CASSER L'AUTHENTIFICATION IBM WEBSPHERE EN ABUSANT DES FAILLES CRYPTOGRAPHIQUES DANS LES JETONS LTPA

Tom Tervoort, de Bureau Veritas Cybersécurité, a découvert deux vulnérabilités et expositions communes (CVE) dans l'authentification WebSphere d'IBM. Les vulnérabilités sont liées au jeton LTPA2, un type de jeton populaire utilisé dans IBM Websphere Liberty. Il recommande d'installer immédiatement les correctifs d'IBM et, si possible, d'éviter les jetons LTPA pour les nouvelles applications. Téléchargez le livre blanc ici :

Téléchargez le livre blanc ici >

Les jetons sont un moyen moderne de partager des identifiants d'authentification entre des services web. Les protocoles cryptographiques sont censés protéger ces jetons, mais comme nous le savons, la cryptographie est difficile. Au cours de ses recherches, Tom a découvert deux CVE concernant des contournements d'authentification et des élévations de privilèges.

INSTALLEZ LES CORRECTIFS IMMÉDIATEMENT

Les vulnérabilités ont été divulguées de manière responsable à IBM, ce qui a donné lieu à des correctifs. Si vous avez une application qui utilise WebSphere Liberty ou Open Liberty et qui utilise (éventuellement) l'authentification LTPA, nous vous recommandons d'installer ces correctifs immédiatement.

En général, Tom déconseille l'utilisation des jetons LTPA pour les nouvelles applications : la cryptographie sous-jacente ne suit pas les meilleures pratiques et ces attaques ont montré que la complexité du protocole est sensible aux erreurs d'implémentation. Dans ce livre blanc, il présente les détails techniques.