Trois chercheurs, dont deux sont des militaires, affirment qu’une bonne partie des fichiers cr鳬s ou consult駸 par les internautes, et tout particuli鑽ement les documents Word, rec鑞ent des fonctionnalit駸 cach馥s permettant l’injection de codes malveillants et la fuite d’informations confidentielles. Les antivirus et firewalls n’y peuvent rien ou presque : pour parer ? ces probl鑪es de s馗urit?, il conviendrait donc d’apprendre ? se prot馮er, voire de ne pas utiliser la suite Office de Microsoft (qui comprend les logiciels Access, Excel, Word, Outlook, etc.).
Lors du Symposium sur la s馗urit? des syst鑪es d’information (SSTIC), Philippe Lagadec, ing駭ieur au Centre d’駘ectronique de l’armement (CELAR), a consacr? son intervention ? ces notions de "formats de fichiers et code malveillant".
Il a rappel? que m麥e s’il a 騁? v駻ifi? par un ou plusieurs antivirus, un fichier t駘馗harg? ou consult? sur internet peut, "? l’insu de l’utilisateur et de l’administrateur, permettre l’"envoi de donn馥s confidentielles vers internet, l’installation d’une porte d駻ob馥 ou d’un logiciel de commande ? distance sur le poste de l’internaute, la destruction ou la falsification de ses donn馥s, ou encore "l’馗oute des mots de passes saisis au clavier ou circulant sur le r駸eau".
Dans un article publi? dans le num駻o de mai-juin 2003, consacr? ? la guerre de l’information, de la revue MISC, co-organisatrice du SSTIC, Patrick Chambet, consultant en s馗urit? chez Edelweb et Eric Filiol, directeur du laboratoire de cryptologie et de virologie ? l’Ecole sup駻ieure et d’application des transmissions (Esat) se sont plus pr馗isement int駻ess駸 ? Word.
Alcatel mis ? nu
Fait peu connu, le logiciel Microsoft Word comprend en effet des fonctionnalit駸 cach馥s permettant, entre autres choses, de prendre connaissance des diff駻entes 騁apes de la r馘action d’un document.
En 2001, Alcatel l’avait appris ? ses d駱ens. Suite ? une faille de s馗urit? dans une s駻ie de modems, Alcatel avait publi? un communiqu? de presse dont un examen d騁aill? r騅駘ait la pr駸ence de toute une s駻ie de phrases ratur馥s concernant pr馗is駑ent tout ce qu’Alcatel ne voulait justement pas rendre public.
Selon Patrick Chambet et Eric Filiol, dans le cas de Word, "il ne s’agit pas de failles", mais de "fonctionnalit駸 con輹es d駘ib駻駑ent, certainement dans un souci d’ergonomie toujours plus grande, mais qui au final font de l’utilisateur une victime".
Un document Microsoft Word peut fournir divers types de renseignements. Il contient notamment des informations sur son auteur. Il comprend, par d馭aut, son nom, celui de son entreprise, les dates et heures de la cr饌tion et des derni鑽es sauvegardes du fichier ainsi que le temps pass? ? l’馘iter. Il peut aussi r騅駘er le nom de la machine sur laquelle il a 騁? cr鳬, une partie de l’arborescence du disque dur de l’auteur, voire des informations sur la topologie du r駸eau interne ? son entreprise ainsi que le Global Unique Identifier (GUID, identifiant unique attribu? lors de l’enregistrement du syst鑪e). Surtout, il permet de r馗up駻er les modifications effectu馥s.
Des failles "馘ifiantes"
A l’appui de leur d駑onstration, les auteurs citent, dans leur article, deux autres cas de fuites, moins connus qu’Alcatel, mais "particuli鑽ement 馘ifiants". Le premier a permis ? un laboratoire de s’apercevoir que l’un de ses fournisseurs avait propos? des tarifs inf駻ieurs ? un laboratoire concurrent. L’騁ude d騁aill馥 du devis (un fichier Word) r騅駘a en effet que la secr騁aire du prestataire avait tout simplement repris le devis 騁abli pour le concurrent, avant d’en modifier les tarifs ? la hausse...
Dans le second cas, les r馘acteurs de MISC ont d馗ouvert la pr駸ence d’un e-mail compromettant dissimul? dans un document Word. Une soci騁? de presse les avait contact駸 pour vanter la s馗urit? des produits de l’un de ses clients. Le fichier, analys?, r騅駘a le contenu complet d’un e-mail indiquant que la soci騁? de presse agissait bien en sous-main pour le compte de son client, et non de sa propre initiative.
"Word bugs"
Autre faille permise par Microsoft Word, ce que les auteurs nomment les "word bugs". Similaires aux "web bugs" (liens dissimul駸 dans une page html permettant de surveiller ceux qui consultent la page), ces liens cach駸 dans un document Word peuvent donner des informations sur sa consultation. Ils peuvent ainsi r騅駘er le moment o? le fichier a 騁? consult?, le lieu d’o? cette consultation a 騁? effectu馥 ainsi que diverses donn馥s concernant l’identit? et l’environnement du lecteur et de sa connexion r駸eau, toutes informations utiles ? un assaillant potentiel.
