HTTPS : le meilleur des cookies ?

Conçu pour sécuriser la connexion aux sites Web, le protocole HTTPS peut être exploité à d’autres fins, notamment le traçage des internautes.

Ce constat est l’œuvre de Sam Greenhalgh. L’ingénieur logiciel britannique pointe du doigt une fonctionnalité baptisée HSTS, pour « HTTP Strict Transport Security ». Définie par l’IETF (Internet Engineering Task Force) dans la recommandation RFC 6797, elle simplifie la redirection des utilisateurs de pages HTTP vers leur équivalent HTTPS.

Pour éviter le renvoi systématique des informations de redirection, les créateurs de HSTS ont mis en place un mécanisme grâce auquel les navigateurs Web peuvent « se rappeler » des sites qui exigent des connexions en HTTPS. C’est précisément cette mémorisation qui est assimilable à un « super-cookie ».

Sam Greenhalgh en détaille le fonctionnement dans sa démonstration. Chaque site HTTPS consulté se voit en fait attribuer un code unique auquel il peut ensuite accéder, généralement dans les paramètres des navigateurs. Problème : une fois enregistré, ledit code peut être consulté par n’importe quel site. Il suffit de lancer des requêtes tests pour savoir si les adresses Web sont redirigées ou non.

Les butineurs n’appliquant pas les mêmes règles de sécurité à HSTS qu’aux « vrais » cookies, ils peuvent éventuellement laisser passer des redirections vers des pages corrompues. C’est sans compter le fait qu’un site malveillant pourrait stocker un numéro unique dans un navigateur pour ensuite le pister.

Chrome, Firefox et Opera ne sont que partiellement exposés : si la suppression des cookies entraîne l’effacement des en-têtes HSTS, le mode de surf « privé » ou « incognito » ne permet pas de déjouer le traçage. La question ne se pose pas pour Internet Explorer, quoique la fonctionnalité incriminée soit en cours de développement.

C’est avec Safari que la situation est plus problématique. Et plus particulièrement sur les terminaux Apple : il semble n’y avoir, pour l’utilisateur, aucun moyen d’effacer les en-têtes HSTS. Ces derniers sont même, comme le note Silicon.fr, synchronisés avec le service iCloud et donc restaurés en cas d’effacement d’un terminal.

Dès 2012, le dénommé Mikhail Davidov, chercheur en sécurité, avait mis le doigt sur cette fragilité de HSTS, sans toutefois susciter de réaction formelle de la part des éditeurs concernés.

—— A voir aussi ——
Quiz ITespresso.fr : que savez-vous des VPN ?

Carlos Amarillo – Shutterstock.com