Il est urgent d’abandonner SSL 3.0 : voilà la message communiqué ce mardi par les dénommés Bofo Mömmer, Thai Duong et Krzysztof Kotowicz, chercheurs en sécurité chez Google.
Les trois associés ont découvert une vulnérabilité dans cette ancienne version – 18 ans d’âge – du protocole de chiffrement utilisé notamment pour sécuriser les connexions aux sites Web. Répertoriée CVE-2014-3566, la faille en question est considérée d’une moindre importance par rapport à Shellshock et Heartbleed, mais elle représente tout de même une menace majeure.
Un pirate qui parvient à intercepter le trafic acheminé en SSL 3.0 entre un poste client et un serveur (via une attaque de type « man-in-the-middle » exploitant par exemple un point Wi-Fi malveillant) peut ensuite le déchiffrer et récupérer des informations comme les cookies de session. Ces derniers permettent d’accéder à des services en ligne sécurisés sans disposer du mot de passe de l’utilisateur, aussi longtemps que celui-ci ne se déconnecte pas.
La vulnérabilité réside uniquement dans la version 3.0 du protocole SSL, encore très répandue, bien que progressivement remplacée par ses successeurs TLS 1.0, 1.1 et 1.2. De nombreux produits et services ont en l’occurrence implémenté une rétrocompatibilité pour assurer une meilleure expérience utilisateur. C’est le cas des navigateurs Web, qui se rabattent sur SSL 3.0 lorsqu’il rencontrent des problèmes de connexion à des serveurs HTTPS avec des protocoles plus récents.
En forçant ces erreurs de connexion, des tiers peuvent pousser le butineur à utiliser SSL 3.0… et ainsi lancer cette attaque que Google appelle POODLE, pour « Padding Oracle On Downgraded Legacy Encryption » (voir la synthèse au format PDF).
Dans l’absolu, désactiver le support de SSL 3.0 – ou de son mécanisme de chiffrement CBC – suffit à résoudre le problème. CloudFlare a appliqué cette démarche pour son infrastructure CDN, en faisant fi des problèmes de compatibilité qui se posent notamment avec Internet Explorer 6 et Windows XP.
Google recommande plutôt d’implémenter TLS_FALLBACK_SCSV (« Transport Layer Security Signalling Cipher Suite Value »), qui empêche les sites Web de basculer en SSL 3.0 (et que Chrome prend en charge depuis février). Le groupe Internet se donne quelques mois pour retirer le support de ce protocole sur l’ensemble de ses produits. Les tests ont débuté ce mardi 14 octobre sur Chrome.
Côté utilisateur, il est possible de désactiver SSL 3.0 dans Chrome avec la commande –ssl-version-min=tls1. Dans Firefox, il faut mettre à 1 la valeur correspondant à security.tls.version.min.
—— A voir aussi ——
Quiz ITespresso.fr : connaissez-vous bien les services de photo en ligne ?
Crédit photo : igor.stevanovic – Shutterstock.com
Les dernières migrations de Windows 10 vers Windows 11 vont accélérer l'adoption des PC IA. Mais des…
L’IA générative excelle dans plusieurs cas d’usage, notamment dans l’analyse, la recherche et la synthèse…
Trop tôt pour envisager d'acquérir un PC Copilot+ ? Les roadmaps d'Intel et d'AMD peuvent…
Dévoilés lors du CES 2025, les PC Copilot+ au format convertible restent encore limitée dans…
Les fonctionnalités de Gemini sont intégrées dans la suite bureautique Google Workspace. Conséquence : les…
Au CES 2025, les principaux constructeurs ont annoncé l'arrivée des ordinateurs de bureau dotés de…
