Comment éviter la nouvelle vulnérabilité SSL?

Que puis-je faire aujourd'hui pour éviter la nouvelle vulnérabilité SSL?

J'ai écouté le podcast Security Now , épisode 223: "The Trouble With SSL". MP3 pour l'épisode 223 (42 Mo). Transcription .
Mise à jour : neuf épisodes plus tard, épisode 232 (2010-01-22), 23 min 00 s - 28 min 45 s, il existe une description du correctif ratifié par l' IETF pour cette vulnérabilité. MP3 pour l'épisode 232 (48 Mo). Transcription . EWeek a également publié un article intitulé «L’ IETF complète le correctif pour la vulnérabilité de la sécurité SSL ». Projet IETF, RFC 5746 .

Si j'ai bien compris, il s'agit d'une vulnérabilité très grave liée à l'homme du milieu. Le système d'exploitation doit être mis à jour ou le client peut refuser la renégociation (je ne suis pas sûr que le client soit le navigateur Web ou le système d'exploitation).

Quel logiciel a été mis à jour? Je suis normalement sous Windows XP, mais je serais prêt à installer une version de Linux pour éviter ce problème. Est-il suffisant d'installer un navigateur Web mis à jour?

Je veux acheter quelque chose en ligne et être sûr de ne pas être frappé par ce problème.

Réponse courte: Vous pouvez 1) attendre, 2) éviter les connexions à des serveurs importants sur des points d'accès publics.

Tout d'abord, ne soyez pas trop effrayé. Restez calme et écoutez les épisodes suivants qui vous aideront sûrement à résoudre ou à contourner le problème.

Autant que je sache, l'attaque décrite rend possible la création d'une seule demande sécurisée TLS (également appelée SSL) qui peut être rendue comme si elle était authentifiée. L'homme au milieu ne pourra jamais rien lire de la connexion, il ne peut insérer qu'une requête malveillante au début d'un flux sécurisé. L'attaquant ne peut même pas lire la réponse, il doit donc demander une action malveillante.

Mais vous avez raison, cette situation nécessite la mise à jour de tous les serveurs Web sécurisés. Cela ne peut pas être évité côté client, il est donc inutile de mettre à jour votre système. Ce que les clients pourraient faire, c'est demander si le serveur sait comment empêcher cela, et simplement interrompre la connexion si le serveur ne sait rien à ce sujet. Mais ... "vous savez, si nous disions à nos navigateurs de ne pas autoriser TLS sans protection de renégociation, nous ne pourrions parler à personne aujourd'hui." Donc, cette protection finit par être la même que d'éviter simplement TLS.

Mais avant qu’il y ait un correctif ... eh bien, il reste que toute connexion TLS ouverte sur un point d’accès public pourrait être précédée en silence d’une requête malveillante à sens unique. Bien sûr, vous ne voudriez pas que cette requête indique "virer X argent sur ce compte Y". :) Mais là encore, les transactions bancaires telles que celle-ci nécessitent plusieurs charges de page et une communication d'informations d'identification, aussi je n'y vois aucun risque.

Et il existe également des menaces pires et plus probables. Celui-ci est particulièrement intéressant, car il semble n'y avoir aucun moyen de l'éviter pour le moment. Les agents de sécurité s'intéressent à ce genre de choses. La réalité semble être que les gens peuvent être usurpés beaucoup plus sérieusement et plus facilement (un simple est un homme du milieu transformant tout HTTPS en HTTP non sécurisé, et la plupart des gens ne le remarqueront pas), donc je ne le fais pas voir pourquoi quelqu'un s'embêterait avec cette attaque. Mais oui, par prudence, je vous conseillerais de ne pas ouvrir de connexions à des services importants sur des points d'accès publics.

Voici une excellente réponse de Bruce Schneier , à partir de laquelle je cite:

Ne devriez-vous pas utiliser SSL jusqu'à ce qu'il soit corrigé et payer uniquement les achats sur Internet par téléphone? Devez-vous télécharger une sorte de protection? Devez-vous prendre d'autres mesures correctives? Quelle?

Si vous lisez régulièrement la presse informatique, vous verrez ce type de question maintes et maintes fois. La réponse à cette vulnérabilité particulière, comme à peu près toute autre vulnérabilité dont vous avez parlé, est la même: ne faites rien. C'est vrai, rien. Ne paniquez pas. Ne change pas ton comportement. Ignorez le problème et laissez les vendeurs le résoudre.

Les raisons en sont expliquées dans l'article du blog.

N'écoutez pas les gens qui essaient de vous faire peur! Cela ne vaut certainement pas la peine de changer de système d'exploitation.

Utilisez simplement votre connexion Internet comme d'habitude avec votre fournisseur DNS habituel et ne vous inquiétez pas autant. L'homme au milieu des attaques nécessite ... un homme au milieu et sur un réseau standard, cela ne se produit pas vraiment.

Si vous utilisez la technologie sans fil, assurez-vous d'utiliser WPA2 et faites souvent pivoter vos clés. Si vous utilisez une connexion filaire, je ne m'inquiéterais pas.

N'utilisez pas de points d'accès publics, car vous rencontrerez probablement quelqu'un qui utilise ce type d'attaque.

Assurez-vous que vous utilisez un bon fournisseur DNS tel que OpenDNS .

À la fin de la journée, votre fournisseur de services Internet pourrait avoir un itinéraire personnalisé pour certaines adresses IP et falsifier TOUTES les demandes DNS, il pourrait bloquer / enregistrer / re-router tout ce qui se passait ... Tout peut arriver dans la vie ... Parfois, il vous suffit de continuer la vie et équilibrer les avantages avec les inconvénients!