Le contr\u00f4le d'acc\u00e8s bris\u00e9 est une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 critique qui se produit lorsqu'une application ou un syst\u00e8me ne parvient pas \u00e0 appliquer les restrictions appropri\u00e9es sur ce \u00e0 quoi les utilisateurs peuvent acc\u00e9der. Cette vuln\u00e9rabilit\u00e9 permet \u00e0 des utilisateurs non autoris\u00e9s d'acc\u00e9der \u00e0 des informations sensibles, d'effectuer des actions auxquelles ils ne devraient pas \u00eatre autoris\u00e9s ou d'\u00e9lever leurs privil\u00e8ges au sein du syst\u00e8me. Il s\u2019agit d\u2019une faille de s\u00e9curit\u00e9 r\u00e9pandue qui peut avoir de graves cons\u00e9quences, ce qui rend essentiel pour les organisations de r\u00e9soudre et d\u2019att\u00e9nuer rapidement ces probl\u00e8mes.<\/p>\n
Le concept de contr\u00f4le d'acc\u00e8s bris\u00e9 est une pr\u00e9occupation depuis les d\u00e9buts des syst\u00e8mes informatiques. \u00c0 mesure que de plus en plus d\u2019applications et de sites Web \u00e9taient d\u00e9velopp\u00e9s, le probl\u00e8me des contr\u00f4les d\u2019acc\u00e8s mal appliqu\u00e9s est devenu plus \u00e9vident. Il a \u00e9t\u00e9 formellement identifi\u00e9 pour la premi\u00e8re fois comme un risque de s\u00e9curit\u00e9 dans le Top Ten Project de l\u2019Open Web Application Security Project (OWASP), qui vise \u00e0 mettre en \u00e9vidence les risques de s\u00e9curit\u00e9 des applications Web les plus critiques. Dans la liste OWASP Top Ten, les contr\u00f4les d'acc\u00e8s d\u00e9faillants occupent r\u00e9guli\u00e8rement une place \u00e9lev\u00e9e en raison de leur impact important sur la s\u00e9curit\u00e9 des applications.<\/p>\n
Un contr\u00f4le d'acc\u00e8s bris\u00e9 se produit lorsqu'il y a un manque de contr\u00f4les et de validations appropri\u00e9s pour garantir que les utilisateurs ne peuvent acc\u00e9der qu'aux ressources qu'ils sont autoris\u00e9s \u00e0 utiliser. Cette vuln\u00e9rabilit\u00e9 peut provenir de diverses sources, telles que des m\u00e9canismes de contr\u00f4le d'acc\u00e8s mal con\u00e7us, des configurations incorrectes ou encore des erreurs de codage. Certaines manifestations courantes d\u2019un contr\u00f4le d\u2019acc\u00e8s bris\u00e9 comprennent\u00a0:<\/p>\n
Escalade des privil\u00e8ges verticaux<\/strong>: Les utilisateurs non autoris\u00e9s ont acc\u00e8s \u00e0 des niveaux de privil\u00e8ges plus \u00e9lev\u00e9s que ceux qu'ils devraient avoir, leur permettant d'effectuer des actions r\u00e9serv\u00e9es aux administrateurs ou aux utilisateurs privil\u00e9gi\u00e9s.<\/p>\n<\/li>\n Escalade horizontale des privil\u00e8ges<\/strong>: les utilisateurs non autoris\u00e9s ont acc\u00e8s \u00e0 des ressources qui ne devraient \u00eatre accessibles qu'\u00e0 d'autres utilisateurs sp\u00e9cifiques disposant de privil\u00e8ges similaires.<\/p>\n<\/li>\n R\u00e9f\u00e9rences d'objet directes<\/strong>: Lorsqu'une application utilise des r\u00e9f\u00e9rences directes \u00e0 des objets internes, les attaquants peuvent manipuler des param\u00e8tres pour acc\u00e9der \u00e0 des ressources auxquelles ils ne devraient pas avoir acc\u00e8s.