Un chercheur démontre la pauvreté de certaines implémentations SSL

L’éditeur de logiciels Tripwire, a annoncé que Craig Young, un chercheur en sécurité de sa division « Vulnerability and Exposure Research Team (VERT) » travaille sur un document à propos des vulnérabilités du SSL qui seront présentées à la conférence de hacking « DEF CON 22 Wireless Village ».

Il y a des milliers de sites sur internet qui contiennent des erreurs de configuration dans l’implémentation de SSL et TLS, ce qui les rends vulnérables à des attaques de type Man In The Middle, et, qui pourrait compromettre des données sensibles appartenant aux utilisateurs comme des identifiants d’accès à ses comptes bancaires comme PayPal, des numéros de cartes bancaires, etc.

Craig Young met en évidence que les mauvaises implémentations SSL combinées à l’utilisation du Wi-Fi 802.11 et de ses faiblesses peuvent amener à l’exploitation de certaines failles par les hackers avec « des conséquences dévastatrices pour le monde réel ».

Qui est ce Craig Young ?

Un expert en cyber sécurité, qui a découvert de multiples vulnérabilités dans des routeurs, des vulnérabilités dans l’authentification de Google, et, il a aussi déposé de nombreux CVEs. Il travaille actuellement à VERT, une équipe qui doit s’assurer que les consommateurs de Tripwire ont la meilleure protection possible.

Le Wifi Pineapple

Le chercheur a également créé une courte vidéo qui démontre comment un « Wifi Pineapple » peut être facilement exploité pour espionner des victimes et obtenir des informations.

Le « Wifi Pineapple » est un petit boîtier contenant une appliance basée sur Linux et contenant le programme d’attaque « Karma Wi-Fi ». Il aide les chercheurs en sécurité dans la conduite de tests de pénétration de façon discrète. On le trouve pour 99$ sur certains sites.

Wifi Pineapple

La conférence de Craig Young

Dans sa future conférence, il donnera des explications sur :

- Une stratégie générale pour confirmer qu'une demande SSL effectue une validation de certificat adaptée.

- Comment reconnaître et analyser les implémentations de confiance dans une application Android compilée (APK).

- Quels sont les types d’applications les plus à risque ?

- Des stratégies pour minimiser l’exposition des faiblesses du protocole 802.11 qui permettraient une attaque Man In The Middle.

Source

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian B.

Co-Fondateur d'IT-Connect, je souhaite partager mes connaissances et expériences avec vous, et comme la veille techno' est importante je partage aussi des actus.

florian has 2046 posts and counting.See all posts by florian

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

 

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.