Transactions sur Internet : le cadenas défaillant Le protocole SSL est utilisé pour sécuriser les communications sur Internet (par exemple envoi et réception d’ s, transactions bancaires en ligne, etc.). Ce protocole permet de créer un tunnel entre deux ordinateurs à travers lequel les informations envoyées seront chiffrées et donc incompréhensibles pour quelqu’un qui ne se trouve pas à un bout ou l’autre du tunnel. Exemple : transmission d’un mot de passe pour ouvrir une boîte aux lettres électronique. À chaque fois que le logiciel d’ de l’utilisateur accède à la boîte aux lettres, un pirate peut s’introduire dans la communication afin de décrypter le mot de passe de l’utilisateur. L’établissement du tunnel se fait ainsi : 1. L’ordinateur A annonce à l’ordinateur B qu’il veut ouvrir un tunnel sécurisé. 2. A et B s’accordent sur le procédé de chiffrement qu’ils vont utiliser ainsi que sur une clé secrète. 3. Le tunnel est prêt à être utilisé pour communiquer de manière sécurisée. SSL gère les erreurs qui peuvent avoir lieu lors du transfert de données en renvoyant des messages à l’expéditeur. En utilisant ces messages d’erreurs, il est possible pour un pirate de décrypter les données envoyées dans le tunnel (le mot de passe par exemple) A B Pirate Utilisateur X Est-ce que le mot de passe se termine par « A »? Est-ce que le mot de passe se termine par « G »? Est-ce que le mot de passe se termine par « NG »? NON OUI À chaque fois que le logiciel d’ envoie le nom d’utilisateur et le mot de passe chiffrés, le pirate peut poser une question. Ainsi, le pirate va tout d’abord deviner la dernière lettre du mot de passe, puis les deux dernières lettres, puis trois, etc. En exploitant cette faille du protocole, le pirate parvient à établir un dialogue de ce genre : De nombreux logiciels d’ accèdent à la boîte aux lettres (c’est- à-dire envoie le mot de passe de l’utilisateur) de façon automatique et régulière (par exemple Microsoft Outlook est configuré par défaut pour se connecter à la boîte aux lettres toutes les 5 minutes). Le logiciel d’ va également envoyer le mot de passe de l’utilisateur à la boîte aux lettres pour chaque dossier existant (voir image ci- dessous, dossiers Inbox, Outbox, Sent Items, etc.). Ceci donne d’autant plus de chance au pirate de découvrir le mot de passe. Il est donc conseillé de ne pas mettre à jour ses dossiers à chaque connection à la boîte aux lettres et également de configurer le logiciel d’ pour interroger la boîte aux lettres toutes les 30 minutes ou plus. N.B. :Si le procédé de chiffrement utilisé par le logiciel d’ est RC4 alors il n’y a pas de risque. Le logiciel d’ envoie à la boîte aux lettres le nom de l’utilisateur et son mot de passe chiffrés. Le pirate intercepte cette information. Le pirate forge de faux messages chiffrés à partir d’hypothèses de la forme « le mot de passe se termine par XYZ ». Si l’hypothèse n’est pas vérifiée, le serveur rejette le message avec une erreur de format. Si l’hypothèse est vérifiée, le serveur rejette le message avec une erreur d’authenticité (le message était forgé). Le message d’erreur peut donc être interprèté comme une réponse à la question « est-ce que le mot de passe se termine par XYZ ? ». Boîte aux lettres