Vous êtes-vous déjà demandé comment les visiteurs sont personnalisés sur certains sites Web? Cela peut s'exprimer, par exemple, en mémorisant le contenu du "panier" (si ce site est destiné à la vente de marchandises) ou en remplissant les champs d'un formulaire. Le protocole HTTP, qui est la base du World Wide Web, n'a aucun moyen de suivre les événements d'une visite de site à l'autre, donc un module complémentaire spécial a été développé pour stocker ces "états". Ce mécanisme, décrit dans la RFC 2109, insère des éléments spéciaux de données de cookies dans les requêtes et réponses HTTP transmises pour permettre aux sites Web de suivre leurs visiteurs.
Les données des cookies peuvent être mémorisées pendant la durée de la session de communication ( par session), rester dans la RAM pendant une session et être supprimé lorsque le navigateur est fermé, ou même après une période de temps spécifiée. Dans d'autres cas, ils sont permanents ( persistant), restant sur le disque dur de l'utilisateur sous forme de fichier texte. Ils sont généralement stockés dans le répertoire Cookies (% windir% \\ Cookies sous Win9x et% userprofile% \\ Cookies sous NT / 2000). Il est facile de deviner qu'après avoir capturé des cookies sur Internet, un attaquant peut se faire passer pour l'utilisateur de cet ordinateur, ou collecter des informations importantes contenues dans ces fichiers. En lisant les sections suivantes, vous verrez à quel point il est facile de le faire.
Interception des cookies
Le moyen le plus direct consiste à intercepter les cookies lorsqu'ils sont transmis sur le réseau. Les données interceptées peuvent ensuite être utilisées lors de la connexion au serveur approprié. Ce problème peut être résolu en utilisant n'importe quel utilitaire d'interception de paquets, mais l'un des meilleurs est le programme de Lavrenty Nikula ( Laurentiu Nicula) SpyNet / PeepNet... SpyNet comprend deux utilitaires qui fonctionnent ensemble. Programme CaptureNet capture le paquet lui-même et l'enregistre sur le disque, et PeepNet ouvre le fichier et le convertit dans un format lisible. L'exemple suivant est un extrait d'une session de communication récupérée par PeepNet, au cours de laquelle un cookie est utilisé pour authentifier et contrôler l'accès aux pages consultées (les noms ont été modifiés pour préserver l'anonymat).
GET http://www.victim.net/images/logo.gif HTTP / 1.0 Accepter: * / * Référent: http://www.victim.net/ Hôte: www.victim.net Cookie: jrunsessionid \u003d 96114024278141622; cuid \u003d TORPM! ZXTFRLRlpWTVFISEblahblah
Dans cet exemple, vous pouvez voir un morceau de cookie placé dans une requête HTTP au serveur. Le plus important est le terrain cuid \u003d, qui spécifie un identifiant unique utilisé pour authentifier un utilisateur sur le site www.victim.net. Disons que l'attaquant visite ensuite victim.net, obtient son propre identifiant et cookie (on suppose que le site ne place pas les données du cookie dans la mémoire virtuelle, mais les écrit sur le disque dur). L'attaquant peut alors ouvrir son propre cookie et remplacer l'identifiant de champ cuid \u003d par celui-ci issu du paquet intercepté. Dans ce cas, lors de l'entrée sur le serveur victim.net, il sera perçu comme l'utilisateur dont les données du cookie ont été interceptées.
Capacité du programme PeepNet rejouer toute la session de communication ou son fragment facilite grandement la mise en œuvre de ce type d'attaque. Utilisation du bouton Va le chercher! vous pouvez récupérer les pages qui ont été consultées par l'utilisateur en utilisant leurs données de cookies qui ont été précédemment interceptées par CaptureNet. Dans la fenêtre de dialogue de l'utilitaire PeepNet, vous pouvez voir des informations sur les ordres exécutés par quelqu'un. Cela utilise les données de cookies capturées par le programme CaptureNet pour l'authentification. Notez le cadre dans le coin inférieur droit de la boîte de dialogue des données de session et la ligne qui suit la ligne Cookie :. Il s'agit du cookie utilisé pour l'authentification.
