"Exposing the Lack of Privacy in File Hosting Services".

C'est sous ce titre que vient d'être publiée une étude ma foi bien intéressante sur le sujet des "hébergeurs de fichiers". Mais si, vous savez, les "rapidshare" et autres sites qui vous permettent de partager des gros fichiers avec vos amis, votre famille, mais aussi vos collègues de travail ?

Pour donner une définition rapide, il s'agit de sites qui vous proposent d'héberger (de façon continue ou temporaire) des fichiers volumineux afin de les partager. Le principe est simple : vous envoyez le fichier par le biais du site, qui vous retourne un lien unique qui pointe vers le fichier concerné. Du genre http://superserveurdepartagedefichiers.com/ddfeab3245ae34/

La confidentialité est censée être assurée par le fait que ce lien unique vers votre fichier n'est connu que de vous. Libre à vous de le transmettre aux collègues avec qui vous voulez le partager, ou de le mettre sur un forum/autre site s'il s'agit d'un document public que vous voulez distribuer en masse.

Seulement voilà, il existe différents niveaux de qualité pour ce type de site, et la majorité d'entre eux présentent diverses failles qui permettent à un tiers d'accéder aux documents que vous croyiez inatteignables.

Revenons donc à cette étude, qui est je crois la première sur le sujet, et qui porte sur 100 services de partage de fichier différents, dont je vous recommande chaudement la lecture.

J'en retiens :

* Etude de la confidentialité des données

- 12 services parmi les 100 contiennent des moteurs de recherche sur les données qu'ils hébergent. Ils ont été exclus de l'étude.

- Sur 88 services, il y en a 34 (soit 38,6%) qui génèrent un identifiant de façon séquentielle. Ainsi, il suffit de changer l'url d'un fichier pour en obtenir un autre. (exemple: http://vulnerable.com/9996, http://vulnerable.com/9997, etc.) Par contre, 14 de ces 34 services nécessitent quand même l'association avec le bon nom de fichier. (ex:http://site-o ne.com/9996/foo.pdf)

- Un robot développé par les chercheurs, fonctionnant sur ces services ne fournissant qu'une génération séquentielle d'url, a pu télécharger 310 735 fichiers uniques en 30 jours. Ces fichiers ont été recherchés (sur la base de leur nom) sur Bing : 54,16% n'étaient pas connus, et donc supposés privés. (Je ne lancerais pas de troll sur le choix du moteur de recherche...)

- Les fichiers réputés "privés" sont principalement des images (27 000 environ), puis des archives de type ZIP (13 000 environ), puis du PDF,Word,Excel,Powerpoint... ce qui tend à laisser penser que malgré un usage personnel important, le partage de documents professionnels est monnaie courante sur ce type de service.

- Les 54 services qui fournissent un identifiant "non séquentiel" sont très variables au niveau du nombre de caractères utilisés pour générer les liens. Ainsi, en brute-forçant des sites ne proposant qu'un lien constitué de 6 caractères numériques, les chercheurs ont trouvé 728 fichiers en 617 169 tentatives. D'autres services heureusement proposent des identifiants beaucoup plus robustes, constitués d'au moins 12 caractères alphanumériques. Je note au passage qu'on peut tranquillement faire du brute-force à partir de la même adresse IP, sur une durée de 5 jours, d'une même machine, pour obtenir des fichiers, sans être blacklisté. (encore une fois,ce n'est pas valable pour tous les services de partage de fichier, seulement pour les moins robustes)

* Vulnérabilités

13% des services utilisent le même soft, disponible publiquement, et présentant un certain nombre d'erreurs d'implémentation et de design.

* "Honey Files"

Les chercheurs ont créé un certain nombre de fichiers HTML,PDF, et DOC se connectant sur un serveur appartenant aux auteurs, permettant d'étudier les accès à ces fichiers. Ils ont ensuite été uploadés sur les services de partage de fichiers, quatre fois par jour. Ces fichiers avaient des titres évocateurs faisant référence à de la fraude "intéressante" : promesses de numéros de cartes bancaires, d'identifiants Paypal, etc.

- En un mois, 80 adresses IP différentes ont accédés à ces fichiers sur 7 services différents. La répartition géographique n'est pas inintéressante d'ailleurs... 50% d'adresses IP russes, 24% d'adresses IP ukrainiennes ...

- Sur les 7 services desquels des fichiers ont été téléchargés, 1 disposait d'une fonctionnalité de catalogue, 2 disposaient d'une option de recherche, les 4 restant ne disposant à priori d'aucun moyen de découverte par mot clef. A noter que l'un de ces services utilisait quand même une fonctionnalité de recherche, mais par le biais d'un tiers.

Je passe sur la partie contre-mesures de l'étude, moins passionnante ... Et tient également à signaler que je ne me suis pas relu ... Désolé donc pour les erreurs/fautes de ce post ;-)