Mozilla va s'attaquer au chargement des URI de données dans la barre de navigation de l'URL Pour combattre le phishing sur Firefox

Data-URI est un schéma d'URI (Uniform Resource Identifier, identifiants uniformes de ressources) contenant directement les données qu'il identifie, contrairement à la plupart des autres schémas. Data-URI est aujourd'hui utilisable en production, bien souvent appelé pour augmenter légèrement les performances de vos sites Web à l'aide de données embarquées via data: et encodées en base64.

Il ne faut pas faire l'amalgame entre un URI et une URL : une URL (Uniform Resource Locator) est seulement un sous-ensemble d'un URI. En effet, alors qu'une URL est un localisateur de ressource, un URI est plus largement un identifiant de ressource. Cela signifie qu'un URI sert à identifier une ressource, sans nécessairement indiquer l'emplacement de celle-ci. Ainsi, un URI ne pointe pas nécessairement vers une ressource à télécharger.

Le schéma data URI (RFC 2397) a été déployé en 1998 lorsque les développeurs cherchaient des moyens d'incorporer des fichiers dans d'autres fichiers. Ce qu'ils ont trouvé était le schéma data URI qui permet à un développeur de charger un fichier représenté sous la forme d'un flux d'octets codé en ASCII dans un autre document.

Depuis, le schéma URI est devenu très populaire auprès des développeurs de sites, car il leur permet d'intégrer des fichiers texte (CSS ou JS) ou des fichiers image (PNG, JPEG) dans des documents HTML au lieu de charger chaque ressource via une requête HTTP séparée.

Cette pratique est devenue extrêmement populaire parce que les moteurs de recherche ont commencé à classer les sites Web en fonction de la vitesse de chargement de leur page et plus les requêtes HTTP d'un site Web étaient longues, plus cela affectait la position SERP (Search Engine Result Page, page de résultats des moteurs de recherche) d'un site.

Cependant, vers la fin des années 2000, les chercheurs en sécurité se sont rendu compte que les URI de données pourraient également être utilisées pour des attaques de phishing et XSS (cross-site scripting), une technique plus tard perfectionnée et mieux expliquée en 2012 par un chercheur de l'Université d'Oslo.

Depuis lors, les campagnes de phishing qui s’appuient sur les URI de données sont devenues monnaie courante. D’ailleurs, comme l’expliquaient des chercheurs en sécurité d’Easy Solutions, ce type d’attaque est intéressant pour quelques raisons :

• les attaques d'URI de données sont relativement faciles à mettre à l'échelle avec l'utilisation de services gratuits de raccourcissement de lien ;
• les attaques d'URI de données sont relativement faciles à automatiser ;
• les attaques d'URI de données ne sont pas « hébergées » dans le sens typique, elles ne peuvent donc pas être mises sur liste noire.

Ces URI de données peuvent également être chargés dans la barre de navigation du navigateur pour rendre le fichier directement, puis utiliser un code malveillant supplémentaire pour masquer l'URL réelle.

Le schéma, qui avait été développé au départ pour « incorporer des fichiers dans d'autres fichiers », est alors devenu une « méthode de navigation » dans les navigateurs modernes.

Halte aux abus !

Des navigateurs comme Google Chrome et Microsoft Edge ont vu cet abus et ont agi en bloquant le chargement des URI de données dans la barre de navigation de l'URL. Mozilla a décidé à son tour de faire de même pour Firefox.

« Nous voulons seulement bloquer les navigations URI de données de haut niveau qui sont principalement utilisées pour le phishing », a précisé Christoph Kerschbaumer, l'un des ingénieurs de Mozilla qui ont travaillé sur cette nouvelle fonction de sécurité. « Je ne vois aucun cas d'utilisation réel pour ces navigations (en dehors des tentatives de phishing réelles). »

À partir de Firefox 59, les ingénieurs de Mozilla prévoient de déployer une série de fonctions de sécurité qui empêcheront le rendu d'URI de données HTML, JS et SVG dangereux dans certains cas:

• un lien URL de données sur une page est cliqué manuellement ou par programmation ;
• une page tente de charger une URL de données via des fonctions JavaScript telles que location.href, location.assign () ou location.replace () ;
• une page tente de charger une URL de données dans un nouvel onglet avec la fonction JavaScript window.open () ;
• le contenu interne d’un frame tente de charger une URL de données dans la fenêtre de niveau supérieur ou dans un nouvel onglet.