C'est un truc assez sympa. En outre, l'utilitaire CaptureNet peut fournir un enregistrement complet du trafic sous forme décryptée, ce qui équivaut presque aux capacités des utilitaires de qualité professionnelle tels que Sniffer Pro de Network Associates, Inc. Cependant, l'utilitaire SpyNet Mieux encore, obtenez-le gratuitement!
Contre-mesures
Méfiez-vous des sites qui utilisent des cookies pour authentifier et stocker des informations d'identification sensibles. Cookie Pal de Kookaburra Software est l'un des outils de sécurité disponibles à l'adresse http://www.kburra.com/cpal.html. Ce logiciel peut être configuré pour générer des messages d'avertissement pour l'utilisateur lorsqu'un site Web tente d'utiliser le mécanisme de cookies. Ce faisant, vous pouvez «regarder dans les coulisses» et décider d'autoriser ou non ces actions. Internet Explorer dispose d'un mécanisme de prise en charge des cookies intégré. Pour l'activer, lancez l'applet Options Internet dans le Panneau de configuration, accédez à l'onglet Sécurité, sélectionnez l'élément Zone Internet, définissez le mode Niveau personnalisé et, pour les données de cookies persistantes et temporaires, définissez le bouton radio sur Invite. Pour configurer l'utilisation des cookies dans le navigateur Netscape, utilisez la commande Modifier ›Préférences› Avancé et paramétrer le mode Avertir avant d'accepter un cookie ou Désactiver les cookies (Figure 16.3). Lorsque vous acceptez un cookie, vous devez vérifier s'il a été écrit sur le disque et voir si le site Web collecte des informations sur l'utilisateur.
Lorsque vous visitez un site sur lequel des cookies sont utilisés pour l'authentification, vous devez vous assurer que le nom d'utilisateur et le mot de passe initialement fournis sont cryptés au moins à l'aide de SSL. Ces informations apparaîtront alors dans la fenêtre PeepNet au moins pas en texte brut.
Les auteurs préféreraient désactiver complètement les cookies si de nombreux sites Web fréquemment visités n'exigeaient pas ce mode. Par exemple, le service Hotmail de Microsoft, populaire dans le monde entier, nécessite l'enregistrement de cookies. Étant donné que ce service utilise plusieurs serveurs différents dans le processus d'authentification, les ajouter à la zone Sites de confiance n'est pas facile (ce processus est décrit dans «Utilisation judicieuse des zones sécurisées: Dépannage général des éléments Activex»). Dans ce cas, la désignation * .hotmail.com vous aidera. Les cookies sont loin d'être la solution idéale au problème d'incomplétude HTML, mais les approches alternatives semblent être encore pires (par exemple, ajouter un identifiant à l'URL qui peut être stockée sur des serveurs proxy). Jusqu'à ce qu'une meilleure idée émerge, le seul moyen de sortir est de contrôler les cookies en utilisant les méthodes énumérées ci-dessus.
Capturer les cookies via URL
Imaginez quelque chose d'horrible: les utilisateurs d'Internet Explorer cliquent sur des hyperliens spécialement conçus et deviennent des victimes potentielles, au risque que leurs cookies soient interceptés. Bennett Hazelton ( Bennett Haselton) et Jamie McCarthy ( Jamie McCarthy) de Peacefire, une organisation pour adolescents qui promeut la liberté de communication sur Internet, a publié un script qui donne vie à cette idée. Ce script récupère les cookies d'un ordinateur client lorsque son utilisateur clique sur un lien contenu sur cette page. Cela rend le contenu du cookie disponible pour les opérateurs du site Web.
Cette fonctionnalité peut être utilisée à mauvais escient en incorporant des IFRAME dans le code HTML d'une page Web, d'un courrier électronique HTML ou d'un message de groupe de discussion. L'exemple suivant, fourni par le consultant en sécurité Richard M. Smith, illustre l'utilisation des IFRAME avec un utilitaire développé par Peacefire.