La découverte d'une faille sur OpenSSL sème un vent de panique sur le web, il faut dire que les conséquences peuvent être catastrophiques puisque vos identifiants et mots de passe peuvent être compromis, ainsi que vos échanges chiffrés. Certains se sont déjà mis à jour, tandis que d'autres ont carrément décidé de fermer leur site en attendant.
Heartbeats, l'extension OpenSSL qui affole le web
OpenSSL est une bibliothèque open source permettant d'implémenter un protocole de chiffrement SSL/TLS sur des sites web, entre autres choses. Largement utilisée sur de nombreux serveurs à travers le monde, une faille portant le nom d'Heartbleed vient d'être découverte dans une de ses extensions : Heartbeats. Cela concerne toutes les versions de la 1.0.1 à 1.0.1f, ainsi que la 1.0.2 bêta. Les moutures précédentes de la branche 1.0.0 et 0.9.8 ne sont pas concernées.
Un site web a été mis en place afin d'expliquer les causes et conséquences potentielles de cette faille, et elles sont loin d'être anodines. En effet, ce « bug » permet à n'importe qui d'accéder à des informations stockées dans la mémoire d'un serveur, celles-ci pouvant être confidentielles : « cela compromet la clé de sécurité utilisée pour s'identifier et sécuriser le trafic, les logins et les mots de passe des utilisateurs, ainsi que le contenu. Cela permet aux pirates d'écouter des communications, de voler des données directement sur des serveurs web et chez les utilisateurs, tout en se faisant passer pour quelqu'un d'autres ».
Une faille vieille de deux ans, corrigée hier. De nombreuses distributions touchées
Mais le plus inquiétant reste à venir : cette faille existerait en fait depuis décembre 2011, mais c'est avec la mise en ligne d'OpenSSL 1.0.1 que les choses se sont aggravées. C'était en mars 2012, soit il y a plus de deux ans maintenant. La faille n'a finalement été découverte que très récemment par Neel Mehta de Google Security et, c'est seulement hier qu'un correctif a été publié (OpenSSL 1.0.1 g), alors qu'une nouvelle bêta pour la 1.0.2 arrivera prochainement.
Problème : il faut que les serveurs se mettent à jour et soient réinitialisés, ce qui peut prendre du temps, car c'est généralement une procédure longue et qui ne se fait pas de manière régulière. Néanmoins, le bruit médiatique généré par cette affaire devrait grandement aider à accélérer les choses. Le site Hearbleed dresse une liste, non exhaustive des distributions touchées :
- Debian Wheezy (stable), OpenSSL 1.0.1e-2+deb7u4
- Ubuntu 12.04.4 LTS, OpenSSL 1.0.1-4ubuntu5.11
- CentOS 6.5, OpenSSL 1.0.1e-15
- Fedora 18, OpenSSL 1.0.1e-4
- OpenBSD 5.3 (OpenSSL 1.0.1c 10 May 2012) and 5.4 (OpenSSL 1.0.1c 10 May 2012)
- FreeBSD 8.4 (OpenSSL 1.0.1e) and 9.1 (OpenSSL 1.0.1c)
- NetBSD 5.0.2 (OpenSSL 1.0.1e)
- OpenSUSE 12.2 (OpenSSL 1.0.1c)
Notez que, sur son site internet, OpenSSL donne une astuce à ceux qui ne pourraient pas se mettre à jour immédiatement. Il n'y par contre pas de solution magique puisqu'il faut recompiler OpenSSL en ajoutant l'option suivante :
-DOPENSSL_NO_HEARTBEATS
Les clés privées de chiffrement dans la nature, le cas des certificats des serveurs
Les données personnelles des utilisateurs ne sont pas les seuls éléments qu'il est possible de récupérer via cette faille, cela concerne également les clés privées ainsi que les clés secondaires des certificats. Mettre à jour OpenSSL n'est donc pas suffisant pour les serveurs et il faut également générer de nouveaux certificats au passage.
Mais, malgré cela, le mal pourrait déjà être fait. En effet, on peut parfaitement imaginer que certaines entités des renseignements (la NSA par exemple) enregistrent quantité d'informations sans forcément les avoir déchiffrées pour des questions de ressources, mais la récupération des clés privées pourrait grandement faciliter cette tâche a posteriori.
Minecraft ferme son site. Comment savoir si un serveur est touché ?