Les URI de données qui affichent des images non SVG, des fichiers PDF, JSON et des fichiers en texte brut ne seront pas affectés, car elles ne peuvent pas être utilisées pour des attaques de phishing.

Source : developpez.com

Microsoft a déjà patché la faille WPA2

Après la révélation de la faille de sécurité Wi-Fi, Microsoft annonce avoir déjà corrigé le problème pour Windows.

(CCM) — Hier, tout Internet tremblait à l'annonce d'une importante faille découverte dans le protocole de sécurité WPA2utilisé pour se connecter à des réseaux Wi-Fi. Cette faille permet potentiellement à des pirates d'espionner le trafic entre une borne Wi-Fi et les appareils qui y sont connectés, et tous les appareils utilisant le Wi-Fi sont exposés. Si comme à l'accoutumée, tous les grands acteurs de la tech indiquent qu'ils vont déployer un correctif, Microsoft a d'ores et déjà réglé le problème pour les utilisateurs de Windows.

Dans une déclaration faite au site américain The Verge (lien en anglais), un porte-parole de la firme de Redmond explique qu'une mise à jour de sécurité comblant la faille a été distribuée dès le 10 octobre. "Les clients qui appliquent la mise à jour ou qui ont activé les mises à jour automatiques seront protégés" a ajouté le porte-parole. Par ailleurs, Microsoft précise qu'il a retenu l'information jusqu'à ce que "d'autres fournisseurs puissent développer et publier des mises à jour". 

Justement, qu'en est-il pour les autres ? Google, dont les appareils Android sont très affectés, a promis une correction pour les prochaines semaines. Si la gamme Pixel devrait recevoir une mise à jour de sécurité dès le 6 novembre, cela risque d'être plus complexe suivant la régularité de mises à jour de sécurité de chaque constructeur. 

Plus ou moins le même son de cloche pour Apple, qui a fait savoir au site AppleInsider (lien en anglais) que la vulnérabilité à été corrigée dans les versions beta d'iOS, tvOS, watchOS et macOS. Ce qui veut dire que le patch ne sera pas officiellement distribué avant plusieurs semaines. Par ailleurs, AppleInsider indique que les bornes Wi-Fi Apple Airport ne sont pas patchées. 

Croisons les doigts pour que toutes ces vulnérabilités ne soient bientôt plus que de l'histoire ancienne !

Source: commentcamarche.net

Une immense faille dans la sécurité Wi-Fi

Des chercheurs ont dévoilé une importante faille de sécurité dans le protocole de sécurité WPA2 

(CCM) — Créé dans les années 2000 pour pallier aux faiblesses de sécurité du format WEP, le protocole de sécurité Wi-Fi Protected Access II, utilisé par la vaste majorité des personnes connectées à Internet en Wi-Fi via mobile ou ordinateur, vient d'être sérieusement remis en question par une équipe de chercheurs. Ces derniers ont identifié une très importante faille de sécurité appelée KRACK qui pourrait permettre à des hackers d'espionner le trafic entre des ordinateurs et des points d'accès sans fil. 

Comme l'expliquent les chercheurs dans un site mis en ligne aujourd'hui (lien en anglais), les vulnérabilités exploitent ce qu'on appelle la "4 -way handshake", une procédure en 4 étapes de connexion entre le point d'accès et l'appareil, et de création de clés d'authentification et de chiffrage du trafic. A la 3e étape, un hacker peut potentiellement renvoyer plusieurs clés pour réussir à berner le système. Pour cette raison, les chercheurs ont baptisés la faille KRACK, pour Key Reinstallation Attacks (attaques par réinstallations de clé). 

D'après les chercheurs, tous les appareils - même récents - sont potentiellement vulnérables et l'attaque fonctionnerait sur presque tous les réseaux Wi-Fi. Pire encore, sur des réseaux mal protégés, ce système permettrait à des hackers de potentiellement injecter des malwares et des ransomwares. Et selon les chercheurs, 41% des appareils Android seraient vulnérables à une variante "exceptionnellement dévastatrice". 

