Failles critiques dans l’identité numérique belge Connective : PIN, signatures électroniques et ordinateurs exposés

Une extension utilisée par des millions de personnes

Le chercheur James Arnott, fondateur de Bay Area Labs, a découvert de graves vulnérabilités dans Connective, une extension de navigateur développée par Nitro Software Belgium.

Le logiciel est utilisé par plus de 2 millions de personnes en Belgique, par huit des dix principales banques nationales et par plus de 60 agences gouvernementales. Les versions précisément concernées n’ont pas été communiquées et aucun identifiant CVE ne semble avoir été attribué.

Nitro a achevé les correctifs fin juillet, soit 146 jours après le signalement initial. Le chercheur a reçu une prime de 200 dollars.

N’importe quel site pouvait communiquer avec l’application locale

Connective ne vérifiait pas correctement l’origine des requêtes provenant du navigateur. Un site malveillant, voire une publicité intégrée à une page légitime, pouvait ainsi communiquer avec l’application installée sans consentement explicite.

Cet accès permettait de lire discrètement des informations contenues sur la carte d’identité électronique et les cartes de paiement associées. Les pages pouvaient également modifier le contenu des fenêtres d’authentification sans afficher le domaine réellement à l’origine de la requête.

Il devenait alors possible de créer des écrans crédibles destinés à voler le code PIN de l’eID. Le PIN saisi était transmis à la page web à l’origine de la demande.

Avec la carte physiquement insérée dans le lecteur, un attaquant pouvait utiliser le PIN et les données disponibles pour générer des jetons d’approbation non autorisés et créer des signatures électroniques juridiquement valides. Les scénarios envisageables comprenaient l’usurpation d’identité, l’ouverture frauduleuse de services et la prise de contrôle de comptes numériques.

L’exécution de code était également possible

Une autre vulnérabilité, indépendante de la présence de la carte eID dans le lecteur, a également été identifiée. En exploitant le traitement de fichiers locaux, un site malveillant pouvait amener Connective à exécuter du code choisi par l’attaquant avec les privilèges de l’utilisateur.

L’attaque nécessitait que la victime télécharge un fichier déguisé en document ordinaire et consulte une page spécialement préparée. Aucune autorisation particulière n’était nécessaire.

La compromission des identifiants aurait pu favoriser une propagation de type ver informatique, par exemple en envoyant des liens malveillants aux contacts de la victime. Aucun cas d’exploitation réel n’a été signalé.

Les conséquences auraient pu s’étendre aux services utilisant les signatures eID, notamment le portail gouvernemental CSAM.be et le fournisseur Itsme. Ces deux plateformes n’étaient pas directement vulnérables : le risque provenait de la compromission de Connective.

Correctifs et recommandations aux utilisateurs

Nitro a bloqué les requêtes provenant d’origines web non autorisées et ajouté des protections spécifiques pour la gestion du PIN.

Les utilisateurs devraient :

• installer toutes les mises à jour distribuées par Nitro ;
• vérifier que la fenêtre d’authentification correspond bien au domaine et au service attendus ;
• ne jamais saisir leur PIN dans une fenêtre où le site demandeur n’est pas clairement identifié ;
• éviter les fichiers téléchargés depuis des pages ou des messages inattendus.

James Arnott a présenté ces résultats lors de la conférence DEF CON et a publié une analyse technique complémentaire.