Afin de savoir si un site est touché par cette faille de sécurité, un mini site dédié a été mis en place. Il suffit d'entrer une URL pour savoir ce qu'il en est, attention toutefois puisqu'il existe des cas de faux positifs. Notez qu'un dépôt GitHub est également disponible, le projet étant open source.
De son côté, Markus Persson joue la carte de la sécurité et a décidé de fermer temporairement le site de Minecraft. Il sera probablement de retour après une mise à jour, ce qui n'est pas le cas à l'heure où nous écrivons ces lignes. Nathan Adams, développeur chez Mojang, ne donne aucun délai et précise simplement que la balle est dans le camp d'Amazon dont ils utilisent les serveurs. D'autres comme Gandi ou CloudFlare ont déjà pris les devants et ont mis à jour leur infrastructure.
Redoubler de prudence et vérifier les mises à jour des sites
Il s'agit donc d'un problème d'une envergure très importante et qui touche de nombreux sites, il est donc recommandé de redoubler voire tripler de prudence puisque vos identifiants et vos mots de passes sont en jeu. Cette faille peut toucher les webmails ainsi que les réseaux sociaux, mais également les banques, les systèmes de paiement et les sites officiels. Si, comme certains, vous utilisez les mêmes identifiants pour plusieurs sites, alors les conséquences pourraient être encore plus catastrophiques. En effet, un pirate récupérant vos données personnelles pourrait s'en servir sur d'autres sites.
Tant que la situation n'est pas éclaircie, nous vous recommandons donc de ne pas vous rendre sur ces sites pour le moment et d'éviter les achats en ligne. Il faudra voir quelles seront les procédures mises en place par les services qui ont été touchés, tant pour alerter leurs utilisateurs que pour gérer les conséquences de cette faille. Nous tenterons de faire rapidement le point sur le sujet.
Commentaires (135)
#1
Ayé, mes distros Linuxmint se sont mises à jour. De toute façon, je n’ai pas de serveur WEB public.
#2
Debian propose la mise à jour depuis hier. " />
A jour pour moi depuis ce matin. :)
#3
Oh non, et moi qui doit renouveler mon abo à PCI, si le web n’est plus sécurisé comment je fais ?" />
" />
#4
À jour aussi, et nouvelles clés générées :
openssl req -x509 -newkey rsa:2048 -keyout /etc/ssl/private/\(keyfile -out /etc/ssl/certs/\)certfile -nodes -days 3650
#5
Malheureusement, il y a eu certes un vent de panique sur le Net et pour autant, je n’ai pas encore vu une seule personne prouvant qu’il avait réussi à récupérer des informations sur un site impacté.
De ce que j’ai lu, pour pouvoir utiliser cet exploit, il faudrait qu’un hacker mettent en place un honeypot en SSL et que des utilisateurs se connectent sur ce honeypot. Les utilisateurs qui naviguent grâce à Firefox ou Chrome ne seraient pas impactés car Firefox désactive le HeartBeat en question & Chrome n’utilise pas OpenSSL (sauf pour sa version Android).
Enfin, certes le hacker pourrait récupérer jusqu’à 64Ko de données par “session”, mais on ne sait pas quelles sont ces données : est-ce que c’est 64Ko aléatoire? toujours les mêmes?
C’est très bien qu’il y ai eu une diffusion de l’information importante, mais pour autant, je trouve que le site HeartBleed.com n’est pas très avare sur “Quels sont les vrais risques?”.
(Ah et aussi les mecs de chez CloudFlare ont dit qu’ils n’allaient changer les certificats que si ils arrivent à récupérer ces informations en utilisant l’exploit)…
#6
https://www.startpage.com m’envoie bouler. (sous Firefox)" />
#7
Aucune analyse dans cet article de l’impact, ô combien important, du leak des clés privées et donc de la compromission des certificats … " />
#8
#9
[Mode Yzokras]
Pfff PCI qui fait encore son pro-MS[/Mode Yzokras] " />
#10
#11
#12
#13
Bon, ben go recompile …
Merci pour l’info !
#14
#15
J’ai mis a jours mon serveur sous CentOS, ce qui a corrige le probleme.
Maintenant il faut que je régénère mes certifs SSL.
#16
#17
#18
Le site qui gère les horaires, étudiants, notes, prof, salle etc.. de toute la suisse occidentale est vulnérable.
