Bitly, le service de réduction d’URL encourage ses utilisateurs à changer de mot de passe
Les responsables du service de réduction d’URL Bitly ont signalé jeudi aux utilisateurs qu’ils pensaient que les informations d’identification (mots de passe, clés API et jetons OAuth) de ces derniers avaient été compromises.
Alors que la société affirme que rien n’indique que des comptes aient été utilisés sans autorisation, elle signale sur son blog qu’elle a adopté des mesures de prévention pour garantir la sécurité de ses utilisateurs, notamment la déconnexion des comptes Facebook et Tweeter du service.
Le service a rendu ces informations d’identification non valides peu de temps après avoir découvert le problème jeudi 8 mai 2014, ce qui signifie que si des utilisateurs partageaient des URL raccourcies via Tweeter ou Facebook, ils devront les connecter à nouveau la prochaine fois qu’ils ouvriront une session s’ils souhaitent réaliser des publications via ces comptes.
Les utilisateurs devraient partir du principe que leurs adresses de messagerie, les mots de passe chiffrés, les clés API et les jetons OAuth ont tous été compromis.
Ce billet a été rédigé par Mark Josephson, le P.D.G. de Bitly.
Bien qu’avare sur les détails de l’attaque, il a encouragé les utilisateurs qui n’utilisent aucun des deux réseaux sociaux cités ci-dessus pour partager des liens de changer leur clé API héritée et leur jeton OAuth, puis de réinitialiser leur mot de passe.
Le blog de la société fournit les instructions pour la procédure à suivre.
On ne sait pas si le problème est lié aux failles de sécurité dans OpenID et OAuth 2.0 qui ont fait leur apparition la semaine dernière, mais nous supposons que des détails seront bientôt communiqués.
Vendredi dernier, Wang Jing, un chercheur établi à Singapour, a divulgé une vulnérabilité qu’il a baptisée une « redirection masquée » et qui touchait certaines mises en oeuvre de OAuth et OpenID.
L’attaquant qui parviendrait à utiliser cette faille correctement pourrait rediriger les utilisateurs vers des URL de son choix après autorisation et récupérer les informations d’identification.
