Une extension de sécurité au cœur de l’identité numérique belge, Connective eID, a fait l’objet d’une alerte sévère : un chercheur a découvert plusieurs vulnérabilités critiques, désormais corrigées. Utilisée par des millions d’utilisateurs en Belgique, la solution sert notamment à authentifier des identités et à déclencher des signatures électroniques ayant une valeur juridique.
Les failles ne se limitaient pas à un simple souci technique. Elles pouvaient permettre à un site malveillant ou à certaines publicités intégrées d’interagir directement avec l’application installée sur la machine de la victime, sans vérification appropriée du site à l’origine de la demande.
Ce qu’est Connective eID en Belgique
Connective eID appartient au système d’identité numérique connecté, conçu pour simplifier l’accès aux services en ligne. Développée par Nitro Software Belgium, l’extension est utilisée par une grande partie des institutions belges : huit des dix plus grandes banques du pays et plus de soixante agences publiques.
Concrètement, l’outil aide à l’authentification et à l’exécution de signatures électroniques considérées comme légalement contraignantes. L’écosystème s’étend aussi à des portails gouvernementaux et à des fournisseurs d’identité tiers qui s’appuient sur les signatures eID.
Le problème clé : absence de vérification de l’origine
Selon les travaux du chercheur James Arnott, fondateur de Bay Area Labs, Connective eID ne vérifiait pas correctement quel site web cherchait à communiquer avec l’application sur l’ordinateur de l’utilisateur. Les contrôles d’origine manquants ouvraient la voie à un scénario dangereux : n’importe quel site (ou une annonce en ligne intégrée) pouvait déclencher des actions au sein de l’application, sans que l’utilisateur n’ait une visibilité claire sur la provenance de la demande.
Autrement dit, l’application pouvait répondre à des requêtes qui ne provenaient pas du contexte attendu. Cette faiblesse affaiblissait fortement le modèle de confiance : l’utilisateur pensait interagir avec un service légitime, alors que des interactions pouvaient être orchestrées à distance par un acteur malveillant.
Du vol d’informations au phishing du PIN
Le chercheur explique qu’un site malveillant pouvait lire silencieusement des informations liées à l’identité électronique connectée, ainsi qu’aux détails de carte de paiement. L’impact dépasse la simple consultation frauduleuse : la compromission d’informations d’authentification peut permettre d’enchaîner d’autres attaques.
Plus inquiétant encore, l’application pouvait être utilisée pour obtenir le code PIN eID. Le principe : déclencher des fenêtres d’authentification qui ressemblent à des invites officielles, tout en ne permettant pas à l’utilisateur de confirmer clairement le domaine à l’origine de la demande.
Un point crucial résidait dans le fait que le texte affiché dans les boîtes de dialogue pouvait être personnalisé par la page web demanderesse, sans afficher le domaine réel du site effectuant la requête. En pratique, l’utilisateur ne disposait pas d’un signal fiable pour distinguer une invite légitime d’une tentative d’hameçonnage.
Comment un PIN volé peut mener à des signatures frauduleuses
Lorsque l’utilisateur saisissait son PIN dans une invite, l’application transmettait ce secret à la page web demandeuse. Le chercheur indique qu’un attaquant pouvait ensuite générer des jetons d’approbation non autorisés.
Avec ces jetons, l’attaquant pouvait forger des signatures électroniques ayant une portée juridique. La chaîne d’attaque pouvait s’activer au moment où la carte physique eID était insérée dans un lecteur : la signature pouvait alors être réalisée dans le contexte orchestré par l’attaquant, plutôt que dans celui attendu par l’utilisateur.
Un effet domino sur l’écosystème d’identité numérique
La compromission de Connective eID ne touche pas uniquement l’utilisateur individuel. En Belgique, de nombreux services s’appuient sur les signatures eID pour sécuriser des comptes et des opérations.
Le chercheur souligne que des prestataires de services ne présentaient pas de vulnérabilités en propre, mais restaient exposés par leur dépendance aux capacités de signature eID. Ainsi, un attaquant disposant de moyens de signature compromis pouvait enregistrer ou pirater des comptes d’identité numériques, rendant possible des actions allant au-delà du simple vol de données.
Parmi les exemples évoqués figurent des portails gouvernementaux comme CSAM.be et des fournisseurs d’identité tiers tels que Itsme.
Une autre faille : exécution de code à distance
En plus du risque d’usurpation et de vol de secrets, James Arnott a aussi mis en évidence une vulnérabilité d’exécution de code à distance. Cette faille fonctionnerait de manière indépendante du fait qu’une carte eID soit insérée ou non.
Le mécanisme décrit repose sur une faiblesse dans la manière dont l’application traitait des fichiers présents sur l’ordinateur local. En exploitant cette faiblesse, un site malveillant pouvait amener Connective eID à exécuter du code contrôlé par l’attaquant au niveau de l’utilisateur.
L’attaque pouvait se déclencher via un scénario de type “drive-by” : l’utilisateur est trompé pour télécharger un fichier présenté comme un document banal, puis visite une page web qui exploite la vulnérabilité. Le chercheur indique que l’attaque ne nécessite pas de privilèges particuliers.
Le rapport mentionne également un risque théorique de propagation, notamment via la compromission de comptes pour envoyer des liens malveillants à d’autres cibles, à la manière d’un ver auto-réplicatif.
Corrections : correctifs déployés et remédiations finalisées
Les problèmes ont été pris en charge par Nitro. D’après les informations communiquées, la société a mené des remédiations complètes 146 jours après le premier signalement, puis a attribué une récompense de 200 dollars dans le cadre d’un programme de bug bounty.
Les mises à jour ont notamment visé à bloquer les requêtes d’origine non autorisées et à sécuriser la gestion du PIN. La mise en œuvre finale des protections a été achevée à la fin du mois de juillet.
Le chercheur indique aussi qu’aucun identifiant CVE n’aurait été attribué à ces vulnérabilités.
Au moment de la publication, Nitro n’avait pas répondu à une demande de commentaire transmise par le média à l’origine de l’alerte.
Ce que les utilisateurs et organisations peuvent retenir
Cette affaire illustre un point majeur : lorsqu’une application d’identité numérique est capable d’effectuer des actions sensibles (authentification et signatures juridiquement contraignantes), les vérifications d’origine et la protection des secrets (comme le PIN) doivent être irréprochables.
Pour les utilisateurs, le message pratique est simple : mettez à jour l’extension et ne saisissez jamais un PIN si vous n’êtes pas certain de la légitimité de l’interface affichée. En cas de doute, vérifiez le contexte et évitez de faire confiance aux fenêtres qui ne présentent pas clairement la provenance.
Pour les organisations qui s’appuient sur Connective eID, l’enjeu est double : s’assurer que leurs utilisateurs utilisent les versions corrigées, et limiter la surface d’attaque en sensibilisant aux risques de phishing et de chargements de contenus malveillants.
Conclusion
Les vulnérabilités découvertes dans Connective eID montrent comment une absence de vérification d’origine peut transformer une extension de confiance en vecteur d’attaque. Entre la possibilité de tromper l’utilisateur pour obtenir le PIN, la génération de jetons d’approbation et le risque d’exécution de code à distance, l’impact potentiel sur l’identité numérique belge était considérable.
Heureusement, Nitro a déployé des correctifs et renforcé les contrôles. Reste que l’épisode rappelle, pour tous les services dépendants de la signature électronique, la nécessité de maintenir des logiciels à jour et de consolider les mécanismes de confiance côté application.
