Faille de sécurité Heartbleed : que craindre, comment réagir pour les utilisateurs d’iPhone et de produits Apple
Ces derniers jours, les serveurs
Internet mais également les utilisateurs sont secoués par une découverte de
taille : une faille importante baptisée Heartbleed. Sans
rentrer dans les détails, celle-ci touche le protocole OpenSSL utilisé
lorsque l’on se connecte de manière sécurisée (affichage d’un
cadenas dans le navigateur) à des sites Internet (banque, comptes divers
e-commerce, stockage, etc …). Cette faille a potentiellement permis à des
personnes mal intentionnées de voler des informations normalement protégées
comme … les mots de passe, pierre angulaire de la protection des données
personnelles.
Si cette faille fait tant parler, c’est qu’elle pourrait affecter 2/3 des
sites internet utilisant l’authentification. Un expert
indiquait récemment que sur une échelle de gravité de 1 à 10, elle était à
… 11 !
Après quelques jours durant lesquels les grands de l’Internet ont vérifié
leurs serveurs, corrigés ceux concernés et fait un bilan, c’est au tