Cybersécurité - Innovations digitales et numériques

Par contre, ce n'est pas le cas des quelque 20 % de serveurs rendus vulnérables et qui ne l'étaient pas quand l'attaque a été révélée : selon une étude réalisée par le développeur de logiciels Yngve Nysæter Pettersen, il semble que certains opérateurs ont remplacé des versions sûres d'OpenSSL par des versions non corrigées. « Il est possible que le battage médiatique autour d'OpenSSL a conduit certains administrateurs à croire que leur système n'était pas sécurisé ». Plus la pression administrative et la nécessité « de ne pas rester sans rien faire », les aurait pousser « à déclencher la mise à niveau d'un serveur non affecté avec une nouvelle version non corrigée du système, probablement parce que la variante n'avait pas encore été officiellement patchée », a-t-il suggéré. Nysæter Pettersen a démarré son scan le 11 avril : au cours des deux semaines qui ont suivi, près de la moitié des serveurs vulnérables avaient été corrigés. Globalement, le nombre de serveurs tournant avec une version vulnérable d'OpenSSL a baissé de 5,36 % à 2,77 %. Cependant, l'application de correctif sur les serveurs vulnérables a presque complètement cessé. « Mercredi dernier, 2,33 % des serveurs n'avaient toujours pas été corrigés », a-t-il encore ajouté.

Si cette découverte a le mérite d’exposer les activités de cybercriminels – une sorte de juste retour des choses – elle prouve également à quel point Heartbleed est dangereux. Ses conséquences et son utilisation ne sont pas prêtes de disparaître.

Comme on pouvait s'y attendre, OpenSSL est le projet qui figure en haut de ses priorités. La faille découverte au début du mois dans la bibliothèque de chiffrement, utilisée par des millions de sites web pour chiffrer leurs communications via SSL (Secure Sockets Layer) et TLS (Transport Layer Security), a plongé l'ensemble de l'industrie informatique dans l'urgence. Tous les fournisseurs ont l'un après l'autre publié des correctifs et continuent à travailler d'arrache-pied pour corriger ceux de leurs produits qui prêtent encore le flanc à la vulnérabilité. Si elle est exploitée, la faille permet à un attaquant de voler des données sensibles sur les systèmes affectés, tels que les identifiants des comptes et les mots de passe. En début de semaine, les 1 000 premiers sites web au niveau mondial avaient été patchés mais un certain nombre d'autres sites devaient encore appliquer des correctifs.

Prises en défaut, les entreprises victimes de Heartbleed se sont faites plutôt discrètes. La presse spécialisée, notamment NextInpact, s’en est fait l’écho. Victimes de vols de données récemment, le distributeur américain Target et, dans une autre affaire, Orange avaient adopté la même attitude. « OpenSSL, ce n’est pas quelque chose qui parle au public mais il faut communiquer », considère Thierry Karsenti. Certes, dans le cas précis d’Heartbleed, il était compliqué d’identifier les personnes qui ont pu être victimes. Mais ne rien dire est tout aussi difficile pour les entreprises. Leurs clients peuvent douter de la sécurité de leur site. L’Agence Nationale de Sécurité des Systèmes d’information préconise de changer de mots de passe sur les plate-forme touchées par Heartbleed.

Depuis le 7 avril, un nom et un logo, jusqu’alors inconnus, ont fait le tour du Web : Heartbleed, un cœur qui saigne. L’importance de cette faille de sécurité affectant la librairie de chiffrement SSL/TLS OpenSSL explique cet embrasement sur le sujet. Si les acteurs du Web ont très rapidement mis à jour leur librairie (vers la version 1.0.1g expurgée de Heartbleed), le problème est loin – très loin même – d’avoir été réglé. Et il ne se limite pas aux seuls acteurs du Web : toutes les DSI sont, de près ou de loin, concernées par Heartbleed en raison de l’emploi très courant de la librairie OpenSSL dans des logiciels et matériels du marché.