Si l'on ne sait malheureusement pas si cette faille est déjà utilisée par des pirates, les chercheurs rassurent néanmoins en indiquant que la faille pourrait être patchée sur un bon nombre d'appareils, même si certains d'entre eux ne pourront jamais l'être. Selon Ars Technica (lien en anglais), certaines entreprises ont d'ores et déjà des patchs en cours de déploiement. En attendant de plus amples présentations des vulnérabilités pour le 1er novembre, les chercheurs indiquent néanmoins qu'il est préférable pour les internautes d'utiliser le WPA2 pour se connecter en Wi-Fi. 

source: commentcamarche.net

Des cybercriminels utilisent l'application iCloud « Localiser mon appareil » pour verrouiller des Mac Et exiger des rançons

De même qu’un couteau peut servir à cuisiner ou à agresser, l’application iCloud « Localiser mon appareil », très utile aux possesseurs de produits Apple pour les localiser en cas de perte, est devenue le jouet des cybercriminels pour verrouiller des Mac à distance et exiger des rançons. De nombreux utilisateurs l’ont rapporté via leurs comptes Twitter. Les plaintes font état de demandes de rançon en bitcoins si le possesseur veut recevoir le code de déverrouillage de son appareil (ci-dessous un écran de demande de rançon).


Mais comment cela est-il possible ? Est-on en droit de s’interroger. L’accès à cette application requiert bien des identifiants et la première chose à noter à ce propos est que les cybercriminels n’ont pas pénétré les serveurs d’Apple. Secundo, il ne faut pas éluder le fait que l’on enregistre des fuites de données de façon récurrente ces derniers temps. Il y a une dizaine de jours, de nombreux médias se sont fait le relais du cas Equifax avec ses serveurs qui ont livré les données de 143 millions d’Américains. Une semaine plus tard, c’était au tour de la firme de sécurité Kromtech d’attirer l’attention sur des serveurs Amazon mal configurés par l’entreprise de surveillance dénommée SVR Tracking. Résultat des courses, 540 602 numéros d’identification de véhicules exposés à des cybercriminels.

Si les serveurs d’Apple ne sont pas tombés comme le rapporte MacRumors, alors ces fuites de données constituent la source à laquelle les cybercriminels s’abreuvent. Et pour cause, des utilisateurs non avertis en matière de cybersécurité continuent d’associer les mêmes identifiants à une panoplie de comptes en ligne.

Savoir comment les cybercriminels associent les informations en leur possession avec des possesseurs de comptes iCloud est une autre histoire. Mais une fois qu’ils y sont parvenus, l’appareil leur est totalement acquis. MacRumors rapporte en effet que l’application de localisation permet d’outrepasser l’authentification en deux étapes comme on peut le voir ci-dessous.

Quelques recommandations aux possesseurs de produits Apple :

• protéger son compte iCloud avec un mot de passe unique généré à l’aide d’un outil dédié à cet effet (Keepass, 1password, etc.) ;
• ne laisser la fonctionnalité « Localiser mon appareil » activée qu’en cas d’absolue nécessité. Sinon, il faudra la désactiver en accédant aux paramètres de configuration sur l’appareil à protéger. Le mot de passe du compte iCloud nouvellement configuré sera requis pour mener l’opération à bien.

Il s’agit bien entendu de conseils à destination de ceux qui ont encore le contrôle de leurs appareils. Pour ceux dont ce n’est plus le cas, ils pourront se rapprocher du service client Apple pour recevoir l’assistance nécessaire.

Source : developpez.com

Un hacker publie la présumée clé de déchiffrement du firmware de l'Apple Secure Enclave Le coprocesseur responsable de la sécurisation de Touch ID

Un hacker connu sous le pseudonyme Twitter de xerub vient de publier ce qu’il estime être la clé de déchiffrement du firmware de l’Apple Secure Enclave Processor (SEP). La fuite pourrait avoir un impact fort sur la sécurité d’iOS au vu du rôle que joue ce coprocesseur dans cet écosystème.

