BlueKrypt

L’exploitation d’une faille dans le site de banque en ligne de BNP Paribas aurait pu permettre à un pirate d´accéder à un compte client. Une faille très rapidement maîtrisée. Un cas exemplaire de transparence pour la banque aux étoiles. Le cookie Jacking a encore de beaux jours devant lui. Cette technique informatique consiste à intercepter le cookie de connexion d'un internaute, via son compte Facebook, Hotmail, ou de banque. Mission pour un potentiel pirate informatique, faire passer le cookie intercepté et modifié comme un officiel afin de piéger les systèmes de sécurité et d'identification.

De très nombreux sites exploitent le système de cookie temporaire. Une fois l'internaute légitime déconnecté, son cookie de connexion devient caduque et inexploitable par un internaute malveillant. Seulement, le piratage ne connait aucune limite. ZATAZ.COM a permis la correction d'un cookie jacking, via le protocole d'alerte de ZATAZ, qui aurait pu toucher n'importe quel client de la banque BNP Paribas.

Aussitôt alertées, les équipes de sécurité des systèmes d’information, qui sont les experts réseaux et sécurité informatique de cette entreprise bancaire Française, ont réagi au quart de tour. Nous avons attendu pour vous parler de cette correction, le temps des derniers tests et de la mise en place du correctif par les équipes de sécurité des systèmes d’information BNP Paribas.

1 dose de cookie, 2 doses de chance

L'attaque reposait sur l'injection d'un cookie. Injection qui aurait pu permettre un accès distant, mais heureusement, en lecture seule de la session d’un utilisateur BNP Paribas, et cela pendant une session de connexion d’une quinzaine de minutes. Il s’agissait d’un accès en lecture seule des informations clients, l’exploitation de la faille ne permettait pas de réaliser de transaction. Pour mémoire, l’utilisateur client BNP Paribas est protégé par une authentification double canal (mot de passe + SMS). Autant dire qu'un potentiel pirate n'avait que la possibilité d'espionner sa victime sans pouvoir lui voler le moindre argent.

Bien que limitée, en particulier dans sa durée, cette attaque pouvait être exploitée et automatisée pour une cible précise. Le problème était assez simple et la correction n'a pas tardé. Si un cookie existe déjà lors de l'arrivée sur la page d'identification du site www.secure.bnpparibas.net, celui-ci est accepté par le serveur comme identifiant de session. Il n'était pas modifié après l'étape d'authentification. La session ouverte était donc la même avant et après authentification.

Le site BNP Paribas alloue des sessions d’une durée d’une quinzaine de minutes, il fallait donc que la victime se connecte sur son compte en banque, dans la période de la génération du cookie. Heureusement, si le client se déconnectait de son compte BNP Paribas, le cookie était effacé puis remplacé, détruisant la session côté serveur. Un éventuel pirate n'aurait pas pu se reconnecter au compte avec le cookie. "Néanmoins, souligne Guillaume DALEUX de l'Université de Rouen, une exploitation automatisée était possible durant la session de connexion d'un client. Il était aussi envisageable (les tests effectués par ZATAZ.COM l'ont prouvé, NDLR) qu'un pirate exploite un cheval de Troie permettant de maintenir une synchronisation du cookie avec un script d'attaque distant".

ZATAZ.COM tient à remercier les équipes de sécurité des systèmes d’information de BNP Paribas qui ont contacté la rédaction, deux fois par semaine, afin de la tenir au courant des avancées du correctif et des tests de conformité avant la mise en ligne au public. Une action et une réactivité qui renforce la sécurité déjà très carrée du site aux étoiles : https, protection contre les keyloggers, etc.