Comment réagir aux failles SSL ? Sécuriser ses pages Web https après Beast

Entre la découverte de la faille et la première démonstration de son exploitation, neuf ans se sont donc écoulés. Cela a donc demandé beaucoup de temps. "L'exploit n'est pas simple, et nécessite des moyens avancés dont l'écoute du réseau. La probabilité de le voir réaliser à grande échelle reste donc faible aujourd'hui", juge Gérôme Billois..

Faut-il s'inquiéter ?

Les RSSI, les webmasters et les clients de sites de e-commerce doivent-ils s'inquiéter ? Non, répond Ivan Ristic, spécialiste des protocoles SSL et TLS, et directeur de l'ingénierie de Qualys : "Mener à bien l'attaque Beast demande non seulement des compétences importantes, mais aussi un ensemble de circonstances difficiles à réunir. Il existe en fait de nombreuses autres attaques beaucoup plus faciles à réaliser."

Comment se protéger

Cependant, il faut réagir à cette nouvelle possibilité d'attaque. Comment les RSSI peuvent-ils s'en protéger ? Si déployer massivement TLS 1.2 et 1.3 à court terme semble utopique (voire page suivante), un premier moyen simple de se protéger est de privilégier au niveau serveur la méthode de chiffrement RC4 plutôt qu'AES qui utilise le mode CBC vulnérable. "C'est d'ailleurs ce que fait Google pour ses sites https", rappelle Gérôme Billois, qui juge cette mesure "simple et efficace mais dont l'impact technique doit être évalué par les entreprises."

Même si l'image de cet algorithme RC4, pensé pour le Wep, a pu être ternie, c'est à ce jour la seule solution massivement et rapidement déployable qui émerge. Il suffit de changer les paramètres du serveur Web pour les faire basculer vers RC4, qui est bien supporté.