Tard un vendredi apr\u00e8s-midi au milieu du mois de f\u00e9vrier, Apple a discr\u00e8tement publi\u00e9 la correction d’un bug dans un certificat de validation critique au sein d’iOS qui offrait aux pirates la possibilit\u00e9 d’espionner des communications suppos\u00e9es \u00eatre s\u00e9curis\u00e9es.<\/p>\n
Bien que le bug \u00e9tait tr\u00e8s critique et que la correction annonc\u00e9e \u00e0 la derni\u00e8re minute soit pass\u00e9e plut\u00f4t inaper\u00e7ue, ce comportement n’a rien de surprenant venant d’Apple. Le g\u00e9ant de l’informatique bas\u00e9 \u00e0 Cupertino en Californie est c\u00e9l\u00e8bre pour travailler en secret.<\/p>\n
N\u00e9anmoins, la correction a suscit\u00e9 bien plus d’int\u00e9r\u00eat le jour suivant quand il est apparu que le bug n’affectait pas seulement iOS, le syst\u00e8me d’exploitation mobile d’Apple, mais aussi son traditionnel syst\u00e8me d’exploitation OSX. Les choses se sont aggrav\u00e9es la semaine derni\u00e8re quand il a \u00e9t\u00e9 d\u00e9couvert qu’un bug similaire affectait GnuTLS, un logiciel gratuit \u00e0 source ouverte utilis\u00e9 pour r\u00e9aliser le chiffrement dans plusieurs distributions Linux et autres plateformes.<\/p>\n
Alors que de plus en plus de personnes se sont int\u00e9ress\u00e9es \u00e0 ces bugs, de plus en plus d’entit\u00e9s et de chercheurs ont publi\u00e9 des suggestions de subterfuge. Bruce Schneier, l’un des meilleurs experts au monde en chiffrement et s\u00e9curit\u00e9 a d\u00e9crit la vuln\u00e9rabilit\u00e9 comme ceci :<\/p>\n
« La faille est subtile et difficile \u00e0 d\u00e9tecter en scannant le code. Il est facile d’imaginer comment elle aurait pu se produire par erreur. Mais il aurait \u00e9t\u00e9 aussi tr\u00e8s facile pour quelqu’un d’ajouter la vuln\u00e9rabilit\u00e9.<\/p>\n
A-t-elle \u00e9t\u00e9 cr\u00e9\u00e9e expr\u00e8s ? Je n’en ai aucune id\u00e9e. Mais si je voulais faire quelque chose comme cela expr\u00e8s, je le ferai exactement de cette mani\u00e8re. »<\/p>\n
D’autres chercheurs ont \u00e9t\u00e9 plus directes en lan\u00e7ant que les erreurs de code \u00e0 l’origine du bug d’Apple (\u00e9galement connu sous le nom de « goto fail ») seraient presque impossibles \u00e0 commettre et tr\u00e8s difficiles \u00e0 ne pas remarquer lors de la r\u00e9vision du code. Bien \u00e9videmment, \u00e9tant donn\u00e9 le climat actuel et l’utilit\u00e9 de la vuln\u00e9rabilit\u00e9 « goto fail », nombreux sont ceux qui ont avanc\u00e9 que les bugs d’Apple et de GnuTLS \u00e9taient d’une grande valeur pour n’importe quel individu dans l’industrie de l’espionnage.<\/p>\n
Bien que fortuits et similaires de par leurs effets, les bugs fonctionnent de mani\u00e8res tr\u00e8s diff\u00e9rentes. Un autre expert en chiffrement, Matthew Green de la Johns Hopkins University a examin\u00e9 le bug de GnuTLS et pense qu’il s’agit d’une simple (et b\u00eate) erreur.<\/p>\n
Si l’on met les complots criminels de c\u00f4t\u00e9, cette erreur de validation de chiffrement dans GnuTLS signifie que tous les ordinateurs Red Hat ainsi que les produits de serveur et les installations Debian et Ubuntu (Linux) contiennent un bug qui pourrait \u00eatre exploit\u00e9 afin de surveiller les communications qui ont lieu sur ces machines. Ce bug impacte les syst\u00e8mes affect\u00e9s dans leur totalit\u00e9. Vos sessions de navigation Internet s\u00e9curis\u00e9es (indiqu\u00e9es par « HTTPS ») ne seraient pas les seuls affect\u00e9es : vos applications, vos t\u00e9l\u00e9chargements et toutes vos communications soit disant chiffr\u00e9es qui utilisent GnuTLS le seraient \u00e9galement.<\/p>\n
