Web

Sécurité, Flash ou HTML 5 ? Le problème n’est pas là, explication

Une étude publiée par GeoEdge révèle que la technologie Flash a été accusée à tort. Elle ne serait pas la cause profonde des campagnes de Malvertising (utilisation de la publicité en ligne pour diffuser des logiciels malveillants). Mieux encore, il est rapporté que l’adoption du HTML 5 ne change rien, ce type annonce ne protégera pas d’avantage les utilisateurs contre les attaques. Pourquoi ?  Les vulnérabilités se situent aux niveaux des plateformes publicitaires.

Flash n’est pas l’ennemi numéro un

Flash a été et reste lié à l’idée d’une application fortement vulnérable en raison de son apparition dans d’importantes campagnes de cyber-espionnage et de Malvertising.

Cette mauvaise réputation a été entretenue par la découverte périodique et constante de vulnérabilités par les chercheurs, obligeant Adobe à réagir. Son action a été, dans un premier temps, assez lente face à l’importance des problèmes. Il a fallu la décision de rendre, par défaut, inactif le plugin Flash dans les navigateurs, pour que les choses changent.

En parallèle la technologie HTML 5 a profité d’ajouts appropriés dans l’unique but de pouvoir remplacer la solution d’Adobe. L’HTML 5 a été lancé en octobre 2014.

Depuis il remplace progressivement Flash dans le marché de la publicité. De nombreux réseaux publicitaires tels que Google et Amazon ont annoncé l’arrêt de sa prise en charge pour les annonces dites « statiques » sachant qu’il reste d’actualité pour la diffusion de publicité vidéo.

Flash ou HTLM 5, le problème n’est pas à ce niveau

Selon l’étude GeoEdge, Flash est accusé à tord. Les attaques utilisant des annonces publicitaires malveillantes (malvertising), ne reposent pas nécessairement sur l’annonce elle-même, mais d’avantage sur des problèmes liés aux infrastructures réseau de diffusion.

Il est expliqué que par exemple, pour les annonces vidéo, la racine du « Malvertising » se situe dans les normes publicitaires VAST et VPAID (règles communes de diffusion concernant le chemin pris par les données  entre l’annonceur et l’éditeur).

A partir de ce constat, les technologies Flash ou HTML 5 ne sont plus vraiment concernées puisque les failles se situent ailleurs dans le processus de diffusion. Elles concernent des « points » dit critiques dans le réseau de diffusion. Ils sont utilisés par les annonceurs ou les réseaux publicitaires pour mettre en place des empreintes digitales et pister les internautes.

Etude GeoEdge – Security Aspects of Flash, HTML5, and Video in the Ad Tech Industry –

De là, il devient assez facile, dans ces points critiques, d’injecter un code JavaScript malveillant en lieu et place d’un code de suivi ou d’instruction de diffusion. La nature de l’annonce (HTML 5 ou Flash) ne change rien au problème.

GeoEdge souligne toutefois

« Les annonces Flash ont certains avantages. Cependant, en termes de sécurité, le HTML5 est l’option la plus sûre […] Le principale problème dans le malvertising vidéo est malheureusement plus fondamental »

Le rapport de GeoEdge aborde les annonces vidéo mais la situation reste identique pour les annonces dites « statiques ». Qu’elles soient de type Flash ou HTML5, le vrai problème repose sur la conception de certains réseaux de publicité qui permettent aux annonceurs de diffuser un code JavaScript personnalisé.

Jérôme Gianoli

Aime l'innovation, le hardware, la High Tech et le développement durable. Soucieux du respect de la vie privée.

Voir commentaires

  • Une popup malicieux est plus facile à éviter qu'un fichier swf infecté qui va se servir des failles 0 day de flash pour infecter le système en toute discretion. un flash infection n'a pas besoin d'action d'utilisateur pour infecter une machine contrairement au html...

    Bref débarrassez vous de flash

Partager
Publié par
Jérôme Gianoli
Tags: Sécurité

Article récent

La ROG Strix B860-A Gaming WiFi se fait flasher

Les cartes mères LGA 1851 équipées du chipset Intel B860 commencent à apparaître. La ROG… Lire d'avantage

16/12/2024

GPU-Z v2.61 est disponible en téléchargement, quoi de neuf ?

L’utilitaire GPU-Z évolue en version 2.61. Le focus concerne la prise en charge de nouveaux… Lire d'avantage

16/12/2024

GeForce RTX 5070 Ti, VRAM augmentée et TDP plus élevé

Les premières informations sur la GeForce RTX 5070 Ti, prévue pour début 2025, indiquent des… Lire d'avantage

16/12/2024

SSD PCIe 5.0 x4 Platinum P51, SK hynix annonce du 14,7 Go/s !

Annoncé en mars dernier, le SK hynix Platinum P51 PCIe 5.0 est enfin lancé en… Lire d'avantage

16/12/2024

FA200, Acer dévoile un nouveau SSD PCIe 4.0 x4

Acer lève le voile sur sa gamme de SSD FA200 PCIe 4.0. Visant le milieu… Lire d'avantage

16/12/2024

Kioxia Exceria Plus G4 : Un SSD M.2 NVMe Gen 5 milieu de gamme prometteur

Kioxia a dévoilé l'Exceria Plus G4, un SSD M.2 NVMe qui promet des débits musclés… Lire d'avantage

16/12/2024