Les révélations du dénonciateur Edward Snowden ont montré que la NSA collecte des données en masse. Bien qu'il ne puisse pas déchiffrer certaines informations aujourd'hui, cela pourrait être possible à l'avenir. Les webmasters peuvent se protéger aujourd'hui, ainsi que leurs visiteurs, contre le décryptage de demain.
Edward Snowden a montré au monde entier qu'aucune donnée n'est à l'abri des services secrets. Ils recueillent (par précaution) toutes les informations qui leur parviennent. Certaines de ces données sont cryptées, par exemple via une connexion HTTPS. Cela inclut les sites web sur lesquels des données sensibles sont transmises, l'achat d'un produit ou la connexion à un compte de courrier électronique ou l'utilisation de la banque à domicile. Toutes ces données sont interceptées, bien qu'elles soient inutiles aujourd'hui. Dans quelques années, les services secrets pourront les décoder.
La vulnérabilité du HTTPS
Qu'est-ce que le Perfect Forward Secrecy, PFS en abrégé ? Pour expliquer ce terme, il faut d'abord expliquer le fonctionnement du cryptage SSL, qui est utilisé sur les sites web où des données sensibles sont transférées.
Lors de la visite de notre site web hoster.online, un petit cadenas est reconnaissable dans la barre de recherche du navigateur web. Un clic sur le cadenas ouvre des informations sur le certificat SSL. Un autre clic permet d'obtenir des informations sur le Certificat Les informations sur les produits peuvent être consultées à tout moment, y compris, par exemple, la date d'expiration.
Les certificats SSL peuvent être utilisés par pratiquement tous les sites web. Les différences résident dans
- leur cryptage
- s'ils valident le domaine ou l'identité et
- le degré de compatibilité de leur navigateur.
Il existe également trois types de certificats :
1er simple
2ème joker
3. multi-domaine
Le certificat SSL fonctionne comme suit : L'utilisateur se rend sur un site web, par exemple hoster.online. Son navigateur contacte le serveur, qui spécifie une clé publique délivrée par l'autorité de certification. Le navigateur vérifie la signature de l'autorité de certification. S'il est correct, il échange des données avec hoster.online. Dorénavant, toutes les données seront transmises de manière cryptée.
Le secret de l'avant parfait comme protection contre les méthodes de demain
Pour la transmission cryptée d'une session HTTPS, le navigateur suggère à chaque fois une clé de session secrète. Le serveur confirme cette clé.
Le problème avec cette méthode est que les services secrets comme la NSA peuvent enregistrer la transmission de la clé. Dans un avenir prévisible, il pourrait être possible de le décrypter. Cela leur permettrait de lire toutes les données transférées à hoster.online.
Dans le passé, il y a eu des problèmes avec le HTTPS. Le bogue "Heartbleed", qui expose les sites web à des vulnérabilités de sécurité majeures depuis 2011, a touché deux sites web sur trois sur l'internet. Heartbleed était une erreur de programmation dans le logiciel OpenSSL. Elle a permis aux pirates se connectant à un serveur avec une version vulnérable d'OpenSSL via HTTP d'accéder à 64 Ko de stockage privé. L'attaque a provoqué la fuite de cookies, de mots de passe et d'adresses électroniques sur les serveurs. De grands services tels que Yahoo Mail et LastPass ont été touchés.
La solution pour de tels scénarios est le Perfect Forward Secrecy : avec la méthode dite Diffie-Hellman, les deux partenaires de communication - dans ce cas le navigateur web et le serveur - se mettent d'accord sur une clé de session temporaire. Elle n'est transmise à aucun moment. Dès que la session est close, la clé est détruite.
Les PSF dans la pratique et à l'avenir
Malheureusement, il y a deux mauvaises nouvelles :
1. peu de sites web utilisent actuellement les PFS
2. toutes les données échangées jusqu'à présent ne peuvent plus être cryptées
Néanmoins, les sites web devraient au moins mettre en œuvre dès à présent le principe de Perfect Forward Secrecy afin de garantir qu'aucune donnée ne puisse être lue tôt ou tard malgré le cryptage.
Ivan Ristic de Security Labs recommande les suites suivantes pour la mise en œuvre de PFS :
- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
- TLS_ECDHE_RSA_WITH_3THE_EDE_CBC_SHA
Les webmasters peuvent tester leur site web sur ssllabs.com et décider ensuite des mesures appropriées.
Après la mise en œuvre de Perfetct Forward Secrecy, les services tels que la NSA et le BND ne peuvent lire les données qu'avec des attaques de type "man-in-the-middle". Dans tous les autres cas, le SPF sera une épine majeure dans le pied des écoutes.
