Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Facebook et Cloudflare proposent des solutions pour continuer à utiliser SHA-1 après l'abandon de ce standard
Pour ne pas léser certains internautes

Le , par Olivier Famien

62PARTAGES

5  1 
À compter du 1er janvier prochain, les certificats utilisant l’algorithme de hachage SHA-1 (Secure Hash Algorithm 1) ne seront plus émis par la plupart des autorités de délivrance de certificats. Pour donner déjà le ton, Google Chrome a commencé à émettre des avertissements pour les certificats basés sur SHA-1 qui expirent après l’année 2015.

Et à partir du 1er janvier 2017, le navigateur de Google ne supportera plus cet algorithme de hachage. Microsoft a fixé sa date de fin du support à juin 2016 et Mozilla a rapproché la sienne à juin 2016 alors qu’elle avait été initialement fixée au 1er janvier 2017.

Ces différentes décisions sont motivées par le fait que l’algorithme de hachage SHA-1 ne présente plus le même taux de sécurité élevé que par le passé. Des chercheurs ont pu démontrer qu’il est possible de créer une collision en générant une signature possédant un certificat numérique similaire à une signature émise avec un certificat légitime SHA-1.

Cela pourrait permettre à un attaquant d’intercepter des données chiffrées sur un site donné. Pour cela, il est recommandé de passer à des algorithmes plus sûrs tels que ceux de la famille SHA-2 qui comprend l’algorithme SHA-256, SHA-384 et SHA-512.

Il faut savoir, en outre, que ce n’est pas la première fois que l’industrie IT se défait d’un algorithme de hachage à risque. En 1991, l’algorithme MD5 a été créé afin d’offrir une sécurisation des signatures numériques. Les risques de collisions détectés dans cette fonction de hachage ont obligé les experts à suggérer l’abandon de cette dernière pour SHA-1 jugé plus sûr.

Les mêmes risques étant perçus avec SHA-1, il est dorénavant recommandé de passer à l’algorithme SHA-2 pour les signatures numériques. Dans le premier scénario impliquant MD5, le passage de MD5 à SHA-1 s’est fait plutôt aisément, car les premières versions Mozilla et Internet Explorer supportaient SHA-1. Toutefois, les données ne sont pas les mêmes cette fois-ci.

Par exemple, les versions antérieures de Windows XP Service Pack 3 ne disposent pas de support pour SHA-2. De même, plusieurs téléphones datant de moins de cinq ans et tournant avec des versions d’Android inférieures à la version 2.3 ainsi que les applications utilisant les outils openSSL 0.9.8 sont dans le même cas.

Aussi, pour avoir une idée claire des plateformes supportant SHA-2 et celles ne le supportant pas, l’entreprise Cloudflare a mené une étude sur quelques semaines en testant les connexions de navigateurs sur son réseau. Comme résultat, il ressort de cela que SHA-2 est supporté par 98,31 % des navigateurs. Les autres 1,69 % estimé à 37 millions d’utilisateurs n’ont pas d’équipements compatibles avec SHA-2.

De manière plus détaillée, Cloudflare a produit une liste contenant les pays avec les pourcentages de navigateurs qui ne supportent pas SHA-2. En tête de liste, nous avons la Chine 6.08 % suivie du Cameroun 5.39 % puis du Yémen 5.25 %, le Soudan 4.69 %, l’Égypte 4.85 %, la Libye 4.83 %, la Côte d’Ivoire 4.67 %, le Népal 4.52 %, le Ghana 4.42 %, le Nigéria 4.32 %, l’Éthiopie 3.82 %, l’Iran 3.78 %, la Tanzanie 3.72 %, la Syrie 3.63 %, etc.

« En d’autres termes, après le 31 décembre la majorité du Web chiffré sera coupé des populations les plus vulnérables d’utilisateurs d’Internet qui ont besoin le plus de chiffrement », a déclaré CloudFlare.
Facebook de son côté a fait également le point de ses statistiques et est parvenu à la conclusion : « 3-7 % des navigateurs actuellement utilisés ne sont pas en mesure d’utiliser la norme SHA-256 plus récente, ce qui signifie que des dizaines de millions de personnes ne pourront pas utiliser Internet en toute sécurité après le 31 décembre ».

« Un nombre disproportionné de ces personnes vivent dans les pays en voie de développement et le résultat probable dans ces contrées sera un grave retour en arrière dans le déploiement des protocoles HTTPS par les gouvernements, les entreprises et les ONG qui souhaitent atteindre leurs populations cibles ».

Pour ne pas laisser cette population pour compte, Cloudflare et Facebook préconisent aux sites web de continuer à supporter la norme SHA-1. Facebook pour sa part a mis en œuvre un mécanisme permettant de vérifier la compatibilité du navigateur à la norme SHA-2. Si le navigateur est uniquement compatible avec SHA-1, un basculement automatique sur ce standard est effectué afin de ne pas priver ces internautes de l’accès à Internet.

Et pour les navigateurs plus récents supportant la norme SHA-2, Facebook continuera à proposer sur sa plateforme la norme SHA-2. Aussi, afin d’inciter les développeurs à prendre en compte ce segment d’utilisateurs n’ayant pas de support pour SHA-2, Facebook a rendu open source le code utilisé pour basculer automatiquement entre les deux certificats.

Cloudflare également propose le support automatique de retour au SHA-1 pour ses clients prémium. Et pour aller encore plus loin, elle entend mettre sous licence open source dès l’année prochaine l’algorithme qu’elle utilise pour supporter le retour vers SHA-1.

En plus de ces deux entreprises, il faut ajouter Alibaba qui supporte également la norme SHA-1 ainsi que plusieurs milliers de sites référencés par Cloudflare.

Pour terminer, Facebook et Cloudflare proposent aux autorités de délivrance de certificats la mise en œuvre d’une nouvelle classe de certificats appelée Legacy Validated (LV) certificates prenant en compte les certificats SHA-1.

Ces certificats pourraient être utilisés après les dates de fin de support émises par les différents éditeurs de navigateurs de sorte que les vieux navigateurs puissent continuer à accéder aux sites sécurisés sur la toile.

Source : Blog Cloudflare, Facebook

Et vous ?

Que pensez-vous des propositions de Cloudflare et Facebook afin de continuer à utiliser SHA-1 ?

Êtes-vous favorables à ces propositions ou plutôt souhaitez-vous voir ce standard abandonné ?

Voir aussi

Forum Internet

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Fagus
Membre actif https://www.developpez.com
Le 17/12/2015 à 13:29
Ces projections ne sont pas sérieuses.
Si on arrête SHA1, et que les gens reçoivent un gros popup "mettez à jour votre navigateur sinon, plus de facebook", il vont le faire... (enfin, si on leur file au passage en drive-by-download un installer "one clic" )
2  0 
Avatar de Thorna
Membre éprouvé https://www.developpez.com
Le 13/12/2015 à 0:11
Pour "ne pas" léser, ou pour léser les utilisateurs devenus piratables et non sécurisés, ce qui, entre parenthèses, mettra en danger aussi tous ceux qui sont en contact avec eux, etc. Allez zou, -> tribunal !
1  0 
Avatar de atha2
Membre éprouvé https://www.developpez.com
Le 13/12/2015 à 14:57
Je suis pas sur que continuer le support du SHA-1 soit une bonne idée. L'utilisateur a la fausse impression d'être sur une connexion sécurisée (qui ne l'est plus vu que SHA-1 est obsolète), ce qui a mon avis est pire que d'utiliser une connexion non sécurisée.
Le seul avantage est pour les entreprises comme facebook, alibaba... qui vont garder ces 5% d'utilisateur en tant que client, celui-ci étant mis en confiance par le cadenas indiquant un site sécurisé.
1  0 
Avatar de RyzenOC
Inactif https://www.developpez.com
Le 13/12/2015 à 18:57
Le seul avantage est pour les entreprises comme facebook, alibaba... qui vont garder ces 5% d'utilisateur en tant que client, celui-ci étant mis en confiance par le cadenas indiquant un site sécurisé.
Ces 5% sont à mon avis des néophytes de l'info (utiliser Windows xp pour naviguer sur internet avec IE6/7 et en plus sur des sites sensible...), alors cadenas vert ou pas je crois qu'il ne s'en apercevrons pas.

