Les identifiants codés en dur peuvent entraîner des risques de sécurité.

Secure Code Warrior s'engage pleinement à aider la communauté des développeurs et des experts en sécurité à apprendre à écrire du code sécurisé et à atténuer les risques de vulnérabilités introduites par un code non sécurisé. Dans cette optique, nous utiliserons l'affaire en cours concernant le récent incident de sécurité chez Uber comme une opportunité de discuter de l'importance de la sécurité pilotée par les développeurs et de l'approche « shift left ».

Incident de sécurité chez Uber

Uber a publié une déclaration concernant cet incident de cybersécurité le 16 septembre et continue de la mettre à jour. Les lecteurs doivent garder à l'esprit qu'il s'agit d'une situation en évolution. Récapitulons ce que nous avons appris grâce à l'annonce d'Uber et aux autres sources fiables de la communauté de la sécurité.

Le pirate a commencé par mener une attaque d'ingénierie sociale contre un employé d'Uber, après avoir trouvé son numéro WhatsApp. L'attaquant l'a contacté et a tenté de récupérer ses identifiants en incitant l'employé, qui ne se doutait de rien, à se connecter à un faux site Uber pour capturer son nom d'utilisateur et son mot de passe.

Les comptes Uber sont protégés par une authentification multifacteur (MFA), ce qui signifie qu'en plus de saisir un mot de passe, l'utilisateur doit fournir une seconde preuve confirmant son identité. Dans la plupart des cas, il s'agit d'une notification envoyée sur un appareil mobile.

Après avoir obtenu les identifiants, l'attaquant a lancé une attaque par fatigue MFA en tentant continuellement de se connecter au véritable site Uber, submergeant ainsi l'employé de nombreuses notifications push sur son appareil. L'attaquant a de nouveau contacté la victime via WhatsApp. Cette fois, il s'est fait passer pour le support informatique et a réussi à la convaincre d'accepter la demande.

Identifiants codés en dur

À l'origine de la faille de sécurité d'Uber se trouve une attaque par hameçonnage réussie. Une fois à l'intérieur, l'intrus a trouvé des partages réseau contenant des scripts PowerShell. L'un de ces scripts contenait les identifiants codés en dur d'un utilisateur administrateur, ce qui a conduit à la compromission des services internes d'Uber, tels qu'AWS, G-Suite et les dépôts de code. Le pirate a également accédé au compte HackerOne d'Uber. Selon Uber, cependant, « tous les rapports de vulnérabilités auxquels l'attaquant a pu accéder ont été corrigés ».

Curieux de voir à quoi ressemble cette vulnérabilité dans le code ? Essayez gratuitement notre défi PowerShell.

Quelle est la fréquence de ce type d'attaques ?

L'ingénierie sociale en tant que vecteur d'attaque est difficile à contrer, car le facteur humain a toujours été considéré comme le maillon faible de la cybersécurité. Le piratage d'Uber a clairement illustré que les implémentations MFA peuvent être facilement contournées. La clé pour prévenir cela est de sensibiliser davantage les employés au fonctionnement des attaques par hameçonnage.

Ce qui a causé l'exposition des services internes d'Uber, cependant, ce sont le nom d'utilisateur et le mot de passe de l'administrateur trouvés dans un script PowerShell. Coder des identifiants en dur n'est jamais une bonne pratique, car ils deviennent lisibles par n'importe quel développeur, et essentiellement par toute personne ayant accès au code.

Mais encore une fois, la sensibilisation est essentielle ! Les développeurs ayant une mentalité axée sur la sécurité sont plus susceptibles de repérer les vulnérabilités et moins enclins à les introduire.

Une approche à deux volets, combinant une éducation générale sur l'ingénierie sociale et, plus spécifiquement, une formation proactive au codage sécurisé, réduira le nombre de vulnérabilités dans une base de code et s'avérera donc cruciale dans la lutte contre les menaces de sécurité.

Vous souhaitez en savoir plus sur les meilleures pratiques de codage sécurisé ? Découvrez Secure Code Coach. Vous pourrez y apprendre des directives de codage sécurisé et essayer gratuitement des exercices de formation.