Je viens de tenter de me connecter une premiére fois sur césium, mais je m’étais trompé de code, j’ai reçu un message d’erreur.
J’ai re-tenté ma chance (en faisant encore une erreur) mais là j’ai pu accéder à césium comme si le compte existait. Sur le coup j’ai cru que mon compte était alors vide.
Je me suis ensuite reconnecté avec les bons codes; J’ai retrouvé mes paramétres; Dans l’annuaire, j’ai pu retrouver le compte que j’avais crée lors de ma deuxiéme conneion par erreur (clef publique 9Qs8Y6rXGacqQVygvf8jyGH5doPprgFNf9xSSizSKNMR)
À tout couple de mots de passe est associé un unique compte. Tous les comptes existent potentiellement. Cesium affiche différemment les comptes qui ont déjà été utilisés avec Cesium, mais ça ne veut pas dire que les autres existent moins. Il lui est impossible de savoir si on a entré les identifiants du compte qu’on voulait vraiment, c’est à l’utilisateur de vérifier la clé publique qui s’affiche en dessous. (vérifier les premiers caractères suffisent dans ce cas-là, la plupart du temps)
On ne peut pas appliquer en blockchain les principes d’un site web centralisé classique, avec un mot de passe et une liste de comptes stockés dans un serveur omniscient.
En revanche, après qu’on s’est identifié une fois, Cesium affiche lors de l’identification si les identifiants sont ceux du compte dont il se souvient ou pas.
Ça fait plusieurs fois que des gens s’interrogent là-dessus, je ne sais pas si ce sujet est abordé dans le guide du débutant.
est ce que cesium indiquait ton nom ou pseudo lorsque tu as réussi à te connecter par erreur à un autre compte ?
j’ignorais qu’il y avait un guide du débutant. peut être que ce serait bien que ce guide parle de la notion de gestionnaire de mots de passe (keepassxc, bitwarden qui pourrait être hébergé par le site de la monnaie-libre.fr ou Duniter.org) et de pass phrase d’au moins 25 caractères pour se créer un coffre fort.
Césium n’indiquait rien du tout.
Aprés enquête il apparait que n’importe quelle combinaison pseudo /mot de passe existe, en fait il s’agirait plutôt des clefs publiques qui existeraient toutes (puisqu’il n’y à pas de notion de pseudo/mdp).
J’ai trouvé étrange de pouvoir « créer » un compte sans passer par la procédure de création des comptes. A ce moment là à quoi sert la création d"un compte par une procédure un peu plus longue ?
j’ai trouvé aussi étrange que lors de ma premiére tentative infructueuse, j’ai reçu un message d’erreur et puis ensuite plus rien…
Apparement ça ne semble pas être une faille de sécurité; Je me disais que si un robot se mettait à créer un maximum de clef publique, il pourrait nottament pirater les comptes déja existant, mais aussi bloquer le systéme et provoquer un DoS. Ceci dit je n’ai pas notion de la puissance qu’il faudrait pour faire cette opération…
J’ai ces informations suite à quelques recherches sur le sujet…
Oui. J’ai d’ailleurs essayé de le faire (sans succès) sur ce compte, à la demande de son propriétaire.
Et certains malins (je ne sais pas qui) se sont déjà amusés à ce petit jeu. La faille de sécurité, ici, c’est les id/mdp trop faibles. Utilisez des mots de passe longs et faciles à retenir avec la méthode Diceware !
Non. Le système est distribué. Si on fait tomber un noeud, les autres peuvent prendre le relais. Bon courage pour faire tomber tous les noeuds en même temps. D’ailleurs, pas besoin de créer des comptes pour ça, demander les soldes des comptes suffirait.
D’ailleurs, on arrive déjà très bien à bloquer le système un noeud tous seuls , mais des solutions sont trouvées.
Créer une clé publique est une opération mathématique qui se fait sur sa propre machine, afin de ne pas donner ses mots de passe à quelqu’un d’autre. On n’a pas besoin de le demander ça au serveur, ce n’est pas un moyen pour DoS un nœud Duniter.
On peut toutefois spammer un nœud Cesium+ de création de comptes. Ça affectera les utilisateurs de Cesium+, mais aucunement la blockchain. J’imagine qu’il y a des filtres antispam classiques.
Pour la création d’identités (affectant la blockchain), je sais qu’il y a un antispam dans Duniter.
Par contre l’appellation « identifiant » est trompeuse : l’algorithme qui transforme deux mots de passe en clé publique (Scrypt) prend bien deux mots de passe. Ce ne sont pas des pseudos. Cette technique est utilisée surtout parce qu’étant longue à calculer, elle réduit le risque d’attaque par force brute (essai de plein de mots de passe différents) et parce que demander deux mots de passe incite l’utilisateur à en utiliser deux différents, ce qui est plus sûr (on met le nombre de combinaisons au carré). (ça devrait aussi avoir sa place dans le guide)
Exemples concrets : le compte dont les identifiants sont respectivement a et b a été vraiment utilisé par quelqu’un, et certains l’utilisent souvent pour tester des logiciels. Du coup tout le monde peut voler cet argent. Dans l’autre sens, on peut envoyer des Ğ1 à une clé publique aléatoire ou à xxxxx… pour pratiquement les détruire.
Pourquoi ai-je eu un premier message indiquant qu’il y avait une erreur de connexion, puis plus rien ensuite ?
Dans mes recherches, j’ai trouvé un utlisateur disant que son fils se serait connecté par mégarde à un compte possédant des G1; Heureusement, l’honnêteté de l’utilisateur à fait qu’il à demande à son fils de se déconnecter immédiatement; Quelqu’un de malveillant aurait pu transférer de l’argent sur un autre compte…
En montant en puissance, l’organisation pourrait interresser des personnes malveillantes et mancer justement des attaques pour rechercher à se connecter à des comptes utilisant de niveaux assez faibles…
C’est à dire qu’il faudrait forcer les utilisateurs à niveau de sécurité minimum alors ?
L’important est aussi de prévenir la personne. Virer 1 Ğ1 sur un autre compte pour faire prendre conscience de la nature du danger ne me choquerait pas.
Ce phénomène montre que les deux personnes avaient des mots de passe trop faibles.
On ne peut forcer l’utilisation de mots de passe complexes. On peut seulement avertir dans les clients avec des gros messages en rouge et qui clignotent et qui font du bruit. Avec un second avertissement quand on veut transformer le compte en compte membre.
, mais