L’actualité d’Internet a été marquée cette semaine par un vent de panique après l’annonce par le service de chiffrement OpenSSL de l’existence d’une faille dans son code source. Un bug « catastrophique » et « historique » pour certains, « Internet est cassé » clament encore d’autres.
Et pour cause : le chiffrement d’OpenSSL était un standard sur lequel reposait la sécurité de près des deux tiers des serveurs de la planète. Sur lequel reposait le confiance des internautes aussi, avec le fameux « petit verrou » à côté de l’URL qui laissait croire que tout était sûr alors que des mots de passes et autres données bancaires pouvaient fuiter pour qui connaissait la faille.
Heartbleed : 11/10 sur l’échelle de la gravité
Concrètement, OpenSSL est un des services offrant une protection essentielle aux internautes et aux serveurs en délivrant des clefs de chiffrement qui permettent de masquer les communications. La faille « Heartbleed » permettait à celui qui la connaissait de siphonner, en envoyant une simple requête, 64kb de données.
La faille est doublement grave : non seulement quantitativement puisque des millions de serveurs utilisaient le service dont de nombreux géants du web (changez vos mots de passe!), mais aussi qualitativement vu la sensibilité des données qui pouvaient être récupérées. Le célèbre expert en cryptographie Bruce Schneier disait de la faille :
« Sur une échelle de 1 à 10, la faille est un 11. »
Panique et complot : la NSA savait
Puis le vent de panique a laissé derrière lui le parfum âcre de la suspicion. Le journal américain Wired, titrait vendredi « La NSA s’est-elle servi du bug Heartbleed comme d’un judas sur Internet ». Aucune preuve, mais la revue cite un expert en sécurité :
« Cela ne m’étonnerait pas du tout que la NSA ait découvert cela bien avant nous autres. C’est très certainement le genre de chose que la NSA trouverait particulièrement utile à son arsenal. »
Le mot est lancé, la rumeur se diffuse. Ambiance “théorie du complot” dans la sphère (…)
Faille de sécurité « Heartbleed » : faut-il rester loin d’Internet ?Contrôle du Net : la NSA et son super ordinateur qui fait peur. Pour rien ?