Des chercheurs auraient trouvé une faille importante qui concernerait de très nombreuses applications iOS (iPhone, iPad) : les informations qu'elles émettent et reçoivent pourraient dès lors être facilement compromises. Comment ? Comment s'en protéger ?

Après la découverte d'une vulnérabilité dans l'une de leurs propres applications iOS, les chercheurs en sécurité mobile de Skycure ont compris que cette faille pourrait concerner de très nombreuses autres applications disponibles sur l'AppStore, et consisterait en un détournement des requêtes HTTP (HRH, ou HTTP Request Hijacking).

C'est quoi le détournement de requêtes HTTP (HRH) ?

Une requête HTTP est une sollicitation d'informations sur Internet ou un réseau local entre un programme informatique et un serveur de données. Par exemple, lorsque vous saisissez le mot de passe pour accéder à votre messagerie, il s'agit d'une requête auprès du serveur de messagerie, qui répond alors Oui (accès autorisé) ou Non (en cas de mauvaise saisie du mot de passe par exemple).

Certaines de ces requêtes se font traditionnellement en mode HTTP, c'est à dire de façon non-chiffrée sur le réseau, contrairement aux requêtes HTTPS, plus sécurisées.

Le détournement de requêtes HTTP consiste donc à intercepter une requête en cours, et à la rediriger vers un serveur illégitime, non seulement pour capturer des informations personnelles ou confidentielles, mais aussi pour retourner au demandeur de fausses informations, de façon invisible.

Comment intercepter la requête HTTP ?

Les hackers qui interceptent une requête en vue de la détourner doivent orchestrer une attaque dite de "l'homme du milieu" (ou Man in the middle (MITM)), c'est à dire se placer en embuscade entre l'envoi de la requête et son arrivée sur le serveur. Une attaque de diligence moderne en quelque sorte. Pour ce faire, le plus pratique est de se connecter à un réseau Wi-Fi non sécurisé (ex : hotspot d'un hôtel, restaurant, aéroport, etc.), et d'attendre qu'un utilisateur transmette des requêtes dans les airs : connexion à sa messagerie ou à un réseau social, utilisation d'une application mobile connectée, etc. Infograhie : réseaux Wi-Fi publics : amis ou ennemis ?

La faille HRH en détails

Les chercheurs de Skycure ont expérimenté l'application de la faille HRH décrite plus haut : à partir d'un réseau Wi-Fi non sécurisé, ils ont pu intercepter les requêtes HTTP d'une application spécialement conçue pour cet exemple (une application d'information en temps réel). Les requêtes HTTP émises par l'application n'ont donc jamais atteint le serveur auquel elles étaient destinées. En revanche, l'interception a permis de retourner à l'application une réponse, a priori légitime, faisant part d'une erreur de type 301 (qui informe du fait que le serveur cible ne se trouve plus à telle adresse, mais à telle autre. Cette adresse de remplacement consiste bien entendu en un serveur contrôlé par les hackers).

Quels sont les risques encourus ?

Si le détournement de requête HTTP fonctionne, les pirates ont un accès et un contrôle total de l'application ciblée : ils peuvent modifier les contenus affichés, et collecter des données issues de d'applications bancaires ou de réseaux sociaux.

Comment se prémunir d'un détournement de requête HTTP ?

Cette faille découverte par les chercheurs de Skycure concernerait au moins 10 000 applications iOS, mais les autres systèmes d'exploitation mobiles (Android, Windows Phone, etc.) ne sont pas à l'abri d'une attaque de type HRH.

L'idéal est alors de préférer les applications dont les requêtes sont adressées de façon chiffrée, c'est à dire en HTTPS. Mais ce n'est pas toujours évident de savoir lesquelles proposent cette sécurité ! Auquel cas, mieux vaut éviter de connecter son smartphone (ou son ordinateur portable, sa tablette, etc.) à un réseau Wi-Fi non sécurisé, comme par exemple une Box Internet sans clé de cryptage, ou un hotspot public, sur lesquels les interceptions de données (MiTM) sont particulièrement aisées…

 

Source : skycure.com
Image : Flickr / Nick Holloway / CC BY-NC-SA 2.0

Ce contenu vous a intéressé ? Partagez-le !

• Tweet