URL: https://linuxfr.org/news/taxonomie-des-attaques-heartbleed Title: Taxonomie des attaques Heartbleed Authors: pabr Benoît Sibaud, ZeroHeure, Florent Zara et Xavier Teyssier Date: 2014年04月19日T15:30:15+02:00 License: CC By-SA Tags: heartbleed, heartbeat, faille et faille_tls Score: 27 Pour ceux qui se demandent encore si ils doivent vraiment changer leurs mots de passe suite à l'[affaire Heartbleed](//linuxfr.org/news/nouvelle-vulnerabilite-dans-l-implementation-openssl), qui veulent comprendre pourquoi il ne fallait pas le faire trop tôt, ou qui n'ont pas vérifié si leur navigateur détecte les certificats révoqués, l'article _Taxonomie des attaques Heartbleed_ recense et explique schématiquement les diverses attaques rendues possibles par le bug, y compris contre les logiciels clients (_reverse heartbleed_), Tor et les VPN. ![logo Heartbleed](http://openclipart.org/image/300px/svg_to_png/192604/Heartbleed-Patch-Needed.png) « _Heartbleed_ » est une des pires failles qui soient arrivées à la sécurité sur Internet. À cause d'elle, les pirates ont pu ou peuvent obtenir des données confidentielles sans avoir besoin d'intercepter les échanges. Après les premières réactions centrées sur la mise à jour des serveurs web vulnérables, la révocation des certificats et le renouvellement des mots de passe, il a fallu quelques jours de plus pour comprendre que la faille Heartbleed affecte également les logiciels clients, les échanges SSL/TLS autres que HTTPS, et une multitude d'appareils embarqués qui ne recevront jamais de mise à jour logicielle. Plus de détails dans la suite de la dépêche. ---- [Taxonomie des attaques Heartbleed ](http://www.pabr.org/heartbleedtax/heartbleedtax.fr.html) [A taxonomy of Heartbleed attacks ](http://www.pabr.org/heartbleedtax/heartbleedtax.en.html) ---- Scénarios d'attaques et contre-mesures : * Extraction de données sensible depuis un serveur HTTPS vulnérable * Extraction de données d'authentification depuis un serveur HTTPS vulnérable * Détournement de session sur un serveur HTTPS vulnérable * Extraction de la clé privée SSL d'un serveur HTTPS vulnérable> * Déchiffrement d'interceptions anciennes * Déchiffrement d'interceptions récentes * Imitation de sites sécurisés * Extraction de données depuis un navigateur HTTPS vulnérable, par phishing * Extraction de données depuis un navigateur HTTPS vulnérable, via des liens tiers * Extraction de données depuis un aspirateur d'URL vulnérables * Analyse et corrélation de trafic Tor * Identification de serveurs cachés et d'utilisateurs par des noeuds Tor hostiles * Attaques contre les services VPN * Attaques contre les proxys HTTPS vulnérables Au delà de HTTPS, de nombreux services et protocoles basés sur SSL/TLS risquent d'être touchés par la faille Heartbleed : * le système sécurisé de noms de domaine DNSSEC ; * des tiers de confiance d'horodatage ou de notarisation, où les clés privées sont utilisées à des fins de signature plutôt que de chiffrement ; * des systèmes de téléchargement automatique de mises à jour de logiciels ; * les protocoles d'authentification RADIUS, Diameter, etc ; * le courriel avec SMTPS, POP3S, IMAPS ; * la voix/vidéo sur IP avec SIPS ; * des systèmes de monnaie électronique et des applications de porte-monnaie ; * des infrastructures de développement open-source (git). ------------ NdM : voir aussi les journaux sur [l'émission 14h42](//linuxfr.org/users/jarvis/journaux/video-heartbleed-pour-les-nuls), la [sélection du meilleur des journalistes](//linuxfr.org/users/perdu/journaux/heartbleed-petit-best-of-des-journalistes), le [fork d'Openssl par OpenBSD](//linuxfr.org/users/anaseto/journaux/journal-bookmark-vers-un-fork-d-openssl), etc. Et d'autres liens comme [Heartbleed : des cas français existent et les banques ne sont pas épargnées (NextINpact)](http://www.nextinpact.com/news/87032-heartbleed-cas-francais-existent-et-banques-ne-sont-pas-epargnees.htm), [HeartBleed : une chance qu'OpenSSL soit un logiciel libre ! (April)](http://www.april.org/heartbleed-une-chance-quopenssl-soit-un-logiciel-libre). [la réaction de la CNIL](http://www.cnil.fr/linstitution/actualite/article/article/faille-de-securite-heartbleed-comment-reagir/), les [recommandations de l'ANSSI](http://www.ssi.gouv.fr/fr/menu/actualites/importante-faille-de-securite-dans-openssl-les-recommandations-de-l-anssi.html), [Bug Heartbleed, vers un ralentissement mondial du Web ? (ZdNet)](http://www.zdnet.fr/actualites/bug-heartbleed-vers-un-ralentissement-mondial-du-web-39800033.htm), etc.

AltStyle によって変換されたページ (->オリジナル) /