davidbgk
/
larlet-fr-david

<!doctype html>
<html lang=fr>
<head>
  <!-- Always define the charset before the title -->
  <meta charset=utf-8>
  <title>OpenID et phishing sont dans un bateau... — Biologeek — David Larlet</title>
  <!-- Define a viewport to mobile devices to use - telling the browser to assume that the page is as wide as the device (width=device-width) and setting the initial page zoom level to be 1 (initial-scale=1.0) -->
  <meta name="viewport" content="width=device-width, initial-scale=1"/>
  <!-- Fake favicon, to avoid extra request to the server -->
  <link rel="icon" href="data:;base64,iVBORw0KGgo=">
  <link type="application/atom+xml" rel="alternate" title="Feed" href="/david/log/" />
  <link rel="manifest" href="/manifest.json">
  
  <link rel="stylesheet" href="/static/david/css/larlet-david-_J6Rv.css" data-instant-track />
  
  <noscript>
    <style type="text/css">
      /* Otherwise fonts are loaded by JS for faster initial rendering. See scripts at the bottom. */
      body {
        font-family: 'EquityTextB', serif;
      }
      h1, h2, h3, h4, h5, h6, time, nav a, nav a:link, nav a:visited {
        font-family: 'EquityCapsB', sans-serif;
        font-variant: normal;
      }
    </style>
  </noscript>
  
  <!-- Canonical URL for SEO purposes -->
  <link rel="canonical" href="https://larlet.fr/david/biologeek/archives/20070109-openid-et-phishing-sont-dans-un-bateau">

</head>
<body>
  <div>
    
    <header>
      <nav>
        <p>
          <small>
            Je suis <a href="/david/" title="Profil public">David Larlet</a>, <a href="/david/pro/" title="Activité professionnelle">artisan</a> du web qui vous <a href="/david/pro/accompagnement/" title="Activité d’accompagnement">accompagne</a><span class="more-infos"> dans l’acquisition de savoirs pour concevoir des <a href="/david/pro/produits-essentiels/" title="Qu’est-ce qu’un produit essentiel ?">produits essentiels</a></span>. <span class="more-more-infos">Discutons ensemble d’une <a href="/david/pro/devis/" title="En savoir plus">non-demande de devis</a>.</span> Je partage ici mes <a href="/david/blog/" title="Expériences bienveillantes">réflexions</a> et <a href="/david/correspondances/2017/" title="Lettres hebdomadaires">correspondances</a>.
          </small>
        </p>
      </nav>
    </header>
    
    
  <section>
    <h1 property="schema:name">OpenID et phishing sont dans un bateau...</h1>
    <article typeof="schema:BlogPosting">
      <div property="schema:articleBody">
        <img src="/static/david/biologeek/images/logos/open_id_phishing.png" alt="vignette" style="float:left; margin: 0.5em 1em;" property="schema:thumbnailUrl" />
        <p>Suite <a href="https://larlet.fr/david/biologeek/archives/20070104-comment-utiliser-openid-la-solution-d-identification-tant-attendue/#c4952">aux commentaires</a> de <a href="http://chamia.info/bader/">Bader</a> relatifs aux problèmes de phishing, je me suis renseigné et je pense qu'il est nécessaire de mettre en garde les lecteurs un peu trop emballés par le <a href="https://larlet.fr/david/biologeek/archives/20070104-comment-utiliser-openid-la-solution-d-identification-tant-attendue/">premier billet</a>. Il existe clairement un risque que je n'avais pas identifié plus tôt, faute d'exemples concrêts. Allons-y pour une mise en situation...</p>

<h2>Le problème</h2>

<p>Tout commence par un site qui vous demande de vous identifier. Ce site est un vilain pirate qui n'a pas forcément de bonnes intentions concernant votre identité. Appelons ce site <strong>vilain-pirate.com</strong>. Le mécanisme normal pour s'identifer est le suivant&nbsp;:</p>

<ol>
<li>un formulaire sur le site <strong>biologeek.com</strong> qui demande l'<abbr title="Uniform Resource Locator">URL</abbr> d'identification</li>
<li>l'utilisateur est alors redirigé vers la page d'identification de son <strong>serveur OpenID</strong></li>
<li>ses identifiants sont demandés sur son <strong>serveur OpenID</strong></li>
<li>son profil pour le site <strong>biologeek.com</strong> est demandé sur son <strong>serveur OpenID</strong></li>
<li>l'utilisateur est redirigé vers <strong>biologeek.com</strong> et ce site peut récupérer les informations qui ont été approuvées par l'utilisateur</li>
<li>l'utilisateur a maintenant accès à des fonctionnalités avancées sur <strong>biologeek.com</strong></li>
</ol>

