de passe, l'utilisateur doit présenter un deuxième élément de preuve confirmant son identité. Dans la plupart des cas, il s'agit d'un message envoyé à un appareil mobile.
Après avoir obtenu les informations d'identification, l'attaquant a lancé une attaque de fatigue MFA en essayant continuellement de se connecter au site authentique d'Uber et en submergeant l'employé avec de nombreuses notifications push sur son appareil. L'attaquant a de nouveau contacté la victime via WhatsApp. Cette fois, il s'est fait passer pour le service d'assistance informatique et a réussi à convaincre la victime d'accepter.
Informations d'identification codées en dur
La faille de sécurité d'Uber est due à une attaque d'hameçonnage réussie. Une fois à l'intérieur, l'intrus a trouvé des partages de réseau contenant des scripts PowerShell. L'un de ces scripts contenait les identifiants codés en dur d'un utilisateur administrateur, ce qui a conduit à la compromission des services internes d'Uber, tels que AWS, G-Suite et les référentiels de code. Le pirate a également eu accès au compte HackerOne d'Uber. Selon Uber, "tous les rapports de bogues auxquels l'attaquant a pu accéder ont été corrigés".
Curieux de voir à quoi ressemblerait cette vulnérabilité dans le code ? Essayez gratuitement notre défi PowerShell.
Quelle est la fréquence de ces types d'attaques ?
Il est difficile de se défendre contre l'ingénierie sociale en tant que vecteur d'attaque, car le facteur humain a toujours été considéré comme la partie la plus faible de la cybersécurité. Le piratage d'Uber a clairement illustré le fait que les implémentations MFA peuvent facilement être contournées. Pour éviter cela, il est essentiel de sensibiliser les employés au fonctionnement des attaques par hameçonnage.
Ce qui a causé l'exposition des services internes d'Uber, cependant, c'est le nom d'utilisateur et le mot de passe de l'administrateur qui ont été trouvés dans un script PowerShell. Il n'est jamais bon de coder en dur des informations d'identification, car elles deviennent lisibles par n'importe quel développeur et, en fait, par toute personne ayant accès au code.
Mais là encore, la sensibilisation est essentielle ! Les développeurs qui ont un état d'esprit axé sur la sécurité sont plus susceptibles de repérer les vulnérabilités et moins susceptibles de les écrire.
Une double approche, à savoir une formation générale sur l'ingénierie sociale et, plus spécifiquement, une formation proactive au codage sécurisé, réduira le nombre de vulnérabilités dans une base de code et s'avérera donc essentielle dans la lutte contre les menaces à la sécurité.
Vous voulez en savoir plus sur les meilleures pratiques en matière de codage sécurisé ? Consultez Secure Code Coach. Vous pouvez y apprendre les lignes directrices en matière de codage sécurisé et tester gratuitement des exercices de formation.
Table des matières
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Services professionnels - Accélérer grâce à l'expertise
L'équipe des services de stratégie de programme (PSS) de Secure Code Warriorvous aide à construire, améliorer et optimiser votre programme de codage sécurisé. Que vous partiez de zéro ou que vous affiniez votre approche, nos experts vous fournissent des conseils sur mesure.
Thèmes et contenu de la formation sur le code sécurisé
Notre contenu, à la pointe de l'industrie, évolue constamment pour s'adapter au paysage du développement logiciel en constante évolution, tout en gardant votre rôle à l'esprit. Les sujets abordés vont de l'IA à l'injection XQuery, et sont proposés pour une variété de rôles, des architectes et ingénieurs aux gestionnaires de produits et à l'assurance qualité. Découvrez en avant-première ce que notre catalogue de contenu a à offrir par sujet et par rôle.
Quêtes : Apprentissage de pointe pour permettre aux développeurs de garder une longueur d'avance et d'atténuer les risques.
Quests est une learning platform qui aide les développeurs à atténuer les risques liés à la sécurité des logiciels en améliorant leurs compétences en matière de codage sécurisé. Grâce à des parcours d'apprentissage, des défis pratiques et des activités interactives, elle permet aux développeurs d'identifier et de prévenir les vulnérabilités.
Ressources pour vous aider à démarrer
Vibe Coding va-t-il transformer votre base de code en une fête de fraternité ?
Le codage vibratoire est comme une fête de fraternité universitaire, et l'IA est la pièce maîtresse de toutes les festivités, le tonneau. C'est très amusant de se laisser aller, d'être créatif et de voir où votre imagination peut vous mener, mais après quelques barils, boire (ou utiliser l'IA) avec modération est sans aucun doute la solution la plus sûre à long terme.
La décennie des défenseurs : Secure Code Warrior Dixième anniversaire
Secure Code WarriorL'équipe fondatrice de SCW est restée soudée, dirigeant le navire à travers chaque leçon, chaque triomphe et chaque revers pendant une décennie entière. Nous nous développons et sommes prêts à affronter notre prochain chapitre, SCW 2.0, en tant que leaders de la gestion des risques pour les développeurs.
Codage axé sur le développeur.
En toute sécurité.
Contactez-nous dès aujourd'hui et faites de la sécurité des logiciels une partie intrinsèque de votre processus de développement.
