{"id":2866,"date":"2014-04-10T10:21:53","date_gmt":"2014-04-10T10:21:53","guid":{"rendered":"http:\/\/kasperskydaily.com\/france\/?p=2866"},"modified":"2020-02-26T15:46:48","modified_gmt":"2020-02-26T15:46:48","slug":"limpact-de-la-vulnerabilite-heartbleed","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/limpact-de-la-vulnerabilite-heartbleed\/2866\/","title":{"rendered":"La vuln\u00e9rabilit\u00e9 &laquo;&nbsp;Heartbleed&nbsp;&raquo; pourrait compromettre votre s\u00e9curit\u00e9 sur des milliers de sites"},"content":{"rendered":"<p>Mise \u00e0 jour #1: La version pr\u00e9c\u00e9dente de cet article affirmait (bas\u00e9e sur une liste de Github) que les utilisateurs du site HideMyAss \u00e9taient \u00e9galement affect\u00e9s par Heartbleed. Un porte parole du site nous a contact\u00e9 et nous a affirm\u00e9 que leurs utilisateurs n\u2019\u00e9taient pas affect\u00e9s, nous les avons donc retir\u00e9s de la liste des sites infect\u00e9s.<\/p>\n<p>Mise \u00e0 jour #2 :\u00a0Cet article a \u00e9t\u00e9 mis \u00e0 jour avec la liste des services affect\u00e9s qui recommandent officiellement aux utilisateurs de changer leurs mots de passe.<\/p>\n<p>\u00a0<\/p>\n<p>Vous savez qu\u2019une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 est s\u00e9rieuse quand David Green, journaliste de la radio am\u00e9ricaine NPR, commence son \u00e9dition des informations de 8 heures avec cette nouvelle. Ce fut le cas ce matin, avec l\u2019histoire d\u2019un probl\u00e8me de chiffrement tr\u00e8s s\u00e9rieux \u2013 appel\u00e9 Heartbleed \u2013 dans OpenSSL, certainement la biblioth\u00e8que de chiffrement la plus utilis\u00e9e sur Internet. Si vous ne comprenez pas vraiment ce que tout cela signifie, ne vous inqui\u00e9tez pas, nous allons tout vous raconter dans cet article.<\/p>\n<p>Quand vous \u00e9tablissez une <a href=\"https:\/\/www.kaspersky.fr\/blog\/les-certificats-numeriques-et-le-protocole-httpss\/\" target=\"_blank\" rel=\"noopener noreferrer\">connexion chiffr\u00e9e<\/a> vers un site Web, qu\u2019il s\u2019agisse de Google, Facebook ou de votre banque en ligne, les donn\u00e9es sont chiffr\u00e9es en utilisant un protocole SSL\/TLS. De nombreux serveurs Web populaires utilisent la biblioth\u00e8que \u00e0 source ouverte, OpenSSL, pour r\u00e9aliser ce travail \u00e0 leur place. Plus t\u00f4t cette semaine, les responsables d\u2019OpenSSL ont sorti une <a href=\"https:\/\/threatpost.com\/openssl-fixes-tls-vulnerability\/105300\" target=\"_blank\" rel=\"noopener noreferrer nofollow\">correction pour un bug tr\u00e8s s\u00e9rieux<\/a> dans la mise en place d\u2019une fonctionnalit\u00e9 TLS appel\u00e9e \u00ab\u00a0Heartbeat\u00a0\u00bb et qui pourrait potentiellement r\u00e9v\u00e9ler \u00e0 un pirate jusqu\u2019\u00e0 64K Ko de la m\u00e9moire d\u2019un serveur.<\/p>\n<p>En d\u2019autres termes, ce d\u00e9faut pourrait permettre \u00e0 tout le monde sur Internet de lire la m\u00e9moire d\u2019une machine prot\u00e9g\u00e9e par une version vuln\u00e9rable de la biblioth\u00e8que. Dans le pire des sc\u00e9narios, ce petit bloc de m\u00e9moire pourrait contenir des informations sensibles : des noms d\u2019utilisateurs, des mots de passe ou m\u00eame des cl\u00e9s priv\u00e9es qui sont utilis\u00e9es par le serveur pour assurer le chiffrement de votre connexion. De plus, exploiter Heartbleed ne laisse aucune trace, il est impossible de savoir si le serveur a \u00e9t\u00e9 pirat\u00e9 et quel genre d\u2019information a \u00e9t\u00e9 vol\u00e9.<\/p>\n<p>La bonne nouvelle : OpenSSL a r\u00e9par\u00e9 la faille. La mauvaise : il est impossible de garantir que les sites et les serveurs affect\u00e9s par HeartBleed utilisent le patch permettant de la r\u00e9parer. Encore pire : le bug serait apparemment assez facile \u00e0 exploiter et pourrait avoir exist\u00e9 pendant deux ans. Cela signifie que les certificats de s\u00e9curit\u00e9 des sites les plus c\u00e9l\u00e8bres, ainsi que les donn\u00e9es sensibles des utilisateurs, y compris leurs mots de passe, pourraient avoir \u00e9t\u00e9 vol\u00e9s.<\/p>\n<div class=\"pullquote\">\n<div class=\"pullquote\">La bonne nouvelle : OpenSSL a r\u00e9par\u00e9 la faille. La mauvaise : il est impossible de garantir que les sites et les serveurs affect\u00e9s par HeartBleed utilisent le patch permettant de la r\u00e9parer.<\/div>\n<\/div>\n<p><b>Le plan d\u2019action pour l\u2019utilisateur <\/b><\/p>\n<ul>\n<li><b>V\u00e9rifiez si votre site pr\u00e9f\u00e9r\u00e9 \u00e9tait vuln\u00e9rable.