<p>Vous remarquerez que le mécanisme n'est pas vraiment simple, heureusement que ce cheminement n'est suivi que si vous n'êtes pas encore identifé sur votre serveur OpenID pour l'étape 3 et que vous ne vous êtes jamais identifé sur le site pour l'étape 4. Pour un site sur lequel vous participez souvent c'est quasi-immédiat. Heureusement.</p>

<p>Examinons maintenant le cas où vous vous identifiez sur <strong>vilain-pirate.com</strong>&nbsp;:</p>

<ol>
<li>un formulaire sur le site <strong>vilain-pirate.com</strong> qui demande l'<abbr title="Uniform Resource Locator">URL</abbr> d'identification</li>
<li>l'utilisateur est alors redirigé vers la page d'identification <strong>qu'il croit être</strong> celle de son <strong>serveur OpenID</strong></li>
<li>ses identifiants sont demandés sur son <strong>faux serveur OpenID</strong></li>
</ol>

<p>Je vous laisse deviner la suite... au «&nbsp;mieux » vague de spam avec votre identifiant, au pire prise de votre identité pour des services critiques.</p>

<p>Comment est-ce possible&nbsp;? Les principaux serveurs d'identification sont au nombre de 4 aujourd'hui. Ce qui signifie qu'il y a très peu de pages à créer si l'on veut faire du <strong>phishing</strong> (je vous rappelle que cette technique consiste à vous faire croire que vous êtes sur un site alors que ce n'est pas la bonne <abbr title="Uniform Resource Locator">URL</abbr> dans votre navigateur, typiquement <strong>bio1ogeek.com</strong> par exemple) puisqu'il suffit d'une seule page (celle de l'identification) par serveur.</p>

<p>Bon il y aussi les vols de session mais je n'en parlerais pas ici. Le <a href="http://www.djangobook.com/en/beta/chapter20/">chapitre du Django Book sur la sécurité</a> est sorti aujourd'hui et je pense que tous les développeurs web un peu consciencieux devraient aller le lire, c'est une bonne base.</p>

<h2>Les solutions</h2>

<ul>
<li><strong>Ne s'identifier que sur des sites de confiance</strong>&nbsp;: bon, c'est assez réducteur.</li>
</ul>

<ul>
<li><strong>Prendre ses précautions lors de l'identification</strong>&nbsp;: vous l'avez compris, la faille est dans la redirection. Si vous êtes déjà identifié sur votre serveur, vos identifiants ne doivent pas vous être redemandés et vous passez directement à l'étape du choix du profil. <strong>Dans le cas où l'on vous redemande ces identifiants, commencez à vous inquiéter.</strong> Une bonne chose est donc de s'identifier via un favoris ou en tapant directement l'adresse dans votre navigateur. Pas vraiment simple, notament pour les nomades...</li>
</ul>

<ul>
<li><strong>Options au niveau du serveur</strong>&nbsp;: une des solutions est que le serveur d'identification vous pose une question personnalisée. Vous saurez alors bien sûr que la page d'identification est la votre. Cela va de la photo de famille (plus visuel) au prénom de votre chat, toujours est-il que c'est une solution acceptable si le choix est assez vaste.</li>
</ul>

<ul>
<li><strong>Des plugins au niveau navigateur</strong>&nbsp;: c'est peut-être le plus simple (encore faut-il avoir confiance dans le concepteur du plugin !), un plugin pour firefox permettant de vous identifier sur votre serveur OpenID, vous lui donnez une bonne fois pour toute et il vérifie via une connexion au démarrage que vous êtes bien identifié. Si ce n'est pas le cas, vous êtes redirigé vers la page d'identification (sécurisée via <abbr title="Secure Socket Layer">SSL</abbr>) proposée en préférence.</li>
</ul>

<h2>Conclusion</h2>

<p>L'identification est un problème critique qui met du temps à se mettre en place. OpenID en est à sa première version mais <a href="http://openid.net/specs/openid-authentication-2_0-pre11.html">des spécifications plus élaborées pointent le bout de leur nez</a>, ça évolue et c'est déjà bien. Quand on voit <a href="http://simonwillison.net/2007/Jan/7/improvements/">les perspectives que ça ouvre</a>, ça met l'eau à la bouche (et sans hameçon s'il vous plaît).</p>

