Actualité
Les nouveaux navigateurs échouent à restreindre le phishing
Les criminels contournent les règles de sécurité, selon les chercheurs
anti-phishing.
Les mesures anti-phishing intégrées aux navigateurs les plus populaires échouent à restreindre l’impact des e-mails qui tentent de voler des données confidentielles. Microsoft Internet Explorer 7 et Mozilla Firefox 2.0 intègrent des listes noires qui préviennent l’utilisateur quand il tente de visiter un site web connu pour ses activités d’hameçonnage.
Les deux éditeurs déclarent avoir arrêté les attaques mais David Jevans, président de l’Anti-Phishing Working Group (APWG) et directeur opérationnel au sein de l’entreprises de sécurité IronKey, a déclaré lors d’une rencontre avec la presse à San Fransisco que cela n’a pas mené à une baisse du nombre de courriels falsifiés.
Les criminels contournent les listes noires en créant un nouveau domaine pour chaque campagne de phishing. Selon David Jevans, le résultat se traduit par une explosion de domaines uniques propres aux activités d’hameçonnage. Les travaux de l’APWG estime que les noms de domaines uniques propres au phishing ont grimpé de 11 976 il y a un an à 37 438 le mois dernier. « La tendance ne va pas dans la bonne direction », estime David Jevans.
Enregistrer des nouveaux domaines pour chaque attaque de phishing accorde aux criminels plusieurs heures d’activité pour voler des informations entre le moment où les messages sont envoyés et celui de la mise à jour des listes noires.
Pour combattre ce fléau à court terme, le porte parole de l’APWG recommande aux éditeurs d’intégrer des technologies heuristiques qui analysent le comportement d’un site web et révèle les pages suspectes. Mais un tel système risque de classer des sites légitimes comme plates-formes de phishing.
La solution à long terme, selon David Jevans, passe par un système d’authentification des sites web et des courriels. Un tel système nécessiterait la coopération de tous les principaux fournisseurs d’accès, des éditeurs et des centres d’hébergement. Une entreprise tellement gigantesque que David Jevans reconnaît que ce n’est pas prêt d’arriver. « Le phishing est là pour durer un certain temps », concède-t-il.
Adapté d’un article de Vnunet.com publié le 20 juin 2007.
Autres articles sur ce sujet
Categories : Piratage.
Loading ...
Derniers commentaires
3 Responses to Les nouveaux navigateurs échouent à restreindre le phishing-
Le 21 juin 2007 à 0:00 par françois
-
Le 28 juin 2007 à 0:00 par Jacques GAIGNARD
-
Le 28 juin 2007 à 0:00 par Pascal
la liberté sur Internet c’est bien, mais ça tourne un peu au laxisme.
Tant qu’il y avait trois clanpins sur le web, ça pouvait marcher, toutes ces règles ou plutôt cette absence de règles. Maintenant que c’est un bizness avec des dizaines de zéro derrière le un, ça ne peut plus durer.
Il est anormal qu’on puisse ouvrir un .com sans vérification. Il est anormal que la même personne, avec la même carte bleue, puisse ouvrir des centaines de .com sans vérification : surtout si on a repéré qu’elle a déjà ouvert des sites suspects. Il est anormal que n’importe qui puisse envoyer un email en se faisant passer pour qui il veut. Il est anormal qu’un FAI laisse envoyer des dizaines de milliers d’emails depuis un compte « particulier ».
Je ne m’en réjouis pas, mais il va bien falloir :
contrôler la création des noms de domaine
contrôler l’origine des expéditeurs d’emails
contrôler le volume d’emails envoyés et faire la différence entre les newsletters autorisées et les autres
Il est possible de référencer les serveurs SMTP qui garantissent pouvoir donner l’identité de l’expéditeur. Dès lors les clients de messagerie pourraient indiquer si l’expéditeur du message « peut » être identifié par la justice. Ceci n’interdirait pas les autres, seulement quand un message est sensé venir d’une banque ça devrait donner une information.
Il peut en être de même pour les hébergeurs ou les noms de domaines. C’est en outre ce qui se fait pour les .fr dont le propriétaire est identifié.
L’anonymat est une très bonne chose et je pense qu’il faut le préserver. Toutefois l’internaute doit avoir l’indication que l’identification de l’interlocuteur en face n’est pas vérifiable même avec l’aide d’un magistrat. A partir de là , chacun a la possibilité de faire ses choix.
« Sacrifiez la liberté au nom de la sécurité et vous n’aurez ni l’une, ni l’autre. »
Thomas Jefferson