Heartbleed

Heartbleed est une vulnérabilité logicielle présente dans la bibliothèque de cryptographie open source OpenSSL à partir de , qui permet à un « attaquant » de lire la mémoire d'un serveur ou d'un client pour récupérer, par exemple, les clés privées utilisées lors d'une communication avec le protocole Transport Layer Security (TLS). Découverte en et rendue publique le , elle concerne de nombreux services Internet. Ainsi 17 % des serveurs web dits sécurisés, soit environ un demi-million de serveurs, auraient été touchés par la faille au moment de la découverte du bogue[1].

Symbole utilisé pour communiquer au sujet de la vulnérabilité Heartbleed.

Histoire

La vulnérabilité aurait été introduite par erreur[2] dans le référentiel d'OpenSSL, à la suite d'une proposition de correction de bugs et d'améliorations de fonctionnalités, par un développeur bénévole[2],[3]. La proposition a été examinée et validée par l'équipe d'OpenSSL le [4], et le code vulnérable a été ajouté dans la version 1.0.1 d'OpenSSL, le [5],[6],[7].

En , le bug a été découvert, de manière indépendante, par l'équipe sécurité de Google et par des ingénieurs de la société finlandaise Codenomicon[8],[7].

Conséquences
Explication de la faille Heartbleed

Cette faille pourrait permettre à des internautes mal intentionnés de récupérer des informations situées sur les serveurs d'un site vulnérable, à l'insu de l'utilisateur qui les possède. Ces informations personnelles sont censées être inaccessibles et protégées, mais cependant plusieurs experts ont retrouvé des mots de passe d'utilisateurs de sites victimes. Néanmoins, un informaticien de Google ayant participé à la correction de la faille reste plus mesuré et écrit n'avoir vu que des informations parcellaires ou ne pas avoir vu d'informations sensibles[9].

La vulnérabilité a mis en évidence le manque de moyens des logiciels libres tels que OpenSSL et a mené à un projet de financement groupé de ces derniers par de nombreuses entreprises informatiques majeures (Amazon Web Services, Microsoft, Google, Facebook, etc.). Ce projet commun est nommé Core Infrastructure Initiative[10],[11],[12].

Les résultats d'audit semblent montrer que certains « attaquants » peuvent avoir exploité la faille pendant au moins cinq mois avant qu'elle ne soit officiellement découverte et corrigée[13],[14].

Les appareils sous Android 4.1.1 sont concernés par la faille, soit un peu moins de 10 % des appareils actifs[15].

L'influence possible de la faille a d'abord été abordé par le principe de précaution, de nombreux sites demandant à leurs utilisateurs de changer leur mot de passe après avoir appliqué les mises à jour de sécurité. Le , CloudFlare explique que ses spécialistes en sécurité n'ont pas réussi à exploiter la faille pour extraire des clés de sécurité SSL, en déduisant que les risques encourus sont peut-être moins importants que prévu[16]. Pour le vérifier l'entreprise lance un concours d'exploitation de la faille, qui est remporté dans la journée par deux personnes[17].

Selon Bloomberg, la National Security Agency (NSA) a exploité la faille pendant au moins deux ans, pour des opérations de surveillance et d'espionnage[18]. L'agence dément le jour même[19].

Des experts, dont Johannes Ullrich du SANS Institute, indiquent que la mise à jour des certificats de sécurité des navigateurs web ralentirait l'accès à certains sites[20].

Le site de Filippo Valsorda permet de tester si un site est vulnérable ou non[9].

Versions vulnérables
  • Les versions antérieures (0.9.8 et 1.0.0) d'OpenSSL ne sont pas vulnérables à ce bug[7].
  • Les versions 1.0.1 (disponibles depuis ) à 1.0.1f (incluse) d'OpenSSL sont vulnérables[7].
  • La version 1.0.1g disponible depuis le corrige le bug[7].

Services et logiciels affectés

Sites internet

Les sites suivants ont été affectés ou ont fait des annonces recommandant à leurs utilisateurs de changer leurs mots de passe, à la suite du bug :

Applications

De nombreuses applications sont affectées par ce bug. Les éditeurs fournissent des mises à jour, par exemple :

  • IPCop a publié le une version 2.1.4a afin de corriger le bug[45] ;
  • L'application de gestion de mots de passe en ligne LastPass Password Manager (en) ;
  • LibreOffice 4.2.3 publiée le [46] ;
  • LogMeIn indique proposer la mise à jour de nombreux produits qui reposaient sur OpenSSL[47] ;
  • Serveurs d'applications HP[48] ;
  • McAfee[49] ;
  • VMware series[50].

