Heartbleed
Heartbleed est une faille de sécurité dans OpenSSL découverte par la société de sécurité finlandaise Codenomicon et rendue publique en avril 7, 2014. OpenSSL est le chiffrement technologie utilisée pour créer des connexions de sites Web sécurisés sur HTTPS, établir VPNet chiffrer plusieurs autres protocoles. OpenSSL étant utilisé par environ deux tiers des utilisateurs serveurs web, cette vulnérabilité est considérée comme l’une des failles de sécurité les plus importantes découvertes depuis le début du Web.
Comment fonctionne Heartbleed?
L’exploitation Heartbleed tire parti de la communication initiale entre le client et serveur. Cette étape préliminaire est communément appelée "poignée de main", bien que OpenSSL fournisse une variante appelée "pulsation". La pulsation est utilisée pour établir une connexion sécurisée, mais les données transmises pendant la pulsation ne sont pas envoyées de manière sécurisée.
En envoyant de fausses informations à un serveur, un pirate peut récupérer 64 kilooctet morceaux de données du serveur cachette. Bien qu’il s’agisse d’une petite quantité de données, il suffit de contenir un Nom d'utilisateur, Mot de passe, ou d'autres informations confidentielles. En effectuant plusieurs requêtes à la suite, un pirate informatique peut potentiellement capturer de grandes quantités de données privées mises en cache dans la mémoire d'un serveur.
Le chagrin punaise est spécifique à OpenSSL 1.0.1 par 1.0.1f et version 1.0.2-beta1. Les autres versions d'OpenSSL et les autres types d'implémentations TLS (transport layer security) ne sont pas affectés. Après la publication du bogue d’avril 7, de nombreux serveurs Web ont été corrigés immédiatement avec la version 1.0.1g. Cependant, on ignore combien de serveurs ont été affectés et combien utilisent encore la version vulnérable d'OpenSSL.
Comment Heartbleed m'affecte-t-il?
Il est peu probable que vous soyez directement affecté par le virus Heartbleed. Bien que la faille de sécurité n'ait pas été détectée pendant deux ans, rien n'indique que l'exploit ait été largement utilisé. Néanmoins, pour plus de sécurité, vous pouvez vous protéger en mettant à jour vos mots de passe pour le site Web. connexions, comptes de messagerie et autres services en ligne.