Quiz sécurité du jour #10

Question du 2026-11-10. Lisez le code et choisissez la faille de sécurité la plus grave.

Ce code vérifie une signature pour déterminer si une requête webhook provient d’un expéditeur légitime. Quelle est la vulnérabilité la plus grave ?

1import hmac, hashlib
2 
3SECRET = load_secret()
4 
5def verify(body: bytes, signature: str) -> bool:
6    expected = hmac.new(SECRET, body, hashlib.sha256).hexdigest()
7    return expected == signature

1. ASHA-256 n’est pas sûr, car des collisions sont connues
2. BIl faut utiliser digest au lieu de hexdigest
3. CLa comparaison avec == ne s’effectue pas en temps constant : les différences de temps de réponse peuvent révéler des informations sur la signature correcte (attaque temporelle)
4. DSECRET est divulgué parce qu’il est défini en dehors de la fonction