Comment utiliser Internet pendant la résolution de Heartbleed?
De nombreux sites Web ne sont pas vulnérables pour le moment, mais je ne sais pas s'ils étaient / vulnérables il y a quelques jours.
Par exemple:
- Twitter.com: Non vulnérable pour le moment, mais le certificat est à partir du mercredi 05 mars 00:00:00 UTC 2014
- google.com: Non vulnérable pour le moment, mais le certificat est daté du mer 12 mars à 09:53:40 UTC 2014
- bankofamerica.com: Pas vulnérable pour le moment, mais le certificat est à partir du jeu. 05 déc 00:00:00 UTC 2013
Que fais-je? Ne pas utiliser ces derniers jusqu'à leur réémission? Comment puis-je savoir qu'ils réémettent le certificat avec de nouvelles clés? Il semble que je ne devrais même pas me connecter à ces sites pour changer mon mot de passe car il est impossible de savoir qu'ils sont le vrai site Web.
Mises à jour 2014-04-11
Cloudflare a lancé un défi pour vérifier que l'extraction de clé privée était réellement possible. Cela a été fait avec environ 100 000 demandes et cela vérifie les peurs. Ce n'est plus théorique, mais prouvé. Vous pouvez aller lire ici _ pour en savoir plus.
En outre, Bloomberg a signalé que les NSA connaissaient cet exploit depuis au moins deux ans. Cela est logique, car le NSA a les ressources nécessaires pour embaucher des analystes dont le seul travail est de trouver des exploits dans des logiciels tels que celui-ci.Maintenant que nous savons que le gouvernement américain l'exploite depuis si longtemps, la probabilité que d'autres États l'aient connu et exploité est considérable.
TL; DRSurveillez les annonces d'organisations sur l'état de leurs systèmes, modifiez TOUSde vos mots de passe et surveillez les activités frauduleuses/suspectes sur des comptes importants tels que des systèmes bancaires ou autres systèmes financiers.
Pour comprendre pourquoi la situation est si dangereuse, nous devons d’abord comprendre ce que cette attaque fait réellement. CVE-2014-0160, AKA Heartbleed, est un bogue de substitution de mémoire tampon permettant à un attaquant d'obtenir jusqu'à 64 Ko de mémoire d'un serveur exécutant une version vulnérable d'OpenSSL.
Cela sonne vraiment mal. Comment ça marche en pratique
Vous avez raison, c'est un grave défaut, mais nous y reviendrons un peu plus tard. Parlons maintenant de la raison pour laquelle l'exploit fonctionne. Transport Layer SecurityTLS) est utilisé pour sécuriser les informations de nombreuses applications, notamment HTTP ( HTTPS ) ou pour sécuriser SMTP si activé par exemple. Dans la RFC 5246, qui définit les normes pour TLS, il existe une fonction appelée pulsation. Le client et le serveur envoient des données dans les deux sens pour maintenir la connexion active afin qu'elle puisse être utilisée ultérieurement. Maintenant, dans la pratique, le client enverra des données et le serveur les renverra, et tout va bien. Cependant, dans les versions OpenSSL concernées, il n’ya pas de vérification pour savoir si le client a effectivement envoyé la quantité de données qu’il a indiquée. Donc, si je l’envoie 1 octet et que je dis au serveur que j’envoie 64 ko, il me renverra avec joie 64 ko. D'où viennent ces autres octets? C'est la clé du problème ici. OpenSSL va vous renvoyer 64 Ko - 1 octet de mémoire auquel le processus a accès et que vous n'avez pas envoyé à l'origine, en fonction de l'emplacement de stockage de votre 1 octet. Le problème vient de ces octets supplémentaires de la mémoire car ils peuvent contenir des informations précieuses telles que _ (matériel de clé privée¹et informations que le serveur décrypte à utiliser. Exemples: mots de passe, informations de carte de crédit et/ou NIP .