Un hacker de dispo pour changer mes notes ? " />
#19
#20
#21
#22
#23
#24
#25
#26
#27
#28
#29
Minecraft a été relancé.
https://twitter.com/KrisJelbring/status/453559453858942976
#30
#31
Ce que j’arrive pas a comprendre c’est si cette faille est exploitable uniquement lors de l’utilisation par un visiteur du fameux OpenSSL, ou si, cette faille est exploitable a partir du moment ou cette extension est installé sur le serveur même si cette dernière n’est pas réellement exploité
#32
#33
#34
#35
#36
#37
#38
#39
#40
#41
#42
#43
#44
#45
Et hop, un patch de plus pour Synology…
Je viens de tester sur ma Syno avec DSM 4.2, la vulnérabilité est présente. Heureusement il n’est ouvert qu’à des IP bien déterminées et n’est pas public !
Sinon, pour quelques banques en ligne, pas de problème :
\( bin/Heartbleed www.secure.bnpparibas.net:443
2014/04/08 18:14:36 www.secure.bnpparibas.net:443 - SAFE
\) bin/Heartbleed secure.ingdirect.fr:443
2014/04/08 18:15:02 secure.ingdirect.fr:443 - SAFE
\( bin/Heartbleed www.cortalconsors.fr:443
2014/04/08 18:15:28 www.cortalconsors.fr:443 - SAFE
\) bin/Heartbleed www.bforbank.com:443
2014/04/08 18:15:51 www.bforbank.com:443 - SAFE
\( bin/Heartbleed www.monabanq.com:443
2014/04/08 18:16:27 www.monabanq.com:443 - SAFE
\) bin/Heartbleed www.fortuneo.fr:443
2014/04/08 18:16:44 www.fortuneo.fr:443 - SAFE
#46
D’après le test fourni dans l’article :
fr.yahoo.com IS VULNERABLE.
http://en.zimagez.com/zimage/fryahoocomisvulnerable20140408.php
#47
#48
#49
#50
@Bylon, oui, ou : python ssltest.py mail.yahoo.com
où tu trouves quasiment à chaque exécution au moins un login avec un password d’un utilisateur yahoo…
#51
#52
ca prouve bien que si on n’a pas Windows,on est pas securisé.
#53
#54
Le petit cœur de la NSA doit saigner en ce moment, son bébé est mouru. " />
#55
Put* de Yahoo, sont pas doués…
Je suis sûr qu’une (ou plusieurs) ferme de bots est en train de tout aspirer :/
#56
#57
#58
#59
#60
Content d’avoir mon mail principal en Yahoo.fr " />
#61
#62
#63
#64
Je viens de passer 1 heure a patcher toutes mes Gentoo, et avant de relancer les services je fais un test de vulnérabilité, et en fait le HeartBeat n’était pas dans les flags de compilation " />
Comme quoi avoir des compilations exotiques ça sert parfois " />
#65
#66
#67
Merci pour cet article, mon serveur était vulnérable, je l’ai mis à jour, maintenant il ne l’est plus " />
PS: serveur Debian 7 Wheezy, la màj est déjà propagée
#68
#69
#70
#71
Les domaineshttp://filippo.io/Heartbleed/#mail.yahoo.com ethttp://filippo.io/Heartbleed/#login.yahoo.com sont clean. Toujours pas yahoo.com
#72
Qu’en est-il de des boites mail de Microsoft ?
#73
C’est la conclusion de l’article içi qui me semble le plus important.
Ces librairies à auditer sont un cauchemar du fait de la permissivité du C. Il devient urgent d’avoir un language safe. Alors oui il existe des solutions mais rien de déployé à grande échelle.
#74
#75
#76
Une faille vieille de deux ans, corrigée hier
Belle réactivité de la communauté du libre… " />
Et ils veulent vraiment que les gens quittent MS et Apple pour des produits libres, alors qu’il leur faut 2 ans pour corriger une faille ?
Comment leur faire confiance vu qu’ils sont pas foutu de faire leur boulot ?
#77
#78
#79
#80
Moi ce qui m inquiete c est tout les differents logiciels qui integrent open ssl, ca va etre galere de tout mettre a jour.
#81
Je ne suis pas en sépcialiste de ssl. Est ce que les serveurs utilisent tout le temps les même clés ?
Si oui, ils faut donc logiquement supposé que ces clés sont compromises et donc les changer, c’est génant ?
#82
#83
#84
#85
#86
#87
#88
#89
#90
Oui si la lib est partagé et non pas intégré dans le logiciel.
#91
Question, les synology sont-ils vulnérables (le mien me dit qu’il l’est)
#92
#93