Faille : SSL (ou TLS) est souvent mal installé -affirme Qualys

Plus l’algorithme ou le protocole de sécurité est répandu, plus il est exposé à la vindicte de hackers malveillants, toujours en quête d' »exploits », voire de fraudes -vol de codes confidentiels, notamment.
Le protocole d’authentification TSL (Transport Layer Security), plus couramment désigné SSL (Secure Sockets Layer), fait l’objet d’un rappel à l’ordre. Philippe Courtot, fondateur de Qualys, vient de ré-expliquer qu’une implémentation non correcte peut conduire à des vulnérabilités, donc des risque d’attaques. Risques qui s’ajoutent au phénomène des faux certificats (cf. article: ‘Google part en guerre contre les faux certificats SSL‘)
Pour mémoire, TLS (ou SSL) sécurise les échanges sur Internet, pièce maîtresse de l’authentification. Wikipédia rappelle qu’on le doit à Netscape et qu’en 2001, l’IETF l’a racheté et l’a rebaptisé TLS. En fait, TLS et SSL ne se confondent pas totalement: la version 3.1 de SSL correspond à la version 1 de TLS. D’où l’absence d’interopérabilité entre SSL 3.0 et TLS. Et pour y remédier, l’IETF a développé un mécanisme de compatibilité ascendante avec SSL.
Ce protocole de sécurité, qui fonctionne en mode client-serveur, présente beaucoup d’atouts: il apporte l’authentification du serveur, la confidentialité des données échangées (ou session chiffrée), l’intégrité des données échangées, l’authentification forte du client (avec certificat numérique), la transparence  -d’où sa popularité, souligne Wikipédia: « Les protocoles de la couche d’application n’ont pas à être modifiés pour utiliser une connexion sécurisée par TLS. Par exemple, le protocole HTTP est identique, que l’on se connecte à un schème http ou https« .

Rappelons que SSL repose sur l’utilisation « clés publiques », ou PKI (public key infrastructure).  Il est donc très répandu. Mais Qualys vient de confirmer, à l’issue de discussions lors de la récente convention Black Hat, que moins de 20% des implémentations de TLS/SSL seraient conformes!
Sur 250.000 sites étudiés, seulement 51.000 redirigeraient correctement le trafic vers une réelle authentification SSL -affirme Qualys. Donc 80% des sites qui se disent protégés par SSL ne redirigeraient pas correctement vers la procédure adéquate, ce qui les rendraient vulnérables notamment à partir d’attaques avec Firesheep ou d’autres outils similaires.

Philipe Courtot, p-dg de Qualys, interrogé par eWeek, explique qu’il ne constate pas beaucoup de mises en conformité ou améliorations ces derniers temps. Beaucoup d’entreprises ou organisations ont installé et continuent d’installer SLL sans s’assurer que la configuration des serveurs soit valide.  Parmi les failles résultant d’installations incorrectes, il relève des ‘cookies’ non sécurisés, ou le fait de mélanger des flux de trafic sécurisé avec d’autres non sécurisés sur la même page web… Cet expert, bien connu en France et aux Etats-Unis, rappelle que la redirection vers SSL doit être instantanée, et sans délai dû au chiffrement d’une partie seulement de la page en question. Tout laps de temps peut ouvrir une brèche à des attaques pirates, affirme-t-il.

Qualys relève également que près de 70% des sites étudiés effectuent le process de ‘log-in’ en clair (‘plain text‘) et, pire, 50% des serveurs audités transmettraient des mots de passe en clair!
Le risque est encore plus élevé si les procédures d’authentification s’effectuent sur un réseau sans fil, rappelle la société de service experte en sécurité. Alors, manager averti en vaut-il deux?…