Supprimer les données cachées des fichiers ICO
12 Un format conçu pour contenir plusieurs images à la fois, pas une seule photo
L'ICO est ce que Windows utilise pour les icônes d'applications et ce que les navigateurs utilisent
pour les favicons - et contrairement à tout autre format de ce site, un seul fichier .ico
est en réalité un petit conteneur pouvant stocker plusieurs versions de la même image à des tailles et
profondeurs de couleur différentes (16×16, 32×32, 256×256, etc.), pour que le système d'exploitation
choisisse celle qui convient le mieux au contexte. Il n'existe pratiquement aucun standard de
métadonnées pour l'ICO comme l'EXIF existe pour le JPEG - aucun GPS, aucune information d'appareil
photo, rien de tel ne s'y retrouve jamais. Le risque réel ici est plus proche de la catégorie
structurelle "ne pas faire confiance aux octets" que de la catégorie confidentialité que ce site couvre
pour les photos d'appareil photo.
Aller plus loin : la seule chose à laquelle l'ICO ressemble presque entièrement, traitée différemment exprès
La signature du fichier ICO fait 4 octets : 00 00 01 00. Changez exactement un de ces
octets - 00 00 02 00 - et vous obtenez un fichier CUR à la place : le format de
Windows pour les curseurs animés, qui réutilise presque toute la structure de conteneur de l'ICO
avec un champ "type" différent et une coordonnée de point chaud supplémentaire par image. Cet outil
reconnaît délibérément uniquement la signature ICO et traite un fichier CUR comme non reconnu
plutôt que de supposer que "c'est essentiellement la même chose" - le même principe qui consiste à
refuser de faire confiance à l'extension d'un fichier partout ailleurs sur ce site. Plusieurs tailles
d'icône intégrées dans un fichier ICO valide sont toutes décodées et prises en compte ; seule la
première image la plus grande et adaptée est portée à travers le pipeline de désinfection, c'est
pourquoi un ICO avec plusieurs tailles en entrée revient toujours comme une seule image plate en
sortie.
Où se situe généralement le vrai risque d'un ICO
Comme l'ICO apparaît le plus souvent comme le favicon discrètement présent sur un site web, ou une icône intégrée dans un logiciel que vous avez téléchargé, le modèle de menace le plus réaliste est le même que celui couvert par la page de comparatif pour les attaques structurelles en général - un conteneur malformé ou délibérément manipulé trompant un analyseur négligent - plutôt qu'une fuite de métadonnées provenant d'un appareil photo. Décoder entièrement en pixels bruts et reconstruire à partir de zéro, la même garantie que cet outil applique à tout format, élimine cette catégorie de risque peu importe ce que la structure interne d'un fichier ICO prétendait à son propre sujet.