« Les attaquants peuvent ouvrir leur propre compte Cloudflare afin de détourner la relation de confiance établie entre la plateforme et les sites web clients, rendant inopérant le mécanisme de protection », explique Stefan Proksch, chercheur chez Certitude, dans un rapport publié la semaine dernière.
Lire aussi >>Les meilleures formations en cybersécurité pour devenir expert en sécurité informatique
Selon la société de conseil autrichienne, le problème provient d’une infrastructure partagée, accessible aussi bien aux locataires légitimes qu’aux acteurs malveillants. Ce contexte crée un climat de confiance implicite, dont profitent les cybercriminels pour contourner les garde-fous mis en place. Avant toute mise en œuvre de stratégies de contournement ou de protection, il est essentiel de bien définir les besoins de sécurité pour adapter les pratiques et garantir l’efficacité des mesures.
Le premier problème identifié provient de l’usage d’un certificat Cloudflare partagé, utilisé pour authentifier les requêtes HTTP(S) entre les proxys inversés de la plateforme et le serveur d’origine du client, via une fonction appelée « Authenticated Origin Pulls ». Cette fonctionnalité, censée garantir que les requêtes proviennent bien de Cloudflare, peut être exploitée par un attaquant qui possède un compte sur la plateforme. Il peut alors faire transiter sa charge utile malveillante par l’infrastructure Cloudflare, profitant du fait que toute connexion en provenance du réseau de Cloudflare est autorisée, même si l’initiateur est malintentionné. L’authentification, notamment l’authentification mutuelle TLS (mTLS), joue ici un rôle crucial pour sécuriser les communications entre Cloudflare et le serveur d’origine, en s’assurant que chaque partie est bien identifiée grâce à des certificats.
« Un pirate peut créer un domaine personnalisé avec Cloudflare, pointer son enregistrement DNS A vers l’adresse IP de la victime, puis désactiver toute protection sur ce domaine dans son propre locataire », précise Proksch. « Ainsi, les attaques traversent l’infrastructure Cloudflare et contournent les protections du site victime. » La gestion de l’adresse IP et de l’adresse IP du serveur d’origine est donc un point clé : découvrir et exploiter l’adresse IP réelle du serveur permet parfois de contourner la protection du CDN et d’accéder directement au contenu protégé, d’où l’importance de filtrer et de restreindre l’accès à l’origine.
Le deuxième problème concerne la manière dont sont gérées les adresses IP de Cloudflare placées sur liste d’autorisation, une faille qui ouvre la voie à de nouvelles stratégies d’attaque. Les chercheurs ont notamment découvert une méthode permettant un empoisonnement DNS, potentiellement capable de prendre le contrôle de zones DNS entières, y compris des domaines de premier niveau comme .com ou .net. Par exemple, un attaquant peut utiliser un proxy pour masquer son adresse IP réelle et accéder au contenu protégé, contournant ainsi les règles de sécurité mises en place.
L’efficacité de cette méthode repose sur l’utilisation d’adresses IP Cloudflare afin de protéger le domaine personnalisé de l’attaquant. Le rapport met en lumière le fonctionnement des serveurs DNS de type « CDNS », très répandus mais insuffisamment étudiés. Configurés pour agir simultanément en tant que résolveurs récursifs et transitaires, ils partagent un cache global unique. Cette configuration permet aux cybercriminels d’exploiter les vulnérabilités du mode transitaire pour « traverser la frontière » et attaquer les résolveurs récursifs du même serveur, ouvrant ainsi de nouvelles possibilités pour contourner les protections mises en place. La mise en place de règles spécifiques au niveau du pare-feu, telles que le filtrage par adresse IP ou la restriction d’accès, est donc essentielle pour contrôler l’accès au site web et limiter les risques.
Introduction à la sécurité des sites web
La sécurité des sites web occupe aujourd’hui une place centrale dans l’infrastructure de l’internet moderne. Avec la multiplication des applications web et la croissance exponentielle des données échangées en ligne, les risques d’attaques et d’accès non autorisés n’ont jamais été aussi élevés. Les sites web sont la cible privilégiée de nombreuses menaces, telles que les attaques DDoS, les tentatives d’injection SQL ou encore les failles XSS, qui peuvent compromettre la confidentialité et l’intégrité des données.
