Déjà, une petite précision, étant donné que je ne suis pas sûr que ce soit bien clair : le texte de ton tuto sera posté dans le forum, pas seulement un lien vers celui-ci (mais rien n'empêche de fournir le lien quand même). Ceci pour éviter les tutos pointant vers des liens morts.
Côté vocabulaire, je pense que le mot «routeur» n'est pas adapté. Là, il s'agit d'attaquer les box des particuliers, qui font accessoirement routeurs, mais n'en sont pas à proprement parler. Et puis, un vrai routeur (un truc avec 20, 50 ou 200 ports !) s'attaquera moins facilement (quoique... quand je vois les IHM web que Cisco a réussi à pondre ces derniers temps...).
Sur le fond :Mais les fournisseurs d'accès à internet, ne font rien pour empêcher cela ?
Trop tôt. C'est ta conclusion, en fait.
Et comment ça fonctionne ?
Donner au moins l'explication de l'acronyme CSRF (et si possible, le décrire en une phrase simple).
L'exemple du sondage est pas mal, mais il faudrait la recadrer pour bien expliquer qu'il s'agit d'un sondage sur un site, qui n'est pas le tien, etc...
Approfondissement
Ou, plus simplement «L'attaque». C'est le coeur de ton papier, finalement.
Mon avis sur cette partie : commence par expliquer que tu ajoutes... quoi au fait ? Une translation de port ? En tout cas, ce n'est pas une simple ouverture. Bref, décrit ce que tu fais sur l'IHM, puis explique la capture par LiveHttpHeaders. Ensuite seulement, l'url d'attaque (en la décrivant précisément : tout le monde ne connait pas cette manière de spécifier le login et le mot de passe dans le cas (précis) de l'authentification HTTP).
Ce qui donne par exemple :
Là aussi, tu devrais réexpliquer que tu reviens à ta page web malicieuse, car ça ne me semble pas très clair.
III. Se sécuriser :
Ça veut dire quoi «vous avez les sources du routeur» ? Si c'est une supposition, alors il faut un «si». As-tu des exemples de fournisseurs offrant les sources ? Si oui, c'est toujours bon à préciser. Et ajouter un mécanisme de session ne bouchera pas forcément le trou.
Changer le mot de passe (et même le nom d'utilisateur, si c'est possible), reste le moyen simple et immédiat. Si tu connais des gros fournisseurs d'accès dont les box ne permettent pas la modification, précise-le : c'est important, et je ne pense pas qu'il en reste beaucoup, mais je peux me tromper.
Enfin, il me semble qu'il te manque une possibilité : je crois qu'il existe des add-ons, notamment pour Firefox (mais pourquoi pas pour un autre navigateur) qui permettent de lutter contre les CSRF. C'est à mon avis à signaler.
Et pour l'ordre dans la liste, franchement, c'est d'abord le mot de passe, ensuite l'add-on, et pour finir les sources (mais je reste très dubitatif sur ce dernier point).
Ah, au fait, je pense qu'il est prétentieux de déclarer
Il existe deux méthode de se sécuriser : en es-tu sûr ?
Sur la forme :Ta capture d'écran de l'interface de la box Alice est trop grande et illisible. Pourquoi ne pas prendre une capture limitée à l'instance d'un navigateur et pas en plein écran ? (qui plus est, ça permettra d'éviter de savoir ce qui traîne dans ta barre des tâches, tes onglets, etc...).
Et pas de smileys (ou alors pas beaucoup). C'est une documentation, pas un chat.
Pour terminer, le nerf de la guerre : il y a beaucoup trop de fautes de frappe ou d'orthographe. Vraiment beaucoup.
Bon courage !
IRC
Newbie Connect
Liens
Partenaires
Réglement
Goodies
L'incubateur
L'équipe
Hall Of Fame