<\/b> Il existe des outils en ligne pour <a href=\"http:\/\/filippo.io\/Heartbleed\" target=\"_blank\" rel=\"noopener noreferrer nofollow\">v\u00e9rifier la pr\u00e9sence d\u2019une vuln\u00e9rabilit\u00e9<\/a>, mais vous devez \u00e9galement savoir, si elle \u00e9tait pr\u00e9sente avant. Heureusement, il existe une <a href=\"https:\/\/github.com\/musalbas\/heartbleed-masstest\/blob\/94cd9b6426311f0d20539e696496ed3d7bdd2a94\/top1000.txt\" target=\"_blank\" rel=\"noopener noreferrer nofollow\">longue liste de sites Web populaires<\/a> qui ont \u00e9t\u00e9 test\u00e9s. Bonne nouvelle : Facebook et Google ne sont pas affect\u00e9s. Mauvaise nouvelle : Yahoo, Flickr, Duckduckgo, LastPass, Redtube, OkCupid, Hidemypass, 500px et bien d\u2019autres sont vuln\u00e9rables. Soyez pr\u00eat \u00e0 agir si vous disposez d\u2019un compte sur ces sites vuln\u00e9rables.<\/li>\n<li>V\u00e9rifiez si le site est toujours vuln\u00e9rable. Pour cela, il existe un <a href=\"http:\/\/filippo.io\/Heartbleed\" target=\"_blank\" rel=\"noopener noreferrer nofollow\">outil tr\u00e8s simple<\/a>.<\/li>\n<\/ul>\n<p><a href=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2014\/04\/06101355\/heartbleed1.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-2868\" alt=\"heartbleed1\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2014\/04\/06101355\/heartbleed1.png\" width=\"400\" height=\"203\"><\/a><\/p>\n<ul>\n<li>Quand les propri\u00e9taires des sites r\u00e9pareront le bug, ils doivent \u00e9galement changer les certificats du site. Soyez donc pr\u00eat \u00e0 <b>surveiller le certificat du serveur et assurez vous que vous en utilisez un nouveau<\/b> (cr\u00e9er le 8 avril ou ult\u00e9rieurement). Pour cela, activez la v\u00e9rification de la r\u00e9vocation de certificats dans votre navigateur. Voici un exemple \u00e0 partir des param\u00e8tres de Google Chrome :<\/li>\n<\/ul>\n<p><a href=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2014\/04\/06101353\/heartbleed2.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-2869\" alt=\"heartbleed2\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2014\/04\/06101353\/heartbleed2.png\" width=\"427\" height=\"173\"><\/a><\/p>\n<p>Cela emp\u00eachera votre navigateur d\u2019utiliser des anciens certificats. Pour v\u00e9rifier manuellement la date de publication d\u2019un certificat, cliquez sur le cadenas vert dans la barre d\u2019adresse et cliquez sur le lien \u00ab\u00a0informations\u00a0\u00bb dans l\u2019onglet \u00ab\u00a0connexion\u00a0\u00bb :<\/p>\n<p><a href=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2014\/04\/06101351\/heartbleed3.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-2870\" alt=\"heartbleed3\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2014\/04\/06101351\/heartbleed3.png\" width=\"346\" height=\"353\"><\/a><\/p>\n<ul>\n<li>L\u2019\u00e9tape la plus importante \u2013 quand le patch a \u00e9t\u00e9 install\u00e9 sur le serveur et que le certificat a \u00e9t\u00e9 mis \u00e0 jour, changez votre <b>mot de passe imm\u00e9diatement<\/b>. Utilisez cette opportunit\u00e9 pour r\u00e9viser votre politique de mot de passe et commencer \u00e0 utiliser <a href=\"https:\/\/www.kaspersky.fr\/blog\/les-mots-de-passe-du-21eme-siecle\/\" target=\"_blank\" rel=\"noopener noreferrer\">des mots de passe robustes et faciles \u00e0 se souvenir<\/a>. Vous pouvez \u00e9galement v\u00e9rifier si vos nouveaux mots de passe sont assez forts en utilisant notre <a href=\"https:\/\/www.kaspersky.com\/blog\/password-check\/\" target=\"_blank\" rel=\"noopener noreferrer nofollow\">Password Checker<\/a>.<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p>\u00a0<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Une faille de chiffrement tr\u00e8s s\u00e9rieuse appel\u00e9e &laquo;&nbsp;Heartbleed&nbsp;&raquo; dans OpenSSL qui pourrait exposer les identifiants des utilisateurs, leurs communications et bien d&rsquo;autres donn\u00e9es. <\/p>\n","protected":false},"author":42,"featured_media":2867,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6,9],"tags":[424,316,101,669,485,61,670,668,60],"class_list":{"0":"post-2866","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-news","8":"category-tips","9":"tag-actualite","10":"tag-chiffrement","11":"tag-cybercriminalite","12":"tag-heartbleed","13":"tag-identifiant","14":"tag-securite","15":"tag-sites-web","16":"tag-ssl","17":"tag-vulnerabilite"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/limpact-de-la-vulnerabilite-heartbleed\/2866\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/actualite\/","name":"actualit\u00e9"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2866","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/42"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=2866"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2866\/revisions"}],"predecessor-version":[{"id":14104,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2866\/revisions\/14104"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/2867"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=2866"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=2866"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=2866"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}