On a médiatisé la faille SSL :
La licence OpenSSL accepte toute utilisation de ses sources ou binaires aux conditions suivantes :
Jusqu'à ce que le bug Heartbleed a été divulgué la semaine dernière , pas beaucoup de personnes avaient entendu parler du Dr Stephen Henson , le développeur qui est la seule personne à travailler à temps plein sur OpenSSL , ou le OpenSSL Software Foundation et son directeur , Steve Marquis .M. Raymond dit qu'il y a d'autres systèmes essentiels comme le Domain Name System(DNS) , une sorte de standard pour l'Internet qui est maintenu par des bénévoles à but non lucratif et des sociétés , et le protocole Internet Time Service , une caractéristique essentielle qui permet de synchroniser les horloges des ordinateurs sur l' Internet . Échanges financiers importants dépendent de la santé de protocole , mais il est actuellement géré par un programmateur bénévole dans le Maryland ."La direction est consciente de ce problème d'incitation grave ici et nous allons y remédier ", a déclaré M. Raymond .
*Pendant ce temps la, au Au Royaume-Uni, les données de 1,5 million d'usagers du forum Mumsnet, destiné aux mamans britanniques, ont pu être dérobées par des pirates ayant tiré avantage de la faille informatique Heartbleed.
Ce qu'ont disaient en 2008 sur le SSL:(sur le site de SID)
Premièrement, cette vulnérabilité n'a absolument pas fait parler d'elle ! Certes celle-ci n'est pas aussi critique que celle deOpenSSL dans Debian, mais GnuTLS est quand même très utilisée. Mais bon, il aurait sûrement suffi d'annoncer la plus grosse vulnérabilité du mois, ne pas releaser les détails, etc. pour la transformer en faille médiatisée ;) Je vous renvoie d'ailleurs sur un post plus ancien de Sid qui reprend des failles peu médiatisées et à celui de FX sur la perception des vulnérablités.
Enfin, il est envisageable que les certificats, sorte de clé de voûte de la sécurisation des données par TLS/SSL, censés être privés et très protégés, aient été rendus accessibles par la faille. Ce qui signifie que même lorsque la faille d'OpenSSL sera corrigée et la nouvelle version appliquée aux sites vulnérables, des assaillants qui ont préalablement intercepté la clé nécessaire au déchiffrement des données protégées seront encore en mesure d'y accéder.Il est conseillé de surveiller, dans les prochains jours, les annonces des sites que vous utilisez afin de s'assurer qu'ils prennent les mesures nécessaires.Microsoft, potentiellement exposé par l'entremise de son service de stockage de données en ligne OneDrive et de sa plate-forme de jeux Xbox, a indiqué dans un communiqué qu'un « petit nombre de services continuaient à être passés en revue et mis à jour avec des protections supplémentaires ».Android étant basé sur Linux, il est potentiellement vulnérable à cette faille. Et la version d’OpenSSL actuellement disponible sur Android, la 1.0.1f, est vulnérable. La faille touche toutes les versions d’OpenSSL de la 1.0.1 à la 1.0.1f. La version 1.0.1g sortie le 7 avril a permis de supprimer le bug. Mais pour être déployée sur Android, il faudra une mise à jour de la ROM du téléphone. Il ne reste plus qu’à espérer que les constructeurs jouent le jeu mais on peut craindre que certains téléphones anciens ne soient pas mis à jour et restent alors vulnérables.Comment se prémunir de la faille ?
