Avec tous les problèmes techniques que connaît Twitter, j’étais passé à côté d’un désastre énorme : nombreux sont ceux qui utilisent encore Twitter pour s’identifier sur d’autres sites web. Oups, il faut absolument arrêter de faire ça maintenant.
Pourquoi ? Parce qu’une partie du système de connexion de Twitter est déjà cassée. Le système d’authentification à deux facteurs (2FA) de Twitter a commencé à se détériorer le lundi 14 novembre. Cela s’est produit après que le PDG de Twitter, Elon Musk, a annoncé que Twitter allait « désactiver le bloatware des « microservices » ».
Part of today will be turning off the “microservices” bloatware. Less than 20% are actually needed for Twitter to work!
— Elon Musk (@elonmusk) November 14, 2022
Elon Musk est peut-être doué pour lancer des fusées, mais cela ne se traduit pas forcément par une précision dans l’identification du bloatware des microservices. Un ou plusieurs de ces services étaient essentiels à l’authentification à deux facteurs par SMS (2FA). L’authentification à deux facteurs par SMS est la forme d’authentification à deux facteurs la plus couramment utilisée. Le résultat de cette suppression est que si vous aviez configuré l’authentification à deux facteurs pour protéger votre compte contre les pirates, vous ne pouvez plus l’utiliser pour changer votre mot de passe ou vous reconnecter si vous faites un doigt d’honneur à votre mot de passe.
Tant pis pour Twitter
Ian Coldwater, co-président de Kubernetes Security et architecte de Twilio, qui s’y connaît en sécurité et en microservices, a tweeté : « Le microservice qui fournit des codes 2FA par SMS est cassé. Des rapports indiquent également que les codes de secours sont cassés. Si vous avez un code 2FA par SMS, ne vous déconnectez pas. »
Coldwater a recommandé de rester connecté et de changer votre méthode 2FA de SMS à e-mail ou une application d’authentification ou une clé de sécurité physique (comme une YubiKey).
Tant pis pour Twitter. Mais ce qui est potentiellement encore pire, c’est que si vous utilisez Twitter pour l’authentification unique (SSO) sur d’autres sites, vous pourriez également être bloqué sur ces sites. Comme l’explique Ian Coldwater, « si vous avez des applications ou des sites auxquels vous vous connectez qui sont reliés à votre compte Twitter via OAuth, je vous recommande FORTEMENT de les modifier dès maintenant, tant que vous le pouvez encore ».
Pour modifier votre 2FA Twitter, allez dans Paramètres > Support > Paramètres > Confidentialité > Sécurité & Accès au compte > Sécurité > Authentification à deux facteurs.
Si vous avez choisi le SMS comme méthode d’authentification à deux facteurs, passez à une application d’authentification ou à une clé de sécurité. Suivez simplement les instructions et tout devrait bien se passer… pour l’instant.
Une autre chose à garder à l’esprit : vous voyez souvent les SSO comme une invitation sur les sites comme un moyen facile de se connecter sans créer un énième mot de passe. Au lieu de cela, il vous suffit d’utiliser votre nom de connexion et votre mot de passe Google, Microsoft, Facebook, Apple ou Twitter.
C’est une bonne chose si vous faites confiance au site principal pour rester stable et protéger vos données. Mais dans les circonstances actuelles, Twitter n’est pas digne de confiance dans ce sens.
Vous devez immédiatement vous rendre sur les sites où vous utilisez Twitter pour vous connecter et le remplacer par quelque chose – n’importe quoi – d’autre. Pour savoir quels sont les sites pour lesquels vous utilisez Twitter comme SSO, rendez-vous sur l’application ou le site web Twitter et vérifiez Paramètres > Support > Paramètres > Confidentialité > Sécurité & Accès au compte > Applications & sessions.
Une fois sur place, cochez la case « Apps connectées » pour les applications qui ont des droits de lecture-écriture sur Twitter ou vice-versa. Ensuite, vérifiez l’historique des accès au compte pour les sites qui ont utilisé Twitter pour se connecter récemment.
Muni de ces informations, rendez-vous sur les sites et services que vous avez trouvés et adoptez un autre identifiant et un autre mot de passe, plus stables. Au train où vont les choses, ce n’est qu’une question de temps avant qu’il n’y ait un autre problème technique avec Twitter, et vous ne voulez pas être bloqué hors d’autres sites quand – et non pas si – Twitter échoue.
Source : ZDNet.com