Lorsqu'elle a communiqué sur la problématique des cookies, et ses nouvelles règles en la matière, la CNIL a mis en place un outil maison basé sur Wireshark et Chromium : CookieViz. Mais dans la nuit, des failles de sécurité ont été identifiées dans cet outil. La Commission vient ainsi de publier un patch correctif et une nouvelle version.
Afin de permettre à tout le monde de visualiser comment les sites et les trackers qu'ils nous imposent nous suivent à longueur de journée, la CNIL avait mis en ligne il y a quelques mois un outil développé par ses équipes : CookieViz. Basé sur Wireshark et Chromium, celui-ci analyse les données échangées sur votre connexion et les cookies déposés sur votre machine afin de générer un graphique montrant les interactions avec les sites, leurs partenaires et les croisements possibles.
Problème, à minuit, le compte @SecLists indiquait sur Twitter que des failles XSS et d'injection SQL permettaient de piéger des utilisateurs, PoC (Proof of Concept) à la clef. L'auteur ne se prive d'ailleurs pas de critiquer la qualité du code proposé et assume sa volonté de « troller » l'institution. Quoi qu'il en soit, alertée par ce biais, la CNIL a néanmoins rapidement réagit et a diffusé un patch et une nouvelle version à travers son compte GitHub, où le code source du projet est hébergé et diffusé sous licence GPL v3.
Elle précise d'ailleurs au passage que « Le code source du logiciel est librement accessible sous licence GPLV3 et peut être enrichi par chacun des utilisateurs. Nous proposons donc aux plus expérimentés d’améliorer cette version initiale de notre outil ou de corriger d’éventuels bugs. Vous avez une idée que vous souhaitez partager avec nous pour améliorer ce projet ? Vous avez envie de vous appuyer sur cette base pour construire un projet de pédagogie de la traçabilité numérique ? Contactez l’équipe du laboratoire CNIL par mail - deip(at)cnil.fr - ou via le compte Twitter @CNIL. »
Car la méthode choisie pour la divulgation de ces failles irrite sans doute l'institution. Il aurait effectivement été plus sain d'alerter directement la CNIL dans un premier temps ou même de passer par la déclaration d'un bug ou la proposition d'un correctif via le dépôt GitHub, ce qui est tout l'intérêt d'un projet open source. C'est d'ailleurs ce qu'avait fait de son côté Stéphane Bortzmeyer dans la matinée.
Merci aux contributeurs de #cookieviz projet libre de recherche qui n’a pas vocation à être exempt de bugs. Dans l’attente de contributions!
— CNIL (@CNIL) 4 Novembre 2014
Commentaires (18)
#1
Personnellement, je trouve la réponse de la CNIL particulièrement bien sentie.
Déjà qu’ils fournissent ce genre d’outil pour suivre le traçage cookie (je ne connais pas d’équivalent, mais en même temps je n’ai pas cherché non plus).
En plus en licence GPL, c’est vraiment à encourager.
Que chacun, plutôt que de critiquer, comme nous français savons si bien le faire, mette la main à la pâte et aide à avancer, et tout le monde ne s’en portera que mieux.
#2
les versions linux et mac, si elles ont le mérite d’exister, sont un peu “rudes” à installer tout de même o_O
surtout coté mac, jouer du macport ça doit en effrayer plus d’un !
#3
+1 premier commentaire.
" />
Je ne le connaissais pas, pourquoi la CNIL ne communique pas dessus, surtout si on peut contribuer ?
Et puis un projet sans bug ou faille n’est pas un vrai projet
#4
Ce truc c’est une repompe de lightbeam ?
#5
#6
j’ai rien lu des liens et donc mon commentaire est forcement d’une très haute qualité mais … des failles d’injection sql en 2014 … y’a rien aujourd’hui qui peux excuser ça rien, absolument rien, il faut aller chercher un stagiaire d’avant 2005 non informaticien pour laisser ce genre de failles …
#7
#8
Jarodd> La réponse doit être à cause des rageux/haters tels que neves ?
Avec des commentaires comme ça, ça va juste leur donner envie de fermer leur code, supprimer le logiciel et nous dire de nous démerder la prochaine fois.
En tant que libriste, ce genre de réaction (que j’ai pas mal vu) me fait gerber ! On pousse les gens à faire du libre et ensuite on les assassine en leur disant “vous faites que de la merde”. C’est sur que là, on sent bien notre côté ouvert….
Neves> un type fait une IRresponsable disclosure et sur qui on tape ? sur l’éditeur qui aurait dû, qui réagit pas comme t’aurais voulu… franchement, Neves ? tu en connais bcp des boites dont le logiciel n’est pas leur cœur de métier qui réagissent en moins de 24h, publication de la maj et comm pas trop pourrie comprise, suite à une faille de sécurité ?
Je suis crypto et franchement, la majorité des dev continuent à utiliser MD5 qu’on considère comme cassé depuis 15 ans !!! pas 24heures, 15 années. Et pourtant, je ne vois personne hurler là dessus à pars nous.
Même les dév en sécurité on tranquillement attendu 10 ans qu’il y ait “des attaques pratiques” pour vaguement considérer que, peut-être, il faudrait changer les occurences de MD5 par autre chose.
Et maintenant quand on dit arrêté SHA1, c’est l’heure de changer, c’est pas mieux.
Alors, ok ils sont pas parfait à la CNIL, loin de là, mais là tu fais juste dans la méchanceté pure.
#9
Tu es présent sur tout les articles qui parlent de la cnil.
A chaque fois tu les encense, tout est positif, c’est les meilleurs du monde, et surtout tu passe ton temps à les défendre quel que soit le sujet.
Même quand ils font de la merde, comme ce logiciel blindé de failles critiques.
De la à penser que tu travail à la cnil il y a qu’un pas…..
Je laisse aux autres la liberté d’en penser ce qu’ils veulent.
#10
#11
#12
#13
#14
#15
#16
#17
Je rejoins l’avis de neves, la qualité du code et la communication qu’il y a autour laisse fortement à désirer. Être un projet libre ne rend pas exempt de toute critique. En faisant écrire du code par des gens incompétents et en minimisant l’impact des vulnérabilités découvertes (pourtant énormes), la CNIL a mis en danger la sécurité des utilisateurs de son logiciel.
#18
Non je ne travaille pas à la CNIL. Et si c’était le cas, serait-ce un mal ? C’est quoi ce procès d’intention ? On n’a pas le droit de les soutenir ?
Ces sujets m’intéressent, et j’ai eu affaire à eux pour une affaire perso. Vu leur budget et leurs effectifs, je trouve qu’ils s’en sont très bien débrouillés. Et j’aimerais que ses pouvoirs soient augmentés, car on a de plus en plus besoin de pédagogie et de protection, malheureusement on leur marche dessus (comme au CNNum), ils sont là pour faire joli et c’est tout, alors que par les temps qui courent, leurs positions devraient être centrales, dans les discussions, voire même ils devraient pouvoir mettre leur veto sur un projet de loi. Malheureusement nos politiques ne comprennent pas les enjeux numériques d’aujourd’hui.
Mais je reconnais que ne pas mettre des commentaires juste remplis de râleries et de hors-sujet, on peut trouver ça bizarre, limite choquant.