Pour gérer vos consentements :

Adobe alerte sur une faille critique dans le chiffrement JSON

JSON est un nom récurrent dans l’informatique. Acronyme de JavaScript Object Notation (soit notation objet issue de JavaScript), il s’agit d’un format léger d’échange de données. Il est très réputé dans l’univers du Web, où il est employé comme architecture sous-jacente pour mettre à jour dynamiquement les pages ou les flux d’un site.

Un succès croissant, mais qui n’exclut pas quelques problèmes de sécurité. Adobe a lancé une alerte à l’attention des développeurs sur une vulnérabilité critique dans le chiffrement de JSON. Le spécialiste de la transformation digitale estime qu’un cyberattaquant pourrait récupérer la clé privée de chiffrement.

Quand les courbes elliptiques ne tournent pas rond

Plusieurs librairies sont vulnérables à l’attaque décrite par l’éditeur : go-jose, node-jose, jose2go, Nimbus JOSE+WT et  jose4. Pour mener son exploit, un chercheur d’Adobe, Antonio Sanso, s’est basé sur une attaque dite par courbe invalide (Invalid Curve Attack). Concrètement, le système de chiffrement de JSON utilise la création de token (JSON Web Token) pour l’authentification avec comme base des protocoles de cryptographie à courbe elliptique et notamment le standard ECDH-ES (Elliptic Curve Diffie-Hellman Ephemeral Static). Or, des chercheurs ont découvert un moyen de mener des attaques via les courbes elliptiques, en récupérant des bouts de clé et, in fine, en reconstruisant comme un puzzle l’ensemble de la clé.

Dans un billet de blog, Antonio Sanso a mis en place une page de test pour montrer un exemple d’attaque. Cet exemple permet à d’autres chercheurs de comprendre la méthodologie. Une version du procédé est aussi disponible sur GitHub. L’expert conseille aux utilisateurs des différentes librairies de les mettre à jour rapidement pour corriger le problème. Il explique que certaines bibliothèques sont nativement protégées contre les attaques de courbe elliptique. Antonio Sanso se veut rassurant en expliquant que cette découverte montre qu’il s’agit d’un problème d’implémentation à la création des librairies, mais précise que la vulnérabilité n’a pas été exploitée publiquement.

A lire aussi :

Ansible : JSON et SSH au service du cloud

Une backdoor chinoise planquée dans des smartphones Android

Crédit Photo : SergeyNivens-Shutterstock

Recent Posts

Étude Trends of IT 2024 : comprendre les mutations de l’environnement IT

Silicon et KPMG lancent Trends of IT 2024, une étude co-construite avec les managers IT…

2 heures ago

Guillaume Poupard, DGA de Docaposte : « Le plus de l’offre, c’est notre position comme acteur de confiance »

Avec son Pack cybersécurité lancé au Forum InCyber 2024, Docaposte tend une perche aux PME.…

3 heures ago

Quels impacts de l’IA générative sur le monde de la cybersécurité ? : regards croisés entre Onepoint, Wavestone et Fortinet

Quels sont les impacts immédiats de l'IA générative sur la cybersécurité ? Comment le contexte…

6 heures ago

Des serveurs IA cyberattaqués : le vecteur s’appelle Ray

Un éditeur attire l'attention sur des attaques exploitant l'absence d'autorisation dans une API du framework…

10 heures ago

Amazon débloque la deuxième tranche de son investissement dans Anthropic

Après un premier financement en septembre 2023, Amazon a débloquer le reste de l'enveloppe qu'il…

12 heures ago

Les logiciels libres entrés au SILL au premier trimestre 2024

D'Alpine Linux à XPipe, voic les dernières entrées au SILL (Socle interministériel de logiciels libres).

1 jour ago