Options Mon compte Next INpact
Affichage
Modifications sauvegardées
  • Smileys
  • Images
  • Commentaires par actu
  • Commentaires sous les news
  • Désactiver la version mobile
  • Taille de police
Close

Vous consultez la version mobile de ce contenu.

Cliquez ici pour être redirigé vers la version complète, ou attendez 5 secondes. Fermez ce pop-up pour continuer sur la version mobile.

5
secondes

La version finale de cette dernière version du protocole de sécurisation des échanges (TLS 1.3) a été mise en ligne par l'Internet Engineering Task Force l'été dernier.

Dans une publication (qui a déjà quelques semaines) repérée par ZDNet.com et intitulée « Les 9 vies du chat de Bleichenbacher », six chercheurs (Eyal Ronen, Robert Gillham, Daniel Genkin, Adi Shamir, David Wong et Yuval Yarom) affirment avoir identifié une faille permettant d'intercepter des données, y compris chiffrées avec TLS 1.3.

Comme le titre de la publication le laisse entendre, il ne s'agit pas d'une nouvelle brèche, mais d'une énième variante de l'attaque de Bleichenbacher. Pour rappel, nous l'avions détaillée dans cette actualité sur la faille DROWN (elle aussi en est une variante).

Les chercheurs expliquent avoir testé leur attaque sur neuf implémentations de TLS (toutes à jour) : OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL, GnuTLS, BearSSL et BoringSSL. Résultat : « seules les deux dernières (BearSSL et BoringSSL) n'ont pas pu être attaquées avec succès ».

Toutes les parties impliquées ont été informées en août 2018. Les chercheurs ajoutent avoir participé à l'étude et la réalisation de contre-mesures. Des correctifs ont été publiés en même temps qu'une préversion de cette publication, en novembre dernier.


Chargement des commentaires
À découvrir dans #LeBrief

Votre rendez-vous matinal avec l'actualité du numérique reprendra le lundi 29 avril, une partie de l'équipe profitant de cette période de vacances pour prendre quelques jours de repos.

Bien entendu, les rédactions d'INpact Hardware et Next INpact continueront de publier des articles. Nous aurons l'occasion de revenir sur les évènements de ces quelques jours dans une édition spéciale.

Mercredi, la Direction interministérielle du numérique et du système d’information et de communication de l’Etat (DINSIC) lançait son application Tchap destinée « aux communications des agents de l’État, pour échanger des informations sensibles ou moins sensibles ».

Problème, dès jeudi le compte Elliot Alderson (alias Baptiste Robert) monte rapidement au créneau : « Je viens de regarder #Tchap la nouvelle appli sécurisé du gouvernement français. Et, put*** le résultat est horrible ». Il n'en dira pas beaucoup plus.

L'information est remontée rapidement jusqu'aux équipes de Matrix (dont se sert Tchap), qui indiquent être au courant d'un bug de sécurité sur le déploiement français de cette application. La nuance est importante.

« Ce n’est pas un bug du protocole, mais de l'implémentation, qui a affecté leur configuration », affirment les développeurs. Dans un autre Tweet, Matrix en rajoute une couche : « le problème est spécifique au déploiement de la DINSIC et nous travaillons avec eux pour déployer un correctif ».

Un correctif a été déployé dans la foulée. Il permet de « limiter correctement l’enregistrement à un domaine précis » lors de l'inscription. Des détails techniques sont disponibles par ici et dans ce dépôt GitHub.

Matrix en profite pour tacler au passage Baptiste Robert en ajoutant qu'un message privé aurait été apprécié en amont, notamment pour assurer une bonne promotion des solutions FLOSS (Free/Libre Open Source Software) auprès des gouvernements.

Dans tous les cas, Matrix affirme que personne d'autre que Baptiste Robert n'a exploité cette vulnérabilité. Elle en profite pour revérifier les autres déploiements, à la recherche d'un éventuel problème similaire.

Cela reste un coup dur pour Matrix (et Tchap), notamment après le piratage d'il y a quelques jours seulement.

La décision était prévisible, mais elle n’en reste pas moins le témoin du temps qui passe et de l’évolution des habitudes.

BlackBerry Messenger (BBM) cessera de fonctionner dès le 31 mai, et les utilisateurs ont moins d’un mois et demi pour basculer sur d’autres solutions.

Ce sont cependant ces autres solutions qui ont condamné le service. Selon BlackBerry, les utilisateurs existants sont partis petit à petit vers d’autres services, tandis que les nouveaux arrivants étaient trop peu nombreux.

Difficile finalement de résister aux deux poids lourds appartenant à Facebook que sont Messenger et WhatsApp, tous deux bien au-delà du milliard d’utilisateurs.

En outre, et en dépit d’une disponibilité sur Android et iOS, BlackBerry ne s’est pas vraiment rendu compte de l’importance de la partie UI/UX. L’interface vieillotte de BBM faisant pâle figure devant des réalisations plus modernes, comme Viber et Telegram, ce dernier misant en plus sur la personnalisation.

L’équipe de développement espère que les utilisateurs en garderont tout de même un bon souvenir.

C'est en effet le 21 avril 1989 que Nintendo commercialisait sa console portable pour la première fois au Japon. À l'époque, les Game & Watch occupaient le terrain, mais avec un inconvénient de taille : il n'était pas possible de changer de jeu. Le Game Boy est venu apporter sa petite révolution en terme de mobilité.

« Depuis lors, cette console de poche a été vendue à plus de 100 millions d'exemplaires », affirme Nintendo sur son site, qui précise au passage que son catalogue de jeux comprend plus de 450 titres.

En interne, certains ne croyaient pas en ce projet. Son nom de code DMG a rapidement été détourné en « dame game » ou « jeu nul » en japonais. L'histoire est racontée par Florent Gorges, auteur du livre L’Histoire de Nintendo vol. 4. L’Incroyable Histoire de la Game Boy (25 euros chez Amazon), dans les colonnes du Monde.

Son boîtier blanc et gris a pris de la couleur au début des années 90. « En 1997, Nintendo fit un pas de plus en diminuant les dimensions du Game Boy pour créer la série Game Boy Pocket ».

Par la suite, le Game Boy Color (avec un écran de 44 x 39 mm de 32 768 couleurs) et le Game Boy Advance sont arrivés, mais c'est une autre histoire.

En mars, le réseau social reconnaissait avoir stocké en clair des mots de passe de « centaines de millions d'utilisateurs ». Dans le lot, se trouvaient aussi des « dizaines de milliers d'utilisateurs Instagram ». Il y en avait finalement bien plus.

Dans une mise à jour discrète du billet de blog du 21 mars repérée par TechCrunch, le réseau social explique avoir trouvé d'autres mots de passe Instagram stockés en clair. De dizaines de milliers, on passe désormais à « des millions d'utilisateurs » touchés.

Facebook affirme de nouveau que ces mots de passe n'ont pas été utilisés à des fins malveillantes. Les utilisateurs concernés seront informés.