Il est urgent d’abandonner SSL 3.0 : voilà la message communiqué ce mardi par les dénommés Bofo Mömmer, Thai Duong et Krzysztof Kotowicz, chercheurs en sécurité chez Google.
Les trois associés ont découvert une vulnérabilité dans cette ancienne version – 18 ans d’âge – du protocole de chiffrement utilisé notamment pour sécuriser les connexions aux sites Web. Répertoriée CVE-2014-3566, la faille en question est considérée d’une moindre importance par rapport à Shellshock et Heartbleed, mais elle représente tout de même une menace majeure.
Un pirate qui parvient à intercepter le trafic acheminé en SSL 3.0 entre un poste client et un serveur (via une attaque de type « man-in-the-middle » exploitant par exemple un point Wi-Fi malveillant) peut ensuite le déchiffrer et récupérer des informations comme les cookies de session. Ces derniers permettent d’accéder à des services en ligne sécurisés sans disposer du mot de passe de l’utilisateur, aussi longtemps que celui-ci ne se déconnecte pas.
La vulnérabilité réside uniquement dans la version 3.0 du protocole SSL, encore très répandue, bien que progressivement remplacée par ses successeurs TLS 1.0, 1.1 et 1.2. De nombreux produits et services ont en l’occurrence implémenté une rétrocompatibilité pour assurer une meilleure expérience utilisateur. C’est le cas des navigateurs Web, qui se rabattent sur SSL 3.0 lorsqu’il rencontrent des problèmes de connexion à des serveurs HTTPS avec des protocoles plus récents.
En forçant ces erreurs de connexion, des tiers peuvent pousser le butineur à utiliser SSL 3.0… et ainsi lancer cette attaque que Google appelle POODLE, pour « Padding Oracle On Downgraded Legacy Encryption » (voir la synthèse au format PDF).
Dans l’absolu, désactiver le support de SSL 3.0 – ou de son mécanisme de chiffrement CBC – suffit à résoudre le problème. CloudFlare a appliqué cette démarche pour son infrastructure CDN, en faisant fi des problèmes de compatibilité qui se posent notamment avec Internet Explorer 6 et Windows XP.
Google recommande plutôt d’implémenter TLS_FALLBACK_SCSV (« Transport Layer Security Signalling Cipher Suite Value »), qui empêche les sites Web de basculer en SSL 3.0 (et que Chrome prend en charge depuis février). Le groupe Internet se donne quelques mois pour retirer le support de ce protocole sur l’ensemble de ses produits. Les tests ont débuté ce mardi 14 octobre sur Chrome.
Côté utilisateur, il est possible de désactiver SSL 3.0 dans Chrome avec la commande –ssl-version-min=tls1. Dans Firefox, il faut mettre à 1 la valeur correspondant à security.tls.version.min.
—— A voir aussi ——
Quiz ITespresso.fr : connaissez-vous bien les services de photo en ligne ?
Crédit photo : igor.stevanovic – Shutterstock.com
Equipés de NPU, les PC Copilot+ peuvent déployer des LLM en local. Un argument suffisant…
Que vous soyez un novice dans le domaine informatique, ou avec un profil plus expérimenté,…
Les attaques de phishing utilisant des QR codes frauduleux intégrés dans des documents PDF joints…
Microsoft a amorcé le déploiement de Windows 11 24H2. Passage en revue des nouvelles fonctionnalités…
L'intégration de Copilot dans la suite bureautique s'accélère. Où trouver l'assistant IA et comment l'utiliser…
Microsoft annonce une phase expérimentale pour lancer Recall sur les PC Copilot+. Elle doit commencer…