Faille critique dans l’eID belge : un site malveillant pouvait atteindre l’ordinateur de la victime

Le composant utilisé pour l’authentification par carte d’identité

La Connective signing extension relie le navigateur au logiciel local nécessaire pour utiliser la carte d’identité électronique belge sur les portails publics et bancaires.

Le dispositif repose sur quatre éléments :

• une carte d’identité électronique ;
• un lecteur de carte à puce USB ;
• le logiciel hôte installé sur l’ordinateur ;
• l’extension Connective pour navigateur.

En 2021, Nitro Software Belgium déclarait que cette technologie était utilisée par plus de 60 agences et administrations publiques, huit des dix principales banques belges et plus de 1 000 entreprises. L’extension compte également plus de 2 millions d’utilisateurs sur le Chrome Web Store, où sa note moyenne s’élève à 1,7 sur 5, sur la base de 542 avis.

Un jeton générique remplaçait l’identité du site

La vulnérabilité provenait de la manière dont l’extension vérifiait quel site était autorisé à communiquer avec le logiciel hôte.

Au lieu de transmettre à ce dernier l’adresse du portail effectivement consulté, l’extension utilisait un jeton générique d’« activation ». Cette valeur pouvait également être récupérée depuis d’autres sites intégrant Connective.

Les chercheurs, dont James Arnott, fondateur de Bay Area Labs, ont démontré qu’un jeton copié depuis une plateforme belge d’administration numérique pouvait être réutilisé. Un site malveillant pouvait ainsi se faire passer pour une intégration légitime et interagir avec le système eID de la victime.

La faille a récemment été présentée lors de la DEF CON 34. Les problèmes avaient été corrigés le 22 juillet.

Données personnelles, paiements et exécution de code exposés

Une attaque réussie aurait pu permettre de voler les données présentes sur la carte ainsi que les informations d’identification de l’utilisateur. L’attaquant aurait également pu compromettre l’identité numérique de la victime ou détourner ses cartes de paiement.

L’impact le plus grave concernait toutefois l’exécution de code sur l’ordinateur local, y compris à distance. Concrètement, une page web malveillante aurait pu exploiter la connexion avec le logiciel hôte pour accéder à des ressources normalement réservées aux services gouvernementaux ou bancaires autorisés.

Les utilisateurs recourant à l’authentification eID sur des portails publics, des sites bancaires ou d’autres services compatibles avec Connective étaient donc exposés.

Aucun score CVSS ni identifiant CVE n’a été attribué.

Mesures recommandées aux utilisateurs et aux organisations

Les vulnérabilités avaient été corrigées le 22 juillet, mais les versions concernées, les numéros des versions corrigées et une procédure technique détaillée de mise à jour n’ont pas été communiqués.

La mesure vérifiable consiste à utiliser une version à jour de la Connective signing extension et du logiciel hôte associé, intégrant le correctif, et à éviter les versions antérieures. Les organisations et les administrateurs devraient également contrôler les installations déployées sur les ordinateurs des utilisateurs.

Aucun indicateur de compromission spécifique ni autre solution de contournement n’a été communiqué. Nitro Software Belgium n’avait pas encore répondu à la demande de commentaire de Dark Reading.