<p><strong>[edit du 10]</strong>&nbsp;: <a href="http://chile.ootao.com/phoff/">il existe un plugin pour firefox</a>.</p>

<p><strong>[edit du 20]</strong>&nbsp;: <a href="http://simonwillison.net/2007/Jan/19/phishing/">Simon Willison propose une solution</a> qui est loin d'être utilisable par le commun des non-geeks à mon avis...</p>

<p><strong>[edit du 6 février]</strong>&nbsp;: <a href="http://usablesecurity.com/2007/01/20/phishing-and-openid/">L'alternative du favori mise en pratique</a>.</p>

<p><strong>[edit du 18 avril]</strong>&nbsp;: <a href="https://larlet.fr/david/biologeek/archives/20070418-myopenid-propose-des-solutions-interessantes-contre-le-phishing/">myOpenID propose des solutions intéressantes contre le phishing</a>.</p>
      </div>
    </article>
    <footer>
      <h6 property="schema:datePublished">— 09/01/2007</h6>
    </footer>
  </section>
  <section>
    <div>
      <h3>Articles peut-être en rapport</h3>
      <ul>
        <li><a href="/david/biologeek/archives/20070418-myopenid-propose-des-solutions-interessantes-contre-le-phishing/" title="Accès à myOpenID propose des solutions intéressantes contre le phishing">myOpenID propose des solutions intéressantes contre le phishing</a></li>
        <li><a href="/david/biologeek/archives/20070104-comment-utiliser-openid-la-solution-d-identification-tant-attendue/" title="Accès à ★ Comment utiliser OpenID, la solution d&#39;identification tant attendue">★ Comment utiliser OpenID, la solution d&#39;identification tant attendue</a></li>
        <li><a href="/david/biologeek/archives/20091202-discussions-sur-les-applications-web-libres/" title="Accès à ★ Discussions sur les applications web libres">★ Discussions sur les applications web libres</a></li>
      </ul>
    </div>
  </section>
  <section>
    <div id="comments">
      <h3>Commentaires</h3>
      
