Comment réagir et se protéger face à « Heart bleed » ? (Suite Article 9/10/2014)

Frédéric Hourdeau

News

le 10/04/2014 à 23h50

Tweeter

Le Logiciel OpenSSL est utilisé par la moitié des sites web pour protéger des mots de passe, des numéros de carte bancaire ou d'autres données sur Internet. Or des spécialistes informatiques viennent de mettre en garde mardi contre une importante faille découverte dans ce logiciel.

 

La moitié des sites web en péril ? : Une faille découverte sur le logiciel OpenSSL. - News - publié le 09/04/2014 Le Logiciel OpenSSL est utilisé par la moitié des sites web pour protéger des mots de passe, des numéros de carte bancaire ou d'autres données sur Internet. Des spécialistes informatiques ont mis en garde mardi contre une importante faille découverte dans ce logiciel.

En 2011, une mise à jour du logiciel a implémente une nouvelle fonctionnalité, appelée Heartbeat, qui comporte une faille.

Elle sera  bientôt baptisée Heartbleed (cœur qui saigne).

Cette dernière permet à n'importe qui de lire une partie de la mémoire du serveur

Point important à souligner qui réduit quelque peu les graves conséquences des attaques : le pirate éventuel ne peut pas choisir comme il veut les données qu'il récupère, mais il les reçoit de manière aléatoire. Il peut ainsi avoir des informations capitales comme complètement futiles. Mais, il y a un risque important de récupérer des informations récentes : les identifiants des derniers utilisateurs s'étant connectés au service par exemple.

Les sites touchés :

Parmi les importants sites, Yahoo a annoncé la présence de la faille dans son système.

Les sites de partage d'images Flickr et Imgur sont également touchés, entre autres.

Des internautes ont compilé leurs tests en un seul fichier accessible par tous.

Ils ont passé au crible les 1000 sites les plus visités au monde, pour révéler ceux qui sont affectés par Heartbleed.

Il semblerait que « seulement » 48 d'entre eux sont touchés, beaucoup de sites utilisant encore la vieille version d'OpenSSL.

La marche à suivre : vigilance, absence de précipitation et ( ?)… « Mashable »

Sur les sites touchés par Heartbleed, même si la faille n'existe plus, il y a toujours le risque qu'un pirate ait pu auparavant récupérer des données.

Il serait donc , à priori, préférable de changer rapidement ses identifiants afin de réduire les  risques.

Il faudrait contrôler que le site, à qui l’on a confié ses données, a bien procédé à la sécurisation de ses serveurs.

ð Pour certains experts, changer de mots de passe trop tôt peut s'avérer au contraire plus dangereux que de ne rien faire !....

Le site spécialisé « Mashable » passe en revue les actions effectuées par les sites internet américains les plus populaires face à la menace.

Il précise, si, selon lui, il vaut mieux changer de mot de passe.

ð Il conseille ainsi de le faire sur Facebook, Google et Gmail, Yahoo et Yahoo Mail et Tumblr...

 

ð Cela  serait par contre inutile sur les sites de LinkedIn, Amazon, Microsoft, Hotmail/Outlook...

 

ð La décision est semble-t-il « pas claire » (selon les termes) pour Twitter, Apple ou eBay.

Surveiller les mouvements dans le compte, afin de signaler tout débit suspect.

Par contre, si, sur un des sites évoqués, des coordonnées bancaires étaient enregistrées, il est impératif de surveiller les mouvements dans le compte, afin de signaler tout débit suspect.

Capture d'écran heartbleed.com