Les récentes usurpations d’identités sur Facebook auraient pu être facilement évitées grâce à un Firewall Applicatif Web

Stratégies Channel

Les réseaux sociaux continuent de faire parler d’eux mais sous un angle peu rassurant… Dernière actualité en date : le piratage, peu de temps après celui, à deux reprises, du Président de la République, du propre compte Facebook de Marc Zuckerberg, le fondateur du célèbre réseau social ! Comment un outil touchant plus de 500 millions de personnes à travers le monde peut-il être aussi vulnérable ? Deny All, via son Directeur technique, Renaud Bidou, apporte des éléments de réponses.

Par Renaud Bidou, Deny All


Mode opératoire du hacker

Il suffit au pirate de se procurer un logiciel d’attaque par « force brute », disponible très facilement sur le Web. Depuis la page d’accueil de Facebook, le hacker rentre le login de l’utilisateur ciblé et lance le logiciel. Ce dernier travaille alors tout seul en utilisant la technique dite de « l’attaque par dictionnaire » : il essaie tous les mots existants dans le dictionnaire ainsi que leurs dérivés (ajouts de chiffres, de pluriels…), et finit par trouver le bon ! Le pirate devient ainsi l’utilisateur du compte et peut intervenir comme bon lui semble : changement de statuts, ajouts de commentaires, ou encore injection de « bouts » de codes malveillants qui infectent toute personne visitant le profil.

Pourquoi cette attaque a pu se produire ?

Deux raisons possibles :
– Aucune protection sous prétexte qu’elle pourrait « ralentir » le chargement des pages ;
– ou bien, un WAF non performant.

Quelle solution ?

Une solution simple pour se prémunir d’une telle attaque : un Firewall Applicatif Web (WAF) : une application Web, telle qu’une page Facebook, peut être protégée par un moteur statistique (aussi appelé moteur d’analyse comportementale) conçu pour détecter et bloquer ces attaques. Ce type de moteur décèle les tentatives d’authentification répétées, mode opératoire des logiciels d’attaque par force brute, et est mis en oeuvre par certains Firewalls applicatifs Web (WAF).