{"id":5,"date":"2008-02-24T12:47:08","date_gmt":"2008-02-24T11:47:08","guid":{"rendered":"http:\/\/vdeffontaines.free.fr\/newblog\/index.php\/2008\/02\/24\/le-puit-sans-fond-de-la-securite-web\/"},"modified":"2008-02-24T16:20:42","modified_gmt":"2008-02-24T15:20:42","slug":"le-puit-sans-fond-de-la-securite-web","status":"publish","type":"post","link":"https:\/\/blog.gryzor.com\/index.php\/2008\/02\/24\/le-puit-sans-fond-de-la-securite-web\/","title":{"rendered":"Le puit sans fond de la s\u00e9curit\u00e9 Web"},"content":{"rendered":"<p>Pas une semaine sans qu&#8217;on ne d\u00e9couvre des trous de s\u00e9curit\u00e9 b\u00e9ants dans des services en ligne, des applications web, les languages eux-m\u00eames.<br \/>\nSans compter que les technologies elles-m\u00eames \u00e9voluent \u00e0 une vitesse conf\u00e9rant au dirty hacking.<\/p>\n<p>Derni\u00e8re plateforme unifi\u00e9e d&#8217;authentification \u00e0 la mode, OpenID, et un excellent <a href=\"http:\/\/marcoslot.net\/apps\/openid\/\">document expliquant les possiblit\u00e9s g\u00e9n\u00e9riques de phishing<\/a> offertes par cette technologie. La conclusion est simple : si on veut partager une authentification avec des milliers d&#8217;autres sites web, s&#8217;appuyer sur un mod\u00e8le de secret partag\u00e9 (le couple login\/password) est totalement hors de question, car tout le monde se retrouve \u00e0 partager les m\u00eames, pour un utilisateur donn\u00e9&#8230;<br \/>\nBref, il reste du travail (comme pour le reste ) &#8230;<\/p>\n<p>Les services web sont tradiditionnellement tr\u00e8s vuln\u00e9rables, peut-\u00eatre parce que :<\/p>\n<ul>\n<li>Beaucoup de d\u00e9veloppeurs sont peu qualifi\u00e9s, ou au moins peu sensibles aux probl\u00e8mes de s\u00e9curit\u00e9<\/li>\n<li>Ces services sont enrichis par une interaction (entre eux, et avec les utilisateurs) tr\u00e8s grandissante, ce qui complexifie \u00e0 outrance les probl\u00e8mes de filtrage des donn\u00e9es, et les &#8220;d\u00e9ports de confiance&#8221;<\/li>\n<\/ul>\n<p>\u00c0 la louche, quelques outils, dont l&#8217;\u00e9num\u00e9ration, \u00e0 d\u00e9faut d&#8217;\u00eatre originale, pourrait \u00eatre utile :<\/p>\n<ul>\n<li>Cot\u00e9 serveur, s\u00e9curit\u00e9 web avec PHP : l&#8217;incontournable <a href=\"http:\/\/www.hardened-php.net\/suhosin\/\">suhosin<\/a>, relativement simple \u00e0 d\u00e9ployer<\/li>\n<li>Toujours cot\u00e9 serveur, un tr\u00e8s grand classique est bien s\u00fbr <a href=\"http:\/\/modsecurity.org\">mod_security<\/a>, dont la difficult\u00e9 de configuration a comme pendant une exceptionnelle souplesse<\/li>\n<li>Cot\u00e9 client, <a href=\"http:\/\/noscript.net\">NoScript<\/a> est un must, et se montre utilisable avec un minimum de bonne volont\u00e9 par tout utilisateur<\/li>\n<li>Pour les [maudits] d\u00e9veloppeurs qui travaillent avec PHP, voyez aussi <a href=\"http:\/\/www.haypocalc.com\/blog\/index.php\/2008\/02\/19\/125-profiling-php-javascript\">ce post de haypo sur le profiling PHP<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Pas une semaine sans qu&#8217;on ne d\u00e9couvre des trous de s\u00e9curit\u00e9 b\u00e9ants dans des services en ligne, des applications web, les languages eux-m\u00eames. Sans compter que les technologies elles-m\u00eames \u00e9voluent \u00e0 une vitesse conf\u00e9rant au dirty hacking. Derni\u00e8re plateforme unifi\u00e9e d&#8217;authentification \u00e0 la mode, OpenID, et un excellent document expliquant les possiblit\u00e9s g\u00e9n\u00e9riques de phishing [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[3],"tags":[],"_links":{"self":[{"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/posts\/5"}],"collection":[{"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/comments?post=5"}],"version-history":[{"count":0,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/posts\/5\/revisions"}],"wp:attachment":[{"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/media?parent=5"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/categories?post=5"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/tags?post=5"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}