Comment tester FREAK Attack (CVE-2015-0204) et Fix ?
Votre site web est-il protégé contre l'attaque FREAK ?
La sécurité sur le web est un sujet en constante évolution. Les experts en sécurité sont toujours à l'affût de nouvelles menaces, et les vulnérabilités portent des noms parfois intrigants, comme Heartbleed, Poodle, et maintenant, l'attaque FREAK.
Ce guide a pour objectif de vous expliquer comment identifier si votre site web est concerné par cette menace, et comment corriger les failles de sécurité associées.
Introduction
Si l'attaque FREAK vous intéresse, ou si vous n'en avez jamais entendu parler, voici une brève explication. Karthikeyan Bhargavan, travaillant à l'INRIA de Paris, est le chercheur qui a mis en lumière cette vulnérabilité.
Annoncée le 3 mars 2015, cette faille SSL/TLS permet à un pirate d'intercepter une connexion HTTPS entre un client et un serveur vulnérables. Il peut ensuite forcer la communication à utiliser un chiffrement faible, lui donnant ainsi la possibilité de voler ou de manipuler des données sensibles.
Vérification de la vulnérabilité de votre serveur
Si votre serveur web accepte les suites de chiffrement RSA_EXPORT, il est potentiellement à risque. Pour vérifier votre URL HTTPS, vous pouvez utiliser l'outil disponible via le lien suivant.
Correction de la vulnérabilité liée à l'attaque FREAK
Pour un serveur HTTP Apache, vous pouvez désactiver les suites de chiffrement EXPORT en ajoutant la ligne ci-dessous dans votre fichier de configuration httpd.conf ou SSL :
SSLCipherSuite !EXPORT
Il est possible que vous ayez déjà une ligne SSLCipherSuite dans votre configuration. Dans ce cas, ajoutez simplement !EXPORT à la fin de cette ligne.
Si vous êtes novice en matière de configuration, vous pouvez consulter mon Guide sur la sécurité et le renforcement des serveurs web Apache.
Pour Nginx, ajoutez l'instruction suivante dans votre fichier de configuration :
ssl_ciphers '!EXPORT';
De plus, vous pouvez utiliser le Générateur de configuration SSL ou les Configurations recommandées par Mozilla pour vous prémunir contre les vulnérabilités SSL/TLS.
En tant que propriétaire d'un site web, ou en tant qu'ingénieur en sécurité, il est primordial d'effectuer des analyses de sécurité régulières sur votre site, afin d'identifier les nouvelles vulnérabilités et d'être alerté en cas de problème.
Vous pourriez également être intéressé par la résolution de l'attaque Logjam.
Cet article vous a plu ? N'hésitez pas à le partager !