Firefox 37 désactive son chiffrement opportuniste à cause d'une faille

[chantal11]

Bonjour,

Firefox 37 désactive son chiffrement opportuniste à cause d'une faille

Lors de l’arrivée de Firefox 37, Mozilla mettait en avant une nouvelle fonctionnalité, baptisée « chiffrement opportuniste ». L’éditeur a dû cependant la désactiver, car son implémentation contient une sérieuse faille de sécurité qui peut permettre un contournement complet des protections HTTPS.
Chiffrer les connexions, même sans HTTPS

Firefox 37 portait avec lui une promesse de sécurité accrue par l’entremise du chiffrement opportuniste. Cette méthode particulière permet au navigateur d’établir une connexion chiffrée avec un serveur, même si aucune sécurisation du flux n’a été prévue. Bien entendu, pas question d’obtenir une aussi grande efficacité qu’avec une vraie connexion HTTPS, mais la technique permet de protéger au moins un minimum le flux en essayant de le chiffrer.

La technique n’est pas nouvelle, et Mozilla a visiblement fait une erreur dans son implémentation. Les utilisateurs de Firefox auront ainsi remarqué qu’une mise à jour a été déployée hier. Numérotée 37.0.1, elle a pour mission de désactiver le chiffrement opportuniste. L’erreur entraîne en effet une faille de sécurité qui pourrait être exploitée par des pirates, en présentant de faux certificats TLS, le navigateur ne remarquant alors pas la supercherie. L’exploitation est d’ailleurs simple à mettre en place puisque le site malveillant n’a qu’à placer un en-tête « HTTP/2 Alt-Svc » dans sa réponse au navigateur, court-circuitant la vérification des certificats.
Une faille simple à exploiter, mais limitée aux serveurs HTTP/2

Lire la suite sur NextInpact