Cybersécurité - Innovations digitales et numériques

« Un pirate disposant d'une position privilégiée sur le réseau pourrait récupérer ou modifier des données échangées dans des sessions SSL/TLS », décrit le site d'Apple. Les protocoles SSL et TLS sont des protocoles permettant de sécuriser les échanges et sont utilisés par de nombreux sites demandant des informations confidentielles, comme ceux des banques ou les réseaux sociaux. Lors d'une connexion à un réseau ouvert, dans un aéroport ou un café par exemple, toute autre personne connectée au même réseau pouvait potentiellement récupérer ces informations, avec des attaques de type « l'homme du milieu ».

Le problème serait apparu sur iOS 6.0 et a persisté jusqu'à la mise à jour de vendredi. La cause de cette faille est une erreur dans le code source de SecureTransport. Une ligne de code a été malencontreusement dupliquée : « goto fail ».

Ceci permet à un pirate de prendre le contrôle d'une machine à distance sous certaines  conditions : il faut notamment que l'utilisateur de la machine provoque lui-même l'exécution du code, en ouvrant un fichier PDF vérolé, par exemple.

Microsoft estime de ce point de vue que des attaques liées à cette faille sont « ciblées et limitées ». Cependant il met tout de même en garde les possesseurs d'un ordinateur utilisant Windows XP ou Windows Server 2003.

Metasploit, John The Ripper, Nmap, Nessus, WebScarab, ces logiciels, souvent en Open Source, constituent l'arsenal des experts en sécurité et des RSSI pour la conduite de tests d'intrusion sur les réseaux et les applications Web.