Des services de jeux en ligne comme Steam, Minecraft, League of Legends, GOG.com, Origin Systems, Secret of Evermore, Humble Bundle, et Path of Exile sont aussi affectés[51].

Systèmes d'exploitation

Notes et références
  1. (en) « Half a million widely trusted websites vulnerable to Heartbleed bug »(Archive.org • Wikiwix • Archive.is • Google • Que faire ?) (consulté le ), Netcraft, 8 avril 2014.
  2. (en) « Man who introduced serious 'Heartbleed' security flaw denies he inserted it deliberately », Sydney Morning Herald, .
  3. « Meet the man who created the bug that almost broke the Internet », Globe and Mail,‎ (lire en ligne).
  4. « #2658: [PATCH] Add TLS/DTLS Heartbeats », OpenSSL, .
  5. (en) Codenomicon Ltd, « Heartbleed Bug », (consulté le ).
  6. (en) Dan Goodin, « Critical crypto bug in OpenSSL opens two-thirds of the Web to eavesdropping », Ars Technica, (consulté le ).
  7. Site d'information sur le bug - heartbleed.com, le 12 avril 2014.
  8. Premier email d'information sur le bug, 6 avril 2014, Site du référentiel d'OpenSSL.
  9. « Que sait-on de « Heartbleed », l'inquiétante faille de sécurité sur Internet ? », Le Monde,‎ (lire en ligne, consulté le ).
  10. (en-US) « Group Backed by Google, Microsoft to Help Fund OpenSSL and Other Open Source Projects », Threatpost | The first stop for security news,‎ (lire en ligne, consulté le )
  11. « Heartbleed : les géants du Net au secours des projets Open Source clés », Silicon,‎ (lire en ligne, consulté le )
  12. Nicole Perlroth, « Companies Back Initiative to Support OpenSSL and Other Open-Source Projects », sur Bits Blog (consulté le )
  13. (en-US) Sean Gallagher, « Heartbleed vulnerability may have been exploited months before patch [Updated] », Ars Technica,‎ (lire en ligne, consulté le )
  14. (en) Peter Eckersley, « Wild at Heart: Were Intelligence Agencies Using Heartbleed in November 2013? », Electronic Frontier Foundation,‎ (lire en ligne, consulté le )
  15. (en) Jordan Robertson, « Millions of Android Devices Vulnerable to Heartbleed Bug », sur Bloomberg, (consulté le ).
  16. (en) Nick Sullivan, « Answering the Critical Question: Can You Get Private SSL Keys Using Heartbleed? », sur CloudFlare, (consulté le ).
  17. (en) « The Heartbleed Challenge »(Archive.org • Wikiwix • Archive.is • Google • Que faire ?), sur CloudFlare.
  18. (en) Michael Riley, « NSA Said to Exploit Heartbleed Bug for Intelligence for Years », sur Bloomberg, (consulté le ).
  19. (en) ODNI Public Affairs Office, « IC on the Record », sur Office of the Director of National Intelligence, Tumblr, (consulté le ).
  20. « Heartbleed : attendez-vous à des lenteurs sur Internet », sur Le Figaro, (consulté le ).
  21. « Heartbleed FAQ: Akamai Systems Patched », Akamai Technologies,‎ (lire en ligne).
  22. « AWS Services Updated to Address OpenSSL Vulnerability », Amazon Web Services,‎ (lire en ligne).
  23. « Dear readers, please change your Ars account passwords ASAP », Ars Technica,‎ (lire en ligne).
  24. « All Heartbleed upgrades are now complete », BitBucket Blog,‎ (lire en ligne).
  25. « Keeping Your BrandVerity Account Safe from the Heartbleed Bug », BrandVerity Blog,‎ (lire en ligne).
  26. « Twitter / freenodestaff: we've had to restart a bunch... », .
  27. « Security: Heartbleed vulnerability », GitHub,‎ (lire en ligne).
  28. « IFTTT Says It Is 'No Longer Vulnerable' To Heartbleed », LifeHacker,‎ (lire en ligne).
