FREAK – une faille majeure née de la lutte des US contre le chiffrement
▻http://www.zdnet.fr/actualites/freak-une-faille-majeure-nee-de-la-lutte-des-us-contre-le-chiffrement-39815774
Les Etats-Unis ne voulaient pas d’un chiffrement fort, et la faille FREAK affectant le TLS/SSL est un héritage de cette politique. Une attaque FREAK permet ainsi de forcer l’utilisation d’un chiffrement ancien et vulnérable et donc d’intercepter des données en principe protégées.
Sur cette faille :
Le site officiel (comment, pas de logo ???) ►https://freakattack.com
Un autre article généraliste en français ▻http://www.nextinpact.com/news/93310-faille-freak-quand-connexions-ssltls-se-contentent-dun-chiffrement
Le bon article (comme d’habitude) d’Ars Technica ▻http://arstechnica.com/security/2015/03/freak-flaw-in-android-and-apple-devices-cripples-https-crypto-protectio
J’ai pas encore trouvé comment tester son serveur, SSLlabs.com ne semble pas le faire.
L’explication technique détaillée de Green ▻http://blog.cryptographyengineering.com/2015/03/attack-of-week-freak-or-factoring-nsa.html
Et, toujours en technique, l’annonce de la faille de OpenSSL qui rend l’attaque plus facile, annonce qui était passée inaperçue il y a un mois ▻https://www.openssl.org/news/secadv_20150108.txt
Good News! Your browser appears to be safe from the FREAK Attack!
me dit aimablement ►https://freakattack.com avec firefox 36.0 sous Mac OS 10.9.5
@grommeleur Apparemment, seuls Android et iOS sont touchés.
Firefox sur Android ne semble pas réagir...
▻http://www.zdnet.com/article/freak-another-day-another-serious-ssl-security-hole
You can, however, use openssl from a shell prompt to check to see if a Web server can be attacked. The command line reads:
openssl s_client -connect www.Fill-In-The-Blank.com:443 -cipher EXPORT
using the real site name in place of www.Fill-In-The-Blank.com
If you get an error message, with the phrase “handshake failure.” in it, the site is safe.
Aujourd’hui, #Logjam a été annoncé, autre façon d’exploiter les serveurs qui continuent à permettre l’utilisation de la crypto bridée par les gouvernements. ▻http://seenthis.net/messages/372260