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">Yann</span> le <span class="comment-date" property="schema:commentTime">09/01/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Effectivement, avec un peu de recul, on se rend compte que la technologie n'en est encore qu'à ses balbutiements et n'est pas tout à fait prête à être massivement déployée...<br />
<br />
Malgré tout, OpenID paraît évoluer vite et devrait rapidement arriver à maturité... Non ?</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">Eric Daspet</span> le <span class="comment-date" property="schema:commentTime">09/01/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Le pishing est extrêment simple : il suffit que vilain-pirate.com se connecte à votre serveur openid (il en connait l'url) et recopie l'interface et le graphisme. C'est simple à faire et peut être fait automatiquement derrière votre dos sans intervention humaine.<br />
<br />
Avoir une question ou une marque personnelle sur votre serveur openid n'est d'aucune aide. Quand vilain-pirate.com se connecte sur votre serveur openid pour recopier l'interface, il peut tout seul proposer votre login et obtenir votre interface et votre graphisme spécifique. C'est quelque chose de public vu que c'est justement quelque chose qui intervient avant que vous tapiez le mot de passe. Aucune difficulté pour le recopier en dynamique. A vrai dire ça sera recopié sans même le faire exprès.<br />
<br />
<br />
<br />
Maintenant ... il est où le problème ? On est dans la même problématique que partout ailleurs sur Internet. OpenId ne résoud pas la problématique du pishing, ça n'est pas son rôle, mais il ne vous y expose pas plus pour autant. Comme partout ailleurs, avant de s'identifier il faut vérifier l'url dans le navigateur, vérifier le joli cadenas SSL (et en cas de doute retapper soi même l'url). <br />
<br />
Il n'y a pas lieu de s'inquiéter plus du pishing avec openid qu'avec quoi que ce soit d'autre. En fait c'est même l'inverse : pour peu que vous vous identifiez au préalable, vous avez un risque qui est assez faible (si on vous redemande un mot de passe, vous savez qu'il  a problème vu que vous êtes déjà authentifiés).</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">David, biologeek</span> le <span class="comment-date" property="schema:commentTime">10/01/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>@Yann : j'espère ;-)<br />
<br />
@Eric Daspet : <br />
&gt; Quand vilain-pirate.com se connecte sur votre serveur openid pour recopier l'interface, il peut tout seul proposer votre login et obtenir votre interface et votre graphisme spécifique.<br />
<br />
Sauf si l'interface laisse le choix entre plusieurs photos (dont la tienne) et que ces photos changent selon l'ip qui appelle la page (sinon il en faudrait trop pour que le vilain pirate n'arrive pas à identifier laquelle revient toujours).<br />
<br />
Même chose si l'utilisateur doit choisir entre plusieurs questions dont la sienne.<br />
<br />
&gt; Il n'y a pas lieu de s'inquiéter plus du pishing avec openid qu'avec quoi que ce soit d'autre.<br />
<br />
Sauf qu'on est rarement amené à être redirigé pour entrer nos identifiants/mots de passe. C'est là où c'est dangeureux.</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">Eric Daspet</span> le <span class="comment-date" property="schema:commentTime">10/01/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>@David:<br />
<br />
Pour les photos : pas mieux.<br />
vilain-pirate.com a juste à faire une requête sur ton provider et recopier ce qu'il voit. Si ton provider donne le choix entre plusieurs photos, vilain-pirate.com se contente de tout recopier et te donnera le choix entre les mêmes photos.<br />
Quand tu choisiras ta photo, c'est vilain-pirate.com qui recoit le choix, et qui peut l'utiliser ensuite.<br />
C'est toujours la même IP qui fait ici la demande à ton provider : celle de vilain-pirate.com.<br />
<br />
Quoi que tu demandes à l'utilisateur (photo, question ou simple mot de passe), recopier exactement la page qui compose la question/demande et intercepter la réponse (pour éventuellement la rejouer en interne) c'est simple et ça peut être fait automatiquement en temps réel.</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">David, biologeek</span> le <span class="comment-date" property="schema:commentTime">10/01/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>@Eric : dans ce cas il suffit d'inverser l'ordre les identifiants/mots de passe sont demandés dans un premier temps et les images sont affichées ensuite. Au pire, il y a corruption de l'identification mais étant donné que la seconde étape ne peut être franchie, il est toujours possible de changer son mot de passe une fois que l'on se rend compte de la supercherie... </p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">near</span> le <span class="comment-date" property="schema:commentTime">10/01/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Je vois openid interessant pour sa propre infrastructure et la perennité des comptes utilisateurs... Jamais je n'utiliserais un compte openid, même si c'était sur mon propre serveur ! Ce serait plutôt transparent pour l'utilisateur... <br />
<br />
Pour donner un exemple : tu crées un site qui permet de partager des photos. Tu fais inscrire les utilisateurs sur un serveur openid, mais ils ne le savent pas car le serveur openid est privé, et puis ce n'est pas leur problème de toute manière. Ils se logguent aussi sur ton site grâce à ce même serveur. Plus tard, tu crées une plateforme de blog, et tu souhaites en faire profiter tes utilisiteurs (déjà heureux d'avoir un endroit sympa où échanger leurs photos) : tu veux que ce soit simple pour eux (pourquoi devraient-ils se réinscrire alors que ce nouveau service vient de toi ?) et pour toi (hmm... comment vais-je faire pour gérer les users existants ?) et c'est là qu'openid va être interessant. Certes, il n'a aucun intérêt pour tes utilisateurs &quot;techniquement&quot; (ils s'en foutent, ils veulent juste ne pas avoir à se réinscrire), mais pour toi, c'est une grosse épine en moins.<br />