OK. Qu'est-ce que cela signifie pour la sécurité de l'information?Si vous comprenez le fonctionnement de la cryptographie asymétrique, vous savez déjà que c'est grave, car la divulgation rend le cryptage plus obscurcissant. Cela signifie que même si les serveurs peuvent être patchés et La mémoire ne fuit plus, il est possible que les sessions ne soient pas encore sécurisées. Il est possible que cela ait été exploité avant sa divulgation publique ou pendant la mise à jour du correctif, mais il n’existe actuellement aucune méthode prouvant qu’une attaque a eu lieu. les règles pour IDS peuvent devenir disponibles, mais pour l'instant ce n'est pas le cas. _ { Les règles IDS ont été publiées . Cela en soi est extrêmement dangereux, car les opérateurs ne savent pas si leurs clés sont toujours sécurisées.
Nous sommes obligés de supposer que les clés ont été divulguées, ce qui signifie qu'il est possible que tout ce que vous envoyez sur le réseau puisse être déchiffré par un tiers. Le seul moyen de pallier ce problème consiste à régénérer les clés et à obtenir de nouveaux certificats et à révoquer les anciens. Malheureusement, cela prend du temps car les CA _ sont sans aucun doute inondées de ces demandes en ce moment. Cela laisse quand même la possibilité pour une attaque de l'homme au milieu , ou d'autres opportunités de phishing.
Quand sera-t-il sécurisé?Savoir quand il sera sécurisé est une question difficile. Certaines des choses que je suggérerais de surveiller sont des annonces publiques expliquant que le bogue a été corrigé dans leur environnement ou qu'il n'a jamais été vulnérable N'utilisez jamais les versions concernées. S'ils ont annoncé qu'ils avaient mis à niveau leur version vers une nouvelle version d'OpenSSL, je m'assurais qu'ils utilisent un nouveau certificat signé afterla date de publication de l'exploit qui était en 2014-04. -07.
** Notez que le trafic précédemment enregistré peut être déchiffré si la clé privée a été divulguée par la suite.
Que puis-je faire en tant qu'utilisateur pour me protéger
Pour les prochains jours, si vous pouvez éviter d'utiliser des sites critiques tels que les services bancaires en ligne ou l'accès aux dossiers médicaux en ligne, je vous suggère de le faire. Si vous devez le faire, comprenez que votre session est potentiellement à risque et soyez prêt à en accepter les conséquences. En outre, lorsque les organisations signalent qu'elles ne sont plus vulnérables, vous devez modifier votre mot de passe; utiliser un gestionnaire de mots de passe peut vous aider. Vous devez également vous préparer à modifier ou à contrôler toute autre information utilisée, telle que vos coordonnées bancaires ou votre carte de crédit. Nombres.
Avis spécial aux militants
Toutqui utilise OpenSSL peut être affecté, y compris Tor . Il est possible que des gouvernements aient pu utiliser cette faille depuis son inclusion dans les versions d'OpenSSL d'il y a plus de deux ans, car ils auraient la vaste ressources nécessaires pour rechercher de tels exploits, et en tant que tel, vous devez être préparé à ce que les informations ne puissent plus être privées.
** Notez que le trafic précédemment enregistré peut être déchiffré si la clé privée a été divulguée par la suite, à moins que sécurité parfaite _ (PFS) ait été implémenté.
¹- Il y a eu des affirmations selon lesquelles il est probable que les clés privées ne seraient pas en mémoire, mais en même temps, il y a eu des réclamations d'extraction réussie de clés. À ce stade, on ne sait pas quel côté est correct.
Le risque posé par cette vulnérabilité fait l’objet d’une surenchère. Je dis cela car il n’ya aucune preuve que cette vulnérabilité était connue ou exploitée avant sa publication par les chercheurs il ya 2 jours.
Soyons clairs: il est urgent que des correctifs soient apportés aux sites Web vulnérables, notamment ceux qui traitent des données sensibles sur Internet. Il est également urgent que les signatures de l'attaque soient chargées dans les outils de protection IDS et les programmes malveillants. Dans l'informatique, nous devons réagir à cette vulnérabilité avec la plus haute priorité.
Cela dit, je ne pense pas que le niveau de risque associé à cette vulnérabilité par la presse publique soit justifié.
Que doivent faire les individus pour se protéger? N'utilisez pas de sites exécutant des versions vulnérables d'OpenSSL.
