Les chercheurs mettent en évidence les problèmes de sécurité liés au transfert d’e-mails

Une équipe de chercheurs a partagé des détails sur les failles de sécurité existantes dans les protocoles de transfert d’e-mails qui permettent l’usurpation d’e-mails. Les chercheurs pourraient facilement usurper les domaines du gouvernement, des médias et d’autres organisations.

Failles de sécurité dans le transfert d’e-mails

Des chercheurs de l’UC San Diego, aux États-Unis, de l’Université de Stanford, aux États-Unis et de l’Université de Twente, aux Pays-Bas, ont élaboré sur les risques de sécurité inhérents associés au transfert d’e-mails.

Plus précisément, ils ont démontré l’incapacité des protocoles d’authentification existants à empêcher les attaques par usurpation d’identité.

Actuellement, les trois mesures de sécurité suivantes existent (et sont couramment utilisées) pour empêcher l’usurpation d’e-mails.

• Cadre de politique de l’expéditeur (SPF) : Spécifie les adresses IP autorisées pour l’envoi d’e-mails pour un domaine et les actions ultérieures (telles que le marquage du spam) si une adresse IP non autorisée est utilisée.
• Messagerie identifiée par DomainKeys (DKIM) : lie le message électronique à un domaine d’expéditeur via des signatures cryptographiques. Cependant, il ne vérifie pas l’expéditeur.
• Authentification, rapport et conformité des messages de domaine (DMARC) : combine les protocoles SPF et DKIM pour atténuer les problèmes de sécurité sous-jacents que chacun ne parvient pas à résoudre séparément.

Ces trois protocoles réussissent généralement à empêcher l’usurpation d’e-mails et le spam dans une plus large mesure grâce à une authentification appropriée de l’expéditeur. Cependant, les chercheurs ont observé qu’aucune mesure de sécurité n’assure la même chose pour le transfert d’e-mails.

Étant donné que de tels messages impliquent plusieurs parties, au lieu du simple expéditeur et du destinataire, la vérification de l’expéditeur devient délicate. Par conséquent, l’usurpation des domaines de messagerie de l’expéditeur devient possible, même pour les domaines d’envoi de messagerie de confiance, tels que les identifiants gouvernementaux. C’est principalement en raison de l’absence d’une mesure de sécurité unifiée pour protéger les e-mails transférés, malgré l’omniprésence de cette pratique.

L’attaque a exploité trois problèmes de sécurité : la validation de transfert assouplie, les vulnérabilités de mise en œuvre de la chaîne de réception authentifiée (ARC) et l’abus des listes de diffusion. Dans leur étude, les chercheurs ont analysé 20 services de transfert d’e-mails différents et ont pu usurper des domaines importants tels que « state.gov », « washingtonpost.gov », etc. Ils ont également envoyé des e-mails usurpés à des fournisseurs populaires tels que Gmail, Zoho et Microsoft Outlook.

Atténuations recommandées

En plus de démontrer les failles de sécurité dans le transfert d’e-mails, les chercheurs ont également recommandé des mesures d’atténuation pour empêcher de tels abus. Plus précisément, ils conseillent aux services de messagerie de désactiver le transfert ouvert, ce qui empêchera le blanchiment, supprimera les politiques de validation assouplies et améliorera la sécurité des listes de diffusion. De plus, ils suggèrent également de réviser les normes RFC, d’améliorer les notifications de l’interface utilisateur et de développer des outils de test robustes.

Les chercheurs ont partagé les détails de leur étude dans un document de recherche prévu pour une présentation au 8e Symposium européen de l’IEEE sur la sécurité et la confidentialité.