Une échéance attendue depuis trois ans approche sur 31 décembre 2020. C'est à ce moment-là qu'Adobe mettra fin à la prise en charge de Flash. Quelles en sont donc les implications pour le service informatique d’une entreprise et pour chacun d’entre nous ?
Cela signifie qu'il convient de faire preuve de prudence, car les failles de sécurité que présente actuellement Flash ne seront pas corrigées dans la version « 1 janvier ». Et il y a de nombreux acteurs malveillants qui n'attendent que de les exploiter. Voici ce que vous devez savoir pour protéger votre organisation et vous-même.
Flash a-t-il jamais été vraiment sécurisé ?
Lorsque Steve Jobs a rédigé son désormais célèbre article « : Réflexions sur Flash » (s'ouvre dans un nouvel onglet) en 2010, cela a sonné le glas d'une application qui fonctionnait sur près d'un milliard de terminaux à l'apogée de sa popularité. Il convient de noter que, lorsque Steve Jobs a rejeté Flash, la sécurité n'était qu'un des nombreux problèmes qu'il voyait dans cette application.
Depuis lors, de nombreux sites web ont adopté HTML5 pour diffuser du contenu animé et interactif, ce qui a entraîné un déclin progressif du nombre d'installations de Flash. De plus, les éditeurs de navigateurs se sont tournés vers les normes ouvertes et la plupart ont bloqué l'exécution de Flash en raison des nombreuses failles de sécurité qu'il peut engendrer.
Néanmoins, il reste encore beaucoup de Flash — ou des fragments de celui-ci — dans les systèmes d'exploitation, sur les sites web, au sein d'applications professionnelles derrière le pare-feu de l'entreprise, ainsi que sur les ordinateurs des utilisateurs.
Qu'est-ce qui rendait Flash si vulnérable aux failles de sécurité ?
Flash n'est pas le seul à avoir connu une histoire mouvementée en matière de sécurité. Au fil des ans, Adobe a lancé de nombreux produits présentant des failles de sécurité, selon Boyd White, directeur de la gestion technique des comptes chez Tanium.
Quant à Flash, il déclare : « Je pense qu’il a d’abord été conçu comme un outil fonctionnel et qu’Adobe ne semblait tout simplement pas accorder la priorité à la sécurité. » Ils ont été sanctionnés, tout comme l'avait été Microsoft il y a environ 25 ans. « Mais Adobe Flash n'a jamais mis en place les contrôles nécessaires pour commercialiser des produits ne pouvant pas faire l'objet d'une exploitation à distance. »
Plusieurs acquisitions réalisées par Adobe ont également contribué à cette approche désordonnée.
« À l'origine, Flash était un produit totalement différent », ajoute M. White. « Ainsi, lorsque vous héritez d’une base de code, vous ne faites en réalité que chercher à la faire fonctionner. »
M. White présente une analyse technique sur la manière de gérer la fin du support de Flash dans cet avis de vulnérabilité publié par l' : (s'ouvre dans un nouvel onglet) sur la communauté Tanium.
Pourquoi les risques liés à Flash sont-ils plus importants depuis la fin du support ?
Les risques sont d'autant plus importants que, une fois le support terminé, les vulnérabilités existantes ne seront plus jamais corrigées. Et comme Flash existe depuis longtemps, on en trouve des exemples un peu partout. Par exemple, lorsque vous installez Windows 10 sur un nouvel ordinateur, il en reste encore des traces dans le système d'exploitation. Il suffit qu'un pirate malveillant incite un utilisateur peu méfiant à cliquer sur un élément qui lance une bibliothèque de liens dynamiques (DLL) vulnérable et latente sur un ordinateur — et voilà : l'exécution de code à distance.
Il est difficile de repérer et de supprimer toutes les occurrences de code dont vous ne voulez plus dans un système. Les programmes de désinstallation ne parviennent souvent pas à supprimer tous les fichiers résiduels. Ils peuvent laisser derrière eux des fichiers DLL, des exécutables, des clés de registre ou des autorisations. Ainsi, même si vous utilisez un programme de désinstallation de Flash, vous risquez tout de même de rencontrer des problèmes.
Existe-t-il encore des utilisations légitimes de Flash ?
Il ne fait aucun doute qu'il subsiste certaines utilisations légitimes de Flash. Par exemple, certaines applications de reporting des progiciels de gestion intégrée (ERP) peuvent utiliser Flash. Les organisations peuvent choisir de désinstaller Flash là où il n'est pas nécessaire et de le conserver là où il remplit une fonction qui ne peut être assurée par une autre application.
Mais cela complique le processus et accroît les risques. Il n'est pas facile de suivre tous les utilisateurs d'une application. Les clients de Tanium peuvent utiliser le module « » (Déploiement) (s'ouvre dans un nouvel onglet) pour supprimer Adobe Flash, tout en offrant aux utilisateurs la possibilité d'alerter le service informatique s'ils ont un usage légitime de ce logiciel. Cela limite votre exposition au risque.
En matière de sécurité, la perfection n'existe pas. Mais plus vous supprimez d'Adobe Flash de votre environnement, plus celui-ci est sûr.
