Polémique autour de la boîte de Pandore SQL Server
Vulnérabilité pour les uns, problème incontournable pour les autres : l’absence de chiffrement pour les mots de passe d'accès à la base de données suscite la polémique.
L'israélien Sentrigo, spécialisé dans la sécurisation des bases de données, a lancé récemment un appel à la vigilance autour de SQL Server. Une négligence de Microsoft donnerait en effet aux administrateurs de la base, la possibilité d'accéder aux mots de passe en clair de ses utilisateurs. Pour Sentrigo, le problème vient essentiellement du fait que ces derniers ont tendance à utiliser le même mot de passe pour tous leurs accès et qu'entre les mains d'un pirate cette liste représenterait une véritable boîte de Pandore.
Microsoft refuse aujourd'hui de reconnaître la paternité d'une quelconque vulnérabilité et déclare sur son blog sécurité qu'« il est difficile de s'opposer à un administrateur malintentionné ». Aucun correctif n'est donc prévu. Sentrigo s'est engagé, de son côté, à fournir un outil permettant de chiffrer les mots de passe de la base de données. Baptisé Passwordizer, l'utilitaire est disponible en téléchargement sur le site de l'éditeur.
Une seule méthode d’authentification concernée : Cependant, sur les deux méthodes d'authentification pour gérer les accès à MS SQL, une seule est concernée par cet avertissement. Il s'agit de la méthode SQ Server standard (1) qui gère notamment les comptes et les mots de passe (type compte sa, compte DBA local…), et qui, lors d'une authentification, stocke les mots de passe en clair dans la mémoire du processus.
La seconde, utilisée par défaut, s'appuie sur l'authentification intégrée dans Windows et se base donc sur des protocoles d'authentification classiques (type Kerberos), ôtant toute inquiétude sur la question des mots de passe lisibles.
(1) Pour Microsoft, ce mode d'authentification est déconseillé, à utiliser uniquement lorsqu'il n'est pas possible de fonctionner en mode intégré.
La réponse de Cyril Voisin, chef de programme sécurité à Microsoft France
« Une règle fondamentale de l'informatique »
Un administrateur peut tout faire sur le périmètre où il a les droits. La question du non-respect de la vie privée par l'un d'entre eux est un problème fondamental de l'informatique. C'est pour cela, notamment, qu'il est recommandé que leurs actions soient auditées par des cabinets indépendants (notion de séparation des rôles). Un administrateur pourrait fouiller dans la base, puisqu'il peut, par définition, tout faire. C'est tout à fait en phase avec la 6e loi immuable sur la sécurité informatique (1), que Microsoft a publiée en 2000.
(1) Law #6 : « A computer is only as secure as the administrator is trustworth ».(Source 01 net)