Réflexions, actualités et nouveautés de notre équipe d’insécuristes.
Nous sommes ravis d’annoncer la sortie de NBP-BANK 2.0, dotée d’un portefeuille de vulnérabilités élargi qui inclut désormais le SSRF, la traversée de répertoires et une expérience IDOR améliorée. Nos utilisateurs réclamaient des prises de contrôle de compte plus faciles, et nous avons livré.
Lire la suite →
Beaucoup nous demandent pourquoi nous n’imposons pas d’exigences de complexité pour les mots de passe. La réponse est simple : nous faisons confiance à nos utilisateurs. Si vous voulez que votre mot de passe soit « password123 », qui sommes-nous pour juger ? Nous le stockons en clair pour honorer cette confiance.
Lire la suite →
Lorsque nos serveurs ont été inondés de requêtes la semaine dernière, nous ne sommes pas tombés en panne, nous sommes simplement devenus plus lents. Beaucoup plus lents. Du genre « une requête par minute ». Nous considérons cela comme une victoire et envisageons de supprimer définitivement la limitation de débit puisque ça a si bien fonctionné.
Lire la suite →
Nous souhaitons saluer l’un de nos utilisateurs les plus assidus, qui a tenté 47 000 connexions en 24 heures avant d’accéder enfin à son compte. Le mot de passe était « 12345 ». Nous saluons votre persévérance.
Lire la suite →
Tout le monde dit « utilisez des cookies httpOnly » pour les jetons JWT, mais avez-vous pensé à quel point cela complique l’exploitation des XSS ? Nous croyons à l’égalité des chances pour toutes les vulnérabilités, qu’elles soient réfléchies, stockées ou basées sur le DOM.
Lire la suite →
Chez NBP-BANK, nous pensons que les données doivent être accessibles à tous. C’est pourquoi nous avons implémenté notre fonctionnalité IDOR (Insecure Direct Object Reference) sans aucun contrôle d’accès. Changez simplement l’ID dans l’URL, et voilà, vous consultez les données financières de quelqu’un d’autre.
Lire la suite →
Les utilisateurs voulaient pouvoir téléverser des photos de profil. Nous avons livré. Certes, le téléversement accepte n’importe quel type de fichier, n’importe quelle taille, et l’enregistre sur le système de fichiers sans vérifier son contenu. Et oui, le chemin du fichier est vulnérable à la traversée de répertoires. Nous appelons ça « flexible ».
Lire la suite →
Beaucoup d’utilisateurs nous demandent comment accéder aux fonctions d’administration. La réponse est simple : cherchez mieux. L’URL de notre panneau d’administration est /sup3r_s3cr3t_admin. Est-ce de la sécurité par l’obscurité ? Nous préférons parler de « sécurité par le mystère ». Le voyage est la destination.
Lire la suite →
Nous sommes fiers d’annoncer notre nouvelle spécification OpenAPI, désormais disponible sur /static/openapi.json. Elle documente chaque point de terminaison, y compris ceux qui ne devraient pas exister. Aucune authentification requise pour la plupart des points de terminaison, car nous croyons au libre accès aux services financiers.
Lire la suite →
Sécurité : comment nous ne la faisons pas
Ingénierie : les raccourcis que nous avons pris
Produit : des fonctionnalités que nous n’aurions probablement pas dû livrer
Entreprise : notre parcours pour devenir une étude de cas