L'Inria découvre une faille critique dans Skype

Publié le 31 Octobre 2011

Une faille a été découverte sur le logiciel de téléphonie VoIp: Skype. Des chercheurs du laboratoire de recherche de l'Inria (Institut national de recherches en informatique et en automatique) en partenariat avec l’Institut polytechnique de New York, ont mis à jour une vulnérabilité qui accède aux fichiers téléchargés en Peer-to-Peer et localise géographiquement les clients Skype grâce à leurs adresses IP.

Quels sont les risques ?

L'exploitation de la faille fait référence à une attaque ciblée de type MITM (man-in-the-middle), il suffit qu'un cyberpirate créée une passerelle entre les utilisateurs de Skype pour utiliser Skype comme un mouchard. Même avec un appel refusé, notre personne malveillante arrive à obtenir l’adresse IP simplement en utilisant le pseudonyme sur Skype (bien souvent composé du nom et du prénom).

Avec ses renseignements (nom, prénom, adresse IP), il peut grâce localiser géographiquement l'utilisateur, accéder aux fichiers téléchargés via des logiciels Peer-to-Peer, suivre les activités de l'internaute sur la toile par exemple sur les réseaux sociaux... Cette vulnérabilité met à mal la vie privée avec le risque d'exploiter des informations personnelles.

Comment se protéger ?

Le principal défaut du service voix sur IP de Skype réside dans le protocole de communication, basé sur un système en Peer-to-Peer (P2P) qui permet l’échange de données et la mise en relation entre utilisateurs.

L'autre problème concerne les annuaires utilisés dans les protocoles de VoIP, car il permet de trouver le nom d’une personne et de l’appeler.

Une simple connexion ente deux pairs, même avec un appel fermé ou refusé, suffit pour rendre visible l’adresse IP.

A l'heure actuelle, aucun paramètre de sécurité sur Skype ne permet de bloquer une communication.

En attendant un correctif de la part de Microsoft, qui a racheté le logiciel Skype, en collaboration avec l'Inria, il est recommandé de :

- ne pas laisser Skype ouvert lorsqu'on ne s'en sert pas

- ne pas utiliser son nom et prénom comme pseudonyme

- ne pas utiliser d'autres logiciels de communication instantanée en P2P comme MSN, Windows Live Messenger, Yahoo

messenger...

Source : Site Inria