Pour faire face à ces défis, il est indispensable de mettre en œuvre des mesures de sécurité robustes, à commencer par l’installation d’un pare-feu d’application web (WAF) et l’adoption de solutions de détection d’intrusion. Cloudflare s’impose comme un acteur incontournable dans ce domaine, en proposant des solutions innovantes pour protéger les sites web contre les attaques tout en optimisant leurs performances. Grâce à ses outils de sécurité avancés, Cloudflare permet aux propriétaires de sites de renforcer la protection de leurs applications web, de contrôler les accès et de garantir la disponibilité de leurs services, même en cas d’attaque massive.
Comprendre les mesures de sécurité de Cloudflare
Cloudflare met à disposition des sites web une panoplie de mesures de sécurité destinées à contrer les menaces les plus courantes sur le web. Parmi les solutions phares, on retrouve le pare-feu d’application web (WAF), qui analyse en temps réel les requêtes entrantes pour bloquer les attaques automatisées et les tentatives d’exploitation de vulnérabilités. La gestion des bots est également un élément clé, permettant de filtrer les agents automatisés et de limiter l’accès aux robots malveillants tout en autorisant les robots légitimes, comme ceux des moteurs de recherche.
La protection DDoS de Cloudflare joue un rôle crucial en absorbant les attaques de grande ampleur visant à rendre un site indisponible. Pour assurer l’efficacité de ces mesures, Cloudflare s’appuie sur l’analyse des empreintes digitales des navigateurs et des signaux d’automatisation, afin de distinguer les utilisateurs humains des bots sophistiqués. Les attaquants, de leur côté, développent sans cesse de nouvelles techniques de contournement pour tromper ces systèmes, ce qui oblige les équipes de sécurité à adapter en permanence leurs stratégies de défense et à renforcer la gestion des agents et des requêtes suspectes.
Gestion des identités de navigateur
La gestion des identités de navigateur est devenue un enjeu majeur pour la sécurité des sites web. En effet, la capacité à différencier un utilisateur légitime d’un agent automatisé repose en grande partie sur l’analyse des empreintes digitales du navigateur. Ces empreintes incluent des éléments tels que l’agent-utilisateur, les paramètres de langue, la résolution d’écran ou encore la configuration des plugins. Les sites web utilisent ces informations pour établir un profil unique de chaque visiteur et détecter les comportements suspects.
Cependant, les attaquants perfectionnent leurs techniques de spoofing afin de modifier les empreintes digitales de leurs bots et de contourner les systèmes de détection. Pour contrer ces méthodes, il est essentiel de mettre en place des mesures de sécurité avancées, telles que la vérification approfondie des en-têtes HTTP, la gestion rigoureuse des cookies et l’analyse comportementale des utilisateurs. En combinant ces différentes approches, les propriétaires de sites web peuvent renforcer la fiabilité de leur système de gestion des identités et limiter les risques d’accès non autorisé.
Utilisation de Puppeteer pour contourner les mesures de sécurité
Puppeteer est un outil d’automatisation de navigateur largement utilisé pour tester et interagir avec des applications web. Toutefois, il est également détourné par certains attaquants pour contourner les mesures de sécurité mises en place sur les sites web. Grâce à Puppeteer, il est possible de simuler le comportement d’un navigateur humain, d’exécuter des scripts complexes et de manipuler les agents automatisés afin de franchir les barrières du WAF ou de la gestion des bots.
Face à ces techniques de contournement, les administrateurs de sites web doivent redoubler de vigilance. Il existe des méthodes de détection spécifiques pour identifier les requêtes générées par Puppeteer, telles que l’analyse des propriétés du navigateur, la vérification des comportements interactifs et la surveillance des anomalies dans les requêtes HTTP. En adaptant régulièrement leurs mesures de sécurité et en surveillant les nouvelles tendances en matière de contournement, les propriétaires de sites peuvent limiter l’efficacité de ces outils et protéger durablement leurs applications web contre les attaques automatisées.
