The Entire Internet is Broken

The Entire Internet is Broken

par John Hammond

Sciences appliquées & ingénierie Informatique & Cybersécurité UInformatique et technologies de l’informationURSécurité informatique
🎙 John Hammond 👥 2.2M 📅 25 août 2025 ⏱ 22 min 👁 52K 📄 entretien 🧭 2026-08-17
Disponible en : Français (actuel) English

Mots-clés

HTTP/1.1request smugglingdésynchronisationcache poisoningCDN

Résumé

Dans cette vidéo, John Hammond interviewe James Kettle, directeur de recherche chez PortSwigger, à propos de ses dernières recherches sur les vulnérabilités inhérentes au protocole HTTP/1.1. Kettle explique que malgré les correctifs apportés depuis 2019, HTTP/1.1 reste fondamentalement cassé, permettant des attaques de type request smuggling, désynchronisation de requêtes, empoisonnement de cache et de réponses. Il démontre une nouvelle technique appelée ‘zero-CL desync’ qui permet de contourner les défenses existantes. Les impacts sont massifs : compromission de plus de 30 millions de sites web via des CDN comme Cloudflare, Akamai et Fastly. Kettle a gagné plus de 350 000 dollars en bug bounty, reversés à des œuvres caritatives. Il présente des outils open-source comme HTTP Request Smuggler et HTTP Garden pour aider les chercheurs à détecter ces vulnérabilités. La solution préconisée est de migrer vers HTTP/2 pour les connexions upstream, car les correctifs de normalisation sont souvent refusés par les fournisseurs pour des raisons de compatibilité. La vidéo se termine sur les projets futurs de Kettle, notamment l’intégration de l’IA dans Burp Suite.

173 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La vidéo offre une valeur informationnelle élevée en présentant des recherches de pointe en sécurité web, avec des exemples concrets d’attaques et d’impacts. L’argumentation est solide, appuyée par des démonstrations techniques en direct et des références à des publications et outils. L’expertise de James Kettle est indéniable, et il explique des concepts complexes de manière claire et structurée. La présence d’un sponsor est clairement indiquée, mais n’affecte pas la qualité du contenu.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est excellente : les recherches sont publiées, les outils sont open-source, et les démonstrations sont reproductibles. Les sources citées incluent le site dédié http1mustdie.com, les laboratoires PortSwigger, et les outils HTTP Request Smuggler et HTTP Garden. Le titre est pertinent et reflète bien l’ampleur du problème. Les commentaires sont globalement positifs, saluant la qualité de l’explication et la pertinence du sujet, bien que certains expriment des réserves sur la responsabilité des programmeurs.

162 mots

Adéquation titre / contenu

Le titre est accrocheur et reflète bien le propos : la vulnérabilité généralisée d'HTTP/1.1 et ses conséquences massives sur l'ensemble d'Internet.

Qualité & fiabilité

8/10

Entretien avec James Kettle, directeur de recherche chez PortSwigger, expert reconnu en sécurité web. Les informations sont précises, techniques et basées sur des recherches publiées. La présence d'un sponsor (PortSwigger) est clairement indiquée, mais le contenu reste objectif et détaillé.

Moments clés

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

Sources citées

  • HTTP/1.1 Must Die — Site dédié à la recherche de James Kettle sur les vulnérabilités HTTP/1.1
  • PortSwigger — Entreprise de James Kettle, sponsor de la vidéo
  • HTTP Request Smuggler (outil) — Outil open-source pour détecter les vulnérabilités de request smuggling
  • HTTP Garden — Outil pour expérimenter avec différentes configurations de serveurs

Sources concordantes

  • PortSwigger Research — Page de recherche de PortSwigger, où sont publiés les travaux de James Kettle

Sources discordantes

  • Commentaire d'utilisateur — Certains commentaires estiment que le problème vient des mauvais choix des programmeurs plutôt que du protocole lui-même.

Références externes

Apport & nouveautés

La vidéo apporte un éclairage nouveau sur l’état actuel de la sécurité d’HTTP/1.1, en montrant que les défenses existantes sont inefficaces et que de nouvelles techniques d’exploitation sont possibles. Elle présente des outils concrets pour les chercheurs et met en lumière l’ampleur du problème (30 millions de sites compromis).

Pour aller plus loin :

85 mots

Profil radar

Le profil radar montre des scores élevés en qualité et fiabilité de l'information, ainsi qu'un bon niveau technique, mais une quantité d'information légèrement inférieure en raison de la durée limitée. La fiabilité globale est renforcée par l'expertise de l'intervenant.

Fiabilité 8/10

💬 Très positif : les commentaires saluent la qualité de l'explication et la pertinence du sujet, bien que certains expriment des réserves sur la responsabilité des programmeurs.