Eviter le phishing - Comparer ses URLs et adresses d'envoi d'argent

Morning Glory a écrit

Coucou captain, ton lien est en http et non https, c'est la seule chose qui me dérange jusque là. Je fais remonter au reste de l'équipe pour décider de si on héberge ton outil ou pas :) Merci pour ton travail!

Salut Morning Glory,
J'avoue que vu que le but était de voir si l'outil intéressait qui que ce soit, je ne voulais pas vraiment payer un hébergement payant et ou un certificat ssl. l'idée finale était de soit distribuer librement la chose et de faire tourner en local pour ceux qui savent le faire (LAMP, WAMP, MAMP) ou de l'intégrer à PA.

pierre a écrit

Je t'envoie le fichier zip contenant le .php en MP dans quelques minutes.

Pour l'intégrer, ce n'est pas un code spécialement compliqué, j'utilise la fonction strcmp après validation du formulaire. Je ne sais pas dans quelle mesure FluxBB (jamais vraiment aimé ce soft de forum) permet d'intégrer des pages avec son propre code sinon une manière un peu plus brute de l'intégrer serait d'héberger le fichier php sur le serveur et faire un Iframe en html vers ledit fichier en lien relatif. A disposition si besoin d'un coup de main.

kaneda a écrit

J'ai une suggestion : après avoir comparer les 2 sources est-il possible que les caractères différents soit écrit en rouge par exemple ? Comme ça on voit exactement quel caractères à été modifié. (Exemple ci-dessus)

Ce n'est pas un rajout très compliqué donc je le ferai dans le futur si ça intéresse du monde, mais j'avoue que quand j'ai développé ça au milieu de la nuit, j'étais un petit peu sous ketamine (léger) et je n'avais rien développé depuis des mois alors j'ai utilisé la fonction basique qui vérifie juste la similarité de deux chaînes de caractères mais je peux sans souci rajouter quelque chose qui vérifierait quelle partie est différente et la surligner (si différence il y a).

J'envoie déjà le fichier tel quel à Pierre et on avisera pour la suite.

Si des petits outils/utilitaires vous semblent utiles ou à développer, n'hésitez pas à m'en faire la suggestion (conversation équianalgésique opiacée ou que sais-je par exemple, même si c'est à titre indicatif.

Mes quelques notions de programmation sont les vôtres bien qu'actuellement j'essaie de reprogrammer mon cerveau X)

Merci pour vos retours.

Dernière modification par AnonLect (20 novembre 2022 à  21:56)

CaptainCrox' a écrit

Salut

Je compare tout le tps les adresses, les clefs ou autres infos sensibles car il m'est arrivé que deux annuaires censés être fiables donnent une url quasi similaire mais qui, en pratique, donnait une info différente à quelques lettres près.

Je garde tjrs dans mes notes informatiques les adresses de mes markets favoris  mais vu qu'il arrive que celles-ci changent de temps à autre, comparer ce que j'ai d'enregistré (ou favoris) à celle(s) proposées par des annuaires me permet de savoir où j'en suis.

Pour les adresses de paiement, si tu utilises un wallet local (my monero par ex.), l'adresse est en général toujours là même. Donc quand j'achète mes xmr sur une plate-forme légale type binance et que j'envoie sur mon wallet perso avant d'envoyer sur le Market, je vérifie, au cas où, que l'adresse de mon wallet locale n'a pas changé. Le risque est infiniment petit mais vu qu'avec les paiements crypto il n'y a pas de retour en arrière. Je préfère perdre 10 secondes avec cet outil que d'envoyer mon argent dans les choux.

Un bug qu'il m'est arrivé sur alphabay, c'est quand j'ai voulu mettre de l'argent sur mon market wallet, sur la page de ton portefeuille où il t'affiche l'adresse où envoyer l'argent, il te met l'adresse deux fois. Dans le cas du bug dont je parle, j'avais deux adresses différentes.

Quant aux clef pgp, certains annuaires proposent la clef publique de certains sites. Il peut être intéressant de comparer la clef donnée par l'annuaire à celle donnée par le site.

Récemment, darknetlive à changé de propriétaire/ à été vendu mais les anciens adminis n'ont pas vendu leur clef privée pgp donc c'est une nouvelle clef et vouvelle empreinte. Dans ce cas, comparer les cefs, urls miroirs etc peut s'avérer utile.

Dans le clear web, c'est le genre d'outil qui peut vite se retrouver utile pour éviter le phishing traditionnel, comparer des iban lors de virements

Cet outil n'est probablement pas utile pour tout le monde.  En ce qui me concerne, vérifier et double vérifier tout ce que je fais m'est indispensable. Cela passe par la vérification de deux chaînes de caractères. Et bien d'autres choses.

D'autres y verront une petr de temps et d'autres en tireront ce qui leur utile.

Dans l'univers du dw, la prudence et la méfiance permanence sont de mises. D'où cet  "outil".

D'ailleurs, je répète, si vous pensez que d'autres outils pourraient être utiles à développer faites-le savoir.

pierre a écrit

Je dois dire que c'est courageux de faire ton propre fork de punbb/fluxbb. Curiosité de développeur, comment gères-tu les màj de sécurité vu que ton système n'a que très peu de l'original?

Qu'est-ce qui t'a motivé il y a 15 ans à choisir ce software ? Je trouve PA très bien fait mais mise à part la légèreté du soft et le côté open source, ca à du te rajouter une masse de travail monstre... il existe des forums libres ou pas qui proposent tout ce que tu as sûrement du développer toi-même et modernes (gestion de pages, wiki intégré, modes, maj facilitées, etc.)

Je ne critique pas le forum que je trouve fonctionnel et efficace. C'est juste un questionnement et de la Curiosité développeur.

A lere du Web 2.0/web 3.0 et l'arrêt proche du suivi fluxbb, je ne peux m'empêcher de m'inquiéter pour la pérennité du forum. Bref désolé. Ça ne me regarde pas en plus. Désolé..sache en tt cas que si tu as besoin d'aide tech quelconque je suis dispo et prêt à aider. Je suis déjà adhérent de l'association et si je peux aider autrement ce serait un plaisir.

D'acc, merci des précisions !

Donc c'est surtout pour être sûr à 150% quand on est sûr qu'à 99%, et qu'on a déjà toutes les données. Mais je te rejoins, sur le deep, 99% n'est pas suffisant, je suis d'accord !

Pour le Wallet perso, pour le coup je fais à chaque fois "créer une nouvelle adresse de réception" donc elle change à chaque fois... Après je suis relativement sûr de mon "copier/coller", mais c'est vrai que je vérifie toujours que les premier et derniers caractères sont bien les mêmes, au cas oû j'aurai omis de tout sélectionner ou autre...

Donc je vois très bien maintenant dans quel cadre l'utiliser, merci à toi .

Dernière modification par AnonLect (21 novembre 2022 à  12:15)