Ouvrir

À suivre

Rendez-vous

Rejouer


LES DERNIÈRES ÉMISSIONS

DÉBAT

Hollande face à la presse : le chef de l'État a tenu sa conférence semestrielle

En savoir plus

CAP AMÉRIQUES

La stratégie des États-Unis face à l'organisation de l'EI

En savoir plus

FOCUS

Thaïlande : le business lucratif des mères porteuses

En savoir plus

À L’AFFICHE !

Niki de Saint-Phalle, une "nana" militante et engagée

En savoir plus

LE JOURNAL DE L'ÉCONOMIE

Les incertitudes économiques d'une Écosse indépendante

En savoir plus

REVUE DE PRESSE

"DDay"

En savoir plus

REVUE DE PRESSE

"Kilt ou double"

En savoir plus

JOURNAL DE L’AFRIQUE

Ebola : une volontaire française de MSF contaminée

En savoir plus

SUR LE NET

Iran : les jeunes internautes contournent la censure

En savoir plus

  • Écosse : "Quel que soit le résultat, il va y avoir beaucoup de mécontents"

    En savoir plus

  • Frappes en Irak, croissance, Europe : les principales annonces de Hollande

    En savoir plus

  • Cinq casques bleus tchadiens tués dans le nord du Mali

    En savoir plus

  • Thaïlande : le business lucratif des mères porteuses

    En savoir plus

  • Alex Salmond, le visage d'une Écosse qui rêve d'indépendance

    En savoir plus

  • L'Australie, une cible de choix pour l'organisation de l'EI ?

    En savoir plus

  • Yacine Brahimi, la pépite algérienne révélée par Porto

    En savoir plus

  • Belgique : l'euthanasie d'un violeur inquiète les partisans de la mort assistée

    En savoir plus

  • Peu importe l’issue du référendum, "l’Écosse ne sera plus jamais la même"

    En savoir plus

  • Livraison d'armes aux rebelles syriens : le Congrès américain doit se prononcer

    En savoir plus

  • Vladimir Evtouchenkov, le nouvel oligarque dans le viseur du Kremlin

    En savoir plus

  • Parcours sans-faute des Bleues vers le Mondial-2015

    En savoir plus

  • Une star de la Silicon Valley rachète le château de Pommard

    En savoir plus

  • Le sulfureux maire de Toronto atteint d'un cancer rare et agressif

    En savoir plus

  • "Hollande renvoie l’image de quelqu’un de trop optimiste"

    En savoir plus

Economie

Le bug qui incite le monde entier à changer ses mots de passe

© thinkstockphotos.fr

Texte par Sébastian SEIBT

Dernière modification : 10/04/2014

Il s’appelle Heartbleed et c’est un bug informatique qui a, durant deux ans, laissé à la portée du premier cybercriminel venu des données sensibles stockées sur la grande majorité des sites pourtant dits sécurisés.

Le Canada a décidé, mercredi 9 avril, de suspendre la possibilité de déclarer ses revenus en ligne. Cette mesure illustre la panique qui s’est emparée du Net depuis la découverte, lundi 7 avril, d’une faille de sécurité à même de mettre à nu tous les internautes ayant partagé des données confidentielles avec un site soi-disant sûr, comme celui des impôts canadiens.

Depuis le début de la semaine, le petit cadenas dans la barre d’adresse d’un site, censé indiquer que l’on est en terrain sécurisé, a perdu une grande partie de sa crédibilité. C’est tout le problème du bug, baptisé "Heartbleed", au cœur de ce nouveau scandale mis à jour par Codenomicon, une société de sécurité informatique, et une équipe de chercheurs de Google. Les développeurs de l’OpenSSL, l'outil mis en cause, ont reconnu que plusieurs de ses versions étaient défaillantes.

Environ 75 % des sites internet - dont Gmail, Yahoo, les impôts canadiens ou encore Tumblr (populaire site de blogging) - utilisent pour crypter les communications entre leur serveur et les internautes un outil de chiffrement des données, appelé OpenSSL. Or depuis deux ans, cette bibliothèque de cryptage avait une énorme faille. “C’est potentiellement très grave car l’OpenSSL est utilisé par la plupart des sites bancaires, des messageries électroniques ou des plateformes de discussion en ligne”, précise Jean-François Beuze, fondateur de la société française de sécurité informatique Sifaris.

Surtout, pas besoin d’être particulièrement à la pointe de l’informatique pour exploiter le bug. Il suffit d’envoyer un message informatique sous forme de “bip”, variante de la requête classique “heartbeat” qui vérifie l’état de la connexion à un site protégé, pour avoir accès aux données stockées dans la mémoire du serveur. Pour schématiser, c’est un peu comme si un cambrioleur venait frapper à la porte d’une maison pour savoir si quelqu’un était là et qu’au lieu de répondre, le propriétaire venait ouvrir et remettait au voleur les bijoux de la famille.

Bug corrigé, problème pas encore réglé

“C’est une faille gigantesque qui permet à quelqu’un qui la connaissait d’aller récupérer sans problème des numéros de cartes de crédit, des identifiants de boîtes de messageries, ou de réseaux sociaux et même les clefs de chiffrement utilisés par les sites qu’on pensait jusqu’à présent sécurisés”, explique Jean-François Dufour. Devant l’ampleur du problème, les experts en informatique exhortent ces derniers jours les internautes à changer leurs principaux mots de passe.

Ils peuvent difficilement être plus précis : “personne ne sait si des cybercriminels ont déjà exploité cette faille, et quels sont les sites compromis, car le ‘bip’ utilisé pour forcer la serrure du OpenSSL ne laisse pas de traces distinctifs”, explique Jean-François Dufour. En clair, pas la peine de se plaindre auprès de sa banque si quelqu’un utilise dans quelques mois un numéro de compte volé grâce à “Heartbleed” car la banque n’y est pour rien et ne pouvait pas savoir. C’est peut-être l’aspect le plus inquiétant : on ne sait pas qui a été victime, si même il y a eu des victimes, et il n’y a aucun moyen de le savoir.

Certes, la plupart des sites potentiellement affectés ont appliqué - ou sont en train de le faire - la nouvelle mise à jour d’OpenSSL pour arrêter l’hémorragie de données. Mais ça ne règle qu’une partie du problème. Certes, les cybercriminels ne peuvent plus entrer sans frapper. Mais, des clefs de chiffrement tout à fait valables sont peut-être encore dans la nature après avoir été dérobées grâce à ce bug. Avec elles, les pirates informatiques peuvent lire en clair et en direct les données échangées entre un internaute et un site. La page du scandale “Heartbleed” ne sera, donc, définitivement tournée une fois que toutes ces clefs de chiffrement auront été renouvelées, ce qui coûte de l’argent et prend du temps.

Première publication : 10/04/2014

  • INTERNET

    Quand les pirates informatiques sortent la "Grosse Bertha"

    En savoir plus

  • INTERNET

    Le réfrigérateur connecté, nouvelle cible des pirates informatiques

    En savoir plus

  • CYBERSÉCURITÉ

    Aux États-Unis, le hold-up numérique du siècle

    En savoir plus

COMMENTAIRE(S)