Pôle emploi a été averti dès le 16 août de l’existence des 2 failles, avec des démos et la procédure de reproductibilité. Leurs réponses furent catégoriques et expéditives. Histoire.
Début août 2019, Pôle Emploi déploie un nouveau système d’authentification sur leur site internet. Il faut créer un nouvel identifiant ainsi qu’un mot de passe avec des règles complexes. (...)
En explorant les requêtes transmises, pour savoir pourquoi mon mot de passe était refusé, j’ai constaté un mauvais usage du protocole oauth2 ayant de graves conséquences avec l’envoi des données personnelles du candidat de pôle emploi (Nom, Prénom, Adresse email, identifiant, sexe) vers des serveurs externes à pôle emploi, à savoir ceux de la société AT internet hébergés chez Amazon Web Services. (...)
J’ai cherché à contacter le service en charge de la sécurité informatique chez Pôle emploi. La seule réponse du support téléphonique aura été de me rapprocher de mon conseiller pôle emploi, qui aura alerté les services dès le 19 août.
Après de nombreux rappels et la menace de la publication, une personne de la DSI a fini par me contacter. L’objectif était double :
En tant qu’utilisateur de leur site internet, les alerter sur le constat fait que mes données sont mal sécurisées et transmises à des sociétés tierces.
En tant que professionnel sur les questions d’authentification, proposer des solutions plus appropriées qui auraient pu faire pourquoi pas l’objet d’une prestation de conseil.
Après un échange téléphonique assez tendu le lundi 10 septembre, les échanges ont lieu par écrit. Tous les éléments exposés dans cet article ont été transmis à pôle emploi dès le début.
Cependant, selon cette personne : "Pour ma part, je pense que, à l’époque où nous avons fait ce choix, c’était le plus pertinent et la position la plus partagée".
C’est donc après un argumentaire léger à propos de choix techniques hasardeux balayants les recommandations de l’IETF "best current practice" ne remettant absolument rien en cause que cette publication a vu le jour afin d’alerter l’ensemble des utilisateurs du site. (...)
7. Questions à pôle emploi
Combien de données de demandeurs d’emploi sont parties sur les serveurs d’Amazon par Xiti ?
Qu’avez-vous mis en place sur vos ordinateurs partagés en agence pour vous prémunir des vols de données et de sessions ?
Comptez-vous améliorer l’authentification afin d’être en phase avec les recommandations de la RFC ?
Allez-vous externaliser l’authentification vers les services France Connect ?