Qu’est-ce que l’empoisonnement des cookies ?
L’empoisonnement des cookies, également appelé détournement de session, est une stratégie d’attaque dans laquelle l’attaquant modifie, falsifie, détourne ou « empoisonne » de toute autre manière un cookie pourtant valide renvoyé à un serveur, afin de voler des données, de contourner les mesures de sécurité, ou les deux.
Qu’est-ce que l’empoisonnement des cookies ?
En informatique, un cookie est un ensemble de données propres à un site web et à une session utilisateur, notamment des informations sur les centres d’intérêt ou l’identité de l’utilisateur, qui est créé et stocké dans le navigateur de ce dernier. Les sites web et les serveurs peuvent utiliser des cookies pour analyser les tendances d’utilisation, par exemple pour déterminer quelles pages du site enregistrent le plus de trafic, mais aussi pour personnaliser et fluidifier l’expérience utilisateur, notamment en donnant la priorité aux contenus correspondant aux visites précédentes de l’utilisateur, en mémorisant les articles placés dans un panier d’achat en ligne ou en remplissant automatiquement ses informations personnelles.
Les attaquants peuvent intercepter les cookies avant qu’ils ne soient renvoyés au serveur afin d’en extraire des informations ou de les modifier. Ils peuvent également créer de toutes pièces des cookies falsifiés afin d’usurper l’identité d’un utilisateur et d’accéder à des données utilisateur supplémentaires. L’expression « empoisonnement des cookies » est donc impropre, car elle désigne souvent non seulement les cookies modifiés (« empoisonnés »), mais aussi diverses méthodes permettant de dérober des données contenues dans des cookies valides ou d’en faire d’autres usages malveillants.
Pourquoi l’empoisonnement des cookies est-il important ?
Les cookies sont souvent utilisés à des fins d’authentification et pour déterminer si un utilisateur est connecté à un compte. Ils contiennent donc des informations susceptibles d’être exploitées pour obtenir un accès non autorisé. Ils peuvent également contenir d’autres données sensibles saisies par l’utilisateur, notamment des informations financières. L’empoisonnement des cookies est relativement facile à réaliser pour les attaquants, qui peuvent utiliser un cookie empoisonné pour usurper l’identité d’utilisateurs à des fins frauduleuses ou obtenir un accès non autorisé au serveur web afin de mener d’autres attaques.
Comment fonctionne l’empoisonnement des cookies ?
Les cookies (ou autres jetons de session) qui ne sont pas générés ou transmis de manière sécurisée sont vulnérables au détournement ou à l’empoisonnement. Le cross-site scripting (XSS) est une méthode couramment utilisée pour voler des cookies, mais plusieurs techniques, notamment l’analyse de paquets et les attaques par force brute, peuvent permettre d’accéder sans autorisation aux cookies. L’empoisonnement de cookies étant un terme générique qui englobe de nombreuses activités malveillantes impliquant des cookies, une telle exploitation peut également être qualifiée, entre autres, d’attaque de l’homme du milieu, de détournement ou de fixation de session, ou encore de falsification.
Comment F5 empêche-t-il l’empoisonnement des cookies ?
Même si une conception rigoureuse des applications peut limiter les données sensibles stockées dans les cookies ou rendre leur extraction plus difficile pour les attaquants, un cookie sert à identifier les utilisateurs, leurs comportements, ou les deux. Les applications continueront donc à les utiliser. Une sécurité des applications web et une gestion des sessions appropriées, éventuellement assurées par un pare-feu applicatif web (WAF), peuvent contribuer à protéger les données d’identification et à prévenir l’empoisonnement des cookies.
Le F5 Advanced WAF utilise l’inspection des données par proxy complet, l’analyse comportementale et l’apprentissage automatique pour offrir une sécurité applicative de haut niveau, notamment une gestion avancée des sessions et le chiffrement SSL/TLS des cookies. En interceptant l’ensemble du trafic entrant et sortant du serveur web, il peut le déchiffrer et le comparer aux informations envoyées par le serveur afin d’empêcher les cookies modifiés d’atteindre le serveur ou une application.
