faut-il rester loin d’Internet ?Faille de sécurité « Heartbleed »

[Chegevara]

Depuis 24 heures, Internet est en émoi. Et pas seulement les internautes, les consommateurs ou les blogueurs : les experts en sécurité, les geeks, développeurs et autres as du code sont eux aussi inquiets.

La raison : « un bug catastrophique » et « extrêmement dommageable », lit-on un peu partout à propos la « faille de sécurité » découverte dans la nuit du 7 au 8 avril. Son nom : « Heartbleed ».
Certains sites recommandent même de rester loin d’Internet pendant plusieurs jours. Pour ne pas sombrer dans la plus pure paranoïa, Rue89 répond à quelques question
De quelle faille parle-t-on ?
Certains sites web nécessitent ou proposent un chiffrement de la navigation. Entrer un mot de passe, effectuer une transaction bancaire, avoir des échanges épistolaires requérant un certain niveau de discrétion : autant d’actions que le serveur va « chiffrer », c’est à dire rendre illisibles pour qui n’a pas la « clef ».

Concrètement, cette sécurisation des communications entre l’internaute et le serveur est généralement symbolisée par un verrou à côté de l’URL.

OpenSSL est un des services offrant cette protection aux internautes. Qui trouve une faille dans OpenSSL et parvient à obtenir les clefs de chiffrement, peut lire toutes les informations échangées entre l’internaute et le serveur.

C’est ce qui vient de se passer : des experts ont découvert la faille et certains développeurs se disent en mesure de récupérer toutes sortes de données comme des mots de passe Yahoo ou des historiques de recherche sur le moteur de recherche crypté DuckDuckGo.

2
Pourquoi s’appelle-t-elle « Heartbleed » ?

Logo du bug Heartbleed
Heartbleed signifie en français « cœur qui saigne », ce qui n’aide pas vraiment à rendre les événements moins dramatiques.

La faille a été baptisée ainsi par l’équipe d’OpenSSL car elle affecte une extension du logiciel qui se nomme « heartbeat », battement de cœur en français.

La faille permettant à des données de fuiter, le nom était tout trouvé. Fait original, le bug a dores et déjà un visuel.
.../...

[Chegevara]

Comment la faille a-t-elle été découverte ?
C’est un ingénieur de Google Security, Neel Mehta, qui a découvert l’existence de la faille, probablement en menant une analyse de sécurité poussée.

Une équipe d’ingénieurs de l’entreprise de sécurité informatique Codenomicon aurait également trouvé la faille.

4
Est-ce vraiment grave ?
Plutôt, oui. Comme on l’a vu précédemment, des données sensibles peuvent être extraites par une personne qui exploiterait cette faille. Or, le logiciel en question est utilisé par deux sites sur trois. Une proportion à relativiser cependant : toutes les versions d’OpenSSL ne contiennent pas la faille. Certaines entreprises de sécurité parlent tout de même de millions de systèmes vulnérables.

Plusieurs sites importants ont par ailleurs confirmé avoir été affectés, tels Imgur, OkCupid, Flickr, Redtube... Yahoo semble être le seul géant du Web à avoir été touché. Une liste non exhaustive est disponible sur Github. Une adresse propose également de tester si un site est vulnérable ou non.

Le plus grand dommage semble pour l’instant porter sur la confiance que les internautes plaçaient dans le petit cadenas à côté de l’URL...

5
Des pirates ont-ils pu récupérer vos données ?
Oui. La faille serait apparue dans une version d’OpenSSL mise en ligne en 2012. En deux ans d’existence à l’insu de tous, il est tout à fait possible que des personnes mal intentionnées aient découvert le bug et l’aient exploité (ayant donc accès à certains de vos compte ou profils). Il n’y a cependant pour l’heure aucune preuve que ça ait été le cas.

6
Devez-vous changer tous vos mots de passe ?
La faille maintenant identifiée, les codes et serveurs vont être mis à jour rapidement. Yahoo par exemple a déjà annoncé avoir sécurisé ses serveurs centraux, et devrait avoir rapidement terminé. Il faut également que tous les sites renouvellent leurs clefs, ce qui coûte de l’argent et du temps.

Vu l’étendue et la nature du bug, certains comme la communauté du Projet Tor, ont recommandé la plus grande prudence à ceux qui ont un impératif d’anonymat :

« Si vous avez besoin d’anonymat et de vie privée sur Internet, vous feriez mieux de rester loin du Net dans son ensemble pendant les prochains jours, le temps que les choses s’arrangent. »

L’internaute, lui, ne peut pas faire grand chose. Tant que tout n’a pas été mis à jour, réparé, et les clefs de chiffrement réactualisées par les sites vulnérables, il ne servirait à rien de vouloir changer son mot de passe.

le nouvel observateur

[LIXUS]

Salam,

C'est la 1ère info que j'ai lue ce matin sur le monde. Ils parlent aussi d'un site pour tester les sites qu'on souhaite visiter.

http://*****.io/Heartbleed/

Remplacer ***** par filippo



[IMG][/IMG]

[absent]

Bonsoir, c'est pour cela qu'il faut vérifier le certificat SSL (cliquer sur le cadenas) avant de déconner. Et s'il n'est pas de verisign ce n'est même pas la peine d'effectuer une quelconque opération sensible.

[absente]

Bonsoir ..ça fait flipper tout ça

[Inata]

Si ça se trouve cette faille navigue depuis très longtemps, nous ne pouvons garantir la sécurité des données. Il existe des programmes libres qui circulent partout utilises par des hackeurs pro, mais on continue nos conneries et transactions parce que le net est devenu le moyen de communication le plus utilisé.

Le tout est de savoir si nous pouvons y attacher moins d'importance à l'avenir !

[Massnsen]

Personne ne connaît l'étendue des dégâts pour le moment. En tout les cas ça m'a valu une journée de travail de 29 heures à révoquer des certificats compromis :22: