Discussion :

[pomeh]

Maintenant je sais que sur Chrome il y a le sandboxing qui nous empêche d'effectuer une requête AJAX ailleurs que sur l'hôte mais il doit y avoir des contournements ou sinon les boutons "j'aime" de facebook ne fonctionneraient pas.

Généralement ce type de boutons fonctionnent via une iframe, donc il y a moins de limitations lorsqu'on est à l'intérieur de la frame. Et puis l'AJAX cross-domain ça existe et ça fonctionne plutôt pas mal. Autant dire que tout est permis... Il n'y a même plus besoin d'héberger la page de l'attaque.

D'ailleurs, puisqu'on peut embarquer ce qu'on veut... peut-être qu'il est possible d'embarquer des certificats et donc d'être "certifié" ?

L'idée n'est pas bête mais je ne pense pas que ça puisse marcher. Si par "certificats" tu veux dire "certificats SSL" alors ça ne devrait pas fonctionner car ici le protocole utilisé est "data" et non pas "https", donc pas de certificat à vérifier. Et puis je ne sais pas en détail comment fonctionne la certification SSL, mais il ne me semble pas que le certificat soit inclus dans la page directement. Il y a peut-être une info dans les header, mais si c'est le cas, dans cet exemple on agit uniquement sur le contenu de la page et non pas les headers, donc impossible de tromper le navigateur (si quelqu'un a des infos plus précises à ce sujet je suis preneur).

[azias]

Je ne trouve pas, a priori, que cette technique puisse entraîner des risques de sécurité (au sens informatique) supplémentaires. Que le contenu de la page web provienne de l'URI ou d'un serveur web ça n'a pas l'air de changer quoi que ce soit sur ce qu'il est possible de faire ou non. Ça évite sans doute d'avoir à ouvrir un serveur web et acheter un nom de de domaine sous un nom d'emprunt mais je ne pense pas que ce soit le genre de chose qui dérange beaucoup les auteurs de phishing.

Au contraire, cette technique donne une URI dans la barre d'adresse qui ne ressemble à rien (même si on est passé par un réducteur d'URL).

Cela dit c'est très amusant! Je ne connaissais pas et je sens que je vais m'amuser un peu avec ça cette semaine, à moins que j'en trouve une utilisation intelligente.

Pour quel type d'utilisation est-ce prévu à la base?

[PascalKOTTE]

Pourquoi mettre en cause Firefox et Opera uniquement ? Alors que cela touche tous les Browser !

Cette vulnérabilité ne touche pas que les 2 navigateurs cités
http://www.clubic.com/antivirus-secu...fox-opera.html

[Watilin]

Coucou l'archéologue ! Date du dernier message sur ce fil : 10/09/2012

Ensuite, je cite ta propre source :

Ainsi, contrairement à Google Chrome, Firefox et Opera seraient vulnérables à ce type d'attaque.

Tous les browsers, vraiment ?