Publié le 14-07-2011 à 22:52:43 dans le thème Réseau - Sécurité

Pays : France - Auteur : Damien Bancal

Pub : Tous les antivirus en ligne pour désinfecter votre ordinateur

INFO ZATAZ - L’exploitation d’une faille dans le site de banque en ligne de BNP Paribas aurait pu permettre à un pirate d´accéder à un compte client. Une faille très rapidement maîtrisée. Un cas exemplaire de transparence pour la banque aux étoiles. Le cookie Jacking a encore de beaux jours devant lui. Cette technique informatique consiste à intercepter le cookie de connexion d'un internaute, via son compte Facebook, Hotmail, ou de banque. Mission pour un potentiel pirate informatique, faire passer le cookie intercepté et modifié comme un officiel afin de piéger les systèmes de sécurité et d'identification.

De très nombreux sites exploitent le système de cookie temporaire. Une fois l'internaute légitime déconnecté, son cookie de connexion devient caduque et inexploitable par un internaute malveillant. Seulement, le piratage ne connait aucune limite. ZATAZ.COM a permis la correction d'un cookie jacking, via le protocole d'alerte de ZATAZ, qui aurait pu toucher n'importe quel client de la banque BNP Paribas.

Aussitôt alertées, les équipes de sécurité des systèmes d’information, qui sont les experts réseaux et sécurité informatique de cette entreprise bancaire Française, ont réagi au quart de tour. Nous avons attendu pour vous parler de cette correction, le temps des derniers tests et de la mise en place du correctif par les équipes de sécurité des systèmes d’information BNP Paribas.

1 dose de cookie, 2 doses de chance

L'attaque reposait sur l'injection d'un cookie. Injection qui aurait pu permettre un accès distant, mais heureusement, en lecture seule de la session d’un utilisateur BNP Paribas, et cela pendant une session de connexion d’une quinzaine de minutes. Il s’agissait d’un accès en lecture seule des informations clients, l’exploitation de la faille ne permettait pas de réaliser de transaction. Pour mémoire, l’utilisateur client BNP Paribas est protégé par une authentification double canal (mot de passe + SMS). Autant dire qu'un potentiel pirate n'avait que la possibilité d'espionner sa victime sans pouvoir lui voler le moindre argent.

Bien que limitée, en particulier dans sa durée, cette attaque pouvait être exploitée et automatisée pour une cible précise. Le problème était assez simple et la correction n'a pas tardé. Si un cookie existe déjà lors de l'arrivée sur la page d'identification du site www.secure.bnpparibas.net, celui-ci est accepté par le serveur comme identifiant de session. Il n'était pas modifié après l'étape d'authentification. La session ouverte était donc la même avant et après authentification.

Le site BNP Paribas alloue des sessions d’une durée d’une quinzaine de minutes, il fallait donc que la victime se connecte sur son compte en banque, dans la période de la génération du cookie. Heureusement, si le client se déconnectait de son compte BNP Paribas, le cookie était effacé puis remplacé, détruisant la session côté serveur. Un éventuel pirate n'aurait pas pu se reconnecter au compte avec le cookie. "Néanmoins, souligne Guillaume DALEUX de l'Université de Rouen, une exploitation automatisée était possible durant la session de connexion d'un client. Il était aussi envisageable (les tests effectués par ZATAZ.COM l'ont prouvé, NDLR) qu'un pirate exploite un cheval de Troie permettant de maintenir une synchronisation du cookie avec un script d'attaque distant".

ZATAZ.COM tient à remercier les équipes de sécurité des systèmes d’information de BNP Paribas qui ont contacté la rédaction, deux fois par semaine, afin de la tenir au courant des avancées du correctif et des tests de conformité avant la mise en ligne au public. Une action et une réactivité qui renforce la sécurité déjà très carrée du site aux étoiles : https, protection contre les keyloggers, etc.

Tweet

Un Anonymous Français déclare la guerre aux hébergeurs

25-05-2012 à 13:05 - 1 commentaire(s)

Info zataz - Des dizaines d'hébergeurs sous le contrôle d'un Anonymous Français. Il déclare la guerre aux serveurs privés Dofus.

Votre compte Facebook a-t-il été infiltré ?

24-05-2012 à 12:09 - 0 commentaire(s)

Info zataz - Une vague de faux messages vise des milliers de comptes Français Facebook. Prudence aux photos sexy diffusées.

Fuite de données pour iPhone

22-05-2012 à 00:43 - 0 commentaire(s)

Info zataz - Un iPhone jailbreaké couplé avec Tweak Bulletin permet de passer outre le mot de passe d´ouverture du téléphone.

Téléphone portable ZTE piégé

22-05-2012 à 00:38 - 0 commentaire(s)

Le fabricant chinois de téléphone portable ZTE a confirmé la présence d'une porte dérobée dans l'un de ses smartphones sous Android.

Le Bureau de Justice US piraté

22-05-2012 à 00:31 - 0 commentaire(s)

Info zataz - Des milliers de données sensibles volées par des Anonymous au Bureau of Justice US.

Anonymous contre pédophiles

22-05-2012 à 00:09 - 0 commentaire(s)

Info ZATAZ : Plusieurs dizaines d´informations concernant des pédophiles présumés venant du réseau Darknet diffusées par des Anonymous.

Vulnérabilité sur les site de FHM, ELLE et Forbes

20-05-2012 à 20:38 - 0 commentaire(s)

Info zataz - Des failles découvertes sur les sites des magazines FHM, ELLE et Forbes peuvent mettre en danger les lecteurs internautes.

Anonymous menacent le gouvernement québécois

20-05-2012 à 20:28 - 0 commentaire(s)

Info @zataz - Le gouvernement Québécois veut faire interdire des manifestations étudiantes. Les Anonymous répondent en lançant des attaques informatiques.

Votre compte Facebook a-t-il été infiltré ?

Info zataz - Une vague de faux messages vise des milliers de comptes Français Facebook. Prudence aux photos sexy diffusées.

Vulnérabilité sur les site de FHM, ELLE et Forbes

Info zataz - Des failles découvertes sur les sites des magazines FHM, ELLE et Forbes peuvent mettre en danger les lecteurs internautes.

Fuite pour l'Université du Massachussets

Info zataz - 3.000 identités d´étudiants, dont des Français, étaient disponibles à partir de l'Université du Massachussets.

Utiliser WhatsApp en WiFi rend les conversations publiques

L’application de messagerie instantanée multiplateforme WhatsApp ne chiffrait pas les données envoyées.

Faille pour le site de Harvard

Info zataz - La prestigieuse école Harvard trouée. Un white hat découvre comment accèder à l'une de ses bases de données.

Rencontres professionnelles de la sécurité informatique

Challenges, conférences, ateliers et démonstrations au programme du salon de la sécurité informatique, les 2 et 3 juin, au Maubeuge

Mise à jour de sécurité pour QuickTime

Apple a publié 17 alertes de sécurité vusant QuickTime Media Player.

Orion Browser Dumper v1.0

Orion Browser Dumper v1.0, un outil qui permet de regarder dans les petits secrets de nos navigateurs Internet.