Trois chercheurs, dont deux sont des militaires, affirment qu’une bonne partie des fichiers créés ou consultés par les internautes, et tout particulièrement les documents Word, recèlent des fonctionnalités cachées permettant l’injection de codes malveillants et la fuite d’informations confidentielles. Les antivirus et firewalls n’y peuvent rien ou presque : pour parer ? ces problèmes de sécurit?, il conviendrait donc d’apprendre ? se protéger, voire de ne pas utiliser la suite Office de Microsoft (qui comprend les logiciels Access, Excel, Word, Outlook, etc.).

Lors du Symposium sur la sécurit? des systèmes d’information (SSTIC), Philippe Lagadec, ingénieur au Centre d’électronique de l’armement (CELAR), a consacr? son intervention ? ces notions de "formats de fichiers et code malveillant".

Il a rappel? que même s’il a ét? vérifi? par un ou plusieurs antivirus, un fichier télécharg? ou consult? sur internet peut, "? l’insu de l’utilisateur et de l’administrateur, permettre l’"envoi de données confidentielles vers internet, l’installation d’une porte dérobée ou d’un logiciel de commande ? distance sur le poste de l’internaute, la destruction ou la falsification de ses données, ou encore "l’écoute des mots de passes saisis au clavier ou circulant sur le réseau".

Dans un article publi? dans le numéro de mai-juin 2003, consacr? ? la guerre de l’information, de la revue MISC, co-organisatrice du SSTIC, Patrick Chambet, consultant en sécurit? chez Edelweb et Eric Filiol, directeur du laboratoire de cryptologie et de virologie ? l’Ecole supérieure et d’application des transmissions (Esat) se sont plus précisement intéressés ? Word.

Alcatel mis ? nu

Fait peu connu, le logiciel Microsoft Word comprend en effet des fonctionnalités cachées permettant, entre autres choses, de prendre connaissance des différentes étapes de la rédaction d’un document.

En 2001, Alcatel l’avait appris ? ses dépens. Suite ? une faille de sécurit? dans une série de modems, Alcatel avait publi? un communiqu? de presse dont un examen détaill? révélait la présence de toute une série de phrases raturées concernant précisément tout ce qu’Alcatel ne voulait justement pas rendre public.

Selon Patrick Chambet et Eric Filiol, dans le cas de Word, "il ne s’agit pas de failles", mais de "fonctionnalités conçues délibérément, certainement dans un souci d’ergonomie toujours plus grande, mais qui au final font de l’utilisateur une victime".

Un document Microsoft Word peut fournir divers types de renseignements. Il contient notamment des informations sur son auteur. Il comprend, par défaut, son nom, celui de son entreprise, les dates et heures de la création et des dernières sauvegardes du fichier ainsi que le temps pass? ? l’éditer. Il peut aussi révéler le nom de la machine sur laquelle il a ét? créé, une partie de l’arborescence du disque dur de l’auteur, voire des informations sur la topologie du réseau interne ? son entreprise ainsi que le Global Unique Identifier (GUID, identifiant unique attribu? lors de l’enregistrement du système). Surtout, il permet de récupérer les modifications effectuées.

Des failles "édifiantes"

A l’appui de leur démonstration, les auteurs citent, dans leur article, deux autres cas de fuites, moins connus qu’Alcatel, mais "particulièrement édifiants". Le premier a permis ? un laboratoire de s’apercevoir que l’un de ses fournisseurs avait propos? des tarifs inférieurs ? un laboratoire concurrent. L’étude détaillée du devis (un fichier Word) révéla en effet que la secrétaire du prestataire avait tout simplement repris le devis établi pour le concurrent, avant d’en modifier les tarifs ? la hausse...

Dans le second cas, les rédacteurs de MISC ont découvert la présence d’un e-mail compromettant dissimul? dans un document Word. Une sociét? de presse les avait contactés pour vanter la sécurit? des produits de l’un de ses clients. Le fichier, analys?, révéla le contenu complet d’un e-mail indiquant que la sociét? de presse agissait bien en sous-main pour le compte de son client, et non de sa propre initiative.

"Word bugs"

Autre faille permise par Microsoft Word, ce que les auteurs nomment les "word bugs". Similaires aux "web bugs" (liens dissimulés dans une page html permettant de surveiller ceux qui consultent la page), ces liens cachés dans un document Word peuvent donner des informations sur sa consultation. Ils peuvent ainsi révéler le moment o? le fichier a ét? consult?, le lieu d’o? cette consultation a ét? effectuée ainsi que diverses données concernant l’identit? et l’environnement du lecteur et de sa connexion réseau, toutes informations utiles ? un assaillant potentiel.

