Des chercheurs compromettent la norme du W3C pour la sécurisation des Web services
Des chercheurs à l'université de Bochum en Allemagne affirment avoir réussi à compromettre des parties du standard de chiffrement « XML Encryption », largement utilisé pour sécuriser les Web Services.
L'exploit permet d'après Juraj Somorovsky et Tibor Jager de déchiffrer les données en transit lors d'une attaque de type « man in the middle ».
XML-Encryption est une spécification et recommandation officielle du W3C. Adaptée à la protection des transmissions entre serveurs, XML-Enc est notamment utilisée entre les sites de commerce électronique et les institutions financières (banques, plateformes de paiement...).
IBM, Microsoft et Red Hat Linux déploieraient le standard au profit d'un très grand nombre d'utilisateurs finaux, regrettent les chercheurs qui affirment avoir notifié ces entreprises de la menace.
Comme la faille des standards SSL/TLS qui continue de faire du bruit, la nouvelle attaque découverte agit sur les données chiffrées à l'aide du standard AES en mode d'enchaînement des blocs (cipher block chaining, CBC).
L'attaque intercepte les paquets de données chiffrées et change le vecteur d'initialisation utilisé par le mode CBC. L'analyse des messages d'erreurs générés par le serveur suite au trucage des ciphertext permettrait de « deviner ce que le message original était, affirment les chercheurs, dans tous les cas le résultat était clair, l'attaque fonctionne et la norme largement utilisée n'est clairement pas sans danger »
Les détails de l'attaque et les preuves de sa faisabilité seront dévoilés à l’« ACM Conference » (sur la sécurité informatique et des communications), qui aura lieu plus tard cette année à Chicago. Plusieurs présentations de cryptographie appliquée seront dédiées à cette menace.
Les chercheurs affirment qu'il n'y a pas de contre-mesure à court terme et recommandent vivement que le standard soit mis à jour.
Source : site de l'université de Bochum
Et vous ?
Que pensez-vous de cette nouvelle menace ?
Vous avez lu gratuitement 781 articles depuis plus d'un an.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.
).... D'un autre côté SSL/TLS (1.1 pour la plus part) sont utilisés ce qui limite la possibilité d'une attaque sur WS-enc
