Ouvrir

À suivre

Rendez-vous

Rejouer


LES DERNIÈRES ÉMISSIONS

UN ŒIL SUR LES MÉDIAS

Le gouvernement israélien utilise la mort de James Foley pour sa communication

En savoir plus

7 JOURS EN FRANCE

Une rentrée politique sous tension

En savoir plus

#ActuElles

Réfugiés de Centrafrique: préserver son honneur et sa dignité

En savoir plus

JOURNAL DE L’AFRIQUE

RDC : L'opposant Tshisekedi en convalescence à Bruxelles

En savoir plus

JOURNAL DE L’AFRIQUE

Centrafrique : manifestations contre la France au PK5

En savoir plus

CAP AMÉRIQUES

Émeutes de Ferguson : Obama face à la question raciale

En savoir plus

TECH 24

Transports du futur : quand la réalité dépasse la fiction

En savoir plus

À L’AFFICHE !

Philippe Ramette fait son éloge de la contemplation

En savoir plus

DÉBAT

UE - États-Unis - Russie : le double-jeu des sanctions

En savoir plus

  • Montebourg : la France "ne peut plus se laisser faire" face à l'Allemagne

    En savoir plus

  • Vidéo : destruction de la maison d'un membre du Hamas à Hébron

    En savoir plus

  • Angela Merkel est à Kiev, le convoi russe a quitté l'Ukraine

    En savoir plus

  • RD Congo : les victimes du "colonel 106" racontent leur calvaire

    En savoir plus

  • Les deux nouveaux satellites Galileo placés sur la mauvaise orbite

    En savoir plus

  • Le Hamas signe la demande d’adhésion palestinienne à la CPI

    En savoir plus

  • 2e division blindée : "Nous étions des frères"

    En savoir plus

  • Philippe Ramette fait son éloge de la contemplation

    En savoir plus

  • Attentat-suicide meurtrier contre le QG des renseignements à Bagdad

    En savoir plus

  • Gaza : intensification des frappes après la mort d’un enfant israélien

    En savoir plus

  • Meurtre de James Foley : Washington n'exclut pas de frapper l'EI en Syrie

    En savoir plus

  • Un nouveau gouvernement de large ouverture formé en Centrafrique

    En savoir plus

  • Vidéo : après la reprise du barrage de Mossoul, les Kurdes déminent la zone

    En savoir plus

  • Doublé historique des Français au 100 m libre, Manaudou décroche l'or

    En savoir plus

  • Quelles options pour l’administration Obama contre l’EI en Syrie ?

    En savoir plus

Economie

Le bug qui incite le monde entier à changer ses mots de passe

© thinkstockphotos.fr

Texte par Sébastian SEIBT

Dernière modification : 10/04/2014

Il s’appelle Heartbleed et c’est un bug informatique qui a, durant deux ans, laissé à la portée du premier cybercriminel venu des données sensibles stockées sur la grande majorité des sites pourtant dits sécurisés.

Le Canada a décidé, mercredi 9 avril, de suspendre la possibilité de déclarer ses revenus en ligne. Cette mesure illustre la panique qui s’est emparée du Net depuis la découverte, lundi 7 avril, d’une faille de sécurité à même de mettre à nu tous les internautes ayant partagé des données confidentielles avec un site soi-disant sûr, comme celui des impôts canadiens.

Depuis le début de la semaine, le petit cadenas dans la barre d’adresse d’un site, censé indiquer que l’on est en terrain sécurisé, a perdu une grande partie de sa crédibilité. C’est tout le problème du bug, baptisé "Heartbleed", au cœur de ce nouveau scandale mis à jour par Codenomicon, une société de sécurité informatique, et une équipe de chercheurs de Google. Les développeurs de l’OpenSSL, l'outil mis en cause, ont reconnu que plusieurs de ses versions étaient défaillantes.

Environ 75 % des sites internet - dont Gmail, Yahoo, les impôts canadiens ou encore Tumblr (populaire site de blogging) - utilisent pour crypter les communications entre leur serveur et les internautes un outil de chiffrement des données, appelé OpenSSL. Or depuis deux ans, cette bibliothèque de cryptage avait une énorme faille. “C’est potentiellement très grave car l’OpenSSL est utilisé par la plupart des sites bancaires, des messageries électroniques ou des plateformes de discussion en ligne”, précise Jean-François Beuze, fondateur de la société française de sécurité informatique Sifaris.

Surtout, pas besoin d’être particulièrement à la pointe de l’informatique pour exploiter le bug. Il suffit d’envoyer un message informatique sous forme de “bip”, variante de la requête classique “heartbeat” qui vérifie l’état de la connexion à un site protégé, pour avoir accès aux données stockées dans la mémoire du serveur. Pour schématiser, c’est un peu comme si un cambrioleur venait frapper à la porte d’une maison pour savoir si quelqu’un était là et qu’au lieu de répondre, le propriétaire venait ouvrir et remettait au voleur les bijoux de la famille.

Bug corrigé, problème pas encore réglé

“C’est une faille gigantesque qui permet à quelqu’un qui la connaissait d’aller récupérer sans problème des numéros de cartes de crédit, des identifiants de boîtes de messageries, ou de réseaux sociaux et même les clefs de chiffrement utilisés par les sites qu’on pensait jusqu’à présent sécurisés”, explique Jean-François Dufour. Devant l’ampleur du problème, les experts en informatique exhortent ces derniers jours les internautes à changer leurs principaux mots de passe.

Ils peuvent difficilement être plus précis : “personne ne sait si des cybercriminels ont déjà exploité cette faille, et quels sont les sites compromis, car le ‘bip’ utilisé pour forcer la serrure du OpenSSL ne laisse pas de traces distinctifs”, explique Jean-François Dufour. En clair, pas la peine de se plaindre auprès de sa banque si quelqu’un utilise dans quelques mois un numéro de compte volé grâce à “Heartbleed” car la banque n’y est pour rien et ne pouvait pas savoir. C’est peut-être l’aspect le plus inquiétant : on ne sait pas qui a été victime, si même il y a eu des victimes, et il n’y a aucun moyen de le savoir.

Certes, la plupart des sites potentiellement affectés ont appliqué - ou sont en train de le faire - la nouvelle mise à jour d’OpenSSL pour arrêter l’hémorragie de données. Mais ça ne règle qu’une partie du problème. Certes, les cybercriminels ne peuvent plus entrer sans frapper. Mais, des clefs de chiffrement tout à fait valables sont peut-être encore dans la nature après avoir été dérobées grâce à ce bug. Avec elles, les pirates informatiques peuvent lire en clair et en direct les données échangées entre un internaute et un site. La page du scandale “Heartbleed” ne sera, donc, définitivement tournée une fois que toutes ces clefs de chiffrement auront été renouvelées, ce qui coûte de l’argent et prend du temps.

Première publication : 10/04/2014

  • INTERNET

    Quand les pirates informatiques sortent la "Grosse Bertha"

    En savoir plus

  • INTERNET

    Le réfrigérateur connecté, nouvelle cible des pirates informatiques

    En savoir plus

  • CYBERSÉCURITÉ

    Aux États-Unis, le hold-up numérique du siècle

    En savoir plus

COMMENTAIRE(S)