Pour \u00eatre clair, un pirate aurait besoin de se trouver sur un r\u00e9seau local avec sa cible dans le but d’exploiter ces bugs. N\u00e9anmoins, sous des circonstances appropri\u00e9es, les bugs pourraient permettre \u00e0 un pirate de r\u00e9aliser une attaque de l’homme du milieu, o\u00f9 la victime croit qu’elle communique avec un fournisseur de service en ligne fiable mais qu’elle est en fait en train d’envoyer des paquets de donn\u00e9es \u00e0 un pirate. Ces bugs sont une bonne mani\u00e8re de voler des identifiants de compte et de surveiller des communications sur des r\u00e9seaux locaux.<\/p>\n
« C’est une tr\u00e8s mauvaise nouvelle » explique Kenneth White, un expert en s\u00e9curit\u00e9 et scientifique au Social & Scientific Systems en Caroline du nord. « Un pirate peut facilement forcer n’importe quel domaine et peut le faire paraitre l\u00e9gitime aux yeux des utilisateurs. Ce qui lui permettrait non seulement d’intercepter les canaux sensibles mais aussi potentiellement de subvertir le processus de signature des paquets fiables. »<\/p>\n
En d’autres termes, il est possible d’imiter les informations de fiabilit\u00e9 d’un certificat qui permet \u00e0 l’utilisateur de savoir qui a d\u00e9velopp\u00e9 le logiciel ou l’application qu’il est sur le point de t\u00e9l\u00e9charger.<\/p>\n
Si vous utilisez un ordinateur Linux, vous \u00eates alors probablement vuln\u00e9rable. Nous vous recommandons d’installer imm\u00e9diatement la mise \u00e0 jour la plus r\u00e9cente de votre distribution Linux. Si vous n’utilisez pas l’un des nombreux syst\u00e8mes d’exploitation Linux disponibles, cela ne signifie pas n\u00e9cessairement que vous \u00eates \u00e0 l’abri. GnuTLS est un logiciel \u00e0 source ouverte tr\u00e8s utilis\u00e9 qui fonctionne sur un nombre inconnu de syst\u00e8mes. Comme toujours, la moral de l’histoire ici est que vous devez installer les patchs d\u00e8s qu’ils sont disponibles et fr\u00e9quemment.<\/p>\n","protected":false},"excerpt":{"rendered":"
Tard un vendredi apr\u00e8s-midi au milieu du mois de f\u00e9vrier, Apple a discr\u00e8tement publi\u00e9 la correction d’un bug dans un certificat de validation critique au sein d’iOS qui offrait aux<\/p>\n","protected":false},"author":42,"featured_media":2633,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6],"tags":[29,600,625,421,624,623,60],"class_list":{"0":"post-2632","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-news","8":"tag-apple","9":"tag-bug","10":"tag-certificat","11":"tag-faille","12":"tag-goto-fail","13":"tag-linux","14":"tag-vulnerabilite"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/linux-vulnerable-au-bug-de-certificat-dapple\/2632\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/apple\/","name":"apple"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2632","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/42"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=2632"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2632\/revisions"}],"predecessor-version":[{"id":13339,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2632\/revisions\/13339"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/2633"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=2632"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=2632"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=2632"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}