Un article du Canard enchaîné du 13 décembre relève des défaillances de sécurité sur les sites du PS et de l’UMP. Plusieurs sites et blogs, comme Zataz, Thierry Vedel, Netpolitique s’en sont fait l’écho.
Qu’en est-il exactement du PS ?
Le journal indique que les pages du site public sont « modifiables par n’importe quel malveillant ».
La précédente version du site du PS, encore accessible quelques jours à l’adresse http://archive.parti-socialiste.fr/ était construite sur un wiki, qui par définition permet à tout internaute de modifier les pages qu’il consulte. Un système de droits permet néanmoins de restreindre cette faculté à quelques utilisateurs authentifiés. Une erreur d’enregistrement suite à une modification sur la rubrique « notre histoire » a omis cette restriction. Ce n’est donc pas l’ensemble du site qui était modifiable par un simple internaute mais quelques pages d’une rubrique du site.
La nouvelle version du site du Parti socialiste a abandonné l’application Tikiwiki précédente et utilise des technologies nouvelles (AJAX : chargement asynchrone de données XML via javascript) permettant le chargement dynamique des contenus et la personnalisation du site par l’internaute qui peut choisir ses flux d’actualité préférés et organiser sa page comme il le souhaite.
Mise en cause également la partie « adherer » du site. Le formulaire d’adhésion se trouve en effet sur un serveur dédié, distinct de celui du site du PS et des machines qui hébergent l’application ROSAM qui gère le fichier des adhérents. Une mise à jour du fichier de configuration du serveur web a ouvert la possibilité de lister des répertoires, permettant en effet à un simple internaute de télécharger les fichiers qui s’y trouvent. Notamment les fichiers de l’application du formulaire d’adhésion, des fichiers de statistiques et quelques exports de données stockés temporairement sur ce serveur. En aucun cas l’ouverture de ces fichiers ne permet d’accéder à l’application ROSAM et au fichier des adhérents. C’est d’ailleurs pour parer au risque d’une telle erreur de configuration que le formulaire d’adhésion est placé sur un serveur dédié distinct des serveurs de l’application ROSAM.
Ils n’ont pu avoir accès qu’au chiffre d’adhésions, jour par jour et voir ainsi que ce que l’on dit publiquement correspond au back office… Donc aucune atteinte aux données personnelles.
Le Parti socialiste met en oeuvre actuellement de nouvelles procédures afin que ces négligences ne se reproduisent et que toute tentative d’intrusion procède d’une opération volontaire de « hacking » ou de piratage totalement illégale et condamnable.