[nettime-fr] Le logiciel Internet Explorer de chez Microsoft met le "cookies"en "open content"

[/b/u/g/ <bug@samizdat.net>]

    Le logiciel Internet Explorer de chez Microsoft
    met le "cookies" en "open content"



Peacefire a trouvé un moyen pour qu'un site Web puisse lire tous les
"cookies" enregistrés par le logiciel de navigation Internet Explorer sur
votre disque dur -- y compris ceux qui n'ont jamais été prévus pour être
visibles par une autre page Web que celle qui l'a déposé. Une crainte de
toujours de tous les paranoïaques du cookie, préoccupés du risque potentiel
de transmission abusive d'informations personnelles par ces fichiers
mouchards, mais que personne n'avait trouvé, jusqu'à ce jour, le moyen
concret d'exploiter.

Notre site de démonstration est à:

http://www.peacefire.org/security/iecookies/

Ceci a des implications énormes pour n'importe quel site qui se base sur des
"cookies" pour authentifier des utilisateurs ou pour enregistrer des
informations sensibles. Les compte chez HotMail, le email de Yahoo, et
pratiquement tous les autre service gratuits de courrier électronique,
peuvent ainsi être cassés en utilisant cette méthode -- et aucun d'eux ne
peut rien empêcher puisqu'il s'agit d'un bug du navigateur et non d'une
imperfection des services de Webmail en question. Les "cookies" d'Amazon.com
peuvent aussi être déchiffrés pour découvrir l'identité exacte d'une
personne, son adresse email, et même les types de produits qu'elle a achetés
chez Amazon -- le tout par le simple fait de visualiser le contenu du
"cookie" dans une simple page Web.

Et c'est tellement facile a réaliser que, pour la première fois, je peux
immédiatement vous décrire la manoeuvre dans son intégralité dans ce
communiqué de presse: il suffit tout simplement d'envoyer l'utilisateur
d'Internet Explorer faire un tour à une URL de ce type:

http://www.peacefire.org%2fsecurity%2fiecookies%2fshowcookie.html%3F.amazon .
com

qui, après avoir remplacé le code "%2f" par "/" et "%3F" par "?", se traduit
en fait par:

http://www.peacefire.org/security/iecookies/showcookie.html?.amazon.com

Mais, sans les "slashes" dans l'URL, Internet Explorer pense que la page
fait partie du domaine "amazon.com", et autorise un code JavaScript contenu
dans la page Web à lire le "cookie" précédement déposé par Amazon.com, bien
que la page en question soit en fait placée sur Peacefire.org.

(Après cela, combiné à l'histoire récente du trou de sécurité sur HotMail,
je devrait obtenir probablement un appartement une distance plus raisonnable
de chez Microsoft, que l'on peut voir de ma fenêtre)
-Bennett

bennett@peacefire.org

Peacefire.org
Youth against Internet censorship
"It's not a crime to be smarter than your parents"
http://www.peacefire.org
                   
Note par le Paranoïd Team de l'Hacktivist News Service :
- Sont concernés toutes les versions d'Internet Explorer pour Windows 95, 98
et NT. Les versions Macintosh du logiciel ne sont pas affectées.
- Peacefire liste un certains nombre de sites dont les "cookies" sont
bavards. Outre ceux cités dans le communiqué : MP3.com, NYTimes.com,
Hollywood.com, Playboy.com. Plus d'infos sur
http://peacefire.org/security/iecookies



    .
    .
    .
    . 

/ b / u / g /

bug@samizdat.net

l o s t   i n   c y b e r s p a c e

zeligConf y2k
http://www.samizdat.net/zelig

    .
    .
    .






_____________________________________________
#<nettime-fr@ada.eu.org> est une liste francophone de politique,
 art,culture et net, annonces et filtrage collectif de textes.
#Cette liste est moderee, pas d'utilisation commerciale sans permission.
#Archive: http://www.nettime.org contact: nettime@bbs.thing.net
#Desabonnements http://ada.eu.org/cgi-bin/mailman/listinfo/nettime-fr
#Contact humain <nettime-fr-admin@ada.eu.org>