.

imprimerenvoyerrecevoir

Failles dans le protocole de sécurité SSL


Edition du 31/07/2009 - par Vivien Derest avec IDG news service

A la conférence 'Black Hat', des chercheurs considèrent que des failles dans le protocole de sécurité SSL pourraient être utilisées pour créer des attaques de type 'man-in-the middle' (MITM) indétectables.

Des chercheurs en sécurité ont trouvé de sérieuses failles dans des logiciels utilisant le protocole de cryptage SSL (Secure Sockets Layer), qui sert à la sécurisation des communications sur Internet. Lors de la conférence 'Black Hat' de Las Vegas, le jeudi 30 juillet, des chercheurs ont révélé plusieurs attaques qui pourraient être utilisées pour compromettre un trafic sécurisé d'informations entre les sites Web et les navigateurs.

Ce type d'attaque pourrait permettre à un pirate de voler des mots de passe, de pirater un session bancaire en ligne, voire même d'installer une mise à jour pour Firefox contenant du code malveillant, selon les chercheurs. Le problème vient de la façon dont beaucoup de navigateurs ont implémenté SSL, ainsi que de l'infrastructure système de la clé publique X.509 qui est utilisée pour gérer les certificats numériques utilisés par SSL pour déterminer si un site est digne de confiance ou non.

Un chercheur en sécurité qui se fait appeler 'Moxie Marlinspike' a montré une méthode pour intercepter du trafic SSL en utilisant ce qu'il appelle un certificat 'null-termination'. Pour que cette attaque fonctionne, Marlinspike doit déjà réussir à installer son logiciel sur le réseau local. Une fois que c'est fait, il détecte le trafic SSL et présente son certificat 'null-termination ' pour intercepter les communications entre le client et le serveur. Une attaque du type man-in-the-middle indétectable, selon lui.

L'attaque expliquée par Marlinspike est extrêmement proche d'un autre type d'attaque assez commune, l'injection SQL, qui envoie des données spécifiquement conçues au programme en espérant le pousser à faire quelque chose qu'il ne devrait pas. Il a découvert que s'il créait des certificats pour son propre domaine internet qui incluait des caractères 'nuls' (souvent représentés par \0), certains programmes interprèteraient mal le certificat.

Page suivante (2/3) >


Rejoignez reseaux-telecoms.net, commentez cet article
Nombre de commentaires postés (0) - Lire tous les commentaires
Pour commenter cet article inscrivez vous ou identifiez vous ci-dessous si vous êtes déjà inscrit :

Email :
Mot de passe :  oublié ?
Mémoriser mes identifiants
L'ACTUALITÉ DU JOUR
Un pas de plus vers les paiements sans contact avec la certification EAL 4+ d'une carte SIM NFC

Les paiements sans contact depuis un mobile se rapprochent chaque jour de la réalité. Le (...)

CANAL+ progresse dans la dématérialisation des contrats avec ses points de vente

CANAL+ dématérialise certains éléments contractuels qui le lient à son réseau commercial. (...)

CDSE : prévenir et réagir face aux pertes de données

Le Club des Directeurs de Sécurité des Entreprises édite une revue quadrimestrielle (...)

Les RSSI disposent d'une nouvelle communauté

A côté d'associations comme le Clusif et les Clusir ou de la communauté du Cercle (...)

Les médecins mis à l'amende en 2012 pour refus de la dématérialisation

L'Assurance maladie a précisé, lundi 3 janvier, que la taxe de 50 centimes d'euro (...)

Le Syndicat de l'Intelligence Economique reçoit l'appui du délégué interministériel

Par voie de communiqué, Olivier Buquen, délégué interministériel à l'Intelligence (...)

La Banque de France victime d'une attaque de Phishing

La Banque de France met en garde le public après avoir été alertée, le vendredi 17 (...)

Recherche



Sondage flash

Agenda