Faille : Le vrai-faux Passport de Microsoft

Une faille de sécurité dans Passport http://www.weblmi.com/daily/2001/0926/micross.htm , système d'authentification développé par Microsoft, a obligé l'éditeur à fermer son service pendant près de 48 heures. Il a suffi d'un courriel un peu complexe de Marc Slemko, membre de l'Apache Software Fondation, à l'origine du serveur HTTP open source Apache, pour percer le logiciel au cour des futurs services .Net de Microsoft.

Envoyé à partir d'Hotmail, messagerie Web de Microsoft, son courriel HTML contenant un script Java de récupération d'informations a leurré un utilisateur de My Wallet (porte-monnaie électronique) qui croyait avoir à faire à un service affilié Passport. Du coup, les cookies contenant les données personnelles ayant transité lors de l'accès au service ont pu être récupérées par Marc Slemko. Y compris le numéro de carte bancaire de l'internaute, indispensable dans My Wallet.

Penaud, Microsoft a dû interrompre son service entre le 1er et le 3 novembre, tout en affirmant qu'en dehors de la démonstration de Slemko, aucune donnée n'avait été dérobée.

N'empêche, après la mise en cause http://www.weblmi.com/daily/2001/0927/securite.htm de la sécurité d'ISS, son serveur Web aux multiples failles http://www.weblmi.com/daily/2001/1005/securite.htm , Microsoft est encore pris en défaut par la vulnérabilité d'outils pourtant primordiaux dans sa stratégie de services Web. Pour l'instant, l'éditeur argue de sa bonne volonté et met en avant ses investissements supplémentaires http://www.weblmi.com/daily/2001/1005/securite1.htm dans la sécurisation et son accord http://www.weblmi.com/daily/2001/0711/micro.htm estival avec VeriSign, spécialiste de la sécurité dont les outils de certification sont censés intégrer le service Passport.

Selon Microsoft, ce dernier est utilisé par 200 millions d'internautes, la plupart dans le cadre d'Hotmail. L'éditeur revendique 2 millions d'utilisateurs de My Wallet.