TLS pour sécuriser des transactions Web
(TLS) Transport Layer Security (anciennement SSL (Secure Socket Layer)) est une technologie éprouvée permettant de sécuriser les protocles internet. Elle est aujourd'hui utilisée dans le domaine du Web où les données échangées sont sensibles.
L'intégration de TLS à une application existante est facile car TLS se place sous le protocole HTTP. Il n'y a donc pas besoin de changer grand chose au niveau d'une application Web. Une activation du service sur le serveur et le tour est joué. De la sécurité facile et à moindre coût.
Toutefois, comme toute technologie de cryptographie, il faut l'utiliser correctement pour qu'elle soit efficace. En cherchant un peu sur la toile on peut trouver des entreprises respectables qui ont une utilisation étrange de la technologie.
Une erreur courante est de commencer la session TLS après la phase d'authentification utilisateur. Cette pratique annule presque complétement l'interêt d'une session sécurisée. Effectivement. une fois la session démarrée, on ne peut pas savoir ce que fait l'utilisateur. Mais cela a peu d'importance puisque les informations les plus sensibles : Son mot de passe et son nom d'utilisateur, passent en clair sur internet.
Le schéma montre dans le premier cas l'architecture correcte et dans le deuxième cas l'architecture non sécurisée utilisée par l'entreprise en question.
Un simple navigateur permet de dire si une page est sécurisé via un icône ou le préfixe protocole "https". Par conséquent, pour un oeil averti, il est possible de détecter ce genre d'erreurs simplement en surfant sur un site. J'en ai trouvé une qui se présente sous forme d'une authentification HTTP. Pour être certain que ma trouvaille était bien une erreur, j'ai utilisé Ethereal et j'ai constaté que le nom d'utilisateur et le mot de passe circulent bien en clair sur le réseau :
Je n'ai pas pu vérifier les implications de ce problème car je ne sais pas ce que l'on peut faire sur le compte utilisateur.
Udapte du 19 novembre 2006 : un amis m'a informé qu'il est possible de tout faire avec le nom de l'utilisateur et ce mot de passe. Ce qui m'a aussi fait rigoler c'est un article paru dernièrement dans la presse gratuite qui annonce l'explosion du chiffre d'affaire de cette entreprise IT. Ce qui est sûr, ce que je vais réfléchir à deux fois avant d'utiliser leur service. À ce jour la faille de sécurité est toujours visible dans leur système d'authentification.
L'entreprise contactée par email nie pour l'instant l'existance du problème, ce qui est assez inquiétant connaissant son domaine d'activité (Le banking en ligne).