Lundi 23 octobre 2017
NASDAQ : 6629.0532 23.9863   nasdaq0.36 %
RECHERCHE
OK
 
NEWSLETTER
newsletter
Abonnez-vous gratuitement
à notre newsletter
hebdomadaire - Cliquez ICI
Indexel
  • DOSSIERS
  • PRATIQUE
pub Publicité
 

ACTUALITES

Deux graves failles de sécurité pour Facebook et Skype

Imprimer Envoyer à un ami Contacter la rédaction
Par Alain Bastide le 02/11/2011 - indexel.net
 
Failles-securite-facebook-skype

La première permet de répandre un logiciel malveillant via la messagerie Facebook, la seconde d’accéder à l’ordinateur de l’internaute appelé, même s’il ne décroche pas.

 

Après s'être intéressés à nos messageries électroniques, les pirates informatiques se concentrent désormais sur les réseaux sociaux. Le nombre de failles de sécurité y est encore important et les utilisateurs y sont plus crédules. Un sentiment trompeur et qui peut coûter cher à l'entreprise. Le chercheur en sécurité Nathan Power vient de divulguer sur son blog une méthode très simple pour envoyer un fichier contaminé à n'importe quel "ami" Facebook.

La méthode est triviale puisqu'il suffit de modifier l'entête d'une requête HTTP en ajoutant un espace après le nom du fichier exécutable envoyé par la méthode POST. Un pirate informatique peut ainsi diffuser très facilement n'importe quel type de logiciel malveillant : keylogger, virus, etc. Facebook a reconnu la faille tout en minimisant sa portée. La seule parade pour le moment consiste à ne jamais exécuter les pièces jointes des messages Facebook.

Les entreprises ne sont évidemment pas à l'abri puisque nombre d'entre elles possèdent une page sur Facebook et un réseau d'amis. Selon une enquête de Lexsi, 15 % des salariés sont à l'origine de fuites d'informations pouvant avoir un impact pour l'entreprise. Et le nombre de cas d'usurpation d'identité a décuplé en un an. Le recours à un logiciel malveillant pourrait accélérer cette tendance en profitant du principe de "graphe social" (ou cartographie de vos relations) pour se répandre.

Dans un autre registre, des chercheurs français (INRIA) et américains (Institut Polytechnique de New York) ont découvert une nouvelle faille de sécurité dans Skype. Récemment racheté par Microsoft, le célèbre logiciel de téléphonie communique l'adresse IP de l'internaute appelé à l'internaute appelant, même si l'internaute appelé refuse l'échange. Selon le paramétrage du logiciel de ToIP, cette situation peut être complètement invisible pour l'internaute cible. Un pirate peut alors créer une connexion entre les deux ordinateurs et y inspecter certaines données. Une simple base de géolocalisation de l'adresse internet permet par exemple de connaître la localisation de l'internaute appelé à quelques centaines de mètres près. Et il est possible d'inspecter certains fichiers présents sur le disque dur de l'ordinateur attaqué.

"Fondamentalement, il n'y a pas plus de vulnérabilités en ToIP qu'en téléphonie classique", rappelait récemment Hervé Schauer, consultant en sécurité, dans nos colonnes. "Mais elles sont plus faciles à exploiter et à la portée de tous" indique-t-il. Pour se prémunir de l'exploitation des failles telles que celle découverte récemment dans Skype, il conseille de cloisonner les VLAN, limiter le nombre d'adresses MAC par port, se protéger contre les attaques ARP (Address Resolution Protocol), authentifier et chiffrer les échanges via IPSEC ou SSL/TLS, et, bien entendu, appliquer régulièrement les correctifs de sécurité.

LIRE AUSSI
 
Partager :
LIRE AUSSI
 
pub Publicité

CloudStack by IkoulaCloudStack by Ikoula

Cloud Computing : Atouts et freins, acteurs du marché, conseils et témoignages