Conclusion de Filiol et Chambet : "Les cas 騅oqu駸 dans cet article sont d’autant plus effrayants qu’ils se reproduisent sans l’ombre d’un doute dans de nombreuses entreprises ou administrations, qui ne suspectent m麥e pas ces ’fonctionnalit駸’. Combien d’entreprises mettent quotidiennement en p駻il leur activit? ? Combien de services de l’administration, m麥e parmi les plus sensibles, mettent en danger les donn馥s de l’Etat ?"
A titre d’exemple, le moteur de recherche Google r馭駻ence ainsi plus de 5 000 fichiers .doc sur l’ensemble des sites web du gouvernement fran軋is, et plus de 500 000 documents de ce type sur ceux du gouvernement am駻icain.
Contre-mesures
Alors que l’emploi d’antivirus, de firewalls, voire d’outils de d騁ection d’intrusions, tend ? se g駭駻aliser, ces programmes sont relativement inop駻ants en la mati鑽e. En effet, les failles incrimin馥s ne peuvent 黎re assimil馥s ni r馘uites aux seules attaques de type virales, et les fuites d’information ne rel钁ent pas ? proprement parler des m騁hodes traditionnelles d’intrusion ou de piratage.
Pour Philippe Lagadec, "cette menace est habituellement mal ou sous-騅alu馥, et les outils disponibles peu adapt駸 (...), il reste donc beaucoup de recherches ? mener dans ce domaine".
Il pr馗onise un certain nombre de mesures en vue de se pr駑unir de ce genre de probl鑪es. En premier lieu, s馗uriser son poste de travail en installant les derni鑽es mises ? jour de s馗urit? de son syst鑪e d’exploitation ou de ses logiciels (? commencer par l’antivirus et autres outils de s馗urit?).
Mais les documents cr鳬s au moyen de Word ne sont pas les seuls ? contenir de tels codes malveillants, ou ? occasionner des "fuites" d’informations potentiellement pr駛udiciables ? l’auteur - ou au lecteur - d’un fichier. Le code source des pages HTML permet lui aussi l’insertion de tels scripts et codes malveillants de type virus informatiques ou "spywares" (ou "espiogiciels", voir notre article).
Ainsi, de m麥e qu’il est fortement d馗onseill? d’ouvrir les pi鐵es jointes aux e-mails (qui dissimulent souvent des programmes malveillants, quand bien m麥e les mails semblent provenir de personnes de confiance), il est aussi admis qu’il vaut mieux d駸activer les contr?les ActiveX ou javascript dans les logiciels de navigation internet et de courrier 駘ectronique (voir l’article de Patrick Chambet sur la s馗urisation d’Internet Explorer et d’Outlook Express).
Pour sa part, Nicolas Ruff, qui travaille sur la s馗urit? dans le syst鑪e d’exploitation Windows, 騅oquant ? ce m麥e SSTIC les "spywares" de Windows XP, conseillait aux internautes d’interdire ? Internet Explorer d’acc馘er au Net et de le remplacer, par exemple, par Mozilla. Une alternative int駻essante car si Mozilla est un navigateur, c’est aussi un logiciel de courrier 駘ectronique qui remplacera avantageusement la s駻ie des Outlook, r駱ut馥 pour ses failles de s馗urit?.
Les recommandations de la NSA
En ce qui concerne la Suite Office de Microsoft, Lagadec recommande de suivre la liste des contre-mesures de s馗urit? propos馥s par la National Security Agency (NSA) am駻icaine, visant entre autres ? n’autoriser que les macros sign馥s (voir aussi le menu Outils/Macro/S馗urite), de d駸activer la fonction "enregistrements rapides", et de se servir des formats RTF, HTML ou PDF, qui normalement contiennent beaucoup moins d’informations "hors texte". Pour lui "la publication sur Internet (ou par mail) de fichiers Office "natifs" (DOC, XLS, PPT, MDB, ...) est ? proscrire en g駭駻al".
De leur c?t?, Filiol et Chambet conseillent d’une part de "ne jamais diffuser un document retouch?. Il doit 黎re cr鳬 ex nihilo et d’un seul jet" ; ils pr馗onisent 馮alement l’utilisation "d’un traitement de texte libre et parfaitement compatible avec la suite Office", tels que Star Office ou OpenOffice (la version "libre", et gratuite, de Star Office), exempts de telles failles de s馗urit?.
S馗urit? informatique: enfin un colloque "s駻ieux" en France (Transfert.net):
http://www.transfert.net/a8935
Un g駭駻al de l’arm馥 fran軋ise s’inqui鑼e de l’ind駱endance informatique du pays (Transfert.net):
http://www.transfert.net/a8955
Alcatel Fucks Up Bigtime (Morons in the News):
http://web.morons.org/article.jsp?s...
Article sur la S馗urisation d’Internet Explorer et d’Outlook Express
http://www.chambet.com/publications...
Security Recommendation Guides (National Security Agency):
http://www.nsa.gov/snac/emailexec/
Le site de Star Office:
http://fr.sun.com/produits-solution...
Le site d’OpenOffice:
http://fr.openoffice.org/