Lorsque vous visitez une page web, plusieurs opérations se déroulent en arrière-plan. Même si vous ne cliquez sur rien, le site traite des informations telles que la page sur laquelle vous vous trouvez, votre adresse IP et l’appareil que vous utilisez. Certaines règles s’appliquent aux transactions qui se déroulent dans cet intergiciel. Les attaquants qui sont au courant de cette situation et de la manière dont ces restrictions sont mises en œuvre peuvent l’exploiter pour voler vos informations. Pour mieux comprendre le problème, examinons la notion de proxy web inverse.
Qu’est-ce qu’un proxy web inverse ?
Le proxy web inverse traite et optimise vos transactions en accédant à des sites Internet avant de les transmettre au serveur web dorsal. Les données traitées et optimisées sont envoyées aux serveurs web concernés par le proxy web inverse. Ce processus constitue à la fois une mesure de sécurité et une amélioration des performances.
Il est possible de tirer parti de nombreux systèmes différents pour utiliser la fonction de proxy web inverse. Vous pouvez utiliser un pare-feu d’application web (WAF), un équilibreur de charge, des dispositifs que vous pouvez positionner contre les attaques DDoS, ou des plateformes et des systèmes tels que Cloudflare pour le proxy web inverse.
Le point commun de ces systèmes est qu’ils assurent la formation entre le serveur et le client. Lorsque vous demandez un site web, cette demande ne va pas directement au serveur. Le proxy web inverse entre le serveur et le site web examine et optimise ces demandes. Par exemple, un système qui soupçonne qu’une requête HTTP ininterrompue peut être une attaque DDoS filtre ces requêtes et, si nécessaire, met sur liste noire l’appareil d’où proviennent les requêtes, l’empêchant ainsi d’atteindre le site. En bref, l’objectif est de fournir un contrôle entre la requête et le serveur.
Impact du Reverse Web Proxy sur les performances
Examinons comment un proxy web inverse améliore les performances à l’aide d’un exemple, comme le site web d’un café. Imaginez un texte décrivant le café sur ce site web et des images de café sur les menus. Comme ces images et ces textes ne changent pas en permanence, il est possible d’améliorer les performances. Si vous stockez les adresses URL de ces images statiques sur le proxy web inverse, vous faites de la mise en cache sur le proxy web inverse.
En d’autres termes, la première fois que vous accédez au site, le proxy web inverse enregistre toutes les images dans votre cache et fournit un service plus rapide lors de votre deuxième connexion. Par conséquent, la pression sur le site web sera considérablement réduite, et le site se chargera plus rapidement.
Avantages du proxy web inverse
Pour résumer les raisons pour lesquelles vous pouvez envisager un proxy web inverse, sachez qu’il peut :
- Augmenter la vitesse d’accès à Internet et la vitesse de transfert des données, ce qui accélère le chargement des pages web.
- Cachez vos données personnelles. Un proxy web inverse crypte toutes les données que vous envoyez et recevez de votre ordinateur et dissimule vos habitudes d’utilisation.
- Utilisez diverses technologies de pare-feu pour protéger vos données personnelles.
- Résoudre les interdictions que vous rencontrez lors de l’accès aux sites web et empêcher le blocage.
Comment la vulnérabilité Proxy Cache Deception se produit-elle ?
Toutes les données enregistrées dans votre cache par le proxy web inverse sont stockées avec leur extension de fichier. Par exemple, les images ont des extensions telles que « .jpg », et « .png », tandis que les textes sont « .txt ». Cela signifie qu’un pirate qui détourne ce cache peut savoir ce que vous avez vu ou fait sur le site en consultant les fichiers auxquels vous avez accédé.
Prenons l’exemple d’un site dont l’adresse est exemple.com/login.php. Supposons que vous puissiez accéder à cette adresse en saisissant votre nom d’utilisateur et votre mot de passe, et que la page à laquelle vous accédez appartienne à un fichier PHP exécuté dynamiquement. Si vous vous souvenez bien, les fichiers mis en cache n’étaient que des fichiers statiques. Le proxy web inverse ne mettra donc pas en cache un tel fichier PHP.
Mais parfois, les choses ne sont pas aussi simples. Dans certains cas, lorsque vous demandez une adresse qui n’existe pas, vous obtenez une erreur 404 page not found. Mais en plus de cette erreur, le serveur web vous donne d’autres informations essentielles. Lorsque vous demandez une URL invalide qui n’existe pas, la partie valide de l’URL que vous avez demandée peut se trouver sur le serveur. Dans ce cas, même si vous demandez une adresse invalide, vous pouvez recevoir la partie valide de cette adresse invalide en réponse. Dans ce cas, les attaquants soupçonnent l’existence d’une faille de sécurité et se préparent à attaquer.
Considérons maintenant une autre adresse URL, telle que exemple.com/login.php/muo.jpg. Supposons que le serveur vous montre toujours exemple.com/login.php car ce fichier n’existe pas sur le serveur.
Si vous avez remarqué, l’adresse que vous avez demandée appartient à un fichier JPG, ce qui signifie qu’il s’agit d’un fichier totalement statique. N’oubliez pas que les développeurs web peuvent stocker des fichiers statiques sur un proxy web inverse, car le contenu avec des extensions de fichiers statiques comme celui-ci n’a pas besoin d’être rechargé dynamiquement sur le site web. L’objectif principal des développeurs web est d’obtenir un site web plus efficace et plus performant. Dans ce cas, même si cette adresse n’existe pas, le proxy la mettra en cache. Désormais, quiconque entre cette adresse verra la page sur laquelle vous vous êtes connecté avec votre nom d’utilisateur et votre mot de passe.
Un attaquant qui veut exploiter une telle vulnérabilité essaiera de vous faire cliquer sur ce lien en le raccourcissant ou en vous trompant d’une manière ou d’une autre. Lorsque vous cliquez sur ce faux lien, vous vous rendez compte que rien ne se passe, mais vous avez créé un cache sur le proxy web inverse. La seule chose que fera l’attaquant sera d’exploiter vos informations.
Moyens de précaution
La meilleure façon d’éviter une vulnérabilité du proxy web inverse est de prédéterminer la façon dont le serveur traitera les fichiers inexistants. Un fichier qui n’existe pas ne devrait pas créer de cache. En outre, si vous êtes un développeur web, vous savez maintenant que vous pouvez stocker certains contenus et documents sur un proxy web inverse. Il est très important que vous vérifiiez périodiquement les données que vous stockez dans le proxy web inverse et que vous fassiez ces vérifications avec soin. La maîtrise de la logique de fonctionnement d’un proxy web vous permettra de prendre conscience de l’importance de la sécurité, tant pour vous que pour les utilisateurs de votre site web.
N’oubliez pas que les attaquants ont toujours une longueur d’avance sur vous. C’est pourquoi vous avez tout intérêt à prendre toutes les précautions nécessaires et à mieux comprendre les technologies que vous utilisez. Pour cela, en quelques étapes, vous pouvez créer votre proxy web et vous tester.