Agence nationale
de la sécurité des
systèmes d'information
No CERTA-2000-INF-002-001
| S . G . D . S . N Agence nationale de la sécurité des systèmes d'information |
|
Paris, le 27 mars 2009 No CERTA-2000-INF-002-001 |
Affaire suivie par :
CERTA
Objet : Mesures de prévention
relatives à la messagerie
| Conditions d'utilisation de ce document : | http://www.certa.ssi.gouv.fr/certa/apropos.html |
| Dernière version de ce document : | http://www.certa.ssi.gouv.fr/site/CERTA-2000-INF-002 |
Une gestion de version détaillée se trouve à la fin de ce document.
Les événements liés à la diffusion rapide de nombreux vers, ont mis en évidence à la fois le manque de précaution de la part des utilisateurs dans la gestion des courriels et l'utilisation trop généreuse du paramétrage par défaut des logiciels de navigation ou de messagerie. Cette note d'information s'adresse aux utilisateurs finaux, elle a pour but de leur rappeler les règles élémentaires de traitement des messages et de livrer un guide pratique de paramétrage pour mettre en place ces règles dans les applications les plus courantes.
La messagerie électronique est sans doute un des services Internet le plus utilisé, le plus intuitif et elle est devenue un outil banal de communication. Cette aisance dans l'utilisation de la messagerie, la convivialité des logiciels, leur utilisation immédiate et sans formation spécifique, s'est faite au détriment des règles élémentaires de sécurité.
Différents codes malveillants ont clairement montré l'étendue des dégâts provoqués par une simple et à priori anodine pièce jointe. La sensibilisation à ce type d'attaque n'est donc plus à faire. En revanche les réactions suivantes, simples et concrètes, propres au comportement individuel et à la responsabilité de chacun, sont essentielles pour au mieux prévenir de nouvelles attaques de ce type et au pire en diminuer les effets.
Les règles suivantes sont d'ordre général et font appel au bon sens ou, tout du moins, à une attention élémentaire.
N'importe qui peut vous envoyer un message en se faisant passer pour un autre ! De même, un expéditeur peut à son insu, vous envoyer un message infecté (exemple : des virus exploitent le carnet d'adresses des clients de messagerie). Cela ne représente aucune difficulté technique. Vous devez admettre, que dans le domaine de la messagerie, il n'existe pas à priori d'expéditeur de confiance.
Ce type de message présente deux risques majeurs :
À la suite de la règle précédente, il importe d'interdire à votre navigateur et à votre logiciel de messagerie d'envoyer des messages ou des pièces jointes dans les formats à balises du type HTML. D'une manière générale le format texte est préférable.
Toute pièce jointe doit être systématiquement ouverte en premier avec un éditeur de texte (par exemple, bloc-note). Ainsi vous pouvez contrôler l'action d'un script en étudiant son code.
Les paramétrages par défaut des principaux logiciels de navigation ou de messageries sont trop permissifs et contraires aux principes élémentaires de précaution. Parfois les pièces jointes sont chargées automatiquement à l'ouverture du courrier.
Une solution préventive pour parer à l'action d'autres vers, consiste à désinstaller la fonction ActiveX d'exécution automatique des scripts Visual Basic.
Les règles élémentaires étant définies, il s'agit maintenant de décrire concrètement les paramétrages qu'elles imposent dans les logiciels les plus couramment utilisés.
Le but de ces filtrages est de diminuer le risque de propagation de virus, par le biais des navigateurs et logiciels de messagerie, en interdisant l'envoi de messages au format HTML (Thunderbird, Outlook Express, Outlook), en interdisant le chargement automatique des messages ou des pièces jointes (Outlook Express, Thunderbird) et enfin en forçant l'affichage des courriels au format texte.
Paramétrage de Thunderbird interdisant l'envoi de messages au format HTML (cf. figure 1).
Paramétrage de Thunderbird afin de lire les courriels au format texte sans inclure les pièces jointes (cf. figure 2)
Afin de ne pas intégrer les pièces jointes au courriel, il suffit de décocher l'option « Afficher les pièces jointes dnas les messages » dans le menu « Affichage »
Paramétrage de Thunderbird afin d'afficher les en-têtes complets des courriels (cf. figure 3)
Paramétrage d'Outlook Express afin d'interdire l'émission de messages au format HTML (figure 4).
Paramétrage d'Outlook Express afin d'interdire le chargement automatique des pièces jointes et de forcer la lecture des messages au format texte (figure 5).
Paramétrage d'Oulook Express afin d'afficher les en-têtes d'un courriel (cf. figure 6)
Paramétrage d'Outlook 2003 et 2007 afin de forcer l'émission des messages au format texte (figure 7).
Il s'agit de configurer Outlook 2003 afin de lire les courriels au format texte. (figures 8 et 9).
Il s'agit de configurer Outlook 2007 afin de lire les courriels au format texte. (figure 10).
Paramétrage d'Oulook 2003 afin d'afficher les en-têtes d'un courriel (cf. figure 11)
Les en-têtes apparaissent dans le cadre signalé en rouge sur la figure 11.
Il s'agit ici de désactiver l'exécution automatique de scripts (JavaScript, Java, ActiveX, ...) dans le navigateur (figure 12 et 13).
Par défaut Windows est configuré pour masquer les extensions (par exemple .doc dans le cas d'un fichier Word) des fichiers. Ainsi quand une pièce jointe s'appelle « jetaime.txt.vbs », seule la dernière extension sera prise en compte et masquée à l'affichage, faisant donc croire à l'utilisateur qu'il s'agit d'un fichier texte au nom de « jetaime.txt ».
Ces règles peuvent sembler contraignantes, mais elles correspondent aux bonnes pratiques pour la sécurité de votre messagerie. A titre indicatif, la quasi totalité des codes malveillants mutent ou sont modifiés afin de produire de nouvelles versions. Cela signifie qu'un anti-virus même à jour ne réagira peut être pas à l'attaque de l'un deux, alors que les paramétrages proposés offrent un sas de sécurité.
