Aux petites heures d’un lundi d’août, avant l’aube, une boîte Hotmail pouvait être ouverte depuis une page web qui semblait presque trop rudimentaire pour être dangereuse. Il suffisait d’entrer une adresse, d’y associer la petite chaîne de caractères « eh », et le compte s’ouvrait dans le navigateur, avec les messages privés exposés comme si le verrou n’avait jamais existé.[1][2]
En 1999, des hackers ont rendu publique une faille de Hotmail qui exposait des millions de comptes grâce à une simple exploitation dans le navigateur impliquant « eh ». Microsoft a nié qu’il s’agissait d’une porte dérobée volontaire, puis a déployé en urgence des correctifs après la révélation de la brèche.
Hotmail était devenu une cible de choix. Microsoft avait racheté le service de webmail en décembre 1997 pour 450 millions de dollars, l’avait intégré à MSN, et, à l’été 1999, servait des dizaines de millions d’utilisateurs capables de consulter leurs e-mails depuis presque n’importe quel ordinateur connecté.[1] CNN avançait un nombre d’abonnés supérieur à 40 millions ; d’autres estimations le plaçaient jusqu’à 50 millions.[4][5]
Les boîtes exposées n’avaient rien de théorique. CNN rapportait que plusieurs adresses web ne demandaient qu’un nom d’utilisateur Hotmail. Une fois ce nom saisi, le compte apparaissait, et les visiteurs pouvaient, dans certains cas, lire, transférer ou envoyer des messages sous l’identité de la personne concernée.[4] Wired décrivait l’exploit comme quelques lignes de code HTML très simple utilisant un script de connexion Hotmail appelé « start », ainsi que le mot de passe « eh ».[2]
Le minuscule code qui ouvrait un service géant
La brèche est apparue publiquement dans le journal suédois Expressen, après plusieurs jours de rumeurs.[5] Wired a rapporté qu’un groupe se faisant appeler Hackers Unite revendiquait la responsabilité d’avoir fait connaître la faille, même si le magazine n’a pas pu confirmer les identités derrière cette revendication.[2]
Lasse Ljung, de Göteborg, qui utilisait en ligne le pseudonyme DarkWing, s’est exprimé au nom du groupe sur Internet Relay Chat. Il affirmait que Hackers Unite comptait un citoyen suédois et sept Américains, et présentait l’opération comme une protestation contre la sécurité de Microsoft. « Nous n’avons pas fait ce hack pour détruire », a-t-il déclaré à Wired, « nous voulons montrer au monde à quel point la sécurité de Microsoft est mauvaise. »[2]
Les outils rendus publics étaient d’une simplicité déconcertante. The Guardian décrivait des sites web en Grande-Bretagne et en Suède hébergeant neuf lignes de code qui permettaient aux navigateurs de contourner le système de sécurité de Microsoft.[5] SmarterMSP a ensuite résumé l’astuce sous sa forme la plus mémorable : visiter une page exploitant le script de connexion, taper une adresse Hotmail et le mot de passe « eh », et la boîte pouvait être atteinte.[1]
Microsoft a rejeté l’idée que ses ingénieurs aient laissé une porte dérobée intentionnelle. Rob Bennett, directeur marketing de MSN, a déclaré à Wired qu’il n’y avait « rien derrière ces allégations », décrivant plutôt la faille comme « un problème de sécurité inconnu ».[2] Richard Smith, spécialiste en sécurité informatique et président de Phar Lap Software, a donné à CNN un diagnostic plus direct : « C’est simplement un bug sur les serveurs Hotmail. »[3]
D’autres explications suivaient la même piste ténue d’URL et de scripts. Jon Thompson, administrateur de l’un des sites qui hébergeaient l’exploit, a déclaré à MSNBC.com que des connaissances étaient au courant de la faiblesse depuis environ huit semaines et pensaient que le nouveau service de connexion Passport de Microsoft était impliqué. Deanna Sanford, cheffe de projet chez Microsoft, a affirmé que la faille n’était pas liée à Passport, tout en indiquant qu’elle ignorait depuis combien de temps elle existait.[2]
Une autre piste menait à Michael Nobilio, un programmeur du New Jersey qui avait écrit un raccourci JavaScript inoffensif destiné à enregistrer son nom d’utilisateur Hotmail dans un cookie. Nobilio expliquait que son outil exigeait toujours un mot de passe. Smith pensait que quelqu’un avait peut-être remarqué qu’une URL apparentée pouvait être détournée pour accéder à des comptes sans mot de passe.[3]
Une fois la brèche rendue publique, Microsoft a réagi rapidement. CNN a rapporté que Hotmail avait été mis hors ligne pendant environ une heure tandis que l’entreprise intervenait et ajoutait du code pour bloquer de futures attaques.[4] Wired a indiqué que Microsoft avait commencé à travailler à 2 h du matin, heure du Pacifique, qu’un premier correctif était en place à 10 h, puis qu’une variante liée avait été corrigée vers midi, à mesure que les changements se propageaient sur les serveurs Hotmail.[2] SmarterMSP résume la réparation comme étant arrivée dans les deux heures suivant la découverte du problème.[1]
Le plus étrange, c’était le peu de théâtralité de la clé elle-même. Au seuil de l’explosion du webmail, l’un des plus grands espaces privés d’internet pouvait s’ouvrir avec deux lettres minuscules, posées dans un champ de navigateur : eh.
