[Article mis à jour le 8 nov 2022]
Avez-vous utilisé des google dorks aujourd’hui ? Si vous avez tapé un mot entre guillemets ou bien associé deux termes avec AND, alors la réponse est oui.
Les google dorks sont des opérateurs de recherche avancés qui aident à mieux cibler les informations recherchées.
Ils permettent même de découvrir des vulnérabilités et de renforcer votre sécurité, voyons comment.
Sous PHP, la méthode principale pour gérer des sessions utilisateurs est l’utilisation de cookies de sessions appelés par défaut « PHPSESSID ». Lorsqu’un utilisateur se connecte sur une application, celle-ci demande la génération d’un identifiant de session au programme PHP présent sur le serveur Web. Celui-ci s’exécute et créé un code unique qu’il va stocker dans sa mémoire vive puis renvoyer au client grâce au header « Set-Cookie ». Les cookies étant conçus pour être automatiquement renvoyés dans chaque requête du navigateur vers le serveur, l’identifiant de session sera transmis systématiquement. Cette solution permet de gérer les cas classiques de connexion/déconnexion d’un utilisateur.
Cependant, ce type de fonctionnement ne permet pas de partager facilement un même compte pour s’authentifier sur plusieurs plateformes distinctes et le serveur a l’obligation de stocker l’état et les informations des sessions dans sa mémoire vive.
Cette série d’articles aborde les points les plus importants de la sécurité des applications mobiles, quelle que soit la plateforme (iOS, Android ou autre).
L’objectif est de démystifier les différents aspects de la sécurité mobile, avec des mots très simples.
Ce troisième épisode présente les failles liées aux échanges de données
Cette série d’articles aborde les points les plus importants de la sécurité des applications mobiles, quelle que soit la plateforme (iOS, Android ou autre).
L’objectif est de démystifier les différents aspects de la sécurité mobile, avec des mots très simples.
Ce second épisode présente les failles liées au stockage non sécurisé des données.
Cette série d’articles aborde les points les plus importants de la sécurité des applications mobiles, quelque soit la plateforme (iOS, Android ou autre).
L’objectif est de démystifier les différents aspects de la sécurité mobile, avec des mots très simples.
Vous effectuez des tests sur vos applications avant de les mettre en production ? Découvrez pourquoi faire conduire des tests d’intrusion externalisés peut renforcer considérablement votre niveau de sécurité et votre image vis à vis de vos clients.
Mis à jour : 23 Déc 2020
Cet article ne remplace pas de bonnes connaissances en PHP, mais peut vous donner de réels bons conseils pour booster votre sécurité.
Il n’y aura ici rien à copier/coller directement dans vos fichiers PHP. Cependant, nous croyons que ces conseils et bonnes pratiques vous apporteront des bénéfices à long terme, en comprenant et en appliquant les différents points en fonction de vos besoins et de votre contexte.
Cet article est le troisième de notre série dédiée à la sécurité pour PHP.
Le premier article vous donne des indications pour la configuration de PHP, les mises à jour, le filtrage des données, ainsi que l’organisation du code.
Le second article traite de la protection contre les attaques les plus courantes.
Nous allons maintenant traiter des risques liés aux cookies, uploads, CRSF ainsi que de la sécurité par l’obscurité.
Mis à jour : 23 Déc 2020
Cet article ne remplace pas de bonnes connaissances en PHP, mais peut vous donner de réels bons conseils pour booster votre sécurité.
Il n’y aura ici rien à copier/coller directement dans vos fichiers PHP. Cependant, nous croyons que ces conseils et bonnes pratiques vous apporteront des bénéfices à long terme, en comprenant et en appliquant les différents points en fonction de vos besoins et de votre contexte.
Cet article est le deuxième de notre série dédiée à la sécurité pour PHP. Le premier article “Protéger votre site : Bonnes pratiques de sécurité pour PHP #1” vous donne des indications pour la configuration de PHP, les mises à jour, l’organisation du code ainsi que le filtrage/échappement des données.
Nous allons à présent examiner les attaques les plus courantes, ainsi que les moyens de s’en défendre.
Mis à jour 1. Déc 2020 PHP reste le langage de programmation côté serveur le plus populaire : il est utilisé par presque 80% des sites (source). Ce langage continue à être développée, et PHP 8 a été publié la semaine dernière ! Cette version apporte de nouvelles fonctionnalités et devrait renforcer la sécurité. Cependant, la sécurité de PHP se construit dès ses fonctionnalités centrales ‘historiques’. L’article qui suit ne remplace pas de bonnes connaissances en PHP,…
Mis à jour 16 fev. 2021
Les failles logiques restent un type de vulnérabilités méconnues dans la sécurité informatique. Ce ne sont pas des erreurs dans le raisonnement logique. Il s’agit de failles liées au fonctionnement d’une application web. Elles diffèrent des vulnérabilités techniques, qui elles, sont directement liées à des erreurs de code, d’implémentation ou de configuration.
Nous trouvons régulièrement ces vulnérabilités de logique business lors de tests d’intrusion, sur tout type d’applications. Généralement, les sites ecommerce et les logiciels SaaS sont les solutions où ces vulnérabilités se retrouvent le plus fréquemment.
2FA signifie Two Factor Authentication (authentification à deux facteurs). Il s’agit d’un moyen permettant de renforcer un processus d’authentification.
Un exemple de ce type d’authentification se trouve sur de nombreux sites de banques, sur les fonctionnalités critiques telles que la réalisation de virements bancaires. Suivant votre banque, celle-ci peut vous envoyer un code via SMS, que vous devez recopier sur le site web afin de confirmer le virement.
Le second facteur utilisé peut être un téléphone, un objet physique en votre possession, une caractéristique physique (biométrie) ou un secret que vous seul connaissez.
Un process 2FA comprend quelques inconvénients : il rend le processus d’authentification plus complexe, et le second facteur doit impérativement être “disponible”, ce qui peut constituer un problème avec les téléphones mobiles. Batterie déchargée, mauvaise couverture réseau ou tout autre problème peuvent empêcher le processus de fonctionner correctement.
Si vous ne voyez pas exactement la différence entre un firewall “classique” et un WAF (web application firewall), je vous conseille de consulter un article précédent, expliquant les différences : Firewalls traditionnels ou Web Application Firewalls?
Les menaces pesant sur les applications font des web application firewalls une approche véritablement complémentaire aux bonnes pratiques de développement et aux tests de sécurité (audits).
La protection globale qu’ils apportent contre les attaques connues (et non connues), le patching virtuel et le reporting d’événements liés à la sécurité ont une vraie valeur ajoutée.
Les firewalls traditionnels ont pour but de protéger des environnements informatiques contre les attaques, en autorisant ou en bloquant certains services.
Ces firewalls contrôlent le trafic réseau entrant et sortant, en se basant sur une série de règles.
Voici un exemple simple :
Supposons que votre entreprise possède un serveur web dans son infrastructure informatique. Afin de rendre le serveur web accessible depuis l’extérieur de votre entreprise, certaines règles devront être définies pour autoriser le trafic web vers et depuis ce serveur.
Certains “ports” seront ouverts, pour une adresse IP (celle de votre serveur web).
Votre entreprise peut choisir d’autoriser seulement le trafic web, ou d’autoriser un autre type de trafic en fonction de ses besoins.