Tant que rien ne prouvera que cette vulnérabilité a été exploitée, toute action ultérieure est vaine et motivée par rien de plus que FUD. Vous n'êtes pas d'accord? Considérez les nombreuses vulnérabilités publiées chaque mois ou chaque trimestre qui permettent l'exécution de code arbitraire . Celles qui accordent à l'attaquant des privilèges au niveau de la racine ou du système ou pour lesquelles l'attaquant peut ensuite les obtenir par le biais d'une élévation de privilèges présentent autant de risques pour la sécurité de toutes les données gérées par les systèmes vulnérables que cette vulnérabilité.
Dans de nombreux cas, ces vulnérabilités sont découvertes par le fournisseur de logiciel ou par des chercheurs qui en informent le fournisseur. Le fournisseur produit un correctif et le publie sur le marché sans publier les détails de la vulnérabilité. Dans certains cas, les détails sont publiés et les exploits sont publiés par la communauté de sécurité pour être utilisés dans des outils de test. Nous ne réagissons pas à ces nombreuses vulnérabilités en disant "Tous nos secrets PEUVENT avoir été exposés!"
S'il existe des preuves d'exploitation, nous devons réagir de manière appropriée. Je vois un grand risque dans la réaction excessive des chercheurs qui ont annoncé cette vulnérabilité et dans la presse qui ont amplifié le discours vague des chercheurs. Ils crient au loup.
- El viejo
Tous les sites Web n'utilisent pas les bibliothèques OpenSSL pour HTTPS (GnuTLS et PolarSSL, par exemple), et toutes les versions d'OpenSSL n'étaient pas vulnérables (les anciennes versions ne l'étaient pas). Cela signifie qu'il est tout à fait probable que les sites Web que vous avez mentionnés ne modifient pas les certificats, car ils n'en ont pas besoin. Le simple fait de regarder les dates auxquelles les certificats ont été délivrés ne vous en dit pas assez.
Plusieurs outils et sites peuvent vous aider à vérifier si un site Web est vulnérable, par exemple: - http://filippo.io/Heartbleed - https://Gist.github.com/mitsuhiko/10130454 - https://www.ssllabs.com/ssltest/
Malheureusement, comme vous l'avez déjà indiqué, cela ne vous dit pas si c'était le cas. Je crains que le principal problème en la matière ne concerne que la confiance: il n’existe aucun moyen objectif de vérifier quelles bibliothèques SSL sont utilisées et utilisées sans informations privilégiées. Vous devez espérer qu'ils ont fait ce qu'ils doivent faire (parce que c'est la bonne chose, ou même parce qu'ils craignent l'humiliation publique) et s'ils l'ont fait, vous ne pouvez qu'espérer qu'ils soient ouverts à ce sujet.
Bien sûr, vous pouvez toujours demander à ces sites Web s'ils ont été touchés. J'ai vu plusieurs sites Web publier des déclarations publiques à ce sujet. Demander publiquement à l'aide de médias sociaux tels que Twitter ou Facebook fonctionne souvent.
Le meilleur conseil que je puisse vous donner est donc un conseil général: faites attention à ce que vous laissez sur Internet et aux sites Web auxquels vous faites confiance avec vos informations personnelles.
En ce qui concerne les clés privées exposées, il convient d’ajouter que, si une personne peut déchiffrer des données dans une session chiffrée, comme elle dispose désormais de la clé privée, elle devra tout de même s’établir en tant que l’homme du milieu de la session. Ce n'est pas n'importe qui sur Internet qui peut le faire.
D'après ce que je sais, ils devront toujours intercepter le trafic en se trouvant sur votre réseau local et ARP spoofing ou en étant capable de détourner/rediriger le trafic en annonçant de fausses routes aux routeurs Internet. Ce type d'attaques a toujours été possible même sans cette vulnérabilité.
Je voudrais aussi visiter le site suivant:
https://www.ivpn.net/blog/heartbleed-passwords-change
Ils ont une liste des sites populaires qui ont été touchés et où et quand vous devriez changer vos mots de passe
Vous pouvez entrer l'URL d'un site à LastPass Heartbleed Checker et il vous dira si le site était ou est toujours vulnérable et à quel moment son certificat a été mis à jour.
Il existe également une extension Chrome appelée Chromebleed qui vous avertira si vous visitez un site affecté par Heartbleed.
Mashable.com a une liste de sites bien connus, s'ils ont été affectés et si vous devez changer votre mot de passe. Fait intéressant, aucun des sites de la liste des banques et des courtiers n'a été touché.