FREAK (faille informatique)
Cet article est une ébauche concernant la sécurité de l'information.
Pour l’article homonyme, voir Freak.
FREAK (de l'anglais Factoring RSA Export Keys[1]) est une faille informatique exploitant une faiblesse cryptographique dans le protocole SSL/TLS (utilisé, entre autres, dans HTTPS).
Contexte
[modifier | modifier le code]L'exploit informatique FREAK est le résultat de faiblesses délibérés créées il y a des décennies et introduites dans les implémentations des protocoles SSL/TLS pour assurer sa conformité avec les lois américaines concernant les exportations (en)[1]. Les logiciels en question ne devaient utiliser que des paires de clés publiques de chiffrement RSA avec 512 bits ou moins, dans le but de permettre à la National Security Agency (NSA) de facilement casser ce chiffrement, tout en limitant cette possibilité aux autres organisations avec des ressources informatiques de moindres envergures[2].
Depuis les années 1990 où la politique de limitation des trop fortes capacités de chiffrement des données est abandonnée, mais le protocole est toujours d'usage dans les systèmes qui se modernisent[1].
Dès les années 2010, les augmentations de la puissance de calcul rendent l'opération de cassage du chiffrement possible par toute personne ayant accès à des ressources informatiques relativement modestes, par exemple via un service de cloud computing. Combiné avec la capacité d'une attaque de l'homme du milieu (HDM), cela représente un exploit sensible pour la sécurité de nombreux systèmes.
Découverte
[modifier | modifier le code]La faille est découverte en 2015 par une équipe de chercheurs de l'INRIA, Microsoft Research et l'IMDEA (Instituto Madrileño de Estudios Avanzados)[3].
Selon des chercheurs de l'université du Michigan, 35% des 14 millions de sites web audités étaient vulnérables à la faille, dont nsa.gov, irs.gov, et connect.facebook.com. Le navigateur Google Chrome n'était pas touché mais le navigateur mobile natif des systèmes Android l'était[2].
Trois chercheurs chinois ont analysé les applications de Google Play et du App Store d'Apple, et ont estimé à 6,3 milliards le nombre d'installations d'applications vulnérables (audit sur 10 985 applications affichant plus de 1 million de téléchargements sur Play Store, 14 079 applications populaires sur le App Store)[4]. De nombreux services de Blackberry sont également touchés[5].
Nadia Heninger, cryptographe à l'université de Pennsylvanie, a estimé à 7 heures le temps nécessaire en 2015 pour cracker une clé 512 bits avec des serveurs Amazon[2].
OpenSSL, utilisé par de nombreux services, annonce avoir corrigé le problème en janvier 2016[6].
Identifiant
[modifier | modifier le code]L'identifiant CVE de cet exploit est CVE-2015-0204.
Notes et références
[modifier | modifier le code]- « Freak, la faille de sécurité qui inquiète Apple et Google » [archive du ], sur www.lesechos.fr (consulté le )
- (en-US) « ‘FREAK’ flaw undermines security for Apple and Google users, researchers discover », The Washington Post, (ISSN 0190-8286, lire en ligne, consulté le )
- ↑ (en) « Attack of the week: FREAK (or ‘factoring the NSA for fun and profit’) », sur A Few Thoughts on Cryptographic Engineering, (consulté le )
- ↑ (en) Darren Pauli, « Sensitive apps with 6.3 BILLION downloads found open to FREAK », The Register, (lire en ligne [archive du ], consulté le )
- ↑ (en) Richard Chirgwin, « BlackBerry joins the FREAK show », The Register, (lire en ligne [archive du ], consulté le )
- ↑ Jeremy Kirk, « OpenSSL corrige un problème dans sa librairie de chiffrement », sur LeMondeInformatique, (consulté le )
