Developpez.com

Une très vaste base de connaissances en informatique avec
plus de 100 FAQ et 10 000 réponses à vos questions

POODLE : Microsoft publie un correctif pour IE
SSL 3 sera désactivé dans Office 365 et Azure à partir du 1er décembre

Le , par Hinault Romaric, Responsable .NET
Microsoft vient de publier un utilitaire qui permet en un seul clic de désactiver SSL 3 dans toutes versions supportées du navigateur Internet Explorer.

L’utilitaire « Fix It » est une solution temporaire qui fonctionne également avec IE6, bien que cette version ne soit plus supportée. « Si vous utilisez des anciennes versions d’Internet Explorer à l’instar d’IE 6, nous vous recommandons d’utiliser un navigateur plus récent dès que possible en plus du correctif que nous avons publié aujourd’hui », conseille la firme dans un billet de blog.

Microsoft envisage de publier dans les prochains mois (probablement via le patch tueday) une mise à jour qui permettra de désactiver par défaut SSL 3 dans Internet Explorer. À partir du 1er décembre 2014, Microsoft procédera à la désactivation de SSL 3 sur ses services en ligne, dont Office 365 et les services Cloud d’Azure.

La désactivation de SSL 3 dans Internet Explorer fait suite la faille POODLE (Padding Oracle On Downgraded Legacy Encryption) découverte par des ingénieurs de Google. Cette faille permet l’accès aux données telles que le mot de passe et le cookie de connexion d’une victime sur un canal de communication sécurisée avec SSL, établi entre le serveur et le navigateur client.

SSL 3 est un protocole de sécurisation des échanges sur internet. Il date de près de 18 ans, et la découverte de cette faille a sonné le glas de sa fin. Plusieurs acteurs de l’industrie de l’IT ont commencé à procéder à la suppression du support du protocole dans leurs produits.

Dans ce registre, on peut citer notamment Google, qui avait procédé à des modifications dans son navigateur Chrome pour désactiver la prise en charge de SSL 3. La firme envisage dans les prochains mois de retirer complètement le support du protocole dans l’ensemble de ses produits.

Mozilla avait également annoncé que la prise en charge de SSL 3 sera désactivée par défaut dans Firefox 34, qui sortira le 25 novembre. Pour les anciennes versions du navigateur, la firme a publié un plugin (SSL Version Control) permettant de désactiver automatiquement le support de SSL 3.

Source : Microsoft


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Michael Guilloux Michael Guilloux - Chroniqueur Actualités http://www.developpez.com
le 10/12/2014 à 8:45
Une nouvelle version de la faille POODLE affecte cette fois le protocole TLS
10% des sites web les plus populaires sont vulnérables

Des ingénieurs de Google ont découvert, il y a environ deux mois, une faille baptisée POODLE, qui a affecté le protocole vieillissant SSLv3. Cette faille a permis à des pirates de mener des attaques de l’Homme Du Milieu (HDM). Il s’agit d’une forme de piratage visant à intercepter le trafic entre le navigateur d'un utilisateur et un site HTTPS pour déchiffrer des informations sensibles, comme les cookies d'authentification de l'utilisateur. Suite à la divulgation de cette information, certains éditeurs de navigateurs ont supprimé le support SSL définitivement de leurs navigateurs.

Cependant, ces mesures préventives n'ont pas fait disparaître la vulnérabilité des sites. En effet, les mêmes chercheurs viennent de réaliser que cette faille pourrait aussi affecter les implémentations du protocole TLS, jusque-là, supposé pouvoir contrecarrer l'attaque. La faille POODLE a été redirigée vers TLS et sa mise en œuvre semble beaucoup plus simple.

« L'impact de ce problème est similaire à celui de POODLE, avec l'attaque étant légèrement plus facile à exécuter, pas besoin de déclasser les clients modernes jusqu'à SSL 3 d'abord, TLS 1.2 fera très bien l’affaire, » a écrit Ivan Ristic, directeur de la sécurité chez Qualys, dans un billet de blog intitulé « POODLE mord TLS ». « Les cibles principales sont les navigateurs, parce que l'attaquant doit injecter un JavaScript malveillant pour lancer l'attaque. Une attaque réussie utilisera environ 256 demandes pour déchiffrer un caractère de cookie ou seulement 4096 demandes pour un cookie de 16 caractères. Cela rend l'attaque tout à fait pratique.»

Les webmestres qui avaient corrigé leurs sites suite à la découverte de la première faille devront donc à nouveau tester leur vulnérabilité à cette nouvelle variante de POODLE. En effet, plusieurs sites web sont probablement vulnérables à cause de l’utilisation de certains produits affectés.

Adam Langley, chercheur en sécurité de Google, a mis en place un outil qui permet de détecter les produits affectés. Ce dernier a découvert que les répartiteurs de charges F5 et A10 sont affectés, mais qu’ils pourraient ne pas être les seuls produits concernés : « Je ne suis pas tout à fait sûr d'avoir trouvé tous les fournisseurs affectés, mais maintenant que le problème est rendu public, tout autre produit affecté sera rapidement détecté », a-t-il précisé dans un billet de blog.

La firme de sécurité Qualys a mis en place SSL Server test, un test gratuit qui permet de tester la vulnérabilité des sites web à cette nouvelle variante de POODLE. Le test a montré que 10% des sites les plus visités, y compris ceux détenus ou exploités par Bank of America, VMare, le département US des Vétérans et Accenture, sont vulnérables. Les produits F5 étant pointés du doigt à cause de leur popularité, F5 vient de publier des correctifs pour ses produits.

Source : Qualys Blog

Et vous ?

Après la suppression de SSLv3, quelles pourraient être les mesures de protection contre la nouvelle version de la faille POODLE ?
Offres d'emploi IT
H/F Ingénieur réseaux et sécurité
1000MERCIS - Ile de France - Paris (75000)
Analyste réalisateur VB6/ SQL server h/f
ELANZ - Ile de France - Levallois-Perret (92300)
Administrateur système et réseau Haute Dispo H/F
UpSourcing - Ile de France - Bagneux

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil