Introduction
La publicité par les sites web est une industrie en pleine expansion. La publicité constitue une part non négligeable des revenus d’un grand nombre de sites web que nous consultons tous les jours – pour nos loisirs ou dans le cadre de notre travail. C’est le cas, entre autres, des journaux en ligne et autres magazines, des moteurs de recherche et des diverses ressources informatives. Malheureusement, la publicité sur les sites web constitue également un important vecteur de propagation des nuisances logicielles.
Généralités à propos de la publicité sur les sites web
La technique employée le plus couramment pour diffuser les publicités sur les sites web consiste à les placer sur un serveur géré par une autre entreprise. Cette entreprise peut être le propriétaire du produit/service dont la publicité assure la promotion, ou bien une société spécialisée dans la fourniture d’annonces – un « courtier en pub ».
Ce qui nous intéresse, du point de vue de cet article, est que les publicités ne sont pas placées sur le(s) serveur(s) web qui les diffuse(nt). Pour pouvoir diffuser une publicité de ce type, le propriétaire du site où elle est supposée apparaître doit donc, normalement, permettre l’affichage d’éléments externes (la publicité proprement dite).
La procédure exacte peut varier et n’est pas l’objet de cet article. Nous mettrons ici l’accent sur le fait que l’organisation/la personne qui a la responsabilité d’un site web doit autoriser un contenu en provenance d’une autre source.
Des vulnérabilités potentielles échappant à tout contrôle
Le résultat général est, bien entendu, celui-ci : La résistance d’une chaîne se mesure à son maillon faible.
Peu importe le niveau de sécurité d’un site web, et quels que soient les mécanismes invoqués par un responsable pour sécuriser « son » site web, si un objet hébergé sur le site est compromis, les visiteurs du site web « sécurisé » courent un risque.
Les publicités nuisibles peuvent apparaître sous diverses formes. En voici quelques exemples :
- les publicités Flash exploitant des vulnérabilités dans des versions non corrigées du module Flash d’un navigateur ;
- les bannières constituant un lien vers des sites web nuisibles (soi-disant légaux) ;
- les bannières téléchargeant un logiciel nuisible au moindre clic.
Les sites web externes distributeurs de nuisances
Ils peuvent être répartis en deux groupes.
Les sites délibérément malveillants
C’est la version la plus rare. Un fournisseur de publicités mettant délibérément sur pied un système distribuant des publicités nuisibles sur des sites web légitimes n’exercera pas longtemps.
Ce type de site n’est probablement pertinent que pour certains types d’attaques ciblées limitées dans le temps.
Les sites compromis (innocents)
C’est de ce groupe que proviennent la majorité des publicités nuisibles. Si une personne malintentionnée a pour objectif de compromettre un serveur, elle peut, à son bon vouloir, être capable de modifier le contenu des publicités ainsi que les liens qu’elle sert. Il est probable que les plus sournois afficheront, pour commencer, la publicité légitime (par exemple, durant la phase de test et de vérification), à laquelle ils substitueront, ensuite, la version nuisible.
Contre-mesures
Voici quelques précautions qui permettront aux responsables de sites web d’éviter de tomber dans le piège des publicités malveillantes dont nous avons parlé ci-dessus :
- Arrêtez d’offrir des espaces publicitaires à partir de votre site web. Cette option n’est pas viable dans la plupart des cas.
- Un test méticuleux des publicités peut révéler certaines tentatives de placement de publicités nuisibles.
- Le fait de n’accepter que les publicités des entreprises et organismes disposant de systèmes de sécurité éprouvés rend un site web moins vulnérable.
En général, le fait d’accepter la présence d’objets web externes sur votre propre site constitue un risque pour la sécurité.
L’utilisateur web moyen peut employer des outils de blocage des publicités et/ou des scripts pour améliorer la sécurité générale, évitant ainsi d’être la victime innocente des publicités malveillantes placées sur des sites web compromis.
