Les codeurs conquièrent la sécurité : série Share & Learn - Exposition aux données sensibles

L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.

L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.

Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.

Dans cet épisode, vous apprendrez

• Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
• Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
• Techniques permettant de corriger cette vulnérabilité.

Comment les attaquants exploitent-ils l'exposition aux données sensibles ?

L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.

Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?

La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.

Pourquoi l'exposition aux données sensibles est-elle dangereuse ?

L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.

L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.

Éliminer l'exposition aux données sensibles

Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.

Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.

Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.

Plus d'informations sur l'exposition aux données sensibles

Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .