Ce lundi s'est déroulé à Lyon un TechEvening consacré à la sécurité des applications Web. Nous avons testé les différentes techniques et outils utilisés par les utilisateurs malveillants. Deux applications ont été utilisées, l'une en J2EE pour la plupart des techniques (WebGoat 5.3 de la fondation OWASP) et l'autre en ASP.NET MVC 3 pour un focus sur les perfides attaques CSRF.

Au programme:

• Injection: diverses techniques d'injection SQL;
• Cross-Site Scripting (XSS): techniques de phishing et de "session hijacking";
• Violation de gestion d'authentification et de session: technique de "session fixation";
• Références directes non sécurisées: techniques d'"AC Bypass" aux niveaux données et métier;
• Cross-Site Request Forgery (CSRF): technique du "Token Bypass";
• Mauvaise configuration de sécurité: technique de "Malicious File Execution";
• Stockage cryptographique non sécurisé: sensibilisation au "hashing" et "salting";
• Manque de restriction URL: technique du "forced browsing";
• Protection insuffisante de la couche transport: "sniffing", "ARP spoofing" et "ARP poisoning"
• Redirections et renvois non validés: techniques du "HTTP splitting" et du "cache poisoning"

Nous avons utilisé les outils suivants:

• Firefox
• Fiddler
• Firebug
• TamperData
• WireShark

Vous pouvez retrouver ci-après tous les supports:

• L'application WebGoat 5.3;
• L'application CSRFDemo ASP.NET MVC 3;
• Les slides (PPTX ou PDF) de présentation;
• Quelques fichiers utilisés pour les attaques;

Pour ceux qui s’intéressent plus globalement à la sécurité des applications .NET (pas qu'en Web), je vous invite à lire l'article suivant sur l'altération des assemblages, l'injection de code et la suppression des signatures cryptographiques. Une vidéo est également disponible.

Lors de l'introduction de la gestion de la sécurité en Java, les solutions se déclinaient sous forme d'extensions aux noms plus ou moins sympathique comme JAAS, JSSE et JCE, qu'il fallait venir rajouter dans ses applications. Et encore, suivant les régions, toutes n'étaient malheureusement pas disponibles.

Heureusement ce n'est plus que de l'histoire ancienne car désormais, Java propose en standard tous les outils qu'il vous faut pour sécuriser facilement vos données. Intéressons nous en particulier à deux aspects : La génération d'empreinte de fichier et le chiffrement de ces derniers.

Open source ou propriétaires, tous les logiciels sont susceptibles de contenir des failles de sécurité ou des backdoors (c'est-à-dire des failles créées volontairement dans le but de prendre la main sur une application).

Les logiciels open source ont cependant un avantage, au moins psychologique, de poids : leur code étant pas définition accessible, chacun peut théoriquement lire et comprendre le code informatique qu'il utilise, déploie ou intègre dans d'autres logiciels. Cet argument est particulièrement valable pour les logiciels open source qui disposent d'une large communauté très active : le risque qu'une faille passe inaperçu décroit proportionnellement avec le nombre de contributeurs au projet...

Mais le risque n'est pas tout à fait le même lorsque vous faites un "copier/coller" d'un extrait de code sur un site, aussi sérieux soit-il (je pense par exemple au Blog Netapsys ! ;-) ).

Démonstration par l'exemple.