Si, en tant que professionnel de la sécurité, vous pensez avoir résolu votre problème de lutte contre les bots, détrompez-vous.
Les bots entraînent des pertes financières considérables : les bots de bourrage d’identifiants conduisent à la prise de contrôle de comptes, les bots de revendeurs non autorisés font tourner au fiasco les lancements de produits et les offres à durée limitée, les bots d’extraction de données ralentissent les performances et augmentent les coûts d’infrastructure, tandis que les bots qui piratent les cartes-cadeaux en épuisent le solde et exaspèrent les clients. Non seulement l’impact est considérable, mais la probabilité qu’une entreprise en ligne subisse une attaque avoisine les 100 %, car ces attaques sont extrêmement lucratives pour les cybercriminels. Compte tenu de l’ampleur de l’impact et de la forte probabilité d’une attaque, il est évident que vous avez besoin d’une stratégie de sécurité efficace. Pourtant, comme le montrent les gros titres récents, les attaquants continuent de mettre au point des moyens de contourner les défenses antibots couramment déployées. Le moment est donc venu de réévaluer les contre-mesures que vous avez mises en place contre les bots.
Le 24 janvier 2023, Joe Berchtold, président de Live Nation, la société mère de Ticketmaster, a témoigné devant la commission judiciaire du Sénat américain que les bots de revendeurs étaient responsables de la mauvaise gestion de la vente des billets pour la prochaine tournée de Taylor Swift. « C’est ce qui a entraîné une expérience client désastreuse, que nous regrettons profondément », a déclaré Berchtold aux sénateurs.
Toujours en janvier 2023, CNET a rapporté que des milliers d’utilisateurs du gestionnaire de mots de passe Norton avaient reçu des notifications les informant qu’un tiers non autorisé avait peut-être accédé à leurs informations personnelles ainsi qu’aux mots de passe stockés dans leurs coffres-forts. Gen Digital, la société mère de Norton, a attribué cet incident de sécurité à une attaque par bourrage d’identifiants menée par des bots, détectée lorsque son système IDS (système de détection d’intrusion) a signalé un nombre inhabituellement élevé d’échecs de connexion.
Ticketmaster avait investi dans la lutte contre les bots, et nous pouvons supposer que Gen Digital avait également mis en place des protections. Pourtant, les bots ont tout de même causé des dommages en matière de sécurité, compromettant la disponibilité et la confidentialité, tout en générant une importante couverture médiatique négative. Une question évidente se pose alors : bien que les solutions anti-bots existent depuis des années, pourquoi tant de dispositifs de défense échouent-ils à neutraliser les bots malveillants ?
Pour les organisations qui s’appuient encore sur les CAPTCHA, la réponse est évidente. En plus d’agacer les vrais clients et de réduire les taux de conversion dans l’e-commerce, les CAPTCHA ne fonctionnent pas. Il suffit de rechercher sur le Web des services de résolution de CAPTCHA pour en trouver au moins une douzaine qui rivalisent en matière de prix et de rapidité. Le créateur d’une bibliothèque open source s’est donné pour mission de rendre le contournement des CAPTCHA extrêmement facile :
« Les CAPTCHA, sous leur forme actuelle, ont échoué. Ils constituent un obstacle et une gêne bien plus importants pour les humains que pour les robots, ce qui les rend inutiles. Ma contribution anarchiste à ce débat consiste à démontrer cette absurdité à l’aide d’un plugin pour robots qui permet, avec une seule ligne de code, de contourner les reCAPTCHA sur n’importe quel site. »
Pour les organisations qui s’appuient sur des listes de blocage d’adresses IP au niveau de leur WAF pour lutter contre les bots, la tâche est tout aussi désespérée. Il existe des services qui proposent aux créateurs de bots des dizaines de millions d’adresses IP résidentielles destinées à contourner la détection des bots. Ces services sont commercialisés sous la forme de proxys résidentiels rotatifs : le bot envoie des requêtes http au proxy, comme de nombreux navigateurs d’entreprise envoient leurs requêtes via des proxys directs, et le service change continuellement l’adresse IP publique utilisée pour envoyer la requête au site web ou à l’API. Auparavant, les bots utilisaient généralement des proxys de centres de données, souvent issus de services cloud, qui sont bien connus et faciles à identifier. Ces nouveaux services de proxy utilisent toutefois des adresses IP résidentielles provenant de la même zone géographique que vos clients. Comme chaque adresse IP peut simultanément correspondre à un bot ou à un client légitime en raison de la traduction d’adresses réseau (NAT) effectuée par les FAI, il n’est pas envisageable de bloquer toutes ces adresses IP sans également refuser l’accès à vos véritables clients.
Pour aller encore plus loin, de nouveaux services commerciaux tels que ZenRows, ScrapFly, et ScrapingBee rendent le web scraping aussi simple qu’un appel d’API. Ces services se chargent entièrement de contourner les défenses antibots pour votre compte. Bien que ces services basés sur des API se consacrent exclusivement au scraping, une pratique légale aux États-Unis et dans l’Union européenne, les cybercriminels ont accès, sur le dark web, à des services similaires qui permettent de mener des attaques de bots plus malveillantes, telles que le bourrage d’identifiants.
Outre les services commerciaux, plusieurs projets open source s’attaquent au contournement des systèmes de détection des bots. Un plugin furtif pour Puppeteer, un outil populaire d’automatisation et de test pour Node.js, permet à Puppeteer d’échapper à la détection. Un groupe actif de développeurs assure la maintenance du projet sur GitHub et publie des mises à jour dès qu’un système de défense contre les bots parvient à le détecter. Selon sa documentation : « Ce jeu du chat et de la souris n’en est qu’à ses débuts et évolue rapidement ; le plugin reste donc aussi flexible que possible afin de permettre des tests et des itérations rapides. » Une bibliothèque similaire, undetected-chromedriver, s’adresse aux développeurs Python. Dans l’esprit de l’open source, ces projets visent à préserver un Web ouvert, où les développeurs peuvent automatiser des tâches sur des applications. Malheureusement, cette fonctionnalité peut facilement être exploitée par des cybercriminels.
Alors que de plus en plus d’organisations participent à la création de projets open source et de services commerciaux, les développeurs qui cherchent à contourner les défenses antibots acquièrent et partagent des connaissances. Ces instructions guident les lecteurs à travers les étapes permettant de désobfusquer le code JavaScript des outils de détection et de comprendre comment ces outils conditionnent leurs données afin de les transmettre à leur service de détection. En procédant à la rétro-ingénierie du code côté client, ces développeurs déterminent le fonctionnement des outils de détection. Par exemple, un développeur de ZenRows explique ce qu’il a appris sur le dimensionnement des fenêtres et la manière dont les services de détection des bots repèrent les incohérences :
« Dans l’image illustrant un exemple de données de capteur, on constate que la taille de la fenêtre est transmise. La plupart des points de données sont liés : dimensions réelles et disponibles de l’écran, dimensions intérieures et extérieures de la fenêtre. Par exemple, les dimensions intérieures ne doivent jamais être supérieures aux dimensions extérieures. Des valeurs aléatoires ne fonctionneront pas ici. Il vous faudrait un ensemble de dimensions réelles. »
Compte tenu de la gravité de la menace, il est clairement temps de réévaluer vos mesures de lutte contre les bots. Leader en matière d’efficacité de la détection des bots, F5 peut vous aider. Si vous souhaitez connaître l’efficacité réelle de votre dispositif de lutte contre les bots, savoir quels bots vous échappent et combien cela coûte à votre entreprise, F5 propose gratuitement une évaluation des menaces et une consultation sur l’impact commercial des bots.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.