« "L'agilité du protocole TLS souffre du gonflement de son héritage : après 20 années d'évolutions du standard, celui-ci comporte de nombreuses versions, extensions, et suites de chiffrement, dont certaines ne sont plus utilisées ou connues pour être non-sécurisées" écrivent les chercheurs dans le rapport consacrés aux attaques FREAK. Et cet héritage est justement une des causes de ce nouveau risque de sécurité identifié sur Internet.

En effet, la multiplication des versions du protocole, des modes d'authentification et des méthodes d'échange de clé permettant d'établir une connexion sécurisée entre un client et un serveur a engendré des "bugs" et "plusieurs vulnérabilités de sécurité critiques". Et ces failles sont demeurées cachées dans "ces libraires pendant des années".

[...]

Freak est particulièrement intéressante puisque cette vulnérabilité a pour origine les restrictions à l’export qui ont été mises en place sur la cryptographie dans les années 90. Ces familles d’algorithmes dédiés à l’export étaient plus faibles que les versions classiques aujourd’hui communément utilisées. L’attaque repose sur cela : à cause d’un bug, un attaquant peut exploiter cela et modifier les messages entre le client et le serveur pour forcer l’utilisation de ces familles de chiffrement, initialement destinées à l’export et qui ne garantissent pas une sécurité suffisante. Du côté client, celui-ci croit accepter une connexion sécurisée, mais celle-ci ne l’est pas, en tout cas pas aussi solide que ce qu’il croit.

Deux conditions sont nécessaires pour que l’attaque soit mise en place : il faut que l’attaquant parvienne à se placer dans un schéma d’attaque de type "Man in the middle", afin d’intercepter les messages échangés entre le client et le serveur, et côté serveur, il faut que celui-ci supporte les familles export d’algorithmes. Cette attaque reste assez délicate à mettre en œuvre puisqu’elle demande des moyens relativement importants : il parait difficile pour un individu visant une entreprise par exemple, d’envisager utiliser une attaque de ce type. C’est en revanche beaucoup plus envisageable pour un attaquant soutenu par un Etat.

[...]

D’après des tests réalisés par des experts de l’université du Michigan, un tiers des sites utilisant du chiffrement s’avèrent vulnérables à des attaques FREAK. C’est en particulier le cas de ceux utilisant OpenSSL (un correctif existe) et des clients TLS/SSL d’Apple. D’ailleurs le navigateur Safari de l’éditeur est vulnérable, tout comme celui intégré dans Android. Chrome, Firefox et Internet Explorer ne sont en revanche pas concernés. [ÉDIT du 06/03/2015 à 10h23 : sisi IE est aussi concerné : http://arstechnica.com/security/2015/03/stop-the-presses-https-crippling-freak-bug-affects-windows-after-all/ FIN DE L'ÉDIT.]

[...]

l’attaque Freak mais il faut bien comprendre que celle-ci appartient à une famille d’attaques, que nous avons regroupées sous le nom de State Machine Attacks. Toutes ont pour point commun la façon dont les implémentations de TLS gèrent les algorithmes de chiffrement. On a ainsi détaillé sur le site smacktls une autre attaque, qui vise cette fois l’implémentation de TLS au sein de Java, JSSE, et qui repose sur les mêmes principes.  [...] A l’origine, il y a eu un précurseur à cette attaque, nommé Early CCS. C’est cette attaque qui a montré que les messages envoyés au serveur TLS pouvaient être acceptés dans un ordre incorrect. Nous avons donc cherché comment savoir si les states machines étaient implémentées correctement. Pour tester cette hypothèse, Nous avons développé un outil afin de tester des séquences de messages volontairement incorrectes : si l’implémentation est correcte, alors un message d’erreur doit être renvoyé. Nous avons constaté beaucoup de cas ou aucune alerte n’était remontée et nous nous sommes donc interrogés sur l’interprétation à donner. C'est donc en étudiant le code source d’implémentations Open Source de TLS que nous avons découvert ces attaques. »

Bref, FREAK c'est mort côté client si pas Apple/Android ou en appliquant les patchs si c'est le cas et côté serveur en virant les suites cryptos destinées à l'export (regroupées dans le groupe EXP dans OpenSSL), ce qui devrait être fait depuis longtemps.

Via http://seenthis.net/messages/348012