Une base de données exposée ne fait aucun bruit. Le site fonctionne, les clients ne voient rien, et les données sont pourtant lisibles par n'importe qui connaissant l'adresse. C'est le plus fréquent des défauts graves, et le plus facile à corriger quand on l'a vu.
Pourquoi cela arrive
Il y a trois causes, toujours les mêmes :
- Des règles d'accès jamais écrites. Le service est installé avec une configuration ouverte par défaut, et personne n'a posé la règle qui dit « personne d'autre que l'application ».
- Une route d'administration oubliée. Une adresse de préproduction ou de test restée ouverte après la mise en ligne.
- Une interface qui parle directement à la base. Le navigateur reçoit la façon d'interroger les données ; sans règle d'accès, il interroge tout.
Le test, trente secondes
- Repérez une adresse de votre site qui affiche une liste — une page de produits, un annuaire, un tableau de bord.
- Ajoutez
.jsonà la fin, ou remplacez la fin de l'adresse par le nom probable de votre base suivi de/. - Si des données brutes s'affichent, sans mot de passe, elles sont publiques.
Ce n'est pas une méthode de pirate, c'est celle d'un visiteur curieux. Si elle suffit, alors elle suffira au premier venu.
Ce qu'il faut faire
- Fermer — poser la règle d'accès, exiger une authentification, ne laisser passer que ce qui doit passer.
- Mesurer l'exposition — depuis quand est-ce ouvert, et qu'ont pu lire les visiteurs. Fermer ne répond pas à cette question ; un journal, si.
- Regarder la loi — si des données personnelles étaient lisibles, la notification ne dépend pas de votre appréciation mais du risque pour les personnes concernées.
Une base ouverte n'est pas un piratage : c'est une règle qu'on n'a pas écrite.
C'est l'une des dix vérifications du domaine « sécurité » de notre relevé, et c'est celle que nous citons le plus souvent dans les deux points critiques d'un rapport.