Un nouveau problème majeur découvert dans l'implémentation du HTTPS
Une vaste étude réalisée par Sec Consult a mis en évidence un problème majeur de sécurité au niveau des protocoles SSH et HTTPS.
Cette fois il ne s'agit pas d'une faille comme on en a déjà connu, mais un problème lié à la légèreté de très nombreux fabricants.
Dans le cadre de l'étude, 4000 appareils, téléphones IP, caméras IP, routeurs ou encore modems ont été étudiés de près. Leur firmware a été disséqué afin d'en extraire les clés publiques et privées utilisées pour sécuriser les protocoles SSH et HTTPS.
Il s'avère que sur ce total, ils n'ont découvert que 580 clés différentes. Il y en a donc bien moins que le total des appareils. Un scan à grande échelle d'internet a montré que 9% des appareils en HTTPS sur la toile et 6% de tous les appareils utilisant SSH avaient l'une de ces clés.
En bref, par paresse ou manque d'appréhension des risques, les fabricants partagent les mêmes clés sur des multitudes d'appareils.
Avec ces clés en main des pirates pourraient facilement réaliser des attaques du type "man in the middle" et récupérer un trafic chiffré entre deux machines. C'est d'autant plus facile actuellement que de très très très nombreux routeurs domestiques et professionnels ont des failles qui permettraient facilement aux pirates de se mettre en place.
Encore une fois, c'est toute une industrie qui va devoir se remettre en cause pour assurer la sécurité de ses clients dans un monde où les attaques sont chaque jour plus nombreuses et probables.