Web 2.0 : ne pas négliger la sécurité

Jérôme Saiz

Décision Informatique

le 13/07/2007 à 11h30

envoyer
par mail

imprimer
l'article

Les entreprises ont rapidement compris l'intérêt qu'elles pouvaient tirer des technologies dites du Web 2.0. Une meilleure ergonomie de leurs sites, de nouveaux canaux de diffusion de l'information ou la création de communautés collaboratives sont autant d'atouts pour les séduire. Si la compréhension technologique et pratique du Web 2.0 (lire DI n  722) est intégrée, ses implications en termes de sécurité demeurent encore floues. Les risques sont de deux ordres. Techniques, d'abord, avec l'apparition, sinon de nouvelles attaques, du moins de nouveaux vecteurs pour des attaques existantes. Une entreprise ouverte aux technologies du Web 2.0 augmente naturellement sa surface d'exposition, en mettant en avant, par exemple, de nouvelles ressources via des API web, en syndiquant des contenus RSS de sources inconnues, ou en exploitant automatiquement des flux XML de ses partenaires. Juridiques ensuite : le volet social du Web 2.0 implique la participation des internautes et le partage de contenus créés par eux. Or, quid du droit à la propriété sur ces contenus ? Et, plus dangereux encore, qui est responsable pénalement en cas d'abus sur une plate-forme collaborative ? “ Le Web 2.0 implique de bien préciser les responsabilités de chacun. Si une faute est commise, tout le débat judicaire portera sur le fait de savoir qui est responsable de quoi ? Or il faut être clair, si le juge n'est pas en mesure d'avoir une certitude quant à la responsabilité de tel ou tel, ce sont tous les acteurs impliqués qui pourront voir leur responsabilité retenue solidairement ”, met en garde Éric Barbry, avocat associé au cabinet Alain Bensoussan et responsable du pôle Sécurité des systèmes d'information.

Le risque juridique peut rapidement rejoindre l'imbroglio technique en cas de vol de l'identifiant d'un internaute pour commettre une infraction sur un site collaboratif, tel un wiki d'entreprise. Là aussi, il sera difficile de déterminer les responsabilités. L'entreprise a-t-elle mis en œuvre les moyens d'authentification technique suffisants afin de garantir la sécurité des identifiants et des mots de passe ? Bien peu aujourd'hui vont au-delà de la simple paire login-mot de passe fournie avec les outils de blogs et de wikis populaires. A-t-elle alors mis en œuvre des moyens de journalisation suffisants afin de tracer les connexions et les interventions de ses utilisateurs ? Là aussi, c'est d'autant moins certain qu'une véritable politique de journalisation est particulièrement contraignante.

Des technologies à risque

Mais les risques techniques inhérents au Web 2.0 touchent aussi, et surtout, ses technologies reines, en premier rang Ajax. “ Avec le Web 2.0 en général, et Ajax en particulier, il y a beaucoup de choses cachées qui se passent derrière le navigateur. L'utilisateur est obligé de faire une confiance aveugle à la technologie ”, explique Jean-Paul Ballerini, expert technologies et solutions pour IBM (ex ISS).

En s'appuyant sur des interactions JavaScript et XML cachées entre le navigateur et le serveur, Ajax est la couverture idéale des assauts pirates. Ces derniers s'appuient certes essentiellement sur des attaques JavaScript déjà connues, mais elles deviennent alors quasi impossibles à déceler pour l'internaute. En combinant cela avec le volet social du Web 2.0 (dépôt d'un code JavaScript malicieux sur une page d'un site communautaire populaire), il deviendrait possible de disséminer un code malicieux capable de générer en coulisses des requêtes invisibles sur le PC de l'utilisateur connecté par ailleurs à un autre service Web 2.0 (sa banque, par exemple). Une telle attaque concerne aussi bien le particulier que l'employé au sein de l'entreprise. “ L'un des risques essentiels des entreprises face au Web 2.0 est tout ce que peut ramener le collaborateurs sur le SI durant la pause, en surfant sur des sites Web 2.0 ”, confirme Jean-Paul Ballerini. Les technologies du Web 2.0, notamment Ajax mais aussi le RSS, facilitent ainsi grandement les attaques de cross-site scripting (infection via un site tiers).

Mais c'est loin d'être le seul risque. “ Le Web 2.0 permet d'automatiser les processus d'échanges entre partenaires ”, explique Gérald Bourtguize, responsable France d'IBM pour ISS.

Déni de services XML

Et ces automatisations peuvent exposer des pans entiers du SI restés jusqu'à présent inaccessibles. C'est le cas, par exemple, des services web, bâtis sur XML et échangeant des messages Soap. L'empoisonnement de ces messages peut provoquer des dénis de service en cascade, autant sur les serveurs que via Ajax sur les postes de travail qui les interrogent automatiquement. De même, des services web censés rester privés peuvent être découverts et publiés via leur description WSDL, souvent négligée par l'entreprise. Les solutions ne peuvent venir que de solutions de filtrage du trafic XML ou de l'analyse des flux (codes JavaScript malicieux) à la volée. Elles demeurent cependant minoritaires et parfois contraignantes. Et les entreprises ne s'en soucient guère.

agrandir la photo