Quelles sont les failles les plus courantes ?

Bertrand Braux

01net.

le 26/11/2008 à 17h00

envoyer
par mail

imprimer
l'article

01net. : Quelles sont les failles les plus courantes que vous êtes amenés à constater ?
Philippe Humeau : En ce moment, le Web est une vraie passoire. Sur la grande majorité des sites, les développeurs oublient de contrôler les chaînes de caractères que les utilisateurs peuvent entrer. Et certains parmi ces derniers peuvent volontairement entrer des chaînes de caractères complexes qui contiennent du code permettant par exemple de récupérer la base de données du site ou de réécrire les pages Web pour en déformer le contenu.
L’autre grand classique, actuellement, est une faille DNS qui vient d’être découverte aux Etats-Unis. On pensait avoir tout fait sur le DNS, on l’avait retourné dans tous les sens, et les experts en sécurité étaient sûrs de leur coup. Eh bien non… On a mis en évidence une faille incroyable qui consiste à faire croire à un internaute qu'un site est un autre site que celui qu’il est vraiment. Si c’est Google, le préjudice est relatif, car au pire on n’a pas la réponse que l’on souhaite. Mais si l’on imagine que cette technique est utilisée sur le portail d’une banque, on peut faire croire à l’utilisateur qu’il est sur le portail de sa banque alors qu’il est en fait sur un faux.
Il s’agit d’intoxiquer le DNS pour lui faire croire que vous êtes le portail bancaire alors que vous ne l’êtes pas. Là, cela devient très grave. Et si le pirate est malin, il fera même mieux et redirigera son faux portail vers le vrai afin que vous ayez quand même le service que vous cherchez. Au passage il aura récupéré les informations et s’en servira par la suite sans que vous vous en rendiez compte.

Les pare-feu servent-ils à quelque chose ?
Oui, indéniablement. Et plus ils sont configurés finement, plus ils vont à la fois donner de l’information sur ce qu’ils arrêtent et donner des informations sur des attaques qui seraient subtiles et complexes. Le pare-feu a été généralisé dans les entreprises et c’est une très bonne chose. Le problème, c’est que l’on ne regarde pas toujours ce qu’il arrête, quand ni pourquoi. Détecter une attaque, c’est aussi lire ses logs de manière intelligente et déceler d’éventuels problèmes. Par exemple que tel utilisateur envoie des gigas de données chaque jour, ce qui peut être anormal, ou, à l’inverse, qu’il y a tous les jours 250 scans de ports, que c’est beaucoup plus que d’habitude, et que ce sont peut-être les prémices d’une attaque.

Les intrusions ont-elles toujours pour origine une faille humaine ?
Très souvent. Pour nous, le principal problème de sécurité se trouve entre la chaise et le clavier. C’est en effet très souvent l’utilisateur qui est piégé, car on lui a envoyé un e-mail avec un cheval de Troie ou parce qu’il a choisi un mot de passe trop faible. On peut croire par exemple que cela peut suffire de choisir un mot de passe composé des prénoms de ses deux enfants collés l’un à l’autre… mais cela ne l’est même pas. Les entreprises doivent faire un effort de sensibilisation aux risques et adopter une démarche qui consiste à expliquer aux employés qu’ils sont la première ligne de défense. En général, les utilisateurs ne savent pas qu’ils peuvent poser un problème, mais quand on leur explique, on réduit beaucoup les risques.

Il y a quand même des cas où vous arrivez à pénétrer le système d’information sans passer par l’utilisateur, en attaquant directement les machines ?
Oui, mais dans 45 % des cas, c’est un vecteur qui facilite et accélère les choses. L’utilisateur a donc un rôle actif à jouer dans la défense de l’entreprise, au même titre qu’un antivirus, qu’un antispam ou qu’un firewall.