<br />
L'authentification inter-serveurs (dans le sens, inter-domaines) est relativement chiante à gérer... combien j'ai entendu de gens me demander &quot;comment je peux récupérer un cookie provenant d'un autre domaine&quot;. A première vue, on pourrait se dire &quot;je sais pas où ce gars a appris à faire du developpement web, mais il devrait vite lire les specs http&quot;. Hors, pour les boites qui fournissent des services très variés (comprendre, sur différents sites), c'est créer un pseudo-protocole pour pouvoir authentifier un users à plusieurs endroits indépendants. On peut feinter et faire en sorte de pointer toujours vers la même base de données (c'est légitime, mais...), ou d'utiliser une tronçonneuse (des services d'annuaire, complexité pour pas grand chose), ou autre. Mais avec openid c'est bien, c'est beau, c'est b... propre.<br />
<br />
La solution d'une base de données interne est bonne aussi, la quasi-totalité des sites de services doivent penser comme celà. Mais là où ça se corse, c'est comment faire pour gérer l'interopératibilité : exemple, comment MSN et Yahoo ont-ils fait pour pouvoir taper dans leurs bases respectives lorsqu'un utilisateur de MSN Messenger ajoute son copain sous Yahoo IM (et vice-versa) ? Je suis quasiment certains que les 2 bases n'avaient rien à voir, et qu'ils ont du inventer un protocole à eux pour &quot;inter&quot;-authentifier les utilisateurs. Vous imaginez le travail... Bien sûr, on pourrait croire qu'on aura jamais à &quot;partager&quot; sa base d'utilisateurs avec quelqu'un d'autre, mais le fait qu'openid existe prouve bien le contraire.<br />
<br />
L'autre problème est la perennité. Imaginons que MSN meurt, que faire des x millions d'utilisateurs sous MSN qui se retrouvent orphelins, alors qu'ils sont encore dans les listes de Yahoosiens ? Imaginez sans un serveur type openid... ils pourraient migrer les serveurs, et continuer comme si de rien était en interne bien sûr, mais quel bazar alors qu'il y'a des solutions (presque) toutes prêtes.<br />
<br />
Je n'ai pas lu les spécifications d'openid, je me suis juste interessé au concept de SSO (Single Sign-On). Ce que je verrais bien, c'est un super-sso, qui pourrait gérer les identités. Je ne sais pas si openid fait ça, mais ça serait bien de pouvoir dire &quot;pour ce site je veux être untel avec telles informations&quot;, etc... Il y'a énormément de documents interessants sur le sujet.<br />
<br />
PS : je ne pense pas que MSN et Yahoo aient eu de gros problèmes... vu le nombre d'utilisateurs, leurs architectures ont surement été bien pensées, et la &quot;fusion&quot; faite sans douleur :)</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">RockPepper.com</span> le <span class="comment-date" property="schema:commentTime">24/04/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <!-- TB -->
<p><strong>OpenID, c&#8217;est quoi ?</strong></p>
<p>Tu lis partout &#8220;OpenID&#8221; ? Tes potes te parlent tout le temps d&#8217;OpenID ? On te conseille OpenID ? On te dit &#8220;OpenID, c&#8217;est le bien&#8221; ? OpenID, OpenID, OpenID, OpenID&#8230; Tu te sens seul. Oui. Seul. Non, s&#8217;il t...</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">noura</span> le <span class="comment-date" property="schema:commentTime">04/05/2007</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>je veux savoire c'est quio la corruption?</p>
    </div>
</div>
<div class="comment" typeof="schema:UserComments">
    <p class="comment-meta">
        <span class="comment-author" property="schema:creator">scaf</span> le <span class="comment-date" property="schema:commentTime">08/01/2008</span> :
    </p>
    <div class="comment-content" property="schema:commentText">
        <p>Selon moi le phishing n'est pas une menace pour openID.<br />
<br />
On vous a déjà fait du phising pour pirater votre compte de recette sur marmiton.org ou de partition de guitare ?!<br />
- je suis près à vous passer mes identifiants si ça peut vous être utile -<br />
<br />
Si on part sur le fait que 60% des sites que je consulte ont casiment les même identifiant me concernant, et que les services sécurisé (banque, mails) le restent, cet identifiant unique pourrait bien décharger ma mémoire d'un bon kilo d'identifiant superflu dont je me fiche royalement de leur apport en terme de sécurité.<br />
<br />
J'ai trouvé  interessant l'idée de pouvoir choisir par site le niveau d'information à transmettre.<br />
Le must serais d'integrer ce robinet de notre &quot;vie privée&quot; directement depuis le navigateur, ça reglerais l'enventuel problème de phising pour des sites + sensibles.</p>
    </div>
</div>

    </div>
  </section>

    
    <footer>
      <nav>
        <p>
          <small>
            Je réponds quasiment toujours aux <a href="m&#x61;ilto:d&#x61;vid%40l&#x61;rlet&#46;fr" title="Envoyer un email">emails</a> (<a href="/david/signature/" title="Ma signature actuelle avec possibilité de chiffrement">signés</a>) et vous pouvez me rencontrer à Montréal. <span class="more-infos">N’hésitez pas à <a href="/david/log/" title="Être tenu informé des mises à jour">vous abonner</a> pour être tenu informé des publications récentes.</span>
          </small>
        </p>
      </nav>
    </footer>
    
  </div>
  
  <script src="/static/david/js/larlet-david-3ee43f.js" data-no-instant></script>
  
  <script data-no-instant>InstantClick.init()</script>
  
</body>
</html>