  29. « Heartbleed bug and the Archive | Internet Archive Blogs », Blog.archive.org, (consulté le ).
  30. « Twitter / KrisJelbring: If you logged in to any of », Twitter.com, (consulté le ).
  31. Leo Kelion, « BBC News - Heartbleed hacks hit Mumsnet and Canada's tax agency », BBC News, .
  32. (en) « The widespread OpenSSL ‘Heartbleed’ bug is patched in PeerJ », PeerJ,‎ (lire en ligne).
  33. « Was Pinterest impacted by the Heartbleed issue? », Help Center, Pinterest (consulté le ).
  34. « Heartbleed Defeated »(Archive.org • Wikiwix • Archive.is • Google • Que faire ?) (consulté le ).
  35. Staff, « We recommend that you change your reddit password », Reddit, (consulté le ).
  36. « IMPORTANT ANNOUNCEMENTS FROM THE MAKERS OF CHILI » (consulté le ).
  37. Brendan Codey, « Security Update: We’re going to sign out everyone today, here’s why », SoundCloud,‎ (lire en ligne).
  38. "ctsai", « SourceForge response to Heartbleed », SourceForge,‎ (lire en ligne).
  39. « Heartbleed », SparkFun,‎ (lire en ligne).
  40. « Heartbleed », Stripe (company),‎ (lire en ligne, consulté le ).
  41. « Tumblr Staff-Urgent security update », (consulté le ).
  42. Alex Hern, « Heartbleed: don't rush to update passwords, security experts warn », The Guardian,‎ (lire en ligne).
  43. Greg Grossmeier, « Wikimedia's response to the "Heartbleed" security vulnerability », Wikimedia Foundation blog, Wikimedia Foundation, (consulté le ).
  44. « Wunderlist & the Heartbleed OpenSSL Vulnerability », .
  45. (en) IPCop, « IPCop 2.1.4 is released », SourceForge electronic mailing lists, (consulté le ).
  46. (en) italovignoli, « LibreOffice 4.2.3 is now available for download » [archive du ], sur The Document Foundation, (consulté le ).
  47. « LogMeIn and OpenSSL », LogMeIn,‎ (lire en ligne, consulté le ).
  48. « HP Servers Communication: OpenSSL "HeartBleed" Vulnerability »(Archive.org • Wikiwix • Archive.is • Google • Que faire ?), .
  49. « McAfee Security Bulletin – OpenSSL Heartbleed vulnerability patched in McAfee products », sur McAfee KnowledgeBase, McAfee, .
  50. « Response to OpenSSL security issue CVE-2014-0160/CVE-2014-0346 a.k.a: "Heartbleed" », VMware, Inc (consulté le ).
  51. Paul Younger, « PC game services affected by Heartbleed and actions you need to take »(Archive.org • Wikiwix • Archive.is • Google • Que faire ?), IncGamers, .
  52. (en) « Heartbleed: Android 4.1.1 Jelly Bean could be seriously affected », BGR Media, .
  53. Alexis Kleinman, « The Heartbleed Bug Goes Even Deeper Than We Realized – Here's What You Should Do », The Huffington Post,‎ (lire en ligne).
  54. (en) Danny Yadron, « Heartbleed Bug Found in Cisco Routers, Juniper Gear »(Archive.org • Wikiwix • Archive.is • Google • Que faire ?), Dow Jones & Company, Inc, .
  55. (en) « Cisco Security Advisory: OpenSSL Heartbeat Extension Vulnerability in Multiple Cisco Products »(Archive.org • Wikiwix • Archive.is • Google • Que faire ?), Cisco, .
  56. (en) « 2014-04 Out of Cycle Security Bulletin: Multiple products affected by OpenSSL "Heartbleed" issue (CVE-2014-0160) », Juniper Networks, .
  57. (en) « Heartbleed Bug Issue », Western Digital,‎ (lire en ligne).

Annexes

Articles connexes

Liens externes
  • Portail de la cryptologie
  • Portail de la sécurité de l’information
  • Portail de la sécurité informatique
Cet article est issu de Wikipedia. Le texte est sous licence Creative Commons - Attribution - Partage dans les Mêmes. Des conditions supplémentaires peuvent s'appliquer aux fichiers multimédias.