Les développeurs à la conquête de la sécurité : Série Partage & Apprentissage - Insuffisance des mesures anti-automatisation

Imaginez-vous devant la porte d'un vieux bar clandestin. Le petit guichet s'ouvre et un videur imposant vous demande le mot de passe. Le visiteur potentiel ne le connaît pas et tente sa chance. C'est faux, alors le videur lui refuse l'entrée.

C'est ce qui se passerait normalement. Imaginez maintenant que le visiteur qui a donné le mauvais mot de passe réessaie immédiatement, se trompe à nouveau et se voit encore refuser l'accès. Imaginez ensuite qu'il ouvre un dictionnaire et commence à lire les mots, en commençant par « aardvark » et en essayant chaque mot possible.

Il est fort probable que le videur ne tolérerait pas un tel comportement, mais les sites web et les applications dont la protection anti-automatisation est insuffisante font exactement cela. Ils permettent aux utilisateurs de continuer à essayer des mots de passe, même en utilisant des techniques automatisées, jusqu'à ce qu'ils finissent par trouver la bonne combinaison.

Dans cet épisode, nous aborderons :

• Comment les attaquants exploitent une protection anti-automatisation insuffisante
• Pourquoi les applications avec une protection anti-automatisation insuffisante sont dangereuses
• Techniques pour corriger cette vulnérabilité.

Comment les attaquants exploitent-ils une protection anti-automatisation insuffisante ?

L'utilisation de l'automatisation ou d'attaques par dictionnaire, comme le faisait notre visiteur imaginaire, n'est pas nouvelle en cybersécurité. En fait, ces attaques par force brute ont été parmi les premières techniques de piratage jamais déployées. Et à mesure que les ordinateurs sont devenus plus rapides, elles sont devenues de plus en plus efficaces. Un ordinateur rapide peut parcourir un dictionnaire entier en quelques minutes seulement, selon la vitesse de la connexion entre l'ordinateur de l'attaquant et le système ciblé.

C'est pour contrer ces types d'attaques automatisées que des logiciels et des techniques anti-automatisation ont été créés. Ils permettent aux applications de déterminer si les actions effectuées par un utilisateur sortent des normes du comportement humain habituel.

Si une application ne dispose pas de contrôles anti-automatisation suffisants, les attaquants peuvent simplement continuer à deviner les mots de passe jusqu'à trouver le bon. Ils peuvent également utiliser des logiciels d'automatisation pour d'autres tâches, comme le spam de commentaires sur des forums.

Pourquoi une protection anti-automatisation insuffisante est-elle dangereuse ?

Permettre à des utilisateurs malveillants d'utiliser l'automatisation pour tenter de contourner la sécurité peut être dangereux. Si les attaques automatisées persistent depuis les débuts de l'informatique, c'est parce qu'elles peuvent être extrêmement efficaces. Si vous donnez à un programme automatisé un temps illimité pour soumettre des mots de passe sans aucune conséquence en cas d'erreur, il finira par trouver le bon.

Lorsqu'elles sont utilisées sur un forum, des vagues de commentaires manifestement générés par des scripts peuvent frustrer les utilisateurs légitimes, voire agir comme une attaque par déni de service en gaspillant les ressources du système. La publication automatisée peut également servir d'outil pour des campagnes de phishing ou d'autres attaques visant à exposer les leurres au plus grand nombre de personnes possible.

Corriger les problèmes de protection anti-automatisation insuffisante

Pour résoudre le problème d'une protection anti-automatisation insuffisante, toutes les applications doivent être capables de déterminer si les actions en cours sont effectuées par un humain ou par un logiciel automatisé. L'une des techniques les plus populaires et les plus utilisées est le test de Turing public entièrement automatisé pour différencier les ordinateurs des humains, ou CAPTCHA.

Le CAPTCHA est essentiellement un test de Turing, proposé pour la première fois par l'informaticien Alan Turing en 1950, permettant de distinguer et d'identifier les comportements humains de ceux des ordinateurs. Les CAPTCHA modernes présentent des problèmes que les humains peuvent facilement résoudre, mais que les ordinateurs ont du mal à comprendre, voire dont ils sont incapables. Un exemple courant présente une photo divisée par une grille et demande aux utilisateurs d'identifier toutes les sections contenant un élément spécifique, comme une fleur ou un visage. L'ordinateur ne peut pas comprendre ce qui est demandé et ne peut donc même pas tenter d'analyser l'image. Même s'il le pouvait, la reconnaissance d'image dépasse les capacités de la plupart des programmes qui ne sont pas spécifiquement conçus pour cela.

D'autres exemples de CAPTCHA incluent l'affichage de texte flou, la pose d'une question logique simple ou même la lecture audio de la question. L'implémentation d'un défi CAPTCHA à des points critiques d'une application, comme lors de la saisie d'un mot de passe, peut stopper net les programmes d'automatisation.

Il est également possible d'arrêter les programmes d'automatisation en limitant simplement le nombre de tentatives infructueuses provenant d'une même source. Si trop de mauvaises réponses sont envoyées, le compte peut être temporairement verrouillé, retardant ainsi le programme d'automatisation au point de le rendre inutile, ou nécessitant l'intervention d'un administrateur humain pour le déverrouiller. Appliquer ces mesures devrait permettre de prévenir les vulnérabilités liées à l'anti-automatisation au sein d'une application.

En savoir plus sur l'insuffisance des mesures anti-automatisation

Pour aller plus loin, consultez les recommandations de l'OWASP concernant l'insuffisance des mesures anti-automatisation. Vous pouvez également mettre vos nouvelles compétences défensives à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir des experts en la matière. Pour en savoir plus sur la lutte contre cette vulnérabilité et bien d'autres menaces, visitez le blog de Secure Code Warrior.

Prêt à détecter et corriger l'insuffisance des mesures anti-automatisation dès maintenant ? Testez vos compétences dans notre arène de jeu : [Commencer ici]