Les développeurs à l'assaut de la sécurité : Série Partage & Apprentissage - Exposition d'informations

"La langue indiscrète fait couler les navires" est une expression devenue populaire aux États-Unis pendant la Seconde Guerre mondiale. En Grande-Bretagne, on disait : "Les paroles imprudentes coûtent des vies." L'idée principale était que les indiscrétions concernant des informations sensibles pouvaient être interceptées par des espions et entraîner de graves conséquences.

Le même principe s'applique lors de la création d'applications web. Lorsqu'une application web révèle trop d'informations, elle facilite la tâche des attaquants qui cherchent à s'y introduire.

Dans cet article, nous verrons ce qu'est l'exposition d'informations, pourquoi elle est dangereuse et comment la prévenir.

Comprendre l'exposition d'informations

L'exposition d'informations désigne les applications web qui révèlent des données internes à des personnes non autorisées. Cela peut également concerner l'exposition d'informations sensibles sur les clients via des fichiers journaux ou l'interface utilisateur. Dans tous les cas, les attaquants peuvent utiliser ces informations pour cibler vos systèmes ou vos utilisateurs.

Souvent, la première étape pour un attaquant consiste à provoquer une erreur dans votre application. Une mauvaise gestion des erreurs et une configuration inadéquate de l'application web entraînent une exposition d'informations via les messages d'erreur. Que se passe-t-il si l'attaquant provoque une erreur ? Si un message d'erreur technique s'affiche, incluant des détails tels qu'une trace de pile (stack trace), vous avez révélé trop d'informations. Ces détails peuvent indiquer la base de données utilisée ou la version du serveur d'application en cours d'exécution.

La divulgation d'informations sensibles peut se produire par d'autres moyens. Existe-t-il des champs masqués dans un formulaire contenant des données sensibles ? Les attaquants peuvent simplement consulter le code source de la page pour en voir les valeurs.

En résumé, l'exposition d'informations survient lorsque des données qui devraient être limitées au strict nécessaire sont rendues trop facilement accessibles.

Comprendre pourquoi l'exposition d'informations est dangereuse

Que peut faire un attaquant avec les informations exposées par l'application ? Si ces informations sont de nature sensible, un attaquant pourrait usurper des identités ou voler des identifiants d'utilisateurs. Cela peut entraîner des pertes financières, des violations de la vie privée et des amendes réglementaires.

Si un attaquant utilise les messages d'erreur pour obtenir des informations sur une application, ces données pourraient servir lors d'une attaque ultérieure. En fait, le guide de test de l'OWASP consacre une section entière à la collecte d'informations.

Le guide de test de l'OWASP encourage l'utilisation des moteurs de recherche pour découvrir des informations sur votre site web que vous n'aviez peut-être pas l'intention de rendre publiques. Par exemple, vos pages d'administration sont-elles exposées aux moteurs de recherche ? Utilisez le fichier robots.txt pour indiquer aux moteurs de recherche de ne pas indexer certaines pages. Cependant, le fichier robots.txt peut lui-même fuiter des informations. Des URL sensibles peuvent parfois y figurer. Les attaquants récupèrent ce fichier et commencent à découvrir une partie de la structure des répertoires du site.

Google propose des options de recherche avancées permettant une inspection approfondie des sites web. Par exemple, vous pouvez effectuer une recherche sur un site spécifique en utilisant la syntaxe "site: <domaine>". Vous pouvez consulter des pages en cache qui ont pu être supprimées mais qui subsistent dans l'index d'une précédente exploration. L'utilisation de différents moteurs de recherche, comme Bing ou DuckDuckGo, peut donner des résultats variés ; testez donc sur chaque moteur ce qui est révélé au sujet de votre application web.</domaine>

Les en-têtes HTTP, les bannières de site web et même les commentaires dans le code HTML et JavaScript peuvent contenir des informations que les attaquants ne devraient pas voir. Les en-têtes HTTP peuvent révéler les serveurs d'application et les numéros de version. Les attaquants peuvent utiliser ces informations pour trouver des failles exploitables sur ces versions spécifiques. Assurez-vous de bien identifier tous les endroits où les attaquants pourraient trouver vos informations et apprenez à les masquer correctement.

Combattre l'exposition d'informations

La divulgation d'informations est souvent un problème de configuration de l'application web. De nombreux serveurs d'application renvoient par défaut des traces de pile dans les messages d'erreur. Veillez à modifier ce paramètre pour les applications en production afin de rediriger vers une page d'erreur générique, tout en consignant l'erreur dans les journaux à des fins de dépannage. Les messages d'erreur détaillés ne doivent jamais être renvoyés au navigateur de l'utilisateur.

Si votre application nécessite des fichiers contenant des informations sensibles, assurez-vous qu'un contrôle d'accès approprié garantit que seule l'application peut les lire. Désactivez le listage des répertoires sur le serveur et déplacez ces fichiers en dehors du répertoire racine web. Cela empêche les attaquants d'accéder au fichier via le navigateur en utilisant une attaque par traversée de répertoire.

Les journaux peuvent collecter des informations s'ils ne sont pas configurés correctement. En cas d'erreur, ne consignez jamais de données sensibles comme des mots de passe, des jetons de session ou des informations personnellement identifiables (IPI). Si un attaquant accédait à ces fichiers, il y trouverait une mine d'informations à dérober. Ne consignez que le strict nécessaire : un identifiant de compte, un message d'erreur détaillé et éventuellement la méthode ou l'opération concernée. Considérez que vos fichiers journaux ne sont pas confidentiels pour éviter toute tentation d'y inclure des données sensibles.

Ne coulez pas vos applications web

Auriez-vous pu, par une simple indiscrétion auprès d'un ami, causer la perte d'un cuirassé pendant la Seconde Guerre mondiale ? Peut-être pas. Mais pourquoi prendre le risque ? C'est toute la leçon du dicton : « Les confidences coulent les navires ».

De même, il n'y a aucune raison d'exposer le fonctionnement interne de vos applications web au monde extérieur. Il est inutile d'afficher des numéros de carte bancaire complets, des mots de passe ou des données IPI dans vos journaux. Alors, abstenez-vous.Consultez nos ressources pédagogiques pour en savoir plus sur l'exposition d'informations.

Gardez le fonctionnement interne de vos applications là où il doit être. Ne coulez pas vos applications web.

Pensez-vous pouvoir mettre fin à l'exposition d'informations dès maintenant ? Relevez le défi, guerrier : [Commencer ici]