Si votre terminal, votre ordinateur et même le serveur se lequel vous vous connectez dispose de l’ancienne version d’OpenSSL, il y a un risque. Dans le cas de votre androphone(Android,genre Samsung S4), certains, dont des éditeurs d’antivirus, ont créé des applications dédiées pour vérifier la version d’OpenSSL sur votre terminal. C’est le cas par exemple de Heartbleed Detector. Toutefois, si votre terminal ,votre Smartphone a la faille, tout dépendra de la promptitude des constructeurs(non,si la version 4,1 a 4,3 de JellyBean ,ne peut-être upgrader a Kitkat version 4,4) ,il vous faudra acheter un autre Android version 4,4 Kitkat ou bien si votre opérateurs internet par cellulaire à délivrer un correctif,ce qui est peu probable.Pourquoi ? Parce que la version des cell Android comme le Sony Xperia ZL acheté l'année passé est de la version 4,3 Jellybean et ne peut s'upgrader,car la 4,4 appelé Kitkat viens avec un nouveau smarthphone neuf.De plus la version Open SSl est la version avec faille Heartbleed ,qui est la version 1,0,1e et devrait avoir la version sécure 1,0,1g .Donc, ce qui est inclus dans Jellybean 4,3 est non upgradable.Alors si l'usagers ne fait pas de transaction bancaire dans son smartphone ,le Heartbleed Detector vous spécifira que la fonction Open SSL n'est pas activée,dans votre smartphone , Ouffffe ! Et la on ne parle pas de d,autre smartphone Android récent avec une mise a jour système non effectuée par l'usager qui doit la faire par wifi(car forfait Data cellulaire de 200 a 500 Mo/mois) et être a l'aise pour aller dans le menu ,souvent la version Android peut être a 3,2 ,............c'est bien loin du 4,4,2 de Kitkat !
Nota: Il est recommandé d’installer la dernière version en date, c’est-à-dire OpenSSL1.0.1g. Si cela n’est pas possible alors une solution alternative est de recompiler OpenSSL sans l’extension heartbeat en utilisant l’option OPENSSL_NO_HEARTBEATS.Si jamais vous opérez un site web !
Nota: Il est recommandé d’installer la dernière version en date, c’est-à-dire OpenSSL1.0.1g. Si cela n’est pas possible alors une solution alternative est de recompiler OpenSSL sans l’extension heartbeat en utilisant l’option OPENSSL_NO_HEARTBEATS.Si jamais vous opérez un site web !
Selon Bloomberg, l'Agence de sécurité nationale (NSA) qui est spéçialisé en déchiffrement,était au courant depuis deux ans de l'existence de la faille de sécurité Heartbleed. Or, la NSA, plutôt que d'alerter le public de cette vulnérabilité, aurait plutôt régulièrement exploité la faille pour obtenir des renseignements confidentiels. Interrogé par Bloomberg, un porte-parole de la NSA a toutefois refusé de confirmer ces informations.
En cas de doute, le site Filippo.io/Heartbleed permet de tester si un site est vulnérable ou non. Une liste (non exhaustive) est disponible ici. En revanche, certaines mesures nécessaires ne sont pas détectées par ce site, comme le renouvellements des certificats ou des mots de passe des administrateurs.
Enfin, soyez particulièrement vigilants quant aux courriels que vous recevrez dans les prochains jours. Certains adeptes du phishing (vous faire croire que vous allez sur le site de votre banque, par exemple, alors qu'il s'agit d'un site pirate), pourraitutiliser certaines des données interceptées pour vous cibler.
Certains disent que GnuTLS est une alternative compatible avec la licence GPL, ce qui n'est pas le cas d'OpenSSL. Ok qu'on cite GnuTLS comme alternative, mais pas qu'on tourne la phrase de tel manière à ce que l'on croit que la licence d'OpenSSLest mal. En plus l'info de la licence de GnuTLS n'a rien à faire sur un article consacré à OpenSSL (surtout qu'a l'époque, on ne citait même pas la licence d'OpenSSL) Epommate 26 jun 2005 à 00:31 (CEST).La licence d'OpenSSL1 a hérité de la licence du produit SSLeay d'Eric Young (dont le produit servi de base au projet OpenSSL en 1998). L'auteur de cette librairie ayant choisi une licence type BSD2, la licence du produit dérivé OpenSSL reste du même type.Les licences BSD ont la particularité d'être les plus permissives3 de toutes les licences car elles acceptent toutes les modifications du code source et toutes les utilisations des librairies finales (utilisation commerciale comprise) tout en interdisant le changement de licence contrairement à une licence Apache4, de plus, modifier les codes sources n'oblige pas son auteur à en diffuser le contenu contrairement à une licence type GNU5.
