sujet Re: Déconnexion de TOUTES les sessions dans mon mail Orange

Déconnexion de TOUTES les sessions

tlam — Mon, 25 Dec 2017 13:25:57 GMT

Bonjour à tous, comment faire pour couper toutes les sessions ouvertes sur un compte Orange ?
Mon beau frère s'est fait pirater son compte, et le pirate avait changé son mot de passe. Par SMS on a pu remettre un autre mot de passe, mais comment faire pour fermer la session que le pirate maintient toujours ouverte sur le compte ?

Re: Déconnexion de TOUTES les sessions

melet39 — Mon, 25 Dec 2017 13:30:36 GMT

bonjour @tlam

en attente d'autres intervenants

si tu as changé le mot de passe par un compliqué et qu'il n'y a pas d'adresse de redirection vers le pirate

https://assistance.orange.fr/ordinateurs-peripheriques/installer-et-utiliser/l-utilisation-du-mail-et-du-cloud/le-mail-orange/gerer-vos-emails/messagerie-mail-orange-rediriger-vos-emails-vers-une-autre-boite-mail_31126-31869

il n'a plus accès au compte

cdt

Re: Déconnexion de TOUTES les sessions

tlam — Mon, 25 Dec 2017 13:40:48 GMT

Le pirate a toujours son cookie de session valide, et pourra donc intervenir sur le compte.
On l'avait constaté : mon beau frère avait toujours accès à son compte alors que le mot de passe avait été changé par le pirate (le système nous avait dit que le mot de passe actuel était invalide quand on avait essayé de changer le mot de passe par le web)

Re: Déconnexion de TOUTES les sessions

melet39 — Mon, 25 Dec 2017 13:52:41 GMT

re @tlam

le mieux comme dit plus haut,attendre d'autres intervenants plus spécialistes dans ce domaine

cdt

Re: Déconnexion de TOUTES les sessions

Ancien Membre — Mon, 25 Dec 2017 16:28:10 GMT

Bonjour @tlam,

Que signifie "Le pirate a toujours son cookie de session valide" ?

Une connexion à un compte est réalisée par la personne qui dispose du mot de passe. Une seule personne peut être connectée sur un compte à un moment donné. Si tu as changé le mot de passe (pour un très solide, j'espère), le pirate ne le connait pas, donc ne peut pas se connecter à ce compte.

Le reste de ton explication (avec ton beau frère dans le coup) est incompréhensible.

Re: Déconnexion de TOUTES les sessions

tlam — Mon, 25 Dec 2017 17:05:04 GMT

On peut ouvrir plusieurs sessions sur un compte. Le pirate a déjà sa session ouverte sur le compte et le fait de changer le mot de passe ne le déconnecte pas.

Re: Déconnexion de TOUTES les sessions

tlam — Mon, 25 Dec 2017 17:29:32 GMT

Gmail ou LinkedIn par exemple permettent de fermer toutes les sessions ouvertes sur un compte.
Peut on faire la même chose chez Orange ?

Re: Déconnexion de TOUTES les sessions

PhilDur — Mon, 25 Dec 2017 21:13:11 GMT

Salut @Ancien Membre

@tlam a raison le mot de passe ne sert qu'à établir la session.

Tant que la session est active, il n'y a pas besoin de vérifier le mot de passe.

La session est concrétisée dans le cookie de session.

Merci @tlam, tu viens de m'aider à comprendre comment le pirate peut faire pour prolonger son intrusion.

Le seul moyen de réinitialiser la session c'est de contacter Orange, pour que le service technique réinitialise la connexion du côté du serveur.

Cordialement

PhilDur

Re: Déconnexion de TOUTES les sessions

PhilDur — Mon, 25 Dec 2017 21:42:47 GMT

@tlam a écrit :
Gmail ou LinkedIn par exemple permettent de fermer toutes les sessions ouvertes sur un compte.
Peut on faire la même chose chez Orange ?

Bonjour @Stéphanie et @Ridge

La question vient s'ajouter à toutes mes remarques concernant la sécurité des comptes utilisateurs.

Il me semble de plus en plus Urgent de faire quelque chose, au moins de soumettre ce problème à un groupe de spécialiste en Sécurité.

Cordialement

PhilDur

Re: Déconnexion de TOUTES les sessions

Ancien Membre — Tue, 26 Dec 2017 04:21:21 GMT

Merci @PhilDur,

Enchanté ! On ne m'avais jamais présenté un "cookie de session".

Une question me turlupine cependant : Et si on coupe le connexion pendant un certain temps, la session n'est-elle pas déconnectée ?

Re: Déconnexion de TOUTES les sessions

tlam — Tue, 26 Dec 2017 08:40:33 GMT

Bonjour @Ancien Membre

Si on ferme le navigateur tu veux dire ? Ca dépend si la case "rester identifié" a été cochée ou pas au moment de la connexion.

Ca m'étonnerait que le service technique sache fermer toutes les sessions d'un compte si cette fonctionnalité n'a pas été prévue, à moins de redémarrer le serveur, mais si cela est possible, merci de me contacter afin que je communique le nom du compte.

Re: Déconnexion de TOUTES les sessions

PhilDur — Tue, 26 Dec 2017 09:15:56 GMT

@Ancien Membre a écrit :

Enchanté ! On ne m'avais jamais présenté un "cookie de session".

Seule une déconnexion logique peut couper une session. Il faut supprimer le cookie à une des deux extrémités de la session.

Eteindre l'ordinateur ou fermer le navigateur ne provoque aucune déconnexion.

La durée de vie du cookie semble extrèmement longue surtout si l'option rester connecter a été cochée.

Ainsi, il est possible d'utiliser 3 sessions Orange avec un seul ordinateur, une session avec Firefox, une session avec Chrome et une session avec Edge. Je n'ai pas essayé avec IE, mais pourquoi pas une 4ième session.

Tout vient de TCP/IP : la connexion n'est pas matérialisée, elle est virtuelle. Autrefois avec le Minitel (Oui c'était la préhistoire), l'extinction du Minitel, désalimentait le modem, ça coupait la connexion téléphonique, ça déconnectait le terminal du PAD, et ça libérait le CV (circuit virtuel) au niveau X25. Avec IP, c'est fini, tant que le cookie est disponible on est connecté !

C'est aussi pour ça que le sujet concernant le message d'erreur "Activez les cookies" est purement crétin ; si l'utilisateur consulte sa messagerie et qu'il voit ce message alakon, il n'a qu'à l'ignorer, son navigateur accepte les cookies s'il peut utiliser le webmail. J'aimerais bien comprendre d'où ça sort. Jamais les ingénieurs de France Télécom ou de TéléSystèmes n'auraient laissé un tel message appeurer leurs clients. Orange soutraite t-il sa production à une Société de Service ?

Si on compare avec une banque, ici la durée de vie du cookie est gigantesque.

La plupart des banques définissent des durées de vie du cookie de session en dizaines de secondes.

Le cookie de session Orange semble disposer d'une durée de vie en jours.

Une première parade temporaire serait de désactiver temporairement l'action de "rester connecter", mais j'imagine la double mégachiée de posts par mn, "je veux rester connecter" ou "je n'arrive plus à lire mes mails".

Une solution possiblement rapide à mettre en place : supprimer tous les cookies de session du compte lors du changement de mot de passe. Mais c'est juste une vue rapide, les architectes du site Orange, doivent trouver une solution qui n'a pas d'effets de bords. ... Ca peut prendre du temps.

Cordialement

PhilDur