En 5 points, Silicon.fr vous livre une première check-list pour évaluer les risques et prendre les premières contre-mesures.

Tor Project a identifié 380 relais vulnérables à la faille critique Heartbleed et a bloqué leur accès au réseau d'anonymisation, réduisant ses capacités d'entrée et de sortie. Roger Dingledine, chef de file du projet Tor, a modifié l'autorité d'annuaire de Tor, un serveur qui gère la liste des noeuds dont il a la responsabilité. D'autres opérateurs de l'autorité d'annuaire devraient faire de même.

Ce dernier conseille aux administrateurs des services informatiques qui ont commencé à faire les réparations nécessaires de faire attention à certains détails. Par exemple, ils doivent se préoccuper de l'endroit où ils stockent leurs certificats. « C'est le genre de situation où des groupes de hackers peuvent voler des actifs dans l'entreprise sans se faire remarquer », a déclaré Kurt Baumgartner. « S'ils trouvent les certificats, les attaquants pourront les utiliser plus tard pour s'infiltrer dans les systèmes informatiques de l'entreprise. Et cela risque probablement d'arriver dans certains cas », a-t-il ajouté. « Je suis sûr que l'on entendra parler de ces vols dans six mois à un an », a affirmé le chercheur.

En attendant, la vulnérabilité Heartbleed continue d’être exploitée par les pirates. Mandiant relève ainsi qu’elle a été mise à profit contre une appliance VPN pour détourner des sessions d’utilisateurs actives et, ainsi, contourner les mécanismes d’authentification à facteurs multiples.

Le 7 avril, le projet OpenSSL a livré un correctif pour patcher ce bug, et nombre de services informatiques se sont précipités pour corriger le logiciel sur les serveurs et dans certains systèmes d'exploitation client. « Le 17 avril, une grande majorité des serveurs exposés avait été corrigés », avait déclaré Sucuri Security dans un billet de blog ce jour-là. Mais, si la totalité des 1000 premiers sites classés par Alexa étaient à l'abri, Sucuri a trouvé de plus en plus de sites exposés au fur et à mesure qu'elle élargissait son balayage. Ainsi sur les 10 000 premiers sites, 0,53 % étaient vulnérables, sur les 100 000 premiers, le taux passe à 1,5 %, et sur le premier million, Sucuri arrive à 2 % de sites vulnérables.

Au final, si les entreprises européennes doivent prendre conscience que la protection des données est essentielle à leur succès mais, qu’au-delà de l’aspect technique, elles doivent également prendre en compte les éléments juridiques et organisationnels essentiels à la protection des données.
C’est d’ailleurs la raison pour laquelle de nombreux experts en matière de sécurité recommandent aux entreprises européennes de faire appel aux prestataires de services européens dont les serveurs se trouvent au sein de l’UE afin de répondre aux risques juridiques.

Une nouvelle fois, le code Linux est étiqueté comme code de référence pour l’open source. Sur plus de 8,5 millions de lignes de code Linux analysées par Coverity en 2013, une densité de défauts de 0,61 a été trouvée dans le noyau. Depuis 2008, la densité du code Linux a toujours été en dessous de 1.

Un porte-parole du Conseil de sécurité nationale a également démenti que « la NSA ou toute autre branche du gouvernement » aient eu connaissance de la faille. « Le gouvernement fédéral a lui aussi recours à l’OpenSSL pour protéger les utilisateurs de sites internet gouvernementaux. Cette administration prend au sérieux sa responsabilité d’aider au maintien d’un internet ouvert, interopérable, sécurisé et sûr. Si le gouvernement fédéral, y compris la communauté du renseignement, avait découvert cette vulnérabilité avant la semaine passée, il en aurait informé la communauté responsable de l’OpenSSL. »

Dans une note de blog, le cabinet Lexsi décortique cette faille de manière technique, sur la base du code. Le dessinateur Randall Munroe, de son côté, a réussi à expliquer cette faille de manière simple et illustrative, en six vignettes (voir image).