La licence OpenSSL accepte toute utilisation de ses sources ou binaires aux conditions suivantes :
- le produit doit afficher (ou la documentation doit contenir) la mention suivante : "This product includes cryptographic software written by Eric Young (eay@cryptsoft.com)"
- le produit final doit faire mention de "This product includes software developed by the OpenSSL Project for use in the OpenSSL Toolkit. (http://www.openssl.org/)"
- les codes sources peuvent être fournis mais les copyrights ne peuvent pas être modifiés
- Le produit final ne peut pas s'appeler "OpenSSL", ni contenir ce mot sans accord préalable de l'équipe OpenSSL
- Les termes "OpenSSL Toolkit" et "OpenSSL Project" ne peuvent être utilisés pour la promotion du produit final sans accord préalable de l'équipe OpenSSL.
Transport Layer Security (TLS), et son prédécesseur Secure Sockets Layer (SSL), sont des protocoles de sécurisation des échanges sur Internet, développés à l'origine par Netscape (SSL version 2 et SSL version 3). Il a été renommé en Transport Layer Security (TLS) par l'IETF à la suite du rachat du brevet de Netscape par l'IETF en 2001. Le groupe de travail correspondant à l'IETF a permis la création des RFC 2246 pour le TLS et RFC 4347 pour son équivalent en mode datagramme, le DTLS. Depuis son rapatriement par l'IETF, le protocole TLS a vécu deux révisions subséquentes : TLSv1.1 décrite dans la RFC 4346 et publiée en 2006 et TLSv1.2, décrite par la RFC 5246et publiée en 2008.
Il y a très peu de différences entre SSL version 3 et TLS version 1 (qui correspond à la version 3.1 du mécanisme SSL) rendant les deux protocoles non interopérables. TLS a tout de même mis en place un mécanisme de compatibilité ascendante avec SSL. En outre, TLS diffère de SSL pour la génération des clés symétriques. Cette génération est plus sécurisée dans TLS que dans SSLv3 dans la mesure où aucune étape de l'algorithme ne repose uniquement surMD5 pour lequel sont apparues des faiblesses en cryptanalyse.
Par abus de langage, on parle de SSL pour désigner indifféremment SSL ou TLS.
TLS fonctionne suivant un mode client-serveur. Il fournit les objectifs de sécurité suivants :
- l'authentification du serveur ;
- la confidentialité des données échangées (ou session chiffrée) ;
- l'intégrité des données échangées ;
- de manière optionnelle, l'authentification ou l'authentification forte du client avec l'utilisation d'un certificat numérique ;
- la spontanéité, c'est-à-dire qu'un client peut se connecter de façon transparente à un serveur auquel il se connecte pour la première fois ;
- la transparence, qui a contribué certainement à sa popularité : les protocoles de la couche d'application n'ont pas à être modifiés pour utiliser une connexion sécurisée par TLS. Par exemple, le protocole HTTP est identique, que l'on se connecte à un schème http ou https.
Sécurisation du protocole:
Le protocole TLS permet de créer un tunnel entre un ordinateur et un serveur. Ce tunnel sécurisé permet un échange d'informations en contournant les dispositifs de sécurité installés pour un serveur ou un ordinateur. Passant outre les systèmes de protection il est alors possible que des actions malveillantes soient menées au travers du point d'entrée du tunnel. Afin de limiter les risques, il est techniquement possible de filtrer les contenus d'un tunnel TLS par la mise en place d'un dispositif qui authentifie le client et le serveur. Deux tunnels sont alors mis en place, un depuis le client vers le dispositif d'authentification et le second du dispositif vers le serveur. Ce système permet alors une analyse et une sécurisation transparente des contenus transférés par le tunnel TLS5.
