Résumé
Le détournement de session se produit lorsqu’une personne malveillante vole ou parvient à deviner un token de session valide afin d’usurper l’identité d’une personne authentifiée. Les attaquants exploitent des techniques telles que le cross-site scripting (XSS), le malware, la fixation de session et l’écoute du réseau pour capturer ces tokens. Les mesures de défense incluent le chiffrement intégral du trafic, l’utilisation d’un VPN sur les réseaux publics, la randomisation des cookies de session et la clôture rapide de la session après une période d’inactivité.
Comprendre le détournement de session
Une attaque de détournement de session est une forme d’usurpation d’identité. Le hacker obtient l’accès à une clé de session informatique valide et, avec cette infime information, l’intrus peut faire pratiquement tout ce qu’une personne autorisée peut faire.
Nous vous aidons à comprendre ce qu’est le détournement de session, et nous expliquons comment vous pouvez protéger vos données et vous prémunir contre ce risque.
Qu’est-ce qu’une attaque par détournement de session ?
Une période de communication entre deux appareils (comme un ordinateur et un serveur) correspond à une session. L’authentification initie le processus et, en cas de succès, le serveur génère un token de session qui est stocké dans le navigateur de l’utilisateur. Lors d’un détournement de session, ce token est volé ou prédit.
Avec votre identifiant de session, votre hacker peut :
- Prendre le contrôle de votre session. Tout ce que vous êtes autorisé à faire sur ce site, votre pirate peut également le faire. Cela peut signifier transférer de l’argent, effectuer un achat ou modifier votre mot de passe.
- Rechercher d’autres opportunités. Se connecter sur un site (comme Google) vous permet-il de travailler sur un autre site (comme YouTube) ? Votre hacker le découvrira.
| Technique | Fonctionnement | Différence clé |
|---|---|---|
| Détournement de session | L’attaquant vole ou prédit un token de session valide afin de prendre le contrôle d’une session active. | L’utilisateur légitime et l’attaquant travaillent tous deux sur le même serveur en même temps (jusqu’à ce que le programme plante ou que l’utilisateur soit supprimé). |
| Usurpation de session | L’attaquant se fait passer pour l’utilisateur et démarre une nouvelle session à son insu. | L’attaquant démarre une nouvelle session au lieu de prendre le contrôle d’une session active existante. |
Comment commence le détournement de session ?
Les serveurs sont conçus en tenant compte de la sécurité, et il devrait être difficile pour quiconque de procéder à un détournement de session. Malheureusement, les brèches sont fréquentes.
Cinq techniques connues existent, notamment :
- Attaques par cross-site scripting (XSS). Un attaquant vous envoie un lien apparemment anodin. Vous cliquez dessus, et un code malveillant s’exécute. Le hacker obtient votre clé de session. Cette approche est considérée comme un risque majeur pour la sécurité des applications par l’Open Web Application Security Project (OWASP).
- Malware. Le pirate insère un lien malveillant dans un e-mail ou sur un site web. En cas d’infection, le pirate peut dérober les clés de session ou prendre le contrôle de votre appareil. Parfois, les hackers utilisent des malwares pour mener des attaques de type homme du milieu ou homme dans le navigateur, leur permettant de voir tout ce que vous faites sur n’importe quel serveur.
- Fixation de session. Le hacker vous envoie une clé de session connue via un lien. Lorsque vous vous connectez via ce lien, le hacker récupère votre cookie.
- Session-side jacking. Le hacker utilise un outil de sniffing pour lire le trafic non chiffré qui transite entre votre appareil et le serveur. Si vous travaillez sur un réseau WiFi public, la tâche du hacker est encore plus simple, car votre trafic peut ne pas être chiffré.
- Interception de session. Votre identifiant de session est transmis sans chiffrement, et votre hacker surveille le réseau pour le repérer.
Au-delà de ces techniques, les hackers peuvent également s’appuyer sur des outils spécialement conçus pour accélérer et simplifier la capture de session.
Quels outils les hackers utilisent-ils pour le détournement de session ?
Les hackers peuvent également utiliser différents outils pour capturer des cookies de session et prendre le contrôle des sessions. Voici quelques exemples courants :
- Firesheep — une extension Firefox utilisée sur des sessions WiFi publiques pour copier les cookies de session sur des sites web authentifiés.
- WhatsappSniffer, un outil spécifique à certaines plateformes, peut contourner les protections habituelles des sessions et prendre entièrement le contrôle des sessions.
- DroidSheep : un outil de détournement de session ciblant les sessions mobiles.
- CookieCadger : un outil utilisé pour capturer et rejouer des cookies de session.
Tant que des hackers chercheront à prendre le contrôle des sessions, des équipes de développement spécialisées dans le hacking seront là pour les aider.
Comment pouvez-vous prévenir le détournement de session ?
De nombreux navigateurs modernes intègrent une protection contre le détournement de session. Veiller à utiliser la version la plus récente des logiciels chaque fois que vous accédez au web est un moyen simple et rapide de protéger vos données.
Quatre autres options de sécurité incluent :
- Chiffrer l’ensemble du trafic. Veillez à ce que tous les transferts vers et depuis votre serveur soient entièrement chiffrés, afin qu’aucune personne extérieure ne puisse les intercepter ou les dérober.
- Utilisez un VPN. Si vous ou vos collaborateurs devez travailler dans des espaces publics, veillez à protéger vos communications à l’aide d’un VPN. Le Wi-Fi public est tout simplement trop dangereux.
- Générer aléatoirement les cookies de session. Configurez votre serveur pour émettre des cookies de session aléatoires, afin que les hackers aient du mal à deviner la suite.
- Mettre fin rapidement aux sessions. Lorsqu’une session se termine, déconnectez-vous. Si vous êtes administrateur ou administratrice du site, déconnectez les utilisateurs et utilisatrices après une période d’inactivité.
Foire aux questions (FAQ)
Quelle est la différence entre le détournement de session et l’usurpation de session ?
Le risque concret diffère sensiblement : lors d’un détournement de session, l’attaquant ou l’attaquante partage votre session active en temps réel, ce qui lui permet d’agir à votre place alors que vous êtes toujours connecté ou connectée — parfois sans que vous ne vous en rendiez compte avant que des dommages ne soient causés. Lors d’une usurpation de session, l’attaquant démarre une nouvelle session en se faisant passer pour vous, mais votre propre session n’est pas directement perturbée.
Comment les attaquants volent-ils des tokens de session ?
Les attaquants exploitent généralement la faille entre l’appareil d’une personne utilisatrice et le serveur, que ce soit en injectant du code malveillant via des attaques de type cross-site scripting (XSS), en installant un malware, en incitant les personnes concernées à s’authentifier avec un token prédéfini (session fixation), ou en surveillant passivement le trafic réseau non chiffré afin d’intercepter le token lors de sa transmission.
Pourquoi le Wi-Fi public présente-t-il un risque particulier pour la sécurité des sessions ?
Sur un réseau WiFi public, le trafic peut ne pas être chiffré, ce qui facilite l’utilisation d’outils de sniffing par des hackers pour lire les données transmises entre votre appareil et le serveur. Cela permet à la fois des attaques de détournement de session et d’écoute de session, au cours desquelles l’attaquant ou l’attaquante peut intercepter votre identifiant de session à votre insu.
Quelles mesures un administrateur de site web peut-il prendre pour réduire le risque de détournement de session ?
Les administrateurs et administratrices de sites web peuvent réduire le risque de détournement de session en veillant à ce que l’ensemble du trafic à destination et en provenance du serveur soit entièrement chiffré, en imposant l’utilisation d’un VPN pour les personnes salariées travaillant dans des espaces publics, en configurant le serveur pour qu’il émette des cookies de session aléatoires et en déconnectant automatiquement les utilisateurs et utilisatrices après une période d’inactivité.
Le détournement de session peut-il affecter les terminaux mobiles ?
Oui. Des outils comme DroidSheep sont spécialement conçus pour cibler les sessions mobiles, ce qui signifie que les terminaux mobiles ne sont pas à l’abri du détournement de session. Utiliser des connexions chiffrées et éviter les réseaux Wi-Fi publics sur les terminaux mobiles sont des précautions importantes.
L’utilisation d’un navigateur à jour contribue-t-elle à prévenir le détournement de session ?
Oui. De nombreux navigateurs modernes intègrent une protection contre le détournement de session. Veiller à utiliser la version la plus récente des logiciels chaque fois que vous accédez au web est un moyen simple et rapide de protéger vos données.
Références
OWASP Top Ten. OWASP.
Comment Firesheep peut détourner des sessions Web. (novembre 2010), Dark Reading.
Télécharger WhatsApp Sniffer Apk pour Android. WhatsApp Sniffer Apk.
Qu’est-ce que le détournement de session et comment l’éviter ? EC-Council.
