La bonne réponse est : Mon code est fiable et sécurisé sauf pour les noms MSDOS (8.3)
En effet sous Windows, le nom BudgetFiscal022006.xls est représenté également sous la forme 8.3 Budget~1.xls (forme disponible depuis MSDOS et gardé pour une compatibilité ascendante). Si un attaquant peut s’immiscer dans votre code et utilise le nom court comme ceci :
BOOL autorisation = AutorisationAuFichier("Budget~1.xls", "172.30.43.12"), il y a fort a parier que la méthode retourne « vrai ».
La sagesse conventionnelle dicte que les systèmes sécurisés ne doivent pas inclure des applications MS-DOS ou Windows 16 Bits, et donc que le support des noms 8.3 doit être désactivé.
Dans le cas contraire, il faudra penser à les rajouter dans la liste des données sensibles.
|