Dans son guide officiel sur la sécurité, Apple décrit le SEP comme un coprocesseur déployé avec les versions S2 et A7 de ses processeurs principaux. Ce dernier est chargé de protéger l’identifiant unique de l’appareil (UID) et de vérifier les transactions Touch ID entre autres. Pour ce faire, il tourne sous un système d’exploitation distinct, est doté de mémoire chiffrée et d’un mécanisme de mise à jour qui lui est propre et possède son propre générateur matériel de nombres aléatoires.

La publication du firmware devrait permettre aux chercheurs en sécurité de pénétrer les mystères de cette boîte noire qu’était le SEP jusqu’ici. Dans l’immédiat, les trouvailles devraient s’arrêter aux méandres du SEP. Les données personnelles des utilisateurs ne devraient pas être en danger pour le moment si l’on se réfère au schéma (ci-dessus) de l’architecture d’iOS qui montre une séparation importante avec la couche de protection des données.

Des exploits permettant de contourner l’authentification via Touch ID pourraient cependant être développés dans un futur proche, ce qui permettrait à des cybercriminels d’effectuer des transactions via des solutions de paiement comme Apple Pay ou d’autres à partir de l’iPhone d’une victime. 

Sources :developpez.com

Un expert en sécurité propose une liste de 320 millions de mots de passe à éviter Pour renforcer la sécurité sur le Web

Avec la multiplication des fuites de données, il est impératif de choisir des mots de passe capables de résister aux attaques de type force brute. 

Pour aider les internautes à trouver un bon mot de passe, les initiatives se sont multipliées : certains services proposent de générer des mots de passe, d’autres d’analyser un mot de passe avant son utilisation et d’en proposer un qui serait meilleur. Mais Troy Hunt, l'expert en sécurité derrière le site Web "Have I Been Pwned” a choisi une approche différente : faire une base de données des mots de passe qui ont été précédemment compromis.

Dans la première version, qui a été publiée le 3 août, cette base de données comprenait 306 millions de mots de passe pour un poids total de 5,3 Go. Le lendemain, lors d’une mise à jour, le chercheur en a rajouté 14 millions, pour un poids supplémentaire de 250 Mo. 

« Les mots de passe Pwned sont des centaines de millions de mots de passe du monde réel exposés aux violations de données. Cette exposition les rend impropres à une utilisation continue, car ils risquent beaucoup plus d'être utilisés pour prendre en charge d'autres comptes. Ils sont consultables en ligne ci-dessous et peuvent être téléchargés pour être utilisés dans un autre système en ligne », a expliqué Hunt. 

« La réutilisation de mots de passe est normale. Elle s’avère extrêmement risquée, mais elle est répandue parce qu’elle est facile et que les gens ne perçoivent pas l'impact potentiel. Les attaques telles que le remplissage des informations d'identification profitent des informations réutilisées en automatisant les tentatives de connexion contre les systèmes utilisant des paires courriels connus et mots de passe », a-t-il reconnu.

Aussi, dans un billet, il a déclaré « J'invite des gens plus compétents en technologie à utiliser ce service pour démontrer un argument à des amis, des parents et des collègues : “vous voyez, ce mot de passe a été violé auparavant, ne l'utilisez pas ! “ ». Et de continuer en disant que « S'il y a une chose que j'ai apprise au cours des années passées à faire tourner ce service, c'est que rien n'a autant d'effet que de voir ses propres données compromises. » 

D’où est-ce que ces mots de passe proviennent ? 

Hunt déclare que « J'ai regroupé ces mots de passe de différentes sources, en commençant par les énormes listes sur lesquelles j'ai écrit au mois de mai. Celles-ci contiennent toutes les sortes d’exemples de mots de passe terribles auxquels vous pouvez vous attendre dans le monde réel et vous pouvez lire une analyse dans la publication de BinaryEdge sur la façon dont les utilisateurs choisissent leurs mots de passe sur Internet. J'ai commencé avec la liste Exploit.in qui a 805 499 391 lignes d'adresse e-mail et des paires de mots de passe en texte brut. En fait, elle avait “seulement” 593 427 119 adresses électroniques uniques, alors, ce que nous voyons ici, c'est un tas de comptes de messagerie comportant plus d'un mot de passe. C'est la réalité de ces listes : elles fournissent souvent plusieurs mots de passe alternatifs différents qui pourraient être utilisés pour entrer dans le seul compte. 

