La position du Cert-IST sur l'état de vulnérabilité des navigateurs Web (sept. 2005)

Rappel de notre position de juin 2004 et décembre 2004

A l'origine, dans un communiqué de Presse de juin 2004, (et suite à une recommandation analogue de l'US-Cert) le Cert-IST avait dit :

"…Cependant le Cert-IST invite les Responsables de la Sécurité du Système d’Information des Entreprises Françaises à effectuer une analyse de risque sur les postes de travail dont ils ont la charge, et à s’interroger sur l’utilisation, pour la navigation sur le Web, d’Internet Explorer sur les PC dits sensibles. Sans rentrer dans la querelle logiciel libre vs Microsoft, et en prenant acte de la nécessité d’installer Internet Explorer pour accéder aux applications d’entreprise telles que SAP, l’utilisation temporaire d’un autre navigateur qui cohabite parfaitement avec IE sur le même poste peut être un palliatif à la situation actuelle tant que Microsoft n’aura pas publié l’ensemble des correctifs attendus…"

Entre cette première communication et décembre 2004, plusieurs nouvelles menaces sérieuses concernant IE sont apparues (on citera par exemple la vulnérabilité "IFRAME" décrite dans l'avis AV-2004.339), et le Cert-IST émet en novembre 2004 une nouvelle mise en garde sous forme de Danger Potentiel (DG-2004.010) interne à la communauté du Cert-IST :

"…Face à cette menace, nous réitérons donc nos recommandations :

Position actuelle

Notre position actuelle est qu'en moins d'un an l'état de vulnérabilité des navigateurs s'est rééquilibré. En effet, l'analyse factuelle de la base de connaissance maintenue par le Cert-IST (qui recense en particulier les vulnérabilités) montre un rééquilibrage statistique.

On le voit dans ce tableau : si les deux navigateurs sont très proches en terme de failles non corrigées (colonne "ATT") ou corrigées (colonne "Avis"), il n'en est pas de même si l'on analyse la "dangerosité" des attaques rencontrées sur le terrain pour ces deux navigateurs. On voit en effet que 3 "Dangers Potentiels" (pré-alerte) ont été émis pour IE, alors qu'aucun n'a été émis pour Firefox. Nous ne pouvons donc pas souscrire à l'analyse ZDNet selon laquelle "le volume et la dangerosité des alertes relevées sur Firefox seraient supérieurs à ce qui est relevé sur IE". L'analyse de l'exploitation réelle des failles en défaveur de IE est d'ailleurs partagée par d'autres sources, et citée par Symantec (dans la version anglaise de l'article de ZDNet).

Quant à savoir s'il n'est plus aujourd'hui possible de préférer Firefox à Internet Explorer sur le seul terrain de la sécurité, le Cert-IST persiste à recommander aux Responsables de la Sécurité du Système d’Information des Entreprises Françaises de sa communauté d'effectuer une analyse de risque sur les postes de travail dont ils ont la charge, et de s’interroger sur l’utilisation, pour la navigation sur le Web, d’Internet Explorer (pour l'instant plus exposé aux attaques) sur les PC dits sensibles.

Il nous apparaît que cette décision devrait alors être accompagnée de mesures de durcissement de ce poste de travail (désactivation ActiveX, Java et Javascript, entre autres), ou au minimum que ce durcissement soit activé pendant les périodes de risque accru liées à l'existence d'une faille momentanément sans correctif. Dans ce second mode de fonctionnement, les défenses sont donc activées en suivant les "menaces en cours" analysées dans le Hub de gestion de crise du Cert-IST.

Le Hub de gestion de crise est aujourd'hui utilisé par le Cert-IST pour rendre compte de l'évolution en temps réel du risque associé à une vulnérabilité, et permet d'attirer l'attention sur des périodes transitoires durant lesquelles une menace est maximale car la faille est connue, facilement exploitable, mais toujours en attente d'un correctif de l'éditeur.

Liens