Harris Zachary, un mathematicien de 35 ans, a mis en évidence une vulnérabilité du système d’authentification des emails envoyés par google.com.

Il a pu détourner le système DKIM de signature des emails de google.com, et se faire passer pour les fondateurs, Larry Page et Sergey Brin, en envoyant des emails en leur nom.

Le système de signature DKIM permet d’authentifier le mail (auteur et contenu) selon le principe de clé privée (pour signer l’email) et une clé publique (pour vérifier la signature). La faille décelée par le mathématicien réside dans la longueur de la clé: 512 bits.

Si 512 bits était une longueur de clé satisfaisante en termes de sécurité, il faut de nos jours seulement 2 à 3 jours de calcul intensif via un service cloud comme AWS (coût: 75$) pour « casser » la clé. Intrigué par cette découverte, Harris a testé d’autres domaines, pour découvrir que des sites populaires comme Yahoo, Twitter ou LinkedIn, des sites de vente en ligne tels que Amazon, eBay, Apple, Dell, HP ou même des sites effectuant des transactions financières tels que PayPal ou HSBC utilisaient des clés DKIM de longueur inférieur à 1024bits, longueur considérée actuellement comme suffisante … pour le moment.

Cet épisode illustre parfaitement le fait que les mesures de sécurité, comme les logiciels, doivent être régulièrement mis à jour. En l’occurrence, un moyen conçu pour authentifier des emails, et donc éviter le spam et l’usurpation d’identité a pu être détourné pour, justement, usurper une identité de manière convaincante.

Contacté par le découvreur de la vulnérabilité, la plupart des sites ont fait le nécessaire pour résoudre ce problème, comme google.com qui a opté pour une clé de 2048bits.

La partie amusante de cette histoire est raconté par wired.com : Harris a étudié la signature des emails envoyés par google.com après avoir reçu un message supposé provenir d’un responsable de recrutement de google.com, lui proposant un poste de sécurité. Il a tout d’abord cru à un faux, puis a été rassuré par la signature DKIM… Pour finir par penser qu’il s’agissait d’un test de recrutement… qu’il aurait brillamment réussi :si ça en avait été un -)

Tags: dkim, ebay, google.com, paypal, signature