L'obfuscation JavaScript est le processus qui consiste à rendre le code plus difficile à comprendre tout en conservant ses fonctionnalités. Si elle peut être utilisée à des fins légitimes, notamment pour protéger la propriété intellectuelle, les acteurs malveillants ont souvent recours à l'obfuscation pour dissimuler leur code malveillant. Les outils de sécurité modernes doivent trouver le juste équilibre entre la détection des codes malveillants obfusqués et le respect des besoins légitimes des entreprises en matière de protection des codes.
L'obfuscation JavaScript transforme un code source lisible en une forme fonctionnellement identique mais difficile à lire. Parmi les techniques courantes figurent le renommage des variables et des fonctions en caractères dénués de sens, l'encodage des chaînes en hexadécimal ou en base64 avec décodage au moment de l'exécution, le regroupement du code dans de grands tableaux indexés par des décalages numériques, l'enveloppement de la logique dans eval ou le constructeur Function, l'insertion de code mort, et l'aplatissement du flux de contrôle qui remplace les branchements ordinaires par une boucle de répartition. Le résultat s'analyse et s'exécute toujours de la même manière dans le navigateur, mais une personne qui le lit ne peut pas facilement en deviner le comportement. Des outils comme javascript-obfuscator automatisent ces passes, et les minificateurs appliquent une version plus légère de la même idée pour réduire la taille des fichiers.
L'obfuscation est à double usage. Les éditeurs l'utilisent pour protéger leur propriété intellectuelle ou ralentir la rétro-ingénierie, mais les attaquants s'en servent pour dissimuler des skimmers, des redirecteurs et du code d'exploitation à l'intérieur de scripts par ailleurs de confiance. Les chaînes encodées masquent les domaines d'exfiltration et les sélecteurs de champs de carte, tandis que le décodage à l'exécution déjoue l'analyse statique par mots-clés et de nombreuses heuristiques de Content Security Policy. Parce qu'un scanner basé sur des signatures ne peut pas détecter des chaînes qui n'existent qu'une fois que le code s'est décodé lui-même, les logiciels malveillants fortement obfusqués survivent souvent à l'examen automatisé et aux listes de blocage. Cela augmente aussi le coût de la réponse à incident : après une compromission, les enquêteurs doivent désobfusquer manuellement la charge utile pour comprendre quelles données ont été volées et vers où elles ont été envoyées.
Vous ne pouvez pas simplement interdire l'obfuscation, car les bundles minifiés légitimes se ressemblent. L'approche fiable consiste à juger les scripts sur leur comportement plutôt que sur leur lisibilité : analyser ou exécuter le code et observer ce qu'il fait réellement, lire des champs de formulaire, contacter des domaines inconnus, réécrire le DOM, au lieu d'essayer de reconnaître des motifs dans le code source. cside achemine les scripts tiers via un méthode Script et analyse la charge utile JavaScript réelle, de sorte qu'un skimmer obfusqué est détecté par le comportement qu'il manifeste à l'exécution, et non selon que son code est lisible ou non par un humain. cside peut bloquer ce comportement en temps réel et conserve une trace forensique du code exact qui s'est exécuté, ce qui répond aux exigences PCI DSS 6.4.3 et 11.6.1.
Non. Les minificateurs et les outils commerciaux de protection du code obfusquent des scripts légitimes pour réduire leur taille ou décourager la copie, si bien que l'obfuscation seule ne prouve pas une attaque. Le signal de sécurité est ce que le code fait à l'exécution, non son apparence illisible. Juger les scripts sur leur comportement évite de bloquer des bundles d'éditeurs bénins.
Une CSP contrôle quelles origines peuvent charger ou exécuter des scripts ; elle n'inspecte pas le contenu d'un script autorisé. Si un éditeur figurant sur la liste d'autorisation livre un skimmer obfusqué, la CSP l'exécute quand même. L'obfuscation peut aussi masquer des motifs eval en ligne, si bien qu'une analyse au niveau de la charge utile est nécessaire en complément de la CSP.
We answer client-side security questions every day. Bring yours.