Skip to content

Insertion des images dans Word et fuites d’informations

Dans cet article, nous allons nous intéresser aux métadonnées créées par la suite bureautique la plus utilisée depuis des décennies : La suite Office de Microsoft.

Je vais plus précisément m’attarder sur un fait qui peut sembler anodin, qui est trés souvent oublié et qui peut cependant réveler des informations sensibles à une personne extérieure à votre réseau, donc potentiellement, un attaquant.

Les différents outils de la suite bureautique Office permettent de procéder à une génération de fichier au format PDF à partir de leur production. Cela s’effectue assez simplement et l’on peut penser qu’un document PDF devient alors relativement neutre.
Certaines métadonnées peuvent y figurer, comme le traditionnel nom d’auteur, date de création, nom d’outil ayant servit à la création du document, etc. Bien que je ne souhaite pas m’attader sur ces éléments, en voici un aperçu, que l’on peut obtenir simplement avec l’outil « exitftool » en ligne de commande, ou via un clic droit « Propriétés » sur les OS Windows.

Visualisation des métadonnées d'un fichier PDF généré à partir de Word.
Visualisation des métadonnées d’un fichier PDF généré à partir de Word.

Nous alons à présent nous intéresser à un autre type de données qui peut être qualifié de métadonnée, il s’agit des images inclues dans les fichiers.

La plupart d’entre nous utilises très certainement le glisser-déposer ou la copie de l’image directement dans le document lors de l’inclusion d’une image dans un fichier Word par exemple. Il faut savoir qu’alors, le chemin de l’image au moment ou celle-ci a été copiée figure dans le champ « Texte de remplacement » de l’image :

 Présence du chemin d'origine d'une image copiée dans un document Word
Présence du chemin d’origine d’une image copiée dans un document Word

Plus intéressant encore, ce texte de remplacement est, comme pour les balises « img » sur les pages web, affiché lorsque l’on passe le curseur de la souris au dessus, et cela notamment dans les PDF générés.

Affichage, au passage d'un curseur, du texte alternatif de l'image.
Affichage, au passage d’un curseur, du texte de remplacement de l’image.

Comme indiqué dans l’exemple, l’information fait ici fuiter le nom de mon utilisateur, pas si critique que cela aprés tout. Cependant, si l’image se trouve sur le serveur « data-entreprise » dans le partage « projets » et dans le répertoire « \projet-nomclient\nomcontactclient\« , cela peut donner un résultat tel que celui-ci.

\\data-entreprise\projets\\projet-client-machin\PDG-mail-jean-paul-machin\image01.jpg

Voici un exemple, j’ai créé un tel partage sur le controleur de domaine de mon « labo », j’ai ensuite, depuis mon client Windows 10, récupéré une image sur ce partage afn de la copier dans un document Word que j’ai ensuite exporté en PDF :
On retrouve donc, dans le PDF qui peut atterir dans le SI de mon client, voir être diffusé publiquement (pour des fichiers voués à porter un message public où à être mis en ligne) l’IP ou le nom du serveur, et le chemin d’accès au fichier avec toutes les informations que celui-ci peut contenir. Vous l’aurez compris, une personne extérieure, potentiellement un attaquant, peut donc se retrouver avec cette information, ce qui peut lui être d’une utilité certaine pour mener à bien des attaques ou des scénarios d’attaques, notamment :

  • comprendre la manière dont sont formés les identifiants Active Directory (type « nom » + point + « prénom) ;
  • récupérer des identifiants (nom utilisateur) valides sur le domaine ;
  • acquérir des nom de serveurs, (exemple : filer-001, filer2k8-01, dc-08, etc.) ;
  • procéder à une attaque de type hameçonnage sur la base des éléments récupérés pour rendre crédible son scénario ;
  • acquérir des informations métiers sur la cible (clients, noms de projet, etc.).

Le principe de base à respecter ici est de restreindre la diffusion d’informations au strict nécessaire, un nom d’utilisateur, de serveur, ou même un nom de projet, n’a rien à faire dans un document qui quitte l’entreprise.

Ceci en gardant également à l’esprit qu’une fois qu’un document quitte l’entreprise pour être envoyé à un client, un partenaire ou est mis en ligne sur une plateforme web à la disposition du grand public, celui  devient totalement hors de contrôle et de hors de portée de la politique de sécurité interne de votre entreprise, l’information est donc à considérer comme complètement public.

Comment s’en protéger ?

Bien entendu, il existe au moins une, et même plusieurs, remédiation à cette fuite d’information. Cependant, il faut noter que celle-ci à lieu quand les facteurs suivant sont réunis :

  • la configuration d’export en PDF des fichiers produits par la suite Office n’est pas modifiée pour enlever les textes de remplacement (cas par défaut donc);
  • l’utilisateur a inséré son image dans le document en copiant celle-ci (Ctrl C  + Ctrl -V ) ou en effectuant un glisser-déposer de l’image dans le document.

Pour éviter de laisser les chemins des images insérées dans une document PDF généré à partir de Word, les actions suivantes peuvent être effectuées :

  • pousser la bonne pratique auprès de vos utilisateurs qui est d’utiliser la fonctionnalité d’insertion proposée par les outils bureautique de la suite Office au lieu du glisser-déposer.
  • enlever ses informations lors de la génération du fichier PDF
  • procéder à une suppression manuelle ou automatique (macro) du champ « Texte de remplacement » des images insérées.

Ces deux dernières techniques sont exposées dans cet article : Suite Office : supprimer les chemins d’image dans vos fichiers PDF

Pour finir, il serait intéressant de voir s’il est possible de pousser la configuration Office Word concernant la suppression de ces informations lors de la génération du fichier PDF directement sur tous les postes via les GPO. On peut en effet voir que par défaut, ces informations sont incluses et qu’il faut décocher une case dans les options de génération du PDF pour y enlever l’inscription des textes de remplacement. Je suis preneur de toute information sur cette possibilité d’utilisation des GPO dans les commentaires.

Partager :
Published inArticles

One Comment

  1. John

    Excellent artcile!

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *