accueilLogicielsDéveloppement et Qualité LogicielsFailles de sécurité des applications Web
 

Protection insuffisante de la couche transport


1. Principe
2. Exemples d’attaque
3. Parade et bonnes pratiques

Principe

 Comme évoqué pour le stockage des données sensibles, celles-ci ne doivent apparaître en clair qu’aux personnes autorisées. Sur les Internet il existe un risque qu’une requête ou une réponse http soit interceptée. Si elle contient des informations confidentielles transmises en clair, alors l’attaquant pourra les exploiter facilement.

 Tous les réseaux de l’architecture de l’application Web sont concernés, depuis le navigateur de l’utilisateur jusqu’au stockage des données, en passant par le serveur web.

Exemples d’attaque

 L’attaque du type « Homme du milieu » (ou « Man-in-the-Middle ») est une des attaques les plus répandues pour accéder aux données d’une application [1]. Si un attaquant réussit à compromettre un serveur proxy, il pourra intercepter toutes les communications. Si en plus ce serveur est responsable du chiffrement des flux http, il aura accès aux données les plus sensibles qui devaient être chiffrées.

 Si une partie de l’application seulement est protégée par chiffrement, alors l’application complète est vulnérable. Souvent, seule la page de connexion contenant le formulaire de saisie de l’identifiant et du mot de passe est chiffrée. Si l’utilisateur après s’être authentifié retourne sur des pages non chiffrées, alors des informations, telles que le nom de l’utilisateur ou l’identifiant de session, peuvent être transmises en clair de page en page, exposant ainsi toute l’application à des attaques d’usurpation d’identité (voir paragraphe 3.4).

Parade et bonnes pratiques

 Si une application Web manipule des données sensibles il faut mettre en place du chiffrement SSL pour TOUTES les pages. De plus, les mots de passe et les identifiants de session ne doivent à aucun moment transiter en clair. Pour cela, il est possible de configurer le serveur Web pour rediriger automatiquement toutes les requêtes http vers les pages chiffrées.

 La protection de la couche « transport » vient en complément de la protection du stockage des données. Ainsi si les données stockées sont chiffrées, il faut s’assurer que tous les moyens de communications le soient aussi. Par exemple, la politique de sécurité pour les données médicales exige que le médecin du travail et le patient soient les seuls autorisées à consulter ces informations. Pour cela, au niveau de l’application, il faut s’assurer que l’utilisateur est soit la personne concernée, soit le praticien. De plus, les informations ne doivent apparaître en clair à aucun autre moment que pour l’affichage. Cela concerne les flux de communication entre l’utilisateur et les différents composants de l’architecture tels que le serveur http ou la base de données, mais aussi les moyens de stockage tels que les fichiers, les bases de données ou les sauvegardes de ces derniers.

 

Retour vers le haut de la page   PDF
Article précédent Page d'accueil Article suivant
< Défaillance dans la restriction des accès à une URL Sommaire | Redirection et renvois non validés >

 

Guillaume HARRY
Envoyer un courriel

 

Contenu sous licence Creative Commons CC-BY-NC-ND


[1] J. Scambray, V. Liu et C. Sima. Hacking Exposed Web Applications : Web Application Security Secrets and Solutions. Osborne/McGraw-Hill, 482p, 2010


ARESU
Direction des Systèmes d'Information du CNRS

358 rue P.-G. de Gennes
31676 LABEGE Cedex

Bâtiment 1,
1 Place Aristide Briand
92195 MEUDON Cedex



 

 

Direction des Systèmes d'Information

Pôle ARESU

Accueil Imprimer Plan du site Credits