Qu'est-ce qu'un défaut de jour zéro et comment il peut mettre en péril vos mots de passe

Peut-être que la philosophie ne vient pas à esprit quand on pense à la cybersécurité. Cependant, nous allons parler aujourd hui de la vulnérabilité zéro jour, et ce concept nécessite un peu de gymnastique mentale. En fait, il est facile de contracter une infection pouvant affecter des systèmes vulnérables. Cependant, la vulnérabilité de jour zéro ressemble davantage à un laps de temps pouvant être utilisé par un tiers malveillant pour exploiter un système cible. Afin atténuer cette vulnérabilité, des efforts communs du fournisseur de logiciels et des utilisateurs sont nécessaires. Pour en savoir plus sur ce concept et sur la manière dont une vulnérabilité de jour zéro peut exposer les mots de passe, continuez à lire cette entrée de blog.

Le concept de vulnérabilité zéro jour

Lorsque vous entendez cette phrase, vous imaginez probablement une sorte de problème logiciel qui permet aux cybercriminels de pirater un système. Vous avez effectivement raison, mais nous aimerions expliquer certains aspects de ce concept.

La vulnérabilité de jour zéro ne pointe pas vers un programme ou un système particulier. Il est utilisé pour décrire une vulnérabilité hypothétique que le fournisseur de logiciel ne connaît pas. Si un fournisseur ignore certaines vulnérabilités, les pirates informatiques ont plus de chances de exploiter. La vulnérabilité est limitée uniquement lorsque le fournisseur publie une mise à jour contenant un correctif, qui corrige la vulnérabilité. Le nombre de jours requis par le fournisseur pour publier un correctif peut être utilisé à la place de «zéro» dans le nom.

Par exemple, il faut 20 jours pour qu un correctif soit développé et publié depuis la découverte de la vulnérabilité, cette vulnérabilité spécifique peut être appelée une vulnérabilité de 20 jours. Cependant, même si le correctif a été développé, il existe toujours une grande chance que la vulnérabilité soit exploitée car tous les utilisateurs ne peuvent pas appliquer le correctif immédiatement.

Exemples de vulnérabilité zéro jour

Pour vous donner une meilleure idée de la manière dont les concepts de vulnérabilité du jour zéro peuvent être appliqués dans la pratique, examinons les problèmes logiciels les plus récents qui ont fait les gros titres en 2019. Par exemple, début février, Adobe a publié un micropatch qui a été utilisé pour résoudre une vulnérabilité de jour zéro pour Adobe Reader. Contrairement à la plupart des exploits qui exploitent une certaine vulnérabilité logicielle, les attaquants qui ont utilisé cette vulnérabilité ont exploité les faiblesses trouvées dans une fonctionnalité d’incorporation de contenu pour les fichiers PDF . En conséquence, cette vulnérabilité zéro jour a exposé les mots de passe car elle permettait aux criminels de voler les valeurs de mots de passe hachés en «téléphonant à la maison».

Le micropatch publié par Adobe a pas résolu la vulnérabilité immédiatement. Il avertissait les utilisateurs en affichant un avertissement de sécurité chaque fois que les utilisateurs utilisaient Adobe Reader une manière pouvant être exploitée par des cyber-criminels. Les mises à jour de sécurité officielles ont été publiées ultérieurement, selon le programme de correctifs officiel Adobe.

Un autre exemple d’une grande entreprise réputée qui corrige des vulnérabilités zéro jour inclut la résolution par Apple de plusieurs problèmes de sécurité liés à iOS et macOS Mojave au début du mois de février. Apple a corrigé quatre vulnérabilités qui auraient pu être exploitées. La plus grande vulnérabilité connue du grand public était probablement le bogue FaceTime qui permettait à quiconque utiliser application pour écouter les conversations des utilisateurs. Le point avec de telles vulnérabilités est que le fournisseur en sait rien à avance et Apple était certainement pas au courant des vulnérabilités qu il devait corriger. Lorsque de tels problèmes sont découverts accidentellement par des consommateurs ou des chercheurs tiers, il agit un exemple classique de vulnérabilité zéro jour.

Si nous cherchons plus exemples en arrière, nous pouvons également mentionner une ancienne faille critique dans macOS qui pourrait révéler des mots de passe dans PlainText . Cette vulnérabilité de jour zéro a été découverte et corrigée en 2017. Cette vulnérabilité avait permis à des applications aléatoires exporter des mots de passe en texte clair. Le fait est que, techniquement, Apple autorise pas les applications non signées. Il serait donc très difficile installer un programme malveillant sur macOS il a pas été approuvé par Apple. Pourtant, les experts en sécurité informatique ont suggéré que même les applications signées auraient pu utiliser cette vulnérabilité. Par conséquent, essentiel est que personne est jamais en sécurité, et nous devons toujours prendre toutes les mesures de sécurité disponibles pour protéger nos systèmes contre les dommages.

Comment protéger votre système contre la vulnérabilité zéro jour

Comme indiqué précédemment, il peut être difficile de résoudre le problème si le fournisseur de logiciel n’a pas connaissance de l’existence de cette vulnérabilité. De plus, il existe un délai entre la publication du correctif et son implémentation qui peut également être utilisé pour une exploitation malveillante. Par conséquent, pour minimiser le potentiel une exploitation malveillante, les utilisateurs doivent appliquer les mises à jour logicielles immédiatement.

Nous sommes conscients que certains utilisateurs peuvent vouloir désactiver la fonction de mise à jour automatique sur leurs appareils, mais ce n’est pas quelque chose que nous recommandons. Si vous autorisez votre logiciel à télécharger des mises à jour planifiées, vous réduirez certainement le potentiel une exploitation malveillante.

En outre, vous pourriez rendre plus difficile le vol de vos mots de passe par les cybercriminels en les conservant dans un coffre-fort crypté. Vous pouvez le faire en utilisant un gestionnaire de mots de passe pour conserver tous vos mots de passe sous un même verrou. Vous aurez alors besoin que un seul mot de passe principal à retenir (vous ne pouvez pas le stocker nulle part sur votre système, ou du moins, cela est pas recommandé) pour accéder à tous vos autres mots de passe. Quoi qu il en soit, il existe différentes façons améliorer la sécurité de votre système afin de minimiser les dommages potentiels que vous pourriez subir en raison de la vulnérabilité du jour zéro.

En plus de cela, vous vous rendrez service en établissant des habitudes sécuritaires en ligne.. Vous verrez toujours des experts en sécurité dire qu il faut investir dans un outil antispyware fiable, mais cet outil peut ne pas vouloir dire grand-chose ni faire grand chose à moins que vous utilisiez des habitudes de navigation sécurisées sur le Web. Un programme de sécurité ne peut pas vous protéger contre un clic parasite ou un téléchargement malveillant que vous pourriez initier accidentellement. Par conséquent, il est important utiliser des logiciels mis à jour et fiables, mais la manière dont vous interagissez avec le contenu en ligne est également extrêmement importante.