Une nouvelle faille de sécurité majeure découverte
Des chercheurs en sécurité ont découvert une nouvelle faille considérée comme majeure. Elle concerne le protocole SSL / TLS sur lequel est basé HTTPS, qui permet en théorie de chiffrer de manière très forte les échanges entre clients et serveurs internet.
Cette faille baptisée FREAK est présente sur l'essentiel des navigateurs développés par Apple (et donc OS X et iOS) mais aussi par Google, ceux qui utilisent Open SSL. Elle permet simplement dans certaines conditions, dans une attaque de type "Man in the Middle" de forcer les navigateurs à utiliser un chiffrement sur seulement 512 bits au lieu d'un mlnimum de 2048 bits.
Dans ces conditions, il devient possible à des pirates dotés d'infrastructures matérielles lourdes ou louées à un service de Cloud, de déchiffrer les données échangées.
Certes, le grand public n'aura pas forcément à craindre ce genre de chose, les ressources déployées pour décoder les données restant lourdes, mais cela peut mettre à mal les systèmes bancaires et tous les domaines sensibles comme les administrations ou les grandes entreprises.
La faille est en fait le reliquat oublié d'une réglementation américaine des années 90 qui interdisait d'exporter en dehors du pays des systèmes de chiffrage trop forts.
Notez qu'Apple a déjà promis une mise à jour de sécurité venant combler cette faille dans le courant de la semaine prochaine. En revanche, il y a encore fort à parier que Snow Leopard, encore largement utilisé, ne sera pas mis à jour.