Ce que la loi Création et Internet a réellement réussit à créer (au delà de l’Hadopi qui n’est qu’une mauvaise blague – les plus courtes sont les meilleures d’ailleurs) c’est le délit de négligence caractérisée qui consiste à verbaliser ceux qui ne sont pas experts en sécurité… Nous avions déjà avec Bluetouff et RootBSD tenté de faire entendre raison à tout ce beau monde avec un audit rapide de la plupart des sites en .gouv.fr sur lesquels nous avions trouvé outre un certain nombre de failles (pour beaucoup réparées depuis) un grand nombre d’informations et d’accès à des documents marqués confidentiels, des administrations, … Bref un beau bordel !

Le site Hadopi.fr étant sorti depuis quelques jours (enfin !) il était trop tentant de ne pas essayer de réitérer le message en cherchant de petites choses sur un site relativement bien sécurisé parce que tout en statique !

Bon la bonne nouvelle c’est qu’effectivement la négligence caractérisée est une belle fumisterie impossible, même pour une société comme Extelia qui propose aussi des solutions de vote électronique (assez critique comme type d’infos non ?), est incapable de pondre un site statique sans faille !

J’ai en effet réussi à mettre la main sur une petite faille XSS (à peine exploitable ceci dit) dans le formulaire de contact… http://hadopi.fr/contact.php?firstname=%22%3E%3Cscript%3Ealert%281%29%3C/script%3E

Cette bête URL déclenchera un simple alert javascript avec le texte « 1 » dedans. En soi ça ne présente aucun intérêt mais il est possible de remplacer le code alert(1) par quelque chose de plus agressif (comme les fameux XSS de twitter il y a quelques jours).

Si en soit le correctif à appliquer est d’une facilité déconcertante (htmlentities mon ami !) cela révèle surtout que la société d’experts qui a été mandaté par Hadopi pour faire son joli site est incapable de suivre les règles les plus élémentaires de sécurisation de sites web… Petit exemple : dans un formulaire en POST aucun intérêt d’inclure les variables passées en GET… Le $_REQUEST ma grand mère ne s’en sert plus !

J’ai prévenu Eric Walter, secrétaire général d’Hadopi, via twitter et celui-ci est resté beau joueur (capture d’écran juste en dessous) mais le fait est là : la négligence caractérisée est une énormité sans nom !

Edit : Hadopi a en effet pris les devants pour corriger la faille : ils ont coupé le formulaire ! On en revient donc à la solution ultime : pour sécuriser votre connexion débranchez votre box !

Edit 2 : Le copain Bluetouff m’a rappelé un fait relativement croustillant à propos de nos amis de chez Extelia et en rapport avec le XSS qu’ils connaissent pourtant très bien !