Failles de sécurité : portes ouvertes aux pirates Pièces jointes qui s’ouvrent automatiquement, serveurs saturés, intrusions éclairs : les failles de sécurité facilitent le travail des pirates et des créateurs de virus. Or les dégâts peuvent être évités en mettant à jour les logiciels.

D'ici 2005, 90% des attaques exploiteront des failles de sécurité connues, pour lesquelles des correctifs seront déjà disponibles. Cette étude du cabinet Gartner montre que l’avenir nous réserve d’autres virus semblables à Slammer, Code Red ou Nimda. Malgré leurs cibles et modes opératoires différents, ces trois virus ont un point commun : ils se propagent en exploitant les failles de sécurité. Le dernier de ces virus virulents, Slammer, a pris pour cible Microsoft SQL Server 2000. Il a bloqué début janvier le fonctionnement des milliers de serveurs d’entreprise en profitant d’une faille du logiciel. Mais qu’est-ce qu’une faille de sécurité ? Quels sont les risques et comment s’en protéger ? Explications.

Les points faibles des logiciels
La sécurité informatique n’est pas le métier des éditeurs d’applications généralistes. Lorsqu’ils sortent un nouveau produit, ils testent avant tout le fonctionnement du logiciel, qui n’est, dans la majorité des cas, qu’une première version à améliorer. Ces logiciels peuvent donc contenir des erreurs qui seront corrigées lors des prochaines versions. On appelle ces erreurs des « bugs », lorsqu’elles empêchent le fonctionnement du logiciel, ou « des failles », lorsqu’elles mettent en danger la sécurité du produit. Les failles (ou vulnérabilités, ou brèches) sont des éléments non sécurisés des logiciels ; on peut les comparer aux portes non verrouillées d’une maison. Ex : certains sites web souffrent d’une faille qui permet de voir à l’aide du navigateur des répertoires normalement inaccessibles. Les failles peuvent aussi résulter d’une utilisation initialement non prévue ou détournée par un pirate.

Quelles sont les risques ?
Les failles ouvrent aux pirates des portes d’entrées dans les systèmes. En l’absence des failles, un pirate doit essayer de « casser » la protection d’un ordinateur. Or grâce aux failles, il n’a pas besoin de faire autant d’efforts. Il utilise des logiciels qui scannent le web et qui cherchent des ordinateurs ayant des failles de sécurité. Il attaquera ainsi en priorité ces machines non protégées. Les virus récents utilisent aussi la même technique : ils se propagent en exploitant les vulnérabilités. Certains ne peuvent infecter que grâce aux failles : les ordinateurs qui n’en présentent pas sont ainsi protégés contre ce type de virus.

Comment s’en protéger ?
Les éditeurs de logiciels publient régulièrement des correctifs (ou des « patchs ») pour pallier les problèmes de sécurité. Les utilisateurs doivent mettre à jour leurs applications et installer ces correctifs, souvent disponibles sur le site web des éditeurs. Pour les utilisateurs avancés, il existe également des organismes qui publient des alertes, comme le CERT (Computer Emergency Team). Mais comment faire le tri entre un correctif critique et une amélioration pas forcément indispensable ? L’été dernier, Microsoft avait, par exemple, publié dix alertes de sécurité en un mois et demi. Un rythme pas facile à suivre pour un particulier, ni pour une entreprise. Conscient du problème, l’éditeur vient de lancer un service d’information : un bulletin régulier et compréhensible, qui regroupe les nouvelles failles de sécurité, sera envoyé aux utilisateurs non professionnels.
Les bulletins servent à se protéger des dernières menaces, mais que faire si on utilise des logiciels qui datent de quelques années ? Souvent, les correctifs pour ces programmes ont été publiés depuis longtemps, mais la majorité des utilisateurs ne sont pas au courant. Dans ce cas, il est conseillé de mettre à jour les applications les plus vulnérables, comme le navigateur web, la messagerie ou la bureautique.

Failles connues des applications répandues
1) Outlook et Internet Explorer
Des milliers d’utilisateurs n’ont même pas eu besoin d’ouvrir une pièce jointe pour être contaminé par le virus Klez. Le fichier piégé s'est exécuté automatiquement à l'ouverture du mail ou dans la fenêtre de Prévisualisation d'Outlook. Le responsable de cette propagation éclair : une vulnérabilité MIME (Multipurpose Internet Mail Extensions, utilisé pour des e-mails en HTML) d’Internet Explorer 5.01 et 5.5. D’autres virus, comme Badtrans, utilisent aussi cette faille pour se propager.

2)Serveurs web
Webmasters en herbe, attention : votre site perso ou boutique amateur en ligne peuvent être attaqués, si ses applications ne sont pas mises à jour. Les versions non patchées du serveur web IIS sont vulnérables aux attaques de type "Buffer overflow" (saturation du serveur) et à l’affichage des répertoires cachés. Autre risque : la faille Cross Site Scripting : insertion du code javascript dans un formulaire web et ainsi accès à la base de données d’un site.

3) Applications bureautiques
Des failles critiques frappent les anciens versions de la suite MS Office : des fonctions Internet intégrées aux applications Office peuvent permettre à un pirate de lancer des programmes à distance, lire des fichiers sous un profil utilisateur, modifier ou effacer des données.

4) Messagerie instantanées et applications multimédia
Certaines versions du logiciel Winamp souffrent d’une vulnérabilité des balises ID3v2, présentes dans des fichiers MP3 ou Windows Media Audio. Ces balises peuvent être remplacées par un code malveillant qui provoque un dépassement de la mémoire tampon.
Les messageries instantanées de MSN et d’AOL non patchées sont vulnérables à un détournement de la fonctionnalité ActiveX, qui peut permettre à un pirate de prendre le contrôle d’un ordinateur à distance.