MISC 49

Réfléchissons quelques minutes à l'évolution des fameux systèmes d'information. Ils sont entourés de moult protections, dont le marketing explique bien souvent le prix de la licence (notez que j'ai écrit « explique » et non « justifie »). Du coup, quand on cible une entité, de l'extérieur, les points d'accès sont généralement connus et limités : un webmail, un VPN, un serveur de messagerie, un pseudo-serveur web.

Résumé des épisodes précédents : le XSS tend à devenir une composante importante de scénarios d'infection massive exploitant des vecteurs d'attaques combinées visant, entre autres, à constituer des réseaux de machines zombies. La parenté du XSS avec des techniques d’attaques applicatives par débordement de tampon permet de bien comprendre la diversité et la puissance des attaques que le XSS rend possibles. Nous allons maintenant nous interroger sur les raisons susceptibles d’expliquer le relatif échec de la lutte anti-XSS aujourd’hui et illustrerons notre propos en essayant d’évaluer le risque réel de différents scénarios d’attaques, tirant notamment parti des trois erreurs les plus fréquemment commises à propos du XSS.

Le XSS (pour Cross Site Scripting) est à la fois connu et mal connu : connu parce qu'il est aussi vieux que le Web lui-même, ce qui fait qu'aucune personne s'intéressant même de loin à la sécurité informatique n'ignore ses grands principes, mal connu parce que comme tout ennemi familier que l'on a connu petit et chétif, il a grandi et s'est développé dans l'ombre de son grand frère, le Web, en n'attirant que peu les regards et en conservant aux yeux de beaucoup d'experts en sécurité l'image d'un parasite mineur, juste capable de provoquer l'affichage de messages d'avertissement inoffensifs ou de lancer des attaques reposant sur un minimum d'ingénierie sociale.