Cybersécurité - Innovations digitales et numériques

Si la réponse de la communauté Web est plutôt satisfaisante en matière de patching, elle l’est beaucoup moins en matière de certificats. Rappelons que l’exploitation de la faille permet, en théorie, de récupérer en mémoire des informations sensibles, comme des clefs cryptographiques. En avril dernier, Arnaud Soullie, auditeur chez Solucom, expliquait dans nos colonnes : « Les découvreurs de Heartbleed ont dans un premier temps expliqué que les certificats n’étaient pas concernés par la faille. Mais, sur un environnement de test, deux assaillants sont parvenus à reconstituer la clef privée du serveur. Par mesure de précaution, il faut donc renouveler le certificat et régénérer une nouvelle clef privée ». Dans les faits, moins d’un quart des sites faisant partie du premier million du classement Alexa ont remplacé leurs certificats dans la semaine suivant la divulgation. Si les sites les plus populaires ont réagi très vite, seul 10 % de ceux qui étaient encore vulnérables 48 heures après la divulgation ont changé leurs certificats dans le mois qui a suivi. Et, parmi ces « bons élèves », 14 % ont ‘oublié’ de renouveler leur clef privée… annulant par là même le bénéfice provenant du remplacement des certificats.

Cette nouvelle méthode d’attaque montre les besoins en sécurité des projets Open Source. Les grands acteurs de l’IT (Microsoft, Facebook, Google et plus récemment Salesforce ou Adobe)  se sont mobilisés pour apporter leur aide technique et financière dans la sécurisation et les tests des projets Open Source critiques. La Core Initiative Infrastructure, présidée par la Fondation Linux, vient de dresser la liste des projets prioritaires. Sans surprise, OpenSSL arrive en tête après l’affaire Heartbleed. On constate également que l’accent va porter sur OpenSSH et le Network Time Protocol (NTP). Ce dernier inquiète particulièrement les spécialistes en sécurité par son usage dans les récentes attaques DDoS par amplification.

Selon Robert Graham, le nombre de serveurs exposés à Heartbleed va décroître progressivement grâce au remplacement « naturel » d’anciens systèmes par de nouveaux déjà protégés. Mais il restera encore « des milliers de serveurs vulnérables dans 10 ans ». Ses mesures sont à mettre en parallèle de celles réalisées par Ivan Ristic dans le cadre du projet SSL Pulse : alors que que 30% des 155 000 sites Web les plus visités au monde étaient potentiellement exposés en avril, ils n’étaient plus que 1291 en mai (soit 0,8%), mais sont encore 1044 en juin.

Malgré cet arsenal et cette médiatisation, le bug Heartbleed continue à faire parler de lui. Selon Robert Graham, chercheur en sécurité pour Errata Security a évalué à plus de 320 000 (318 239 pour être exact)  le nombre de serveurs encore vulnérables à la faille Heartbleed. Pour trouver ce chiffre, il a scanné des millions de serveurs sur le port 443 qui est utilisé pour les communications TLS/SSL. A la découverte de la faille, plus de 600 000 serveurs étaient exposés. Robert Graham reste prudent sur ce chiffre de 320 000 en indiquant qu’il existe d’autres tests que le port 443 et qu’il peut donc y avoir plus de serveurs vulnérables.

La CNIL propose déjà un guide de base pour ce qui est de choisir vos mots de passe. Mais cela n'est pas tout. N'oubliez pas d'utiliser des mots de passe différents, surtout sur les services sensibles, et si possible de les renouveler de temps en temps, sans attendre qu'une faille énorme touche une majorité de sites web. De plus, sur des sites importants comme ceux de votre banque, les réseaux sociaux, l'accès à vos emails, il existe en général des procédures de sécurité complémentaires comme l'authentification en deux étapes (2FA), le fait d'indiquer si vous êtes sur un ordinateur de confiance ou non : utilisez-les !

En Grande-Bretagne, ce sont les données de 1,5 million d'usagers du forum Mumsnet, qui auraient été détournées. Les administrateurs de ce site dédié aux futurs mamans a demandé à ses 1,5 million d'utilisateurs de changer leur mot de passe mais on ne connaît pas précisément le volume de données aspirées.