Coders Conquer Security : Série Partage & Apprentissage - Protection insuffisante de la couche de transport

Même si vous avez entièrement sécurisé un serveur d'application et les systèmes backend qu'il utilise, les communications peuvent rester vulnérables à l'espionnage si la protection de la couche de transport est insuffisante. Dans le monde physique, l'argent liquide est transporté dans des véhicules blindés pour assurer sa protection durant le trajet. Peu importe la sécurité d'un magasin ou d'une banque si l'argent généré est chargé dans une voiturette de golf pour traverser la ville.

Il en va de même pour les couches de transport dans le domaine numérique. Même si une application est sécurisée, une vulnérabilité critique subsiste si les informations qui y parviennent sont transmises sans protection. Une seconde vulnérabilité existe pour certaines applications qui envoient également des données vers d'autres serveurs ou une base de données. Ces informations pourraient être exposées à des personnes internes qui n'ont aucune raison d'espionner ces transactions.

Pour protéger pleinement les utilisateurs et les données, il est nécessaire de sécuriser la couche de transport. C'est la seule façon de garantir la sécurité totale d'une transaction, de bout en bout.

Dans cet épisode, nous aborderons :

• Comment les pirates exploitent une protection insuffisante de la couche de transport
• Pourquoi l'absence de protection de la couche de transport est si dangereuse
• Ce qui peut être fait pour sécuriser le transport de toutes les données circulant vers et à travers une application ou un serveur.

Comment les attaquants exploitent-ils une protection insuffisante de la couche de transport ?

Une protection insuffisante de la couche de transport peut permettre des attaques à deux points de votre flux de données. Le point le plus fréquemment exploité se situe entre l'utilisateur et le serveur d'application. Si les informations sont envoyées en clair ou avec un chiffrement faible, les pirates peuvent surveiller, voler et potentiellement modifier ces données. Cela peut leur permettre de dérober la carte bancaire d'un utilisateur, ses identifiants de connexion ou toute autre information envoyée au serveur. Même si le serveur lui-même est sécurisé, un pirate surveillant le canal non sécurisé entre celui-ci et les utilisateurs pourrait obtenir un accès quasi illimité à de nombreuses informations.

Le second point, souvent laissé sans protection, est la couche de transport entre une application et le reste du réseau. Par exemple, un serveur d'application peut traiter des commandes en ligne puis les transmettre à un système de traitement, ou des données peuvent être simplement transférées vers une base de données pour stockage. Si ces canaux internes ne sont pas protégés, des utilisateurs internes pourraient être en mesure de consulter ces informations.

Bien qu'il soit rassurant de croire que tous les utilisateurs internes sont bien intentionnés, les menaces internes sont en augmentation dans de nombreux secteurs. Des employés ont été surpris en train d'accepter des pots-de-vin en échange de la collecte d'informations sensibles pour des attaquants ou des concurrents. Et avoir accès à des milliers de cartes bancaires valides peut être une tentation trop forte pour certains.

En termes de techniques d'attaque, il n'est pas très difficile d'intercepter des communications non protégées. Même des pirates peu expérimentés savent comment mener des attaques de type « homme du milieu » (man-in-the-middle) contre des flux de données non chiffrés. S'ils ne le savent pas, des vidéos en ligne peuvent les former en moins d'une demi-heure.

Pourquoi les vulnérabilités liées à une protection insuffisante de la couche de transport sont-elles si dangereuses ?

Une protection insuffisante ou inexistante des couches de transport est dangereuse car elle permet aux pirates de collecter très facilement des informations sensibles. Ils n'ont pas besoin de pénétrer dans votre serveur d'application ou de pirater votre réseau. Il leur suffit de mettre en place une attaque de type « homme du milieu » pour lire tout ce qui est envoyé au serveur par les utilisateurs. Cela peut inclure des noms d'utilisateur et des mots de passe, qui peuvent être utilisés pour contourner la sécurité ultérieurement avec des identifiants valides. Selon l'application, cela peut également inclure des informations de carte bancaire ou d'autres données personnelles sur les utilisateurs.

Il est important de noter que tout cet espionnage se déroule en dehors de votre réseau. Si vous utilisez des canaux de transport non sécurisés, il est impossible de savoir si quelqu'un capture ces informations. Généralement, le premier signe survient lorsque de nombreux utilisateurs signalent des comptes compromis ou des achats frauduleux par carte bancaire, et que le facteur commun est votre application ; une situation très délicate. Les pirates peuvent également modifier les informations une fois en leur possession, en changeant l'adresse de livraison par exemple, ou même en insérant des scripts malveillants dans la réponse du serveur avant de la transmettre aux utilisateurs.

Sur le backend, le défaut de sécurisation de la couche de transport expose les données aux utilisateurs internes. Il est probablement moins probable qu'un utilisateur interne espionne la couche de transport par rapport à des pirates externes, mais c'est également plus dangereux si cela se produit, car la menace interne pourra voir non seulement les données utilisateur, mais aussi toute information propriétaire ajoutée par le serveur d'application avant l'envoi des paquets.

Éliminer les vulnérabilités liées à une protection insuffisante de la couche de transport

Aussi dangereuse qu'elle puisse être, une protection insuffisante de la couche de transport n'est pas très difficile à corriger pour sécuriser correctement tous vos canaux. Cela commence par l'infrastructure backend. Elle doit être exclusivement en HTTPS ; veillez à ne pas mélanger HTTPS et HTTP sur un site. Enfin, maintenez un certificat SSL valide avec une taille de clé minimale de 2048 bits tout en forçant tous les utilisateurs à interagir via des navigateurs sécurisés utilisant le protocole HSTS (HTTP Strict Transport Security).

Une fois l'infrastructure en place, les développeurs doivent utiliser un protocole robuste pour protéger la couche de transport. L'idéal est d'utiliser TLS 1.2, bien que TLS 1.1 et 1.0 soient acceptables en cas de nécessité absolue. Une fois cela fait, les protocoles obsolètes comme SSLv2 doivent être totalement désactivés et ne jamais être pris en charge.

Il convient également de veiller à ce que les algorithmes de chiffrement soient suffisamment puissants côté serveur. Idéalement, la taille minimale de la clé de session doit être de 128 bits. Comme pour les protocoles, la prise en charge d'algorithmes faibles tels que DES et RC4-40 doit être désactivée. Enfin, ne considérez pas une application comme réellement sécurisée tant que le serveur lui-même et tous les flux de données entrants et sortants ne sont pas correctement protégés.

En savoir plus sur les vulnérabilités liées à une protection insuffisante de la couche de transport

Pour aller plus loin, vous pouvez consulter le guide de protection des couches de transport de l'OWASP. Vous pouvez également mettre vos nouvelles compétences défensives à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir des experts en défense. Pour en savoir plus sur la neutralisation de cette vulnérabilité et d'une multitude d'autres menaces, visitez le blog de Secure Code Warrior.