Les cookies dévoilés par Internet Explorer
Une nouvelle faille de sécurité décelée dans Internet Explorer permet, à partir d’un simple script, d’accéder aux informations contenues dans les cookies stockés sur les disques durs des utilisateurs. Un trou de sécurité qui ajoute au manque de fiabilité du service Passport, pierre d’angle de la stratégie .Net de Microsoft.
« Les données des cookies peuvent être modifiées à l’aide d’un script sous IE ». Tel est le titre du bulletin de sécurité MS01-055 publié par Microsoft jeudi 8 novembre dernier. Reconnue par l’éditeur de Redmond, cette faille de sécurité semble concerner toutes les versions d’Internet Explorer, même si Microsoft concentre son alerte sur IE 5.5 et 6 pour la simple et « bonne » raison que l’éditeur n’assure plus le support des versions précédentes.
Rappelons que les cookies sont de petits fichiers textes contenant des informations personnelles, comme la fréquence des visites où le profil de l’utilisateur. Ennuyeux si un cookie contient notamment le numéro de carte bancaire, voire les paramètres d’accès à des comptes personnels, à caractère financier ou non. En principe, les cookies installés sur l’ordinateur de l’utilisateur ne sont lisibles que par les sites Web qui les ont générés. Mais un script malicieux permet visiblement de lire et de modifier le contenu des cookies à travers Internet Explorer. Bien sûr, pour activer ce script indésirable, il faut s’être connecté à une page Web (URL) qui le contient. Ou encore avoir téléchargé un e-mail au format HTML « infecté » par le script.
Désactivez les scripts dans votre navigateur
Cette faille est considérée comme « High », c’est-à-dire importante voire grave, par Microsoft lui-même. En attendant le développement d’un patch de correction, l’éditeur conseille de renforcer, si ce n’est déjà fait, le niveau de sécurité du navigateur. Simplement en personnalisant le niveau de sécurité à partir des Options Internet du navigateur puis, dans l’onglet Sécurité, en désactivant les scripts, y compris ceux des applets Java, du menu de personnalisation.
Ce trou de sécurité ne plaide pas en faveur de Passport, le service clé de la stratégie .Net de Microsoft qui unifie sous un unique profil les paramètres d’accès à différents comptes en ligne. Passport essuyait lui-même un revers de sécurité en début du mois (voir édition du 5 novembre 2001). Microsoft et la sécurité, une histoire sans fin mais pas sans faille.