La faille de sécurité Heartbleed n'a pas fini de faire parler d'elle. Les risques de vol de données confidentielles sur les sites sécurisés, dont 50 % pourraient être encore vulnérables, existent toujours bel et bien. Explications.
Cette faille de sécurité nommée Heartbleed, traduisez cœur saignant en Français, permet à un pirate de rentrer dans la mémoire du serveur d'un site et d'y récupérer des informations confidentielles. C'est le système qui sécurise l'accès à certains services, comme le paiement en ligne, qui est en cause. Et plus précisément le logiciel OpenSSL. Ce logiciel Open Source (il est gratuit et son code est ouvert à tous) protège les communications à l'aide des protocoles SSL (Secure Sockets Layer) et TLS (Transport Layer Security), qui sécurisent les échanges entre un client (un ordinateur) et un serveur où se trouve un site. Installé sur les serveurs, OpenSSL est chargé de chiffrer et de déchiffrer les données qui transitent entre le client et le serveur : identifiant, mot de passe, numéro de cartes bancaires, etc. Il est utilisé par la plupart des sites sécurisés dans le monde. Le hic, c'est qu'il présente un bug depuis mars 2012. D'où vient exactement ce bug ? «Heartbleed est une erreur de programmation dans le protocole OpenSSL des versions 1.0.1 à 1.0.1f et 1.0.2-beta1, mais pas les autres versions, ni les autres outils SSL. Cette erreur crée une faille de sécurité potentiellement exploitable par des pirates. Ni le protocole SSL/TLS, ni les autres versions d'OpenSSL, ni les autres outils non OpenSSL, ni les autorités de certification ne sont en cause», précise Patrick Duboys, un ingénieur expert de la sécurisation des identités et des échanges numériques qui a créé la société Alice and Bob dans cette même spécialité. Concrètement, quels sont les types de sites touchés ? «Tous les sites web protégés par des certificats SSL (serveurs) ou certificats clients créés avec OpenSSL des versions 1.0.1 à 1.0.1f et 1.0.2-beta1 peuvent être potentiellement craqués et les données transitant interceptées», analyse l'ingénieur. Des réseaux sociaux aux boîtes mail, des banques en ligne aux boutiques d'e-commerce et services de jeu sur le Web la liste des sites potentiellement vulnérables est très longue. «Toutes les données échangées avec des sites web e-commerces utilisant un certificat SSL (cadenas dans le navigateur et https dans la barre d'adresse) peuvent par exemple être capturées comme s'il n'y avait pas de certificat SSL (http et pas de cadenas) et que l'information circulait en clair sur l'Internet», poursuit-il.
Au mois d'avril, les chercheurs avaient estimé à 17 % environ les serveurs web vulnérables utilisant des certificats SSL sur les 66 % utilisant OpenSSL, soit 500 000 serveurs. Si aucune banque ne s'est déclarée victime du bug à l'heure où nous écrivons cet article – leurs procédures de sécurité sont censées les en protéger -, quelques sites ont joué la transparence, comme celui du Trésor canadien (Canada Revenue Agency) qui s'est fait dérober en avril 900 numéros de sécurité sociale, ou le forum anglais pour parents Mumsnet qui s'est fait voler les données de 1,5 million de ses membres.
Une faille sous surveillance
Existe-iltoujours des risques ? Oui, d'après le spécialiste renommé Robert David Graham de la société Errata Security. Plus d'un mois après la découverte de la faille, 318 000 serveurs étaient encore vulnérables selon lui, en se basant sur son propre scan d'Internet, contre 615 000 début avril tels qu'il les avait évalués, soit presque 52 %. Les entreprises n'ont pas ou mal appliqué les remèdes, utilisé parfois des solutions de contournement ou n'ont pas su retrouver l'ensemble des dispositifs vulnérables. Bernard Montel, directeur technique France et Méditerranée de RSA, connu pour ses bibliothèques cryptographiques B-Safe, payantes et directement concurrentes d'Open SSL, n'est pas étonné que les risques soient toujours existants : «Trouver dans quels dispositifs est contenue la librairie OpenSSL, très largement répandue du fait de sa gratuité, et trouver ensuite s'il s'agit de la bonne version va prendre beaucoup de temps. Il y a une non maîtrise de son déploiement, et de la capacité de recherche de la faille.»