Merci pour Neel Mehta de sécurité de Google pour découvrir ce bogue et à
Adam Langley et Bodo Moeller pour
la préparation de la solution.
Alors a vous d'agir,................car nous assistons a une lutte des solutions pour l'encryptage sécuritaire ou a une mise a jour oublié ,et non tester depuis 2 ans ?
* Open SSl: dispose que d' un développeur à temps plein et génère moins de 2000 $ en dons par an , clairement quelque chose ne va pas.Donc, ce qui explique l'écart entre le manque d'attention aux OpenSSL et la grande fortune de Linux ? Le bon vieux manque de sensibilisation , disent les experts.Des milliers de téléviseurs vendus chaque jour sont contrôlés par Linux . Quatre-vingt- deux pour cent des systèmes informatiques performants du monde fonctionne sur Linux . Il fonctionne systèmes financiers , l'Internet et les systèmes de contrôle du trafic aérien , les smartphones Android et Kindle.Le fait que OpenSSL a échappé a cette prise de conscience a été " un gâchis ", a déclaré Jim Zemlin , le directeur exécutif de la Fondation Linux . Certains défenseurs open-source dit M. Zemlin c'est exactement ce que OpenSSL a de manquant . «OpenSSL n'a tout simplement pas eu l'avantage d'un leader comme Jim autour de lui ", a déclaré Brian Behlendorf , un membre du conseil de l'Electronic Frontier Foundation et la Fondation Mozilla , un autre projet open-source , qui gère le navigateur Firefox ." Il y a un nouvel ordre mondial où les développeurs sont devenus le nouveau roi - dirigeants et je suis juste leur lobbyiste », a déclaré M. Zemlin . " Vous avez pour financer ces projets d'une manière qui est à la hauteur de leur importance pour notre société . "Jusqu'à ce que le bug Heartbleed a été divulgué la semaine dernière , pas beaucoup de personnes avaient entendu parler du Dr Stephen Henson , le développeur qui est la seule personne à travailler à temps plein sur OpenSSL , ou le OpenSSL Software Foundation et son directeur , Steve Marquis .M. Raymond dit qu'il y a d'autres systèmes essentiels comme le Domain Name System(DNS) , une sorte de standard pour l'Internet qui est maintenu par des bénévoles à but non lucratif et des sociétés , et le protocole Internet Time Service , une caractéristique essentielle qui permet de synchroniser les horloges des ordinateurs sur l' Internet . Échanges financiers importants dépendent de la santé de protocole , mais il est actuellement géré par un programmateur bénévole dans le Maryland ."La direction est consciente de ce problème d'incitation grave ici et nous allons y remédier ", a déclaré M. Raymond .
*Pendant ce temps la, au Au Royaume-Uni, les données de 1,5 million d'usagers du forum Mumsnet, destiné aux mamans britanniques, ont pu être dérobées par des pirates ayant tiré avantage de la faille informatique Heartbleed.
*Le 14-04-2014:
Lundi, Revenu Canada a rapporté que les numéros d'assurance sociale d'environ 900 Canadiens avaient été soutirés de ses systèmes. Tout indique que des pirates informatiques ont pu infiltrer le système informatique grâce à une faille majeure, surnommée Heartbleed.
Ce dernier affirme qu'en plus des données personnelles qui ont été volées, «d'autres fragments de données, dont certaines pourraient se rapporter à des entreprises, ont également été soutirées des systèmes».
«Dans le pire des scénarios, les numéros d'assurance sociale pourraient être utilisés pour effectuer de la fraude. Les pirates n'ont pas nécessairement eu suffisamment d'information pour faire du vol d'identité», a mentionné le spécialiste. En plus des données personnelles des contribuables qui ont été volées, «d'autres fragments de données, dont certaines pourraient se rapporter à des entreprises, ont également été soutirées des systèmes», a mentionné le commissaire.
