Articles : Jan. 2022 – Dec. 2021 – Nov. 2021 – Oct. Facebook : https://www.facebook.com/ORTF-News-107572991571884
15/01/2022
Hier soir, j'ai découvert un problème de sécurité sur l'app Elyze (numéro 1 des stores en France cette semaine) qui m'a permis d'apparaître comme candidat à la présidentielle sur le téléphone de plusieurs centaines de milliers de français.
— Mathis Hammel (@MathisHammel) January 15, 2022
Je vous explique ce qui s'est passé ⤵️ pic.twitter.com/0a4LqZUPjL
Dites vous aussi que 9MB peut sembler assez peu, mais ici on travaille avec du texte : si le code devait être imprimé sur papier, ça prendrait 3000 pages !
— Mathis Hammel (@MathisHammel) January 15, 2022
Evidemment, seule une toute petite fraction est écrite par la team Elyze, le reste sert au fonctionnement de React Native.
L'autre bug m'a tenu éveillé pendant de longues heures, et le code illisible combiné à mon allergie au JavaScript ne m'a pas permis de comprendre ce comportement inattendu.
— Mathis Hammel (@MathisHammel) January 15, 2022
Mais dans mes recherches, j'ai plusieurs fois été attiré par quelque chose du coin de l'oeil.
L'URL de la base de données se trouve aussi quelque part dans le code, avec un jeton d'authentification qui est le même pour tout le monde.
— Mathis Hammel (@MathisHammel) January 15, 2022
Avec l'outil GraphQLmap de l'ami @pentest_swissky, je récupère en deux commandes la structure de la base de données : pic.twitter.com/VUdpMxRmT2
Avoir un accès direct à GraphQL n'est pas une faille en soi : certes, c'est mieux de passer par une API qui se charge des requêtes, mais si les permissions sont bien configurées on peut se débrouiller sans.
— Mathis Hammel (@MathisHammel) January 15, 2022
Les développeurs ont été réactifs pour rectifier ça (merci à @GuillaumeRozier et son carnet d'adresses immense) et j'ai passé une partie de la nuit à les aider, il n'y a pas eu à ma connaissance d'autre exploitation de cette vulnérabilité à des fins de manipulation politique.
— Mathis Hammel (@MathisHammel) January 15, 2022
On peut d'ailleurs se demander si l'engagement de confidentialité est bien respecté : à mon avis, la date de naissance et le code postal permettent assez facilement d'identifier une personne directement… pic.twitter.com/GDPlVJAnie
— Mathis Hammel (@MathisHammel) January 15, 2022
En résumé, le chemin d'attaque était relativement simple à exploiter :
— Mathis Hammel (@MathisHammel) January 15, 2022
– récupération du fichier .apk
– extraction du bundle.js
– récupération de l'endpoint GraphQL et de la clé API
– identification de la faiblesse de configuration
En tout, j'en ai eu pour environ 3 heures.
13/01/2022
Sur Elyze, acceptez TOUTES les propositions (367). Vous êtes donc d’accord à 100% avec TOUS les candidats. Et pourtant c’est Macron qui termine 1er, Hidalgo 2e et Jadot 3e ! Mieux vous avez été d’accord 24 fois avec Macron et 30 fois avec Poutou qui est…9e !#Elyzemacroniste pic.twitter.com/q7JUixxzl6
— stephane mauran 🔻φ 🏳️🌈✊🏿🤟🏽🖖🏻 (@StephaneMauran) January 12, 2022
Comment @EmmanuelMacron peut être dans l’appli alors qu’il n’est pas candidat et n’affiche encore pas ses idées ? (Enfin à part celles des autres …. C’est peut être pour cela qu’il est premier)
— Bourlon de Soft (@Bourlon_de_Soft) January 12, 2022
Encore un coup tordu l'appli #Elyze… À qui profite ce mauvais coup ? Devinez… https://t.co/QMvXaL2LTF
— Jean-Luc Mélenchon (@JLMelenchon) January 12, 2022
J'ai essayé #elyze et c'est une véritable arnaque.
— Max de #UnionPopulaire 🔻 (@MaximeTarac) January 10, 2022
A suivre le pourquoi ⬇️⬇️⬇️⬇️https://t.co/qL5jt0Zco3
3- j'ai sélectionné que je suis pour la retraite à 60 ans. Ce qui n'est pas le cas d'Hidalgo qui veut sanctuariser à 62 ans. Alors je suis vraiment d'accord à 100% avec Hidalgo?
— Max de #UnionPopulaire 🔻 (@MaximeTarac) January 10, 2022
THREAD : Pourquoi l’app Elyse pose problème ? @GaspardG_ @GCazcarra @FrancoisMari1 @LesEngagesMvt @wallerandmb je vous propose quelques axes d’amélioration. #elyse #politique #sondage #Presidentielle #Elections2022 #Thread #macron20h #EmmanuelMacron pic.twitter.com/kz9RvZ7bkE
— Rojo (@Agitateur3) January 11, 2022
Maintenant je vais vous montrer mon résultat au bout de 100 questions :
— Rojo (@Agitateur3) January 11, 2022
On remarque que j’ai Macron, Hidalgo, Jadot, Mélenchon, Arthaud, Poutou.
Croyez moi sur parole quand je vous dis que j’ai été choqué au départ. pic.twitter.com/HTNiOafw8q
Et ça, c’est le biais de la centralité. Ça consiste à croire que la position centrale en politique serait neutre. Il existe d’autres manières de juger. Et j’espère que je n’ai pas besoin de m’expliquer en quoi avantager les candidats centraux posent problème démocratiquement. pic.twitter.com/Hw0tt6gz0V
— Rojo (@Agitateur3) January 11, 2022
Compléments:
📲 Comment fonctionne Elyze, l'application pour choisir son candidat?
— BFMTV (@BFMTV) January 12, 2022
BFMTV répond à vos questions ⤵ pic.twitter.com/UPwoVLtDN3
Ecoutez DJMusic.fr