<\/p>\n<\/li>\n R\u00e9f\u00e9rences d'objets directs non s\u00e9curis\u00e9s<\/strong>: L'application expose des r\u00e9f\u00e9rences d'objets internes, telles que des URL ou des cl\u00e9s, qui peuvent \u00eatre directement manipul\u00e9es par des attaquants pour acc\u00e9der \u00e0 des ressources non autoris\u00e9es.<\/p>\n<\/li>\n<\/ol>\n Le contr\u00f4le d'acc\u00e8s bris\u00e9 r\u00e9sulte de d\u00e9fauts dans la conception et la mise en \u0153uvre des m\u00e9canismes de contr\u00f4le d'acc\u00e8s. Ces syst\u00e8mes s'appuient g\u00e9n\u00e9ralement sur un ensemble de r\u00e8gles et d'autorisations qui d\u00e9terminent les actions que chaque utilisateur ou groupe peut effectuer. Lorsque ces r\u00e8gles ne sont pas appliqu\u00e9es correctement ou lorsqu\u2019elles pr\u00e9sentent des lacunes, les attaquants peuvent exploiter ces faiblesses pour contourner les contr\u00f4les d\u2019acc\u00e8s.<\/p>\n Par exemple, un m\u00e9canisme de contr\u00f4le d'acc\u00e8s mal con\u00e7u peut utiliser des mod\u00e8les pr\u00e9visibles ou des param\u00e8tres faciles \u00e0 deviner, permettant aux attaquants d'acc\u00e9der \u00e0 des ressources restreintes en modifiant les param\u00e8tres d'URL ou les donn\u00e9es de session. De plus, l\u2019absence de contr\u00f4les d\u2019authentification et d\u2019autorisation appropri\u00e9s peut conduire \u00e0 un acc\u00e8s non autoris\u00e9 \u00e0 des donn\u00e9es sensibles ou \u00e0 des fonctionnalit\u00e9s administratives.<\/p>\n Les principales caract\u00e9ristiques d\u2019un contr\u00f4le d\u2019acc\u00e8s bris\u00e9 comprennent\u00a0:<\/p>\n Augmentation des privil\u00e8ges<\/strong>: Les attaquants peuvent \u00e9tendre leurs privil\u00e8ges au-del\u00e0 du niveau pr\u00e9vu, obtenant ainsi un acc\u00e8s non autoris\u00e9 aux donn\u00e9es et fonctionnalit\u00e9s sensibles.<\/p>\n<\/li>\n R\u00e9f\u00e9rences d'objets directs non s\u00e9curis\u00e9s<\/strong>: les attaquants manipulent les r\u00e9f\u00e9rences d\u2019objets pour acc\u00e9der directement \u00e0 des ressources non autoris\u00e9es.<\/p>\n<\/li>\n Validation inad\u00e9quate<\/strong>: Le manque de validation appropri\u00e9e des entr\u00e9es peut conduire \u00e0 un acc\u00e8s non autoris\u00e9 aux ressources.<\/p>\n<\/li>\n Contourner les contr\u00f4les d'acc\u00e8s<\/strong>: Les attaquants peuvent trouver des moyens de contourner les contr\u00f4les d'authentification et d'autorisation, leur permettant ainsi d'acc\u00e9der \u00e0 des zones restreintes.<\/p>\n<\/li>\n<\/ol>\n Le contr\u00f4le d\u2019acc\u00e8s bris\u00e9 peut \u00eatre class\u00e9 en diff\u00e9rents types en fonction des vuln\u00e9rabilit\u00e9s sp\u00e9cifiques et de leur impact. Le tableau suivant r\u00e9sume certains types courants de contr\u00f4le d\u2019acc\u00e8s interrompu\u00a0:<\/p>\nLa structure interne du contr\u00f4le d'acc\u00e8s bris\u00e9 et son fonctionnement<\/h2>\n
Analyse des principales caract\u00e9ristiques du contr\u00f4le d'acc\u00e8s bris\u00e9<\/h2>\n
\n
Types de contr\u00f4le d'acc\u00e8s bris\u00e9<\/h2>\n