Après plus de trois mois d’un immense chantier, Zoom a grandement rehaussé la sécurité de son logiciel de visioconférence. Entre avril et juin, l’entreprise a adressé un à un tous les problèmes qui lui ont été remontés.
Si la plupart des défauts de sécurité du logiciel ont été rendus publics, l’un d’entre eux ne l’était pas, jusqu’à ce billet de blog de Tom Anthony publié le 29 juillet. Ce dirigeant d’une entreprise de cybersécurité a averti Zoom au sujet des mots de passe chargés de protéger les réunions le 1 avril.
« Un principe de sécurité des mots de passe relativement standard consiste à limiter le nombre de tentatives, afin d’empêcher un attaquant d’essayer une liste de mots de passe à la chaîne », écrit-il. Problème : à l’époque, Zoom n’a pas mis cette limite en place, et le chercheur a pu démontrer qu’il pouvait rentrer dans n’importe quelle réunion en moins d’une heure. Et il suppose qu’avec des moyens appropriés, le crochetage virtuel était même réalisable en quelques minutes.
Zoom a corrigé un à un la majorité de ses problèmes de sécurité. // Source : Louise Audry pour Numerama
Il faut dire que les mots de passe par défaut des réunions Zoom contenaient seulement 6 caractères, tous numériques. L’expert a fait un peu de maths, et réalisé qu’il n’avait qu’à essayer au maximum 1 million de mots de passe avant de trouver celui de la réunion. Il n’avait plus qu’à automatiser l’essai de mot de passe et profiter de l’absence de blocage. Tom Anthony donne l’exemple d’un mot de passe trouvé en 25 minutes après 91 000 tentatives, lancées à partir d’une seule machine dans le cloud.
Derrière la vulnérabilité, la crainte du cyberespionnage
Pris à défaut sur l’absence de mise en place d’un standard de sécurité basique, Zoom a cependant réagi très rapidement. L’entreprise a répondu à l’expert un jour après son premier message, et a déployé une fonction pour limiter les tentatives de connexion dès le 9 avril. L’entreprise en a profité pour rendre les mots de passe par défaut plus longs et intégrer des caractères « non numériques », ce qui augmente le nombre de combinaisons possibles pour un mot de passe.
Cette vulnérabilité aurait pu causer des dégâts, et alimenter le cyberespionnage industriel. Une fois qu’il a compromis le mot de passe d’une salle réunion virtuelle, un malfaiteur peut s’y reconnecter quand il le souhaite, tant que l’identifiant n’est pas changé. Il n’a plus qu’à afficher l’identité d’un employé absent de l’entreprise ou se dissimuler derrière un nom générique comme « iPhone » ou « ordinateur » pour ne pas éveiller les soupçons. Et voilà, il a ses deux oreilles dans les affaires de l’entreprise victime.
« Dès que nous avons eu connaissance du problème le 1 avril, nous avons immédiatement arrêté le client Web de Zoom pour garantir la sécurité des utilisateurs le temps d’implémenter les réparations », précise Zoom, dans un communiqué adressé au Bleeping Computer. Le désormais géant de la visioconférence précise également qu’il n’a pas trouvé de traces qui suggèrent que cette vulnérabilité a été exploitée.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
