En poursuivant votre navigation sur ce site, vous acceptez l'utilisation de cookies pour recueillir vos informations de connexion, collecter des statistiques en vue d'optimiser les fonctionnalités du site et adapter son contenu à vos centres d'intérêt.
En savoir plus et paramétrer les cookies Accepter
Comparateur de logiciels de gestion
Avec notre comparateur en ligne, trouvez en quelques clics la solution à votre besoin
agenda
Agenda
Solutions IT
  • 14/03/2018
    IT Partners, le rendez-vous de la communauté des décideurs du channel IT

    Le rendez-vous de la communauté des décideurs du channel IT français ouvrira ses portes les 14 et…

    en détail En détail...
  • 23/01/2018
    FIC 2018

    Pour son 10ème anniversaire, le Forum International de la Cybersécurité (FIC) réunira l’ensemble des acteurs…

    en détail En détail...
Appels d'offres en cours
  • Création d'un site e-commerce pour la vente de stickers et de tee-shirt
    < 1 500 €
    > En savoir plus
  • Création de site Internet vitrine pour un menuisier
    <1000 €
    > En savoir plus
  • Styliste/Modéliste pour la création de croquis de prêt-à-porter
    A déterminer €
    > En savoir plus
Global K_Data scientist_leaderboard

Kaspersky répare une faille dans ses solutions antivirus exposant les utilisateurs à des attaques man in the middle

NTT secu_Threat Intelligence report_pave

Le mécanisme de validation des certificats des solutions s’appuie sur des signatures de 32 bits faibles, révèle fin octobre l’un des chercheurs de sécurité les plus compétents de Google Project Zero, Tavis Ormandy. Depuis, Kaspersky a réparé la faille.

Tavis Ormandy s’aperçoit fin octobre d’une faille critique dans la fonctionnalité d’inspection du trafic SSL / TLS utilisée par Kaspersky Anti-Virus pour détecter les menaces potentielles cachées dans les connexions chiffrées. Une vulnérabilité qui désactive la vérification de certificat. Ce qui signifie que les hackers sont capables de faire passer des sites comme digne de confiance ou réaliser des attaques dites de  « l’homme du milieu » (man in the middle attacks ou MITM), qui interceptent les communications. « Ce rapport de bug sera révélé publiquement si un patch n’est pas largement disponible dans les 90 jours », prévient Tavis Ormandy. Le 1er novembre, Kaspersky fait savoir qu’il confirme le bug et qu’il le corrigera dans un avenir proche. Le 28 décembre, c’est réparé.

Kevin Bocek

Kevin Bocek

« Le problème me rappelle le « Superfish » de Lenovo – ce logiciel sur votre ordinateur exécute MITM et peut facilement être utilisé par des personnes malveillantes- . Il s’agit encore une fois d’un rappel sur la façon dont les clés et les certificats peuvent être mal utilisés : ils peuvent faire passer des sites comme dignes de confiance alors qu’ils ne le sont pas et intercepter des communications privées, explique Kevin Bocek, Chief Security Strategist chez Venafi. Malheureusement, les professionnels n’ont pas les outils ou la visibilité nécessaire pour protéger les clés et les certificats, les hackers ont alors les pleins pouvoirs. S’ils volent des centaines de millions de dossiers comme avec Yahoo! ou s’ils trompent les systèmes de sécurité gouvernementaux pour faire accepter de faux sites web, le pouvoir des clés et certificats pour activer le chiffrage et établir ce qui est censé être digne de confiance est une arme très puissante contre les attaques informatiques ».

Auteur : Juliette Paoli

Kaspersky répare une faille dans ses solutions antivirus exposant les utilisateurs à des attaques man in the middle
Notez cet article

Laisser un commentaire

Threat Intelligence Report

À travers sa plateforme de cyberveille mondiale, NTT Security analyse 40 % du trafic Internet dans le monde. Découvrez le dernier rapport du centre mondial de cyberveille (Global Threat Intelligence Center) sur l’état des menaces au troisième trimestre 2017

Lire le rapport

Sondage

Noël : quel cadeau High tech pour vous même ou vos proches? (3 choix possibles)

Voir les résultats

Loading ... Loading ...
Nos derniers dossiers
  • EDITO N°18

    La stratégie de l’extincteur Les feuilletons dramatiques de ces derniers mois ont été notamment les…

  • Réussir la transition vers le Cloud hybride

    Dans une approche Cloud hybride, les choix d’infrastructures et de partenaires sont structurants. Du serveur…

Témoignages
Juridique
  • RGPD : la CNIL regrette "le calendrier retenu pour l’adaptation du droit français"

    La CNIL a rendu le 30 novembre 2017 son avis sur le projet de loi…

    > En savoir plus...
Paroles d'experts
Paroles
d'experts
  • Expertise - "La méthode CRISP, une solution pour réussir vos projets Big Data", Alianor Sibai, mc2i Groupe

    Seuls 15% des projets Big Data atteindraient la phase d’industrialisation. Les raisons principales de cet échec…

    > En savoir plus...
Etudes/Enquêtes
  • La croissance des entreprises IT portée par le RGPD

    Editeurs, sociétés de conseils et de services : la conjoncture est bonne pour 2017, 2018…

    > En savoir plus...
newsletter
Inscription Newsletter

Restez informé. L’abonnement à la newsletter est gratuit.

> Abonnement

Guide de la cybersécurité 2017-2018

Global K_Data scientist_skycraper
Agenda
livres blancs
Les Livres
Blancs
  • Comment la signature électronique a permis à Salesforce, LinkedIn, et McAfee d’ améliorer leurs performances.

    > Voir le livre
  • Gestion des accès à privilèges

    > Voir le livre
elo_processus pointe_skyscraper