Les développeurs à la conquête de la sécurité : Série Partage & Apprentissage - Exposition de données sensibles

L'exposition de données sensibles a été à l'origine de certaines des violations de données les plus médiatisées et les plus lourdes de conséquences ces dernières années, comme la catastrophe chez Marriott où plus de 300 millions de dossiers clients ont été volés, et 150 millions d'autres lors de l'attaque contre Equifax. Un niveau de sophistication moyen est requis, ainsi que parfois un équipement spécial de la part de l'attaquant, mais il n'est pas très difficile pour un pirate informatique d'y parvenir dans de nombreux cas, et des outils existent pour automatiser certaines fonctions de l'attaque.

L'exposition de données sensibles se produit lorsque des informations destinées uniquement à un usage autorisé sont exposées à une personne non autorisée, alors qu'elles ne sont pas chiffrées, non protégées ou faiblement protégées. La plupart du temps, cela concerne des données que les pirates cherchent à voler, telles que les numéros de carte bancaire, les identifiants d'utilisateurs, les secrets commerciaux et les informations personnelles susceptibles d'être protégées par des lois et des réglementations sectorielles.

Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le mécanisme de chiffrement. Au lieu d'essayer de déchiffrer directement un chiffrement robuste, ils volent les clés cryptographiques ou attaquent les données lorsqu'elles sont transférées vers un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.

Dans cet épisode, nous apprendrons :

• Comment les attaquants peuvent provoquer une exposition de données sensibles
• Pourquoi l'exposition de données sensibles est si dangereuse
• Techniques permettant de corriger cette vulnérabilité.

Comment les attaquants exploitent-ils l'exposition de données sensibles ?

L'exposition de données sensibles survient généralement lorsque les sites n'utilisent pas un chiffrement de bout en bout robuste pour protéger les données, ou lorsqu'il existe des failles exploitables dans le mécanisme de protection. Cela peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.

Les pirates cherchent souvent des moyens de contourner le chiffrement s'il n'est pas appliqué partout. Par exemple, si une base de données d'identités d'utilisateurs stocke les informations sous forme chiffrée, mais les déchiffre automatiquement lors de leur récupération, un pirate pourrait utiliser l'une des attaques que nous avons déjà abordées dans ces blogs, comme l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de déchiffrement. Les données seraient alors déchiffrées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte blindée quand on peut simplement voler la clé ?

Le chiffrement faible est également un problème. Par exemple, si les cartes bancaires sont stockées à l'aide d'un mécanisme de chiffrement obsolète, cela pourrait poser problème si un pirate parvient à utiliser une vulnérabilité de type inclusion de fichier local pour extraire l'intégralité de la base de données sur son ordinateur. Si les données capturées étaient protégées par un chiffrement robuste comme l'AES-256 bits, il serait beaucoup plus difficile de les déchiffrer une fois entre les mains du pirate. Mais si un chiffrement plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial, tel qu'une batterie d'unités de traitement graphique (GPU), peut les utiliser pour briser le chiffrement en un temps relativement court.

Pourquoi l'exposition de données sensibles est-elle dangereuse ?

L'exposition de données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de consulter des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées ; toute violation de cette protection entraîne donc des problèmes. C'est une situation à laquelle aucune organisation ne souhaite être confrontée.

L'ampleur des problèmes causés par une exposition de données sensibles dépend du type de données exposées. Si des données d'utilisateur ou de mot de passe sont volées, elles pourraient être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles pourrait exposer les utilisateurs à des attaques secondaires telles que le vol d'identité ou le phishing. Les organisations pourraient même se retrouver vulnérables à de lourdes amendes et à des sanctions gouvernementales si les données exposées sont légalement protégées par des textes tels que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.

Éliminer l'exposition de données sensibles

Pour mettre fin à l'exposition de données sensibles, il faut commencer par garantir un chiffrement robuste, à jour et de bout en bout des données sensibles dans toute l'entreprise. Cela inclut les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles sont déchiffrées avant utilisation ou avant transport, elles peuvent être exposées via une attaque secondaire qui trompe un serveur pour qu'il les déchiffre.

Les données en transit doivent toujours être protégées par le protocole TLS (Transport Layer Security) afin d'éviter toute exposition via des attaques de type « homme du milieu » ou d'autres attaques contre les données en mouvement. De plus, les données sensibles ne doivent jamais être mises en cache sur le réseau. Les données sensibles doivent soit être stockées avec un chiffrement robuste, soit être envoyées avec une protection TLS, ne laissant aucun point faible aux attaquants.

Enfin, faites l'inventaire des types de données sensibles protégées par votre organisation. S'il n'y a aucune raison pour votre organisation de stocker ces données, supprimez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun bénéfice possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.

Plus d'informations sur l'exposition de données sensibles

Pour aller plus loin, vous pouvez consulter les recommandations de l'OWASP sur l'exposition de données sensibles. Vous pouvez également mettre vos nouvelles compétences défensives à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir des experts en la matière. Pour en savoir plus sur la lutte contre cette vulnérabilité et bien d'autres menaces, visitez le blog de Secure Code Warrior.