Archives de catégorie : Techniques d’attaque & menaces

Attaques (références)

Sources principales

Les principales attaques

Autres sources d’erreur et d’attaque

  • Envoi non sécurisé des informations de connexion (toujours via une requête POST via TLS)
  • De façon générale, il faut éviter de passer des informations critiques via l’URL (identifiants de connexion mais aussi de session) : tout cela peut se retrouver dans les logs, dans l’historique du navigateur, dans les en-têtes divers et variés, dans les proxies, etc.
  • Code de développement non supprimé (ou non désactivé), car il contient souvent des bypass pratiques mais dangeureux !
  • Enumération d’utilisateurs : les messages d’erreur des formulaires de connexion ou de réinitialisation de mot de passe peuvent révéler l’existence d’un utilisateur (via son identifiant ou son e-mail). Autant garder des messages génériques tels que :
    • Pour la connexion : « combinaison identifiant/mot de passe invalide » que l’erreur vienne du nom d’utilisateur ou du mot de passe.
    • Pour la réinitialisation de mot de passe : « un lien de réinitialisation sera envoyé si cet utilisateur existe dans la base » .

Trop triste réalité

J’en voulais aux Shadow Brokers d’avoir publié certains outils de la NSA, rendant ainsi facile l’attaque par des personnes ignares et non qualifiées, telles que les Anonymous.

Trop triste : dans la série « les espions espionnent », il s’avère que des pirates chinois1 ont utilisé ces outils… un an plus tôt !

Attaques XML

XML, comme toute technologie informatique, est potentiellement utilisable de façon détournée par de méchants pirates. Autrement dit, XML est attaquable. Certaines attaques sont relativement communes, d’autres sont plus spécifiques à la technologie elle-même.

Attaques XXE

Une attaque XXE consiste à utiliser le mécanisme XML External Entities qui permet de charger, dans un document XML, des données externes.

Principe

Il suffit donc ensuite que le serveur qui traite le fichier XML ait les droits sur la ressource demandées pour qu’il la récupère. Imaginons que le serveur soit installé sur une instance AWS : on peut très bien mettre, dans l’entité externe à charger, une URL du type //169.254.169.254/latest/meta-data/iam/security-credentials/role/ qui contient les informations d’authentification pour le rôle concerné.

Continuer la lecture →

A qui la faute ?

Bonne question ! L‘attribution d’une attaque est un des problèmes récurrent et quasi-insoluble auquel est confronté la communauté de la sécurité informatique. Il va de soi qu’on souhaite toujours savoir qui nous attaque, mais à l’inverse des attaques militaires (quoique…), il est en pratique très difficile de savoir d’où vient la menace.

Continuer la lecture →

Les menaces 2015-2020 selon Intel

Intel Labs, parmi d’autres éditeurs de sécurité, a dressé un panorama des menaces les plus probables pour les années 2015-2020. Il fait aussi l’exercice critique de voir si les prévisions précédentes se sont révélées juste ou non.

Les grandes lignes

Sans grande surprise, Intel prédit l’augmentation des usages et donc de la surface d’attaque. Sachant qu’on laisse désormais un nombre incalculable de traces et d’informations personnelles derrière nous, on comprend bien que cela devient un enjeu pour les pirates ou les attaquants : la donnée a de la valeur. Et plus elle est personnelle, plus elle en a.

Continuer la lecture →