Sécurité : des chercheurs ont réussi à casser le protocole SSL
Deux chercheurs auraient réussi à exploiter une faille critique détectée au sein du protocole de sécurité SSL utilisé par de nombreux sites Web, leur permettant de déchiffrer des cookies cryptés.
Le protocole de sécurisation des échanges sur Internet SSL (Secure Sockets Layer) n’est peut-être pas aussi protégé que l’on pourrait le croire…
Des chercheurs en sécurité auraient en effet réussi à casser le protocole de cryptage SSL, utilisé par de nombreux sites Web, comme les sites des banques, les portails de e-commerce, les réseaux sociaux ou encore les messageries électroniques…
Cet « exploit » est le fait des chercheurs Thai Duong et Juliano Rizzo, qui ont annoncé avoir réussi à exploiter une faille critique au niveau du protocole de chiffrement SSL.
L’exploitation de cette vulnérabilité se serait faite à travers la mise en place d’un Trojan connu sous le nom de BEAST (Browser Exploit Against SSL/TLS), prenant la forme d’un analyseur de réseau. Les deux chercheurs en sécurité ont ainsi pu accéder et déchiffrer les cookies SSL cryptés d’un site Web particulier « sécurisé ».
Une démonstration de ce hacking est prévue lors de la conférence Ekoparty sur la sécurité informatique qui se tient cette semaine à Buenos Aires.
A noter que la vulnérabilité exploitée par les deux « hackers » toucherait aussi le successeur du protocole SSL, le TLS (Transport Layer Security).
Selon Thai Duong et Juliano Rizzo, les éditeurs de navigateurs Internet auraient été prévenus de l’existence de cette faille de sécurité liée au protocole de sécurisation des échanges sur Internet. Reste désormais à mettre au point correctifs ad hoc.