Une équipe de chercheurs a partagé des détails sur les failles de sécurité existantes dans les protocoles de transfert d'emails qui permettent l'usurpation d'emails. Les chercheurs ont pu facilement usurper les domaines du gouvernement, des médias et d'autres organisations.
Failles de sécurité dans le transfert d'emails
Des chercheurs de l'UC San Diego, USA, de l'Université de Stanford, USA, et de l'Université de Twente, Pays-Bas, ont élaboré sur les risques de sécurité inhérents à la redirection d'emails.
Plus précisément, ils ont démontré l'incapacité des protocoles d'authentification existants à empêcher les attaques par usurpation.
Actuellement, les trois mesures de sécurité suivantes existent (et sont couramment utilisées) pour empêcher l'usurpation d'adresse e-mail.
- Sender Policy Framework (SPF) : Spécifie les adresses IP autorisées à envoyer des e-mails pour un domaine et les actions ultérieures (comme le marquage des spams) si une adresse IP non autorisée est utilisée.
- DomainKeys Identified Mail (DKIM) : lie le message électronique à un domaine d'expéditeur via des signatures cryptographiques. Cependant, il ne vérifie pas l'expéditeur.
- Domain Message Authentication, Reporting, and Conformance (DMARC) : combine les protocoles SPF et DKIM pour atténuer les problèmes de sécurité sous-jacents que chacun ne parvient pas à résoudre séparément.
Ces trois protocoles parviennent généralement à empêcher l'usurpation d'identité et le spamming dans une plus large mesure grâce à une authentification appropriée de l'expéditeur. Cependant, les chercheurs ont observé qu'aucune mesure de sécurité ne garantit la même chose pour le transfert d'emails.
Comme ces messages impliquent plusieurs parties, au lieu du simple expéditeur et destinataire autrement, la vérification de l'expéditeur devient délicate. Par conséquent, il est possible d'usurper les domaines de messagerie de l'expéditeur, même pour les domaines de messagerie de confiance, comme les identifiants gouvernementaux. C'est surtout à cause de l'absence d'une mesure de sécurité unifiée pour protéger les courriels transférés, malgré l'omniprésence de cette pratique.
L'attaque a exploité trois problèmes de sécurité : la validation de transfert relâchée, les vulnérabilités de l'implémentation de la chaîne de réception authentifiée (ARC) et l'abus des listes de diffusion. Dans leur étude, les chercheurs ont analysé 20 services de transfert d'emails différents et ont pu usurper des domaines importants comme “state.gov”, “washingtonpost.gov”, et plus encore. Ils ont également envoyé des courriels usurpés à des fournisseurs populaires comme Gmail, Zoho et Microsoft Outlook.
Mesures d'atténuation recommandées
En plus de démontrer les failles de sécurité dans le transfert d'emails, les chercheurs ont également recommandé des mesures d'atténuation pour empêcher de tels abus. Plus précisément, ils conseillent aux services de messagerie de désactiver la redirection ouverte, ce qui empêchera le blanchiment, de supprimer les politiques de validation relâchées et de renforcer la sécurité des listes de diffusion. De plus, ils suggèrent également de réviser les normes RFC, d'améliorer les notifications de l'interface utilisateur et de développer des outils de test robustes.
Les chercheurs ont partagé les détails de leur étude dans un document de recherche dont la présentation est prévue lors du 8ème Symposium européen de l'IEEE sur la sécurité et la confidentialité.
