Les 10 failles les plus fréquentes sur les sites web (et comment y faire face)

Des entreprises utilisent encore et toujours des sites web contenant des bugs basiques. Le web demeure ainsi un nirvana pour les pirates (hackers). Voici les 10 failles les plus fréquemment rencontrées sur les sites web, et ce que vous pouvez faire pour y remédier.

La liste des points faibles les plus fréquents sur les sites web, publiée par techUK, n’a pas été établie au hasard, mais est le résultat d’une analyse réalisée par PA Consulting des tests de pénétration sur des applications et infrastructures web que l’entreprise a effectués ces 12 derniers mois chez des clients.

Le top 10 se présente comme suit:

1. Piètre politique de mots de passe Très souvent, les mots de passe utilisés manquent de solidité. L’on permet aussi parfois des logins simultanés ou l’utilisation de mots de passe par défaut.
2. Problèmes SSL L’implémentation de SSL est régulièrement peu sûre à cause de clés faiblardes ou de certificats auto-signés ou périmés.
3. Protection insuffisante contre XSS Le ‘cross site scripting’ est un mécanisme d’intrusion populaire utilisé par les pirates et contre lequel beaucoup de sites web ne prennent pas suffisamment de mesures.
4. Données de test non supprimées Il est essentiel de procéder à des tests, mais les données de test ne doivent pas rester disponibles sur le site web. Elles représentent un indicateur idéal pour les pirates.
5. Aucune protection contre la ‘force brute’ La détection d’attaques via des systèmes automatisés, qui tentent de dérober des mots de passe et des clés, laisse souvent à désirer.
6. La structure du répertoire identifiable La connaissance de l’agencement d’un site web fournit des armes aux pirates.
7. Absence de mesures contre le ‘clickjacking’ Il arrive parfois que l’on ne prenne pas de mesures contre l’enregistrement de clics en plaçant un lien mal intentionné par-dessus un lien légitime via une couche web transparente, afin d’orienter ainsi le visiteur vers des endroits non désirés.
8. Les cookies (mouchards) ne sont pas marqués ‘uniquement HTTP’ ou ‘sécurisés’ Des développeurs omettent parfois de protéger les cookies contre l’interception. Voilà qui offre aux personnes mal intentionnées des possibilités de détourner une session par le truchement d’une attaque dite ‘man in the middle’.
9. Problèmes de configuration de l’hôte Les tests de pénétration montrent une série de problèmes dans ce domaine. Ce qui apparaît le plus souvent, ce sont des pare-feu mal paramétrés et la fuite de l’adresse IP de l’utilisateur.
10. Indiscrétion, en particulier vis-à-vis des informations des visiteurs Les réactions d’applications ou le mécanisme ‘oublier mot de passe’ donnent souvent des conseils non désirés sur la forme des noms d’utilisateur ou des mots de passe.

Pour autant que des pirates ne connaîtraient pas déjà ces failles, l’inventaire de techUK leur propose évidemment une bonne carte… routière pour lancer des attaques contre des sites web. Raison de plus pour veiller à colmater ces brèches. Heureusement, techUK ne s’en tient pas seulement à une mention des problèmes. Sa publication Securing web applications and infrastructure contient aussi des conseils et des renvois vers des endroits proposant des informations sur la manière de résoudre ces problèmes.