Conclusion de Filiol et Chambet : "Les cas évoqués dans cet article sont d’autant plus effrayants qu’ils se reproduisent sans l’ombre d’un doute dans de nombreuses entreprises ou administrations, qui ne suspectent même pas ces ’fonctionnalités’. Combien d’entreprises mettent quotidiennement en péril leur activit? ? Combien de services de l’administration, même parmi les plus sensibles, mettent en danger les données de l’Etat ?"

A titre d’exemple, le moteur de recherche Google référence ainsi plus de 5 000 fichiers .doc sur l’ensemble des sites web du gouvernement français, et plus de 500 000 documents de ce type sur ceux du gouvernement américain.

Contre-mesures

Alors que l’emploi d’antivirus, de firewalls, voire d’outils de détection d’intrusions, tend ? se généraliser, ces programmes sont relativement inopérants en la matière. En effet, les failles incriminées ne peuvent être assimilées ni réduites aux seules attaques de type virales, et les fuites d’information ne relèvent pas ? proprement parler des méthodes traditionnelles d’intrusion ou de piratage.

Pour Philippe Lagadec, "cette menace est habituellement mal ou sous-évaluée, et les outils disponibles peu adaptés (...), il reste donc beaucoup de recherches ? mener dans ce domaine".

Il préconise un certain nombre de mesures en vue de se prémunir de ce genre de problèmes. En premier lieu, sécuriser son poste de travail en installant les dernières mises ? jour de sécurit? de son système d’exploitation ou de ses logiciels (? commencer par l’antivirus et autres outils de sécurit?).

Mais les documents créés au moyen de Word ne sont pas les seuls ? contenir de tels codes malveillants, ou ? occasionner des "fuites" d’informations potentiellement préjudiciables ? l’auteur - ou au lecteur - d’un fichier. Le code source des pages HTML permet lui aussi l’insertion de tels scripts et codes malveillants de type virus informatiques ou "spywares" (ou "espiogiciels", voir notre article).

Ainsi, de même qu’il est fortement déconseill? d’ouvrir les pièces jointes aux e-mails (qui dissimulent souvent des programmes malveillants, quand bien même les mails semblent provenir de personnes de confiance), il est aussi admis qu’il vaut mieux désactiver les contr?les ActiveX ou javascript dans les logiciels de navigation internet et de courrier électronique (voir l’article de Patrick Chambet sur la sécurisation d’Internet Explorer et d’Outlook Express).

Pour sa part, Nicolas Ruff, qui travaille sur la sécurit? dans le système d’exploitation Windows, évoquant ? ce même SSTIC les "spywares" de Windows XP, conseillait aux internautes d’interdire ? Internet Explorer d’accéder au Net et de le remplacer, par exemple, par Mozilla. Une alternative intéressante car si Mozilla est un navigateur, c’est aussi un logiciel de courrier électronique qui remplacera avantageusement la série des Outlook, réputée pour ses failles de sécurit?.

Les recommandations de la NSA

En ce qui concerne la Suite Office de Microsoft, Lagadec recommande de suivre la liste des contre-mesures de sécurit? proposées par la National Security Agency (NSA) américaine, visant entre autres ? n’autoriser que les macros signées (voir aussi le menu Outils/Macro/Sécurite), de désactiver la fonction "enregistrements rapides", et de se servir des formats RTF, HTML ou PDF, qui normalement contiennent beaucoup moins d’informations "hors texte". Pour lui "la publication sur Internet (ou par mail) de fichiers Office "natifs" (DOC, XLS, PPT, MDB, ...) est ? proscrire en général".

De leur c?t?, Filiol et Chambet conseillent d’une part de "ne jamais diffuser un document retouch?. Il doit être créé ex nihilo et d’un seul jet" ; ils préconisent également l’utilisation "d’un traitement de texte libre et parfaitement compatible avec la suite Office", tels que Star Office ou OpenOffice (la version "libre", et gratuite, de Star Office), exempts de telles failles de sécurit?.

Sécurit? informatique: enfin un colloque "sérieux" en France (Transfert.net):
http://www.transfert.net/a8935

Un général de l’armée française s’inquiète de l’indépendance informatique du pays (Transfert.net):
http://www.transfert.net/a8955

Alcatel Fucks Up Bigtime (Morons in the News):
http://web.morons.org/article.jsp?s...

Article sur la Sécurisation d’Internet Explorer et d’Outlook Express
http://www.chambet.com/publications...

Security Recommendation Guides (National Security Agency):
http://www.nsa.gov/snac/emailexec/

Le site de Star Office:
http://fr.sun.com/produits-solution...

Le site d’OpenOffice:
http://fr.openoffice.org/