Quatre conseils pour réduire au minimum les risques liés à Flash dans votre environnement
Conscients qu'il n'existe pas de stratégie ou de tactique unique et parfaite pour gérer Flash, nous vous recommandons d'utiliser :
- des enquêtes : menez une enquête auprès de chaque service de votre entreprise concernant son utilisation et ses besoins en matière de Flash. Vous pouvez également mener une enquête auprès des développeurs d'applications web et des responsables de la sécurité de l'information en entreprise (BISO). Dans le cadre des enquêtes, il est toujours difficile d'amener les gens à répondre, mais insistez sur le fait qu'une faille de sécurité due à Flash nuira à la réputation et au bon fonctionnement de l'entreprise.
- de Tanium Deploy et Patch : pour les clients Tanium, nos modules « Deploy » et « » (s'ouvre dans un nouvel onglet) peuvent vous aider à détecter et à corriger les vulnérabilités de Flash.
- Tanium Comply : Les clients de Tanium doivent continuer à rechercher les vulnérabilités à l'aide de Tanium Comply (s'ouvre dans un nouvel onglet). Si une nouvelle vulnérabilité d'Adobe Flash venait à être découverte après la fin de vie du produit, Tanium Comply serait mis à jour et vous aiderait à identifier et à suivre les systèmes vulnérables.
- Programmes de désinstallation proposés par des sociétés reconnues : Veillez à vérifier que votre organisation a bien supprimé tous les logiciels liés à Flash, et pas seulement l'application Flash de base. Cela inclut le programme de désinstallation d'Adobe Flash.
Les risques liés à Flash vont progressivement diminuer
Selon M. White et d'autres experts, l'identification et la correction des failles de Flash s'étaleront sur plusieurs mois, voire plusieurs années.
« Tant que les systèmes d’exploitation n’auront pas été entièrement refondus, il restera des vestiges dans les systèmes de nombreuses organisations », déclare M. White. « Mais les risques diminueront considérablement avec le temps. »
En attendant, les organisations et les particuliers doivent rester vigilants. Par exemple, soyez attentif à certaines extensions de fichiers, telles que .swf (fichier Shockwave), qui indiquent qu'il s'agit d'un fichier Flash. Tout lien invitant l'utilisateur à « cliquer ici » dans un programme Flash constitue potentiellement une tentative d'hameçonnage de type « » susceptible d'introduire un logiciel malveillant dans votre appareil ou votre réseau d'entreprise.
Les applications non prises en charge ne sont pas uniquement un problème lié à Adobe Flash
M. White souligne que la fin de vie (EOL) d'une application et la fin de son support ne concernent pas uniquement Flash. Dès qu'un produit arrive en fin de vie, il est toujours possible qu'il présente des vulnérabilités non identifiées. Ainsi, lorsque le support prend fin, ces vulnérabilités peuvent être exploitées indéfiniment, car il n'existe aucun correctif pour y remédier — et il n'y en aura jamais.
« Le battage médiatique autour de la fin du support de Flash offre une bonne occasion de réfléchir à la manière dont vous gérez la fin de vie des applications et des systèmes d'exploitation en général », déclare M. White. « Il n’est pas nécessaire qu’il s’agisse d’une application très en vue pour offrir des opportunités aux acteurs malveillants. »
Les grandes entreprises utilisent des centaines, voire des milliers d'applications qui atteindront probablement leur fin de vie à un moment ou à un autre. Et lorsqu'une entreprise fusionne avec une autre ou en fait l'acquisition, cela ne fait qu'accroître l'ampleur et la complexité de ce problème. La menace que cela représente peut être considérable.
« Je pense que la leçon à tirer de cette histoire revient à respecter les règles élémentaires de sécurité informatique », déclare M. White. « Sachez ce qui se trouve sur votre réseau et pourquoi. » « Si vous ne disposez pas de cette visibilité, vous courez alors un risque certain. »
Et cela est d'autant plus urgent dans le cadre des fusions et acquisitions. Il serait impératif de connaître la composition de la pile logicielle de la société rachetée et de déterminer les risques en matière de sécurité ou de performances que votre organisation pourrait hériter.
« Lorsque vous décidez de ne plus utiliser une application, ou lorsque celle-ci arrive en fin de vie (EOL), les conséquences en matière de sécurité vont bien au-delà des fonctions que le logiciel remplissait à l’origine », ajoute M. White.
Quelle que soit la situation de votre entreprise, la plateforme Tanium permet de repérer et de supprimer les logiciels obsolètes ou à risque, tels qu’Adobe Flash, bien plus rapidement et facilement qu’avec les méthodes traditionnelles.
« Tanium offre la visibilité et le contrôle indispensables à la gestion des applications installées sur vos appareils, afin de garantir leur sécurité et leur fonctionnement aussi efficace que possible », explique M. White. « Flash n'est que le dernier exemple en date, mais surveiller de près les logiciels des appareils est une nécessité constante et essentielle pour toute entreprise du secteur numérique. »
Pour obtenir des instructions détaillées sur la manière de localiser et de désinstaller Adobe Flash Player à l'aide de Tanium, consultez l'article de White intitulé « » (s'ouvre dans un nouvel onglet) sur la communauté Tanium.
