Google comble une faille dans son application de signature unique

Stéphanie Renault

01net.

le 12/09/2008 à 17h01

3 réactions

envoyer
par mail

imprimer
l'article

Pour accéder aux Google Apps, Google propose un système de signature unique (single sign On, SSO). Il permet à l'utilisateur de ne s'identifier qu'une seule fois pour accéder à tous les services proposés par le géant d'Internet : messagerie (Gmail), suite bureautique en ligne, partage de documents (Google Docs), etc. Et de passer de l'un à l'autre sans avoir à s'identifier à nouveau.

Ce système est basé sur le langage SAML (Security Assertion Markup Language) 2.0, dont l'implémentation par Google souffre d'une faille de sécurité.

Selon le CERT-US, cette vulnérabilité, en cas d'exploitation par un fournisseur de service malintentionné permettrait à un pirate de se connecter au compte Google des utilisateurs. Pour y parvenir, il faudrait cependant les convaincre de se connecter sur le site du fournisseur de service pirate.

Quoi qu'il en soit, Google vient de changer son système de SSO de manière à combler la faille. Les administrateurs et les développeurs de fournisseurs de services utilisant le SSO Google doivent vérifier leur système d'authentification des utilisateurs.