Blog

Les codeurs conquièrent la sécurité : Série "Partager et apprendre" - Exposition des données sensibles

Jaap Karan Singh
Publié le 04 septembre 2019

L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.

L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.

Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.

Dans cet épisode, vous apprendrez

  • Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
  • Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
  • Techniques permettant de corriger cette vulnérabilité.

Comment les attaquants exploitent-ils l'exposition aux données sensibles ?

L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.

Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?

La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.

Pourquoi l'exposition aux données sensibles est-elle dangereuse ?

L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.

L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.

Éliminer l'exposition aux données sensibles

Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.

Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.

Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.

Plus d'informations sur l'exposition aux données sensibles

Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Voir la ressource
Voir la ressource

L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à une visualisation autorisée sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé.

Vous souhaitez en savoir plus ?

Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Réservez une démonstration
Partager sur :
Auteur
Jaap Karan Singh
Publié le 04 septembre 2019

Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Partager sur :

L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.

L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.

Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.

Dans cet épisode, vous apprendrez

  • Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
  • Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
  • Techniques permettant de corriger cette vulnérabilité.

Comment les attaquants exploitent-ils l'exposition aux données sensibles ?

L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.

Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?

La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.

Pourquoi l'exposition aux données sensibles est-elle dangereuse ?

L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.

L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.

Éliminer l'exposition aux données sensibles

Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.

Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.

Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.

Plus d'informations sur l'exposition aux données sensibles

Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Voir la ressource
Voir la ressource

Remplissez le formulaire ci-dessous pour télécharger le rapport

Nous aimerions que vous nous autorisiez à vous envoyer des informations sur nos produits et/ou sur des sujets liés au codage sécurisé. Nous traiterons toujours vos données personnelles avec le plus grand soin et ne les vendrons jamais à d'autres entreprises à des fins de marketing.

Soumettre
Pour soumettre le formulaire, veuillez activer les cookies "Analytics". N'hésitez pas à les désactiver à nouveau une fois que vous aurez terminé.

L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.

L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.

Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.

Dans cet épisode, vous apprendrez

  • Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
  • Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
  • Techniques permettant de corriger cette vulnérabilité.

Comment les attaquants exploitent-ils l'exposition aux données sensibles ?

L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.

Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?

La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.

Pourquoi l'exposition aux données sensibles est-elle dangereuse ?

L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.

L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.

Éliminer l'exposition aux données sensibles

Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.

Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.

Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.

Plus d'informations sur l'exposition aux données sensibles

Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Accès aux ressources

Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Voir le rapportRéservez une démonstration
Télécharger le PDF
Voir la ressource
Partager sur :
Vous souhaitez en savoir plus ?

Partager sur :
Auteur
Jaap Karan Singh
Publié le 04 septembre 2019

Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Partager sur :

L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.

L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.

Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.

Dans cet épisode, vous apprendrez

  • Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
  • Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
  • Techniques permettant de corriger cette vulnérabilité.

Comment les attaquants exploitent-ils l'exposition aux données sensibles ?

L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.

Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?

La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.

Pourquoi l'exposition aux données sensibles est-elle dangereuse ?

L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.

L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.

Éliminer l'exposition aux données sensibles

Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.

Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.

Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.

Plus d'informations sur l'exposition aux données sensibles

Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Table des matières

Télécharger le PDF
Voir la ressource
Vous souhaitez en savoir plus ?

Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Réservez une démonstrationTélécharger
Partager sur :
Centre de ressources

Ressources pour vous aider à démarrer

Plus d'articles
Centre de ressources

Ressources pour vous aider à démarrer

Plus d'articles