Sartomiki.net

Avant de commencer ce projet, nous avions confiance que le protocole HTTPS était un des rares protocoles de sécurité à utiliser sans aucun souci.

Tout le monde est au courante que les transactions sur internet sont potentiellement dangereuses, mais aussi que en utilisant la suite SSL/TLS nous pouvons nous protéger contre la plus part des menaces.

Les risques que nous prenions en count étaient lié à la chaine de confiance, qui caractérise  les infrastructures à clé publique, à la configuration de défaut des logiciels de navigation et au manque de la culture de la sécurité chez les utilisateurs finaux, mais pas à une faiblesse implicite du protocole TLS.

L’analyse de plusieurs travails de chercheurs et spécialistes de la sécurité nous a permis de comprendre comment derrière au protocole plus secoure, il y a toujours des petites incohérences qui permettent d’exploiter des failles. Même si la recherche des vulnérabilités peut être longue et difficile, même si elle est conduite par des experts du secteur, plusieurs foies l’exploitation est très simple.

Quand une faille limpide est publiée, le travail pour les développeurs est complexe : il faut trouver une bonne solution dans un petit délai. Parfois une solutionne définitive est impossible à appliquer, donc plusieurs patchs sont distribuées et chacune apporte potentiellement des vulnérabilités.

La procédure de renégociation TLS a toujours apporté avec elle le manque d’une communication directe entre les deux entités HTTP. Une solution possible pourrait être de gérer la requête d’informations supplémentaires au niveau applicatif, au cout d’apporter des modifications sur tous les logiciels actuellement disponibles. Actuellement, ca est difficilement applicable, mais nous croyons que sans une modification substantielle du protocole il y aura toujours de vulnérabilités plus ou moins cachées.

La solution prise a résolue les problèmes signalés, mais elle ne couvre pas tous les aspects que plusieurs travails ont révélé. Il existe toute une famille d’attaques liées à la renégociation de session TLS qui n’a été pas encore complètement étudié et publié. Nous ne sommes pas surs qu’elle sera une solution définitive, mais nous savons aussi que dans le domaine de la sécurité rien n’est pour toujours.