Une jolie faille de sécurité dans Notes 5
Le logiciel de messagerie de Lotus peut livrer les noms et les mots de passe à l’insu de leurs utilisateurs !
Les administrateurs de réseaux ont reçu un avertissement de la part de Lotus pour combler un trou de sécurité dans Notes 5. La semaine dernière, la filiale d’IBM a admis la vulnérabilité de son logiciel lorsqu’il est utilisé en combinaison avec Microsoft Internet Explorer et un serveur proxy. Si le navigateur ouvre une page personnalisée par un utilisateur, son nom et son mot de passe sont stockés dans un fichier de texte à la portée des regards indiscrets.
« C’était une erreur manifeste de cette version, aussi nous allons la réparer », a indiqué le porte-parole d’IBM Karen Kazanjian. Simon Moores, président du Lotus User Group, a conseillé aux administrateurs de combler la faille :« C’est vraiment sérieux. C’est l’équivalent en informatique d’une Lady sans dessous en train d’escalader une échelle ». Pourtant, avant d’avoir officiellement admis ce problème de sécurité, Lotus assurait qu’il n’existait aucun risque. Un document récent indiquait :« Lotus Development considère que le stockage du nom d’utilisateur et du mot de passe en plein texte dans une base de données locale ne pose pas de problème de sécurité ».
Les développeurs travaillent maintenant sur une fonction de cryptage de ces informations pour la prochaine version de Notes. D’ici là, Lotus recommande aux administrateurs de crypter la base de données « PERWEB.NFS » où sont stockées les informations de connexion.
Pour en savoir plus : Lotus