Trois chercheurs, dont deux sont des militaires, affirment qu'une bonne partie des fichiers créés ou consultés par les internautes, et tout particulièrement les documents Word, recèlent des fonctionnalités cachées permettant l'injection de codes malveillants et la fuite d'informations confidentielles. Les antivirus et firewalls n'y peuvent rien ou presque : pour parer à ces problèmes de sécurité, il conviendrait donc d'apprendre à se protéger, voire de ne pas utiliser la suite Office de Microsoft (qui comprend les logiciels Access, Excel, Word, Outlook, etc.). Philippe Lagadec, ingénieur au Centre d'électronique de l'armement souligne que même s'il a été vérifié par un ou plusieurs antivirus, un fichier téléchargé ou consulté sur internet peut, "à l'insu de l'utilisateur et de l'administrateur, permettre l'"envoi de données confidentielles vers internet, l'installation d'une porte dérobée ou d'un logiciel de commande à distance sur le poste de l'internaute, la destruction ou la falsification de ses données, ou encore "l'écoute des mots de passes saisis au clavier ou circulant sur le réseau". Fait peu connu, le logiciel Microsoft Word comprend en effet des fonctionnalités cachées permettant, entre autres choses, de prendre connaissance des différentes étapes de la rédaction d'un document. Selon Patrick Chambet et Eric Filiol, dans le cas de Word, "il ne s'agit pas de failles", mais de "fonctionnalités conçues délibérément, certainement dans un souci d'ergonomie toujours plus grande, mais qui au final font de l'utilisateur une victime". Un document Microsoft Word peut fournir divers types de renseignements. Il contient notamment des informations sur son auteur. Il comprend, par défaut, son nom, celui de son entreprise, les dates et heures de la création et des dernières sauvegardes du fichier ainsi que le temps passé à l'éditer. Il peut aussi révéler le nom de la machine sur laquelle il a été créé, une partie de l'arborescence du disque dur de l'auteur, voire des informations sur la topologie du réseau interne à son entreprise ainsi que le Global Unique Identifier (GUID, identifiant unique attribué lors de l'enregistrement du système). Surtout, il permet de récupérer les modifications effectuées. A l'appui de leur démonstration, les auteurs citent, dans leur article, deux autres cas de fuites, moins connus qu'Alcatel, mais "particulièrement édifiants". Le premier a permis à un laboratoire de s'apercevoir que l'un de ses fournisseurs avait proposé des tarifs inférieurs à un laboratoire concurrent. L'étude détaillée du devis (un fichier Word) révéla en effet que la secrétaire du prestataire avait tout simplement repris le devis établi pour le concurrent, avant d'en modifier les tarifs à la hausse... Dans le second cas, les rédacteurs de MISC ont découvert la présence d'un e-mail compromettant dissimulé dans un document Word. Une société de presse les avait contactés pour vanter la sécurité des produits de l'un de ses clients. Le fichier, analysé, révéla le contenu complet d'un e-mail indiquant que la société de presse agissait bien en sous-main pour le compte de son client, et non de sa propre initiative. Autre faille permise par Microsoft Word, ce que les auteurs nomment les "word bugs". Similaires aux "web bugs" (liens dissimulés dans une page html permettant de surveiller ceux qui consultent la page), ces liens cachés dans un document Word peuvent donner des informations sur sa consultation. Ils peuvent ainsi révéler le moment où le fichier a été consulté, le lieu d'où cette consultation a été effectuée ainsi que diverses données concernant l'identité et l'environnement du lecteur et de sa connexion réseau, toutes informations utiles à un assaillant potentiel. Conclusion de Filiol et Chambet : "Les cas évoqués dans cet article sont d'autant plus effrayants qu'ils se reproduisent sans l'ombre d'un doute dans de nombreuses entreprises ou administrations, qui ne suspectent même pas ces 'fonctionnalités'. Combien d'entreprises mettent quotidiennement en péril leur activité ? Combien de services de l'administration, même parmi les plus sensibles, mettent en danger les données de l'Etat ?" Pour Philippe Lagadec, "cette menace est habituellement mal ou sous-évaluée, et les outils disponibles peu adaptés (...), il reste donc beaucoup de recherches à mener dans ce domaine". Il préconise un certain nombre de mesures en vue de se prémunir de ce genre de problèmes. En premier lieu, sécuriser son poste de travail en installant les dernières mises à jour de sécurité de son système d'exploitation ou de ses logiciels (à commencer par l'antivirus et autres outils de sécurité). Mais les documents créés au moyen de Word ne sont pas les seuls à contenir de tels codes malveillants, ou à occasionner des "fuites" d'informations potentiellement préjudiciables à l'auteur - ou au lecteur - d'un fichier. Le code source des pages HTML permet lui aussi l'insertion de tels scripts et codes malveillants de type virus informatiques ou "spywares". Ainsi, de même qu'il est fortement déconseillé d'ouvrir les pièces jointes aux e-mails (qui dissimulent souvent des programmes malveillants, quand bien même les mails semblent provenir de personnes de confiance), il est aussi admis qu'il vaut mieux désactiver les contrôles ActiveX ou javascript dans les logiciels de navigation internet et de courrier électronique. Pour éviter ces problèmes, Filiol et Chambet donnent deux règles. Ils conseillent d'une part de "ne jamais diffuser un document retouché. Il doit être créé ex nihilo et d'un seul jet" ; ils préconisent également l'utilisation "d'un traitement de texte libre et parfaitement compatible avec la suite Office", tels que OpenOffice (la version "libre", et gratuite, de Star Office), exempts de telles failles de sécurité.
Transfert : http://www.transfert.net/a8977
