Ce qu'il faut savoir sur la faille LogJam

Un résumé rapide de la nouvelle faille LogJam qui concerne les connexions sécurisés.

C’est quoi le problème avec LogJam

La faille LogJam pourrait permettre à un pirate de lire ou de modifier les communications incluant le mail ou le trafic vers des sites Web qui prétendent être sécurisé.

Précision sur la faille

Les chercheurs ont trouvé des problèmes avec ce qu’on appelle des clés de chiffrement qu’on utilise pour coder et décoder les messages. La longueur de la clé est proportionnelle au niveau de sécurité. La clé utilisée est celle de Diffie-Hellman d’après les crytographes qui l’ont inventés. Les chercheurs ont constaté que ces clés Diffie-Hellman n’étaient pas aussi sécurisés que ça.

Quels sont les problèmes ?

On a trouvé plusieurs problèmes. En premier lieu, les chercheurs ont constaté que la grande majorité des serveurs réutilisent les mêmes valeurs longues pour générer leurs clés Diffie-Hellman. Cela signifie qu’un pirate peut craquer plus facilement la clé en utilisant ces chiffres qui sont utilisés encore et encore.

Il ya également une faille dans un outil de sécurité appelé Transport Layer Security ou TLS qui utilise ces clés pour créer des connexions sécurisées sur des sites de paiements électroniques et ceux des données sensibles. Les chercheurs ont constaté que les pirates peuvent compromettre un navigateur en lui faisant croire qu’ils utilisent des clés Diffie-Hellman qui possèdent une sécurité élevée alors que les clés en question possèdent un niveau de sécurité très faible.

Pourquoi ces clés faibles sont encore circulation ?

On peut remercier la politique américaine qui a exporté exprès des clés faibles dans d’autres pays afin de se protéger. Les restrictions ont été abandonnées dans les années 1990, mais de nombreux ordinateurs utilisent encore ces clés faibles. Les pirates peuvent forcer les ordinateurs à utiliser ces clés faibles de type Diffie-Hellman.

Un autre problème est que les webmestres et les hébergeurs peuvent avoir du mal à suivre les mises à jour de sécurité. Les navigateurs prennent en charge ces clés faibles pour que les utilisateurs puissent communiquer avec ces sites.

Mes données sont-elles en danger ?

Il est difficile de déterminer si des pirates ont exploité l’une de ces failles. Les chercheurs ont déclarés qu’il est probable que ces failles soient exploités par des entités gouvernementales.

Sur le site officiel qui décrit la faille, les chercheurs ont déclarés que des documents suggèrent que la NSA aurait exploité une des failles pour compromettre et espionner les connexions VPN.

Quelles sont les solutions ?

Google, Microsoft et Mozilla ont annoncés qu’ils bloqueraient progressivement les sites qui utilisent les clés faibles de type Diffie-Hellman. Cela devrait renforcer la sécurité, mais le résultat est que les internautes ne pourraient pas accéder à plus de 20 000 sites sur le web. Les webmestres et les hébergeurs devront effectuer des modifications sur leur infrastructure pour supprimer ces clés faibles.
Les chercheurs ont aussi déclarés que cette faille LogJam montre les dangers de créer des Backdoors dans des outils de sécurité tels que le chiffrement.

En fait, c’est une faille comme on en voit chaque semaine ?

Oui et non. En mars, ces mêmes chercheurs avaient révélés une faille appelée Freak qui exploitait également des clés faibles. Freak affectait différents types de clés, mais il ne visait que certains navigateurs. La faille Logjam vise le concept de base du TLS et donc, elle concerne tous les navigateurs.

Est-ce qu’internet est tout cassé quand on voit toutes ces failles ?

Internet priorise la facilité de la communication par dessus tout et les précautions de sécurité sont laissés au second plan surtout si cela implique des investissements considérables et un changement drastique sur le comportement des utilisateurs. Internet est sans doute cassé, mais la faute revient aux responsables et aux gouvernements qui ne font rien pour privilégier la sécurité au profit d’une prétendue facilité d’utilisation.

---

Mes livres

Le Basilic de Roko	Mon parcours de rédacteur web	Science corrompue et servile	Nous, Tueurs en série