accueilLogicielsDéveloppement et Qualité LogicielsFailles de sécurité des applications Web
 

Stockage de données cryptographiques non sécurisé


1. Principe
2. Exemples d’attaque
3. Parade et bonnes pratiques

Principe

 Cette faille de sécurité englobe toutes les faiblesses liées à la protection du stockage des données. La meilleure protection est la mise en place du chiffrement des informations. Le CLUSIF définit le chiffrement comme « le procédé grâce auquel on peut rendre la compréhension d’un document impossible à toute personne qui n’en possède pas la clé. »

 La principale faille concerne les données sensibles, c’est-à-dire les données dont la divulgation ou l’altération ou la non-disponibilité peuvent porter préjudice à leur propriétaire, telles que le mot de passe ou l’identifiant de session. Si les données sont présentes en clair ou chiffrées par un algorithme faible, il existe un risque qu’un attaquant puisse les consulter.

Exemples d’attaque

 Certains moteurs de bases de données font payer l’option de chiffrement. Pour des raisons d’économies, les responsables décident de stocker les données en clair dans la base de données. Seul les transmissions de requête http sur le réseau sont chiffrées. Pour se protéger du risque d’incendie sur le site où sont installés les serveurs, les données sauvegardées sur bande sont envoyées sur un autre site une fois par mois. Si un agresseur intercepte cette sauvegarde pendant son transfert, il aura accès aux données en clair.

Parade et bonnes pratiques

 Tous les moyens de stockage de données sensibles doivent être chiffrés. Il faut s’assurer également que la sauvegarde du moyen de stockage ne contient pas les données en clair.

 Il ne faut pas utiliser d’algorithme de chiffrement ou de hachage faible, tels que MD5 ou SHA1 ni tenter de créer son propre algorithme. Il faut utiliser des algorithmes reconnus et éprouvés tels AES-256, RSA et SHA-256. Pour des raisons de capacité de calcul, l’ANSSI recommande que la taille minimale des clés symétriques utilisées jusqu’en 2020 soit de 100 bits et de 128 bits au-delà de 2020.

 

Retour vers le haut de la page   PDF
Article précédent Page d'accueil Article suivant
< Mauvaise configuration de sécurité Sommaire | Défaillance dans la restriction des accès à une URL >

 

Guillaume HARRY
Envoyer un courriel

 

Contenu sous licence Creative Commons CC-BY-NC-ND


ARESU
Direction des Systèmes d'Information du CNRS

358 rue P.-G. de Gennes
31676 LABEGE Cedex

Bâtiment 1,
1 Place Aristide Briand
92195 MEUDON Cedex



 

 

Direction des Systèmes d'Information

Pôle ARESU

Accueil Imprimer Plan du site Credits