Les autres sont des salariés dans une entreprise qui n'a pas renouvelé leur parc info, mais au boulot ils n'ont rien à faire sur facebook normalement
2  1 
Avatar de robertledoux
Membre habitué https://www.developpez.com
Le 31/12/2015 à 12:39
C'est dingue cette volonté de refuser d'évoluer, surtout au détriment de la sécurité. Je suis persuadé que ces boites auraient fait le même foutoirs en 95 en mode "niaaa on a 70% de nos client qui utilise SHA-0 alors on refuse de passer a SHA-1"... Tu passes et les mec font la mise à jour est mare. C'est pas comme si ça fait des année que SHA-2 est annoncé comme remplacent du vieux SHA-1.
2  1 
Avatar de Iradrille
Expert confirmé https://www.developpez.com
Le 31/12/2015 à 14:23
Citation Envoyé par Olivier Famien Voir le message
Par ailleurs, ces entreprises soulignent que le support pour SHA-1 sera abandonné si une attaque se produisait.
Dommage que la cryptographie soit pas mon truc parce que ça à l'air sympa leur jeu : celui qui réussi a faire passer tout le monde à SHA-2 gagne.
1  0 
Avatar de TiranusKBX
Expert confirmé https://www.developpez.com
Le 12/12/2015 à 18:24
Je ne verrais pas pourquoi il faudrait brader la sécurité pour 3% des utilisateur d'internet(sachant que seulement 1/3 de la population mondiale y a accès).
c'est pour moi un problème de sensibilisation du public et rien d'autre.
Pour la plupart des terminaux problématique il suffit de leur faire installer un navigateur récent non ?
Si ils utilisent encore XP il faut les faire passer à linux si ils ne veulent pas payer.
1  1 
Avatar de Iradrille
Expert confirmé https://www.developpez.com
Le 12/12/2015 à 19:36
Du foutage de gueule. Perdre jusqu’à 7% de clients est hors de question, alors on trouve une solution.

Mais puisqu'ils ont l'air de défendre les minorités, ça serait cool qu'ils s'intéressent aux 2.4% de personnes qui n'ont pas (ou ne veulent pas) de support de JS.
1  1 
Avatar de RyzenOC
Inactif https://www.developpez.com
Le 13/12/2015 à 8:56
Mais puisqu'ils ont l'air de défendre les minorités, ça serait cool qu'ils s'intéressent aux 2.4% de personnes qui n'ont pas (ou ne veulent pas) de support de JS.
Un site web (comme Facebook) sans js en 2015... mais bien sur
Je vois pas comment tu peut introduire des fonctionnalités "évolué" dans ton site sans avoir recours à l'ajax et au js.

Enfin si, en flash... mais troquer le js à flash sa me parait pas être une bonne solution.
2  2 
Avatar de Iradrille
Expert confirmé https://www.developpez.com
Le 17/12/2015 à 14:04
Citation Envoyé par Fagus Voir le message
Ces projections ne sont pas sérieuses.
Si on arrête SHA1, et que les gens reçoivent un gros popup "mettez à jour votre navigateur sinon, plus de facebook", il vont le faire... (enfin, si on leur file au passage en drive-by-download un installer "one clic" )
Exactement, comme pour IE6.
0  0