Au-delà, les entreprises ont parfois oublié certaines procédures de correction. S'il faut mettre à jour les installations d'OpenSSL avec la version 1.0.1g, il est également nécessaire de révoquer les certificats utilisés et de générer de nouvelles clés de chiffrement, ces clés qui protègent les données échangées entre les sites et leurs utilisateurs (voir encadré). Or selon le site Netcraft, qui réalise des sondages sur le logiciel utilisé par les serveurs web sur Internet, «bien que de nombreux sites sécurisés aient réagi promptement au bug Heartbleed en patchant OpenSSL, en remplaçant leurs certificats SSL et en révoquant les anciens, un certain nombre a fait l'erreur majeure de réutiliser la clé privée potentiellement compromise dans le nouveau certificat.» 30 000 certificats seraient concernés. En réutilisant la même clé privée, qui a pu donc être volée par un pirate avant correction, un site qui se pense à l'abri est confronté aux mêmes risques que ceux qui n'ont pas encore remplacé leurs certificats SSL.
La surveillance d'Heartbleed continue donc. «Dans les prochains mois, les tentatives d'attaque vont continuer avec des variantes», prédit Guillaume Rossignol, responsable du SOC (Security Operation Center) de Numergy, opérateur français du Cloud public chez lequel leurs propres services, tels que le système d'authentification, l'accès aux API et l'interface d'administration des VM n'utilisent pas la version compromise d'OpenSSL, et n'ont donc pas été impactés. Un SOC non relié à Internet et capable notamment de voir les attaques réussies non détectées par les systèmes de sécurité.
Et demain ?
Pour Dominique Loiselet, le DG France du spécialiste de la sécurité américain Blue Coat, ce qu'il faut surtout remarquer au-delà du phénomène Heartbleed «c'est que les solutions de sécurité mises en place dans l'entreprise (les technologies antivirale, de contrôle de contenu, etc) ne sont plus efficaces, car elles deviennent aveugles face aux flux chiffrés par les serveurs sur Internet.» Des flux chiffrés qui explosent aujourd'hui : «On estime que 20 à 40 % des flux web chez nos clients sont chiffrés et échappent ainsi aux solutions de sécurité.» précise-t-il.
De son côté, Mohammed Boumediane, président-fondateur de HTTPCS, du nom de son outil, un scanner de vulnérabilité web en mode SaaS, estime que même si demain il n'y avait plus de failles de sécurité dans Open SSL, il en reste de nombreuses autres, notamment «dans Apache ou dans les systèmes de base de données». Et de conclure, pragmatique, qu'aujourd'hui l'entreprise doit «utiliser des outils de scan au quotidien pour se protéger.»
Heartbleed: les grands de l'informatique soutiennent OpenSSL
Face au manque de soutien financier de projets Open Source dans le domaine de l'infrastructure IT mondiale, la Fondation Linux a fait appel aux grands de l'informatique. Treize grands acteurs de l'informatique, qui utilisent des librairies Open Source, sont partie prenante du projet nommé Core Infrastructure Initiative, de Microsoft à Amazon Web Services. A la clé, plusieurs millions de dollars investis. Ce financement servira au développement, aux audits de sécurité, aux mises à jour et autres tests. OpenSSL devrait être le premier à bénéficier de ce soutien massif.
Quels remèdes à la faille ?
Pour corriger la faille, il faut d'abord identifier les équipements susceptibles d'utiliser les versions OpenSSL vulnérables et les remplacer, ou utiliser des solutions de contournement. Le plus simple est de mettre à jour les installations d'OpenSSL avec la version 1.0.1g qui intègre le correctif (vous la trouverez ici : https://www.openssl.org/source/). Il faut faire attention à certains équipements réseaux, systèmes embarqués ou solutions propriétaires susceptibles d'embarquer une version vulnérable d'OpenSSL. Certains logiciels clients peuvent être également concernés par cette vulnérabilité. Il faut également demander la révocation du certificat SSL en cours, générer une nouvelle clé privée, et mettre en place un nouveau certificat.
Plusieurssites proposent de tester la vulnérabilité des serveurs. Rendez-vous ici par exemple : http://filippo.io/Heartbleed/ ou encore http://tif.mcafee.com/heartbleedtest, https://www.ssllabs.com/ssltest/, https://lastpass.com/heartbleed/?h=.
Et pour ceux qui utilisent le navigateur Chrome, il existe une extension Chromebleed (https://chrome.google.com/webstore/detail/chromebleed/eeoekjnjgpnaegdjbcafdggilajhpic).
Des outils en local sont également disponibles, comme celui de Filippo Valsorda.
D'où vient le nom Heartbleed ?
Ce sobriquet a été lancé par la société finlandaise spécialisée dans la sécurité Codenomicon, qui revendique la co-découverte de la faille avec Neel Mehta de Google Security. Il reprend une partie du nom de l'extension des protocoles TLS et DTLS qui est implémentée au sein d'OpenSSL, et mise en cause dans la faille : HeartBeat. L'entreprise est même allée jusqu'à réaliser un logo associé : ce fameux cœur rouge saignant qui s'affiche un peu partout sur le Web. Un logo totalement libre de droit, comme l'indique www.heartbleed.com, un site qui appartient à Codenomicon.
