Cachez cette sécurité que je ne saurais voir

À chaque fois qu’il est révélé qu’une application ou un service largement utilisé sur Internet n’utilise pas SSL, il y a une vaste gamme d’émotion dans la communauté de sécurité, allant de l’indifférence (les utilisateurs n’ont qu’à utiliser des réseaux protégés) à la panique (tout devrait être méga chiffré partout, je vais aller me cacher dans mon sous-sol).

Faisons abstraction des faiblesses dans le SSL (d’ailleurs, personne ne devrait utiliser le SSL, nous devrions tous être en TLS, mais bon…), tous les services qui échangent de l’information qui doit être protégé devraient utiliser le SSL. L’avantage du SSL est de chiffrer de bout en bout, car nous ne contrôlons qu’un petit segment du réseau et rien n’empêche à une personne malveillante de truquer les serveurs DNS, écouter entre le client et le serveur (une fois que la communication sort du réseau sous notre contrôle, tout est possible quant à la manipulation de l’information).

Il n’y a pas de réseau sécuritaire. Toutes les communications sensibles doivent être faites à travers un tunnel chiffré entre le client et le serveur. Pour l’instant, le SSL/TLS est le meilleur moyen à notre disposition pour protéger nos communications, malgré les faiblesses dans le protocole. Il faut aussi considérer que l’information envoyée par les airs (cellulaire, WiFi ou autres) peut être enregistrée par quiconque suffisamment près du signal (il est possible d’écouter un signal à plusieurs centaines de mètres et dans certains cas à plusieurs dizaines de kilomètres… alors suffisamment près est une notion relative ;-)). Une fois que l’enregistrement est fait, la personne a tout le temps voulu pour casser le chiffrement et obtenir le contenu. Dans un contexte comme celui-ci, le seul moyen de défense est d’avoir un chiffrement qui permet de résister au moins aussi longtemps que la valeur de l’information qui est véhiculée. Pour mieux protéger les communications sans fil, il est privilégié d’utiliser deux tunnels chiffrés. Le premier entre le terminal sans fil et sa station (WPA2, KASUMI, etc.) et la deuxième entre le client et le serveur. De cette façon, si une communication est enregistrée, il sera doublement difficile d’obtenir le contenu et souvent pas rentable par rapport à la valeur du contenu. Il va sans dire que l’utilisation du SSL permet d’utiliser un réseau hostile (Internet est considéré comme un réseau hostile, non?) sans que l’information soit accessible à un gros nez senteux.

L’émoi généré par Firesheep a été suffisant pour que Facebook, Google et Twitter activent progressivement l’utilisation du SSL à la grandeur de leur service. En tant que professionnels en sécurité, nous devrions utiliser notre connaissance pour inciter les fournisseurs à mettre des mesures de sécurité en place et inciter les utilisateurs à délaisser les services qui ne protègent pas adéquatement leurs informations. Malgré tout l’éducation que nous pouvons dispenser, le côté pratique des WiFi ouverts va toujours avoir préséance sur les bonnes pratiques de sécurité (lors d’un Blackhat j’ai vu des personnes mettre à jour leur profil Facebook ou consulter leur courriel sur Gmail, à l’époque où le SSL n’était pas déployé massivement sur ces deux services).

La sécurité doit être transparente à l’utilisateur quoiqu’il fasse, comme les composantes de sécurité d’une voiture fonctionnent même si le conducteur est irresponsable.