Les Actualités du Web

News Web, Web 2.0, Informatique, Nouvelles Technologies, et bien d'autre

Les connexions SSL de nouveau sécurisées

Il ne sera plus possible de se faire pirater sa connexion sécurisée en ligne. Telle est la promesse de la nouvelle version du protocole SSL, tout juste proposée par l’IETF (Internet Engineering Task Force) et rapidement ratifiée.

La norme SSL sert à chiffrer les communications entre un client et un serveur pour éviter qu’elles soient sur écoute. Mais son évolution a été motivée par une faille découverte en novembre dernier. En effet, des chercheurs s’aperçoivent que le serveur ne vérifie pas qu’il converse toujours avec le même client à la suite d’une micro-interruption. Un pirate pourrait donc d’abord établir une communication sécurisée vers le serveur avec sa propre clé, puis se servir d’une micro-interruption pour s’intercaler entre le client et le serveur. Cette attaque est assez subtile, car la communication entre le serveur et le client s’effectue à pleine vitesse, sans que personne ne remarque que le flux d’informations est détourné. Et il l’est, puisque toutes les informations transitent dès lors par la machine du pirate. Celui-ci étant à l’initiative de la création de la clé, il lui est ensuite simple de décoder les informations qu’il détourne. Suite à la découverte de cette faille, un étudiant turc l’exploitait pour détourner des comptes Twitter. Dès lors, de nombreux sites ont interdit la procédure de renégociation, laquelle sert à reconnecter un client après une micro-interruption.

Dans sa nouvelle version, SSL signe cette renégociation. Autrement dit, le serveur identifie avec certitude le client avec lequel il dialogue. Cela signifie que, pour continuer à détourner les données, le pirate devrait injecter en temps réel sa signature à la place de celle du client dans un flot d’informations chiffrées, une opération jusque-là impossible à réaliser. Reste qu’il faudra un certain temps avant que le correctif soit pris en compte sur les serveurs et les clients qui utilisent SSL. Selon les chercheurs qui avaient détecté la faille, cela pourrait prendre des mois. Ils maintiennent une page qui suit l’avancement du correctif dans les principaux produits de connexion SSL, dont Firefox, Internet Explorer, IIS, ou encore OpenSSL.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Les Actualités du Web © 2009