« J'ai saisi les mots de passe de la liste Exploit.in qui m'a donné 197 602 390 valeurs uniques. Pensez-y un moment : 75 % des mots de passe dans un ensemble de données ont été utilisés plus d'une fois. Ceci est vraiment important, car cela commence à donner une forme sur l'ampleur du problème auquel nous sommes confrontés.

« Je suis passé à la liste Anti Public qui contenait 562 077 488 lignes avec 457 962 538 adresses électroniques uniques. Cela m'a donné encore 96 684 629 mots de passe uniques qui n’étaient pas dans les données Exploit.in. En y regardant d’une autre perspective, 83 % des mots de passe dans cet ensemble avaient déjà été vus auparavant. Ceci est tout à fait attendu : au fur et à mesure que d'autres données sont ajoutées, une plus petite proportion des mots de passe n'est précédemment pas visible.

« À partir de là, j’ai parcouru une variété d'autres sources de données ajoutant de plus en plus de mots de passe, mais avec un taux de diminution constante de nouveaux apparaissant. J'ajoutais des sources avec des dizaines de millions de mots de passe [...] Lorsque j'ai fini, il y avait 306 259 512 mots-clés Pwned uniques dans l'ensemble. » 

Source : developpez.com, haveibeenpwned.com (outil test)

WannaCry : une partie des bitcoins liés aux rançons convertis en Monero Une cryptomonnaie dont les transactions seraient non traçables

Le bot_Twitter de suivi des adresses Bitcoin utilisées par les auteurs du ransomware a récemment détecté une activité sur ces derniers. On sait que les cybercriminels ont procédé en multiples retraits pour un montant total en bitcoins équivalent à 140 000 $. De récents développements de Forbes à ce sujet indiquent qu’une partie de ces bitcoins a été convertie en Monero, une autre cryptomonnaie dont les montants des transactions ne seraient pas publiés sur la chaîne de blocs associée.

La communauté de la cybersécurité guette une éventuelle erreur des auteurs du ransomware WannaCry pour les démasquer. Sachant qu’ils sont attendus sur les failles du réseau Bitcoin permettant de remonter à eux, les cybercriminels ont opté pour l’exploitation d’un service de change de cryptomonnaies permettant de convertir les bitcoins en leur possession en Monero. Ils ont cependant agi avec prudence en procédant au change d’une partie seulement du montant en leur possession.

Forbes rapporte que 13,5 bitcoins, soit l’équivalent de 36 922 $, ont été convertis en Monero par le biais de Shapeshift.io, un service de change suisse. « Les transactions sur le réseau Monero sont entièrement anonymisées », a déclaré Giancarlo Russo, CEO de Neutrino, une firme de sécurité italienne. Ce dernier ajoute même qu’« il ne sera plus possible de tracer les futures transactions ». Les cybercriminels seraient donc, comme qui dirait, en train de réussir le pari de s’approprier cet argent sans se faire identifier.

Le service de change de la société suisse permet d’effectuer une transaction sans qu’il ne soit nécessaire de créer un compte. Cet état de choses a dû contribuer à faciliter la tâche des cybercriminels qui, selon la société en question, ont fait un usage frauduleux de son service. « À compter de ce jour, nous avons pris des mesures pour bannir toutes les adresses connues par notre équipe comme étant liées aux auteurs du ransomware WannaCry, ce, conformément à nos termes de service », a déclaré un porte-parole de ladite société.

« De plus, nous nous engageons à collaborer avec les forces de l’ordre impliquées dans ce cas et les assisterons dans leurs moindres requêtes pour appréhender les auteurs de ces actes », a-t-il conclu.

Difficile cependant de dire quelle est la direction que les bitcoins restants ont prise. Le fait que les cybercriminels aient procédé en plusieurs retraits suggère néanmoins qu’ils ont fait usage d'autres services de change pour positionner leurs avoirs sur un réseau plus sûr pour eux.

Source : developpez.com