 |
Plus fort que les cookies, découvrez les super-cookies |
| Dans un précédent bulletin d’actualité [1], était présenté comment les cookies HTTP (ou témoins de connexion), pouvaient être utilisés à des fins de profilage de l’utilisateur, dans le but notamment de pouvoir lui proposer du contenu ciblé. Après un bref rappel, cet article se propose de parcourir plus largement les mécanismes complémentaires existants à l’heure actuelle, à des fins de sensibilisation aux problématiques de vie privée sur l’Internet, et dans l’optique de permettre la prise des précautions d’usage adaptées à son utilisation au quotidien, dans un contexte professionnel comme personnel.
Techniques de pistage – Cookies – et évolutions La technique la plus utilisée en matière de pistage d’utilisateurs sur l’Internet repose sur l’exploitation des cookies. Nous rappelons que le terme cookie désigne une variable utilisée par un serveur HTTP pour sauvegarder des informations sur la session HTTP courante. Il est composé d’une paire obligatoire nom/valeur, et d’attributs optionnels, comme la date d’expiration, le domaine et le chemin. Ces informations sont créées et mises à jour lors des échanges entre un serveur et un client Web grâce à des en-têtes dédiés du protocole HTTP (« Set-Cookie », « Cookie ») [2]. Le premier cas d’usage des cookies est tout à fait nécessaire à la navigation sur de nombreux sites Web, par exemple pour le maintien d’une session applicative ou la mémorisation d’un panier d’achats, on parle alors de « cookies de premier niveau ». Il existe cependant d’autres cas d’utilisations controversés sur le plan du respect de la vie privée. En particulier, l’usage de « cookies tiers » (ou « tierce partie ») [1], notamment dans l’optique d’établir des statistiques de consultation, peut permettre par exemple d’offrir des services de publicité ciblée. Ces cookies sont reconnaissables en particulier à leur domaine d’appartenance différent de celui de la page consultée, et peuvent parfois permettre d’identifier finement un utilisateur donné (par exemple cookies Google).
D’autres mécanismes permettent la conservation de données utilisateur, qui exploitent d’autres modes de création et de stockage que les cookies HTTP. On regroupe généralement ceux-ci sous le terme « supercookie ». Ils s’appuient notamment sur l’utilisation :
Cette liste, non exhaustive, montre bien qu’il existe de nombreuses façons de stocker des données issues de la navigation Web, et qu’un simple nettoyage des cookies HTTP via le navigateur ne peut pas suffire à effacer proprement l’ensemble de celles-ci. D’ailleurs, on parle de « cookie zombie » pour désigner des cookies HTTP qui sont régénérés après leur suppression grâce à l’utilisation des supercookies. L’application Evercookie [5], par exemple, illustre cela, permettant la propagation des cookies HTTP dans autant que mécanisme de stockage que possible afin d’assurer la résilience de l’information.
Autres techniques Si les cookies (et assimilés) permettent d’obtenir une masse d’informations très intéressante, ils ne sont pas pour autant la seule source considérée par les entités cherchant à pister l’utilisateur. Il existe en particulier de nombreuses autres méthodes permettant d’identifier de façon unique un utilisateur, parfois à la granularité du terminal utilisé (téléphone, ordinateur, téléviseur connecté, tablette, etc.). Ces méthodes peuvent être classées en cinq catégories [6] :
La directive 2002/58 du Parlement européen et du Conseil concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques [9][10] précise que l’utilisation de cookies est autorisée à condition que l’utilisateur se voie donner des informations claires et précises sur la finalité de ces cookies ainsi que les informations placées sur l’équipement terminal qu’il utilise. L’utilisateur pourra refuser l’utilisation de ces dispositifs, cependant cette disposition ne fait pas obstacle au stockage de données utilisées à des fins exclusivement techniques. Techniquement, des solutions amont ont été proposées, comme l’en-tête HTTP « Do Not Track » (DNT, 2009), pour permettre d’indiquer à un site web qu’un utilisateur ne souhaite pas être tracé. Cependant, bien qu’intégré dans tous les navigateurs modernes, il est purement déclaratif et peut être ignoré par le site visité. D’un point de vue pratique, une des solutions les plus simples afin de limiter ces traces est de bloquer les cookies tiers. Ces cookies ne sont généralement pas utiles pour la navigation et il est recommandé de les refuser par défaut [11]. Enfin, de nombreuses extensions pour navigateur permettent de limiter le suivi d’un utilisateur existant. Elles ont principalement pour effet :
Références Cliquer pour accéder à IABPostCookieWhitepaper.pdf Web beacon (9 janvier 2014) Cliquer pour accéder à browser-uniqueness.pdf Directive 2002/58/CE (12 juillet 2002)
Contexte Le 18/12/2015, le CERT-FR a émis l’alerte CERTFR-2015-ALE-014 [1] concernant plusieurs vulnérabilités critiques impactant le système ScreenOS des équipements Juniper. D’après le bulletin de sécurité publié par Juniper [2], ces vulnérabilités ont été découvertes suite à un audit de code interne et auraient été introduites volontairement pour affaiblir la sécurité de ScreenOS. Il s’agit en l’occurrence de deux portes dérobées qui permettent de :
Marqueurs de détection La société Fox-It propose des signatures au format Snort afin d’identifier toute tentative de connexion à un équipement Juniper vulnérable via la porte dérobée. Ces signatures sont cependant limitées au service Telnet. De plus, la vulnérabilité liée au service VPN étant exploitable après une interception passive du trafic chiffré, il n’est pas possible de détecter son exploitation. La porte dérobée permettant d’accéder à l’interface d’administration de l’équipement via le protocole Telnet ou SSH impacte le logiciel Juniper ScreenOS de la version 6.3.0r17 à 6.3.0r20. Ces vulnérabilités permettant un accès illégitime sont respectivement référencées par les identifiants CVE-2015-7755 et CVE-2015-7756.
Description des portes dérobées CVE-2015-7755 La porte dérobée permettant d’accéder à l’interface d’administration d’un équipement Juniper vulnérable est localisée au sein du code de vérification des identifiants de connexion. Ce code compare le mot de passe saisie par l’utilisateur avec une chaîne de caractère codée en dur dans le système ScreenOS. Si elles sont identiques, l’accès est autorisé. CVE-2015-7756 La seconde porte dérobée reposait sur une faiblesse du générateur de nombres aléatoires utilisé par l’algorithme de chiffrement et permettait à un attaquant d’accéder au contenu des communications VPN, obtenues à partir d’une écoute passive du trafic réseau.
Corrections Le CERT-FR recommande d’appliquer les mesures préconisées dans le bulletin d’alerte CERTFR-2015-ALE-014.
Documentation 1 1 – Rappel des avis émis CERTFR-2015-ALE-015 : Campagne de messages électroniques non sollicités de type TeslaCrypt CERTFR-2015-ALE-014-1 : Vulnérabilité dans Juniper ScreenOS (ajout de règles Snort dans les contournements provisoires.) 28 décembre 2015 version initiale. CERT-FR
|
Source : Bulletin d’actualité CERTFR-2015-ACT-052
Aucun commentaire jusqu'à présent.