Selon Netcraft, plusieurs banques et établissements financiers américains ont renoncé à sécuriser avec SSL les pages où leurs clients doivent saisir leurs identifiants pour accéder leurs comptes. Et le fournisseur de services de sécurité informatique de citer Bank of America, Wachovia, Chase, ainsi que son client American Express. Néanmoins, si le formulaire d'identification n'est pas sécurisé, les données sont bien transmises de manière protégée. Selon Netcraft, l'abandon de SSL pour les pages d'identification a pour seul but d'améliorer les temps de réponse des serveurs concernés.

En fait, c'est moins un problème de sécurité que dénonce Netcraft qu'une décision motivée par la seule gestion de la charge qui risque de semer le trouble dans l'esprit des internautes : « depuis le lancement de SSL, les internautes ont été éduqués à vérifier la présence de l'icône représentant un verrou doré avant d'entamer une transaction de commerce électronique, afin de s'assurer que la session est chiffrée » ; une remise en cause de ce principe peut simplifier le travail des pirates recourant au phishing.

La pratique dénoncée par Netcraft a fait l'objet d'une sévère critique du développeur de Microsoft Eric Lawrence en avril dernier : « une personne malintentionnée pourrait tout simplement rediriger la soumission POST vers un site sécurisé qu'elle contrôle. »

0 commentaires postés	>> Tous les commentaires