Race Condition

Définition

Les race conditions dans les applications web (Web Race Conditions) surviennent quand deux requêtes HTTP simultanées interagissent avec un état partagé non protégé par des verrous atomiques appropriés, permettant à un attaquant d'obtenir des avantages illégitimes en exploitant la fenêtre de temps entre une vérification et une action (time-of-check to time-of-use, TOCTOU). Les exemples classiques incluent : le double-spend (transférer le même montant d'argent vers deux comptes simultanément avant que le solde soit débité), l'utilisation multiple d'un coupon à usage unique (envoyer 100 requêtes simultanées d'activation du coupon avant que le premier enregistre l'utilisation), la création de comptes en double (contourner les vérifications d'unicité d'email), et le bypass de limites (faire des achats simultanés qui dépassent le stock ou la limite par compte). La détection et l'exploitation des race conditions web sont facilitées par l'outil Turbo Intruder (extension Burp Suite) qui permet d'envoyer des requêtes avec une précision temporelle très élevée. La technique 'Single Packet Attack' d'Albinowax (James Kettle) envoie toutes les requêtes dans le même paquet TCP, éliminant les variations de latence réseau et maximisant la simultanéité. Des race conditions plus subtiles incluent : les races sur des tokens de vérification (email confirmation, password reset) qui ne sont pas invalidés atomiquement, les races sur des sessions multi-steps (checkout multi-page), et les races sur des opérations de fichiers (deux processus accèdent au même fichier temporaire). La correction nécessite l'utilisation de transactions de base de données avec verrouillage approprié (SELECT FOR UPDATE, advisory locks), des opérations atomiques (INCR Redis, opérations CAS - Compare and Swap), et des idempotency keys pour les opérations critiques.