Un groupe de chercheurs de l'université Ca' Foscari (Italie) a analysé 90 000 hôtes liés aux 10 000 plus grands sites selon le classement Alexa et a conclu que 5,5 % d'entre eux présentent des problèmes de sécurité importants dans les implémentations TLS. Lors de l'étude, des problèmes liés à l'utilisation de méthodes de cryptage vulnérables ont été examinés : 4818 des hôtes problématiques étaient exposés à des attaques MITM, 733 présentaient des vulnérabilités permettant de déchiffrer complètement le trafic, et 912 permettaient une déchiffrement partiel (par exemple, l'extraction de cookies de session).
Des vulnérabilités graves permettant de compromettre totalement 898 sites ont été identifiées, par exemple, via des attaques de substitution de scripts sur les pages. 660 (73,5 %) de ces sites utilisaient sur leurs pages des scripts externes chargés depuis des hôtes vulnérables, démontrant la pertinence des attaques indirectes et leur possibilité de propagation en cascade (par exemple, le piratage du compteur StatCounter, qui a pu entraîner la compromission de plus de deux millions d'autres sites).
10 % de tous les formulaires de connexion des sites étudiés avaient des problèmes de confidentialité qui pouvaient potentiellement mener à un vol de mots de passe. 412 sites avaient des problèmes d'interception de cookies de session. 543 sites avaient des problèmes de contrôle de l'intégrité des cookies de session. Plus de 20 % des cookies étudiés étaient vulnérables à des fuites d'informations vers des entités contrôlant des sous-domaines.
Source : opennet.ru
