Commerce électronique : des connexions pas sécurisées ?

Pour le business, pour le gouvernement, pour les FAI... Pour tous ces acteurs de l'internet en France, il est portant de dire (ou de faire croire...? ) que les connexions sont sécurisées. Pas sûr justement !

Le fameux cadenas a des trous. Oui, ce fameux cadenas que vous voyez en bas de votre écran d'ordinateur lorsque vous vous connectez au site de votre banque ou d'un site de commerce électronique. Officiellement, la présence de ce cadenas et des fameuses lettres https (présentes dans l'adresse du site lorsqu'on passe en mode "sécurisé") signifient que la connexion est protégée.

C'est l'objectif du protocole SSL (Secure Sockets Layer). Or, la sécurité de ce protocole ressemble de plus en plus à "une passoire" comme me l'a confié un expert.

Il n'est pas le seul à le penser et à le démontrer.

Aujourd'hui, sur son blog, Marsh Ray, un développeur travaillant pour la société Phone Factor, indique que ce protocole est vulnérable à un certain type d'attaques de pirates.
Cet informaticien confirme qu'il est possible d'intercepter le trafic SSL effectué entre l'autorité délivrant le certificat numérique et un site.

Ensuite, le pirate peut créer un faux certificat capable de leurrer l'utilisateur qui ne sera pas du tout inquiété (cadenas et barre d'adresse verte visibles). Ce type d'attaque pourrait permettre à un pirate de voler des mots de passe, de contrôler un session bancaire en ligne ou d'installer une mise à jour pour Firefox contenant du code malveillant.

Mais une attaque de ce genre n'est pas simple à mettre en place. Il faut à la fois créer un certificat spécifique à chaque cible (le site dont on va usurper l'identité) et rediriger l'internaute vers l'adresse IP illicite (par exemple, un faux site de banque). Sa difficulté explique pourquoi ce genre d'attaque ne peut être déployée à grande échelle.

N'empêche. Il existe des outils qui pourraient aggraver la situation.

Cet été, lors du Black Hat de Las Vegas mais aussi lors du Hack.lu le 30 octobre au Luxembourg, un hacker dénommé « Moxie Marlinspike » a démontré qu'il existait des outils, dont SSLstrip qu'il a développé, permettant d'exploiter les vulnérabilités du SSL et de créer de faux certificats. Il avait montré l'exemple d'un faux Sésame de Paypal.

Mi-octobre, Microsoft avait publié deux correctifs concernant les failles X.509 révélées au Black Hat par Marlinspike. Les navigateurs web et les clients de messagerie avaient également fait des mises à jour.

Pas sûr que cela soit suffisant. Il y a quelques mois, des experts en sécurité avaient créé de faux certificats qui avaient été tous acceptés par les navigateurs web !