Une mauvaise réputation se répand très vite. C’est pour cette raison que les sociétés de vente par correspondance, les prestataires de services ou le secteur bancaire sont donc soucieux de la maintenir ou de l’optimiser sur Internet. Mais si les clients sont victimes d’une attaque dite man- in-the-middle (ou de l’homme au milieu), leur bonne réputation est rapidement perdue. Dans une attaque man-in-the-middle, l’agresseur se positionne entre le client et le fournisseur et prétend être le fournisseur. Une telle attaque est également possible dans l’autre sens.

L’exemple suivant illustre cela : supposons que vous soyez une entreprise de vente par correspondance en ligne et que vous envoyiez des e-mails de transaction automatisées comme par exemple des factures ou des confirmations de commande. Elles sont donc envoyées à des tiers inconnus par le pirate man-in-the-middle. La facture n’arrive jamais à vos clients et vous ne remarquez rien. Naturellement vous ne recevez pas d’argent car le client n’a jamais reçu de facture. Que se passe-t-il donc ? Vous envoyez un rappel. Cela peut générer, sans facture préalable, irritation et perte de confiance chez le client, ce qui signifie pratiquement un désastre en marketing.

Mais cela pourrait être même pire. Lorsqu’une attaque aboutit, des données sensibles de votre client comme par exemple son adresse, ses coordonnées bancaires et ses habitudes d’achat arrivent à des personnes non autorisées. Dans le cas d’assurances, de couverture médicale, d’instituts de crédits et même de sites de rencontres cela constitue un vrai problème, car il s’agit là de données personnelles très sensibles.

Des conséquences graves

La protection des données de votre client n’est pas uniquement votre priorité absolue mais aussi celle du fournisseur de services e-mail qui envoie en votre nom. L’article 33 du RGPD explique ce qui se passe en cas de violation des données personnelles : le responsable (dans ce cas l’entreprise de marketing) doit informer l’autorité de contrôle (régionale ou nationale) et les personnes concernées, dans le respect de l’article 34 du RGPD.

Ce n’est pas que votre réputation qui est en danger. Vous risquez aussi des conséquences financières. Dans la mesure où la responsabilité de violation de la protection des données personnelles peut être attribuée au responsable ou au sous-traitant mandaté par lui (dans ce cas le fournisseur des services e-mail), les autorités de contrôle pourront exercer contre le(s) responsable(s ) des sanctions, des mesures correctives et des enquêtes conformément à l’article 58 du RGPD.

Dans le pire des cas, cela pourrait même entraîner l’interdiction définitive de traiter ce genre de données, ce qui signifie concrètement une interdiction de l’activité commerciale. En outre, des amendes peuvent être imposées. L’article 83 du RGPD prévoit des amendes substantielles pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel total. L’exemple le plus récent : l’autorité britannique de protection des données (ICO) a infligé une amende de 205 millions d’euros à British Airways après que des inconnus aient eu accès aux données des clients de la compagnie.

Une chose est sûre : il ne suffit pas simplement de protéger le propre serveur, car un « homme au milieu » utilise le point faible de l’envoi d’un e-mail de A à B. Afin de satisfaire les exigences de l’article 5 Paragraphe 1 du RGPD, vous devriez protéger les données sensibles de vos clients avec DNSSEC et DANE.

DNSSEC et DANE, que sont-ils ?

DANE (DNS-based Authentication of Named Entities) est une méthode de test qui sécurise l’établissement d’une connexion cryptée entre un client et un serveur. Par le biais d’une comparaison de certificats (enregistrement TLSA), les partenaires de communication utilisant DANE comblent la faiblesse conceptuelle de SSL/TLS, dans laquelle un tiers pourrait se faire passer pour le « bon serveur » et amener le client à transférer ses données à la « mauvaise bonne » adresse. La condition préalable à l’utilisation de DANE, est DNSSEC (Domain Name System Security Extensions), qui garantit que les caractéristiques de test transmises via DNS peuvent être vérifiées. Ici aussi, les pirates pourraient introduire de fausses informations dans le DNS et conduire le client à la mauvaise adresse.

Voilà comment ça marche :

A quoi ressemble un envoi de courriel typique avec DANE ? Supposons que vous soyez un commerçant en ligne et que vous envoyiez un e-mail à un client possédant un compte mail sur exemple.de. Voilà ce qui se passerait :

– Votre serveur de messagerie détermine le serveur de messagerie responsable du domaine destinataire. Il vérifie également si le serveur DNS offre le domaine destinataire DNSSEC.

– Si le serveur DNS offre DNSSEC, votre serveur de messagerie vérifie s’il existe un enregistrement TLSA pour le domaine destinataire.

– Votre serveur de messagerie établit ensuite une connexion avec le serveur de messagerie du domaine destinataire. Si celui-ci n’offre pas STARTTLS pour crypter la connexion, votre serveur de messagerie se déconnectera immédiatement car il y a suspicion d’une attaque de downgrade.

– Si le serveur cible propose STARTTLS, votre serveur de messagerie démarre une connexion cryptée TLS. Il compare la somme de contrôle du certificat du serveur cible avec les informations TLSA reçues via DNSSEC.

– Si les sommes correspondent, le serveur de destination est vérifié. S’il n’y a pas de correspondance, un client DANE annulera immédiatement l’opération parce qu’il y a suspicion d’une attaque man-in-the-middle. Sans ces mesures de contrôle, on finit pas envoyer des données à une adresse non fiable.

Pour que DANE puisse travailler avec DNSSEC, tous les deux doivent être configurés sur le serveur de messagerie du commerçant en ligne. Si un fournisseur de services d’e-mail est utilisé pour l’envoi d’e-mails, la plate-forme de messagerie doit être étendue afin que les requêtes DNS puissent également vérifier la fonctionnalité DNSSEC et utiliser ses capacités pour la vérification.

Les bases en sont jetées depuis longtemps. « DNSSEC est une procédure mature et stable depuis des années », déclare Patrick Koetter (responsable du groupe de compétences des groupes « Anti-Abus » et « E-Mail » de l’eco - Association du Commerce de l‘Internet). « L’expérience pratique sur les grandes plates-formes des FAI et les mesures montrent que les préoccupations de certains administrateurs ne sont pas tenables d’un point de vue technique ».

Si l’on considère les conséquences financières et la perte de réputation qu’une attaque Downgrade et/ou une attaque de type « homme au milieu » peuvent entraîner, l’effort d’activation de DANE et DNSSEC en vaut la peine. Ils sont la seule option automatisée rentable pour une transmission de données vraiment sécurisée entre les serveurs d’e-mail.

Vous pouvez en savoir plus sur les technologies associées et approfondir le sujet lors d’un workshop au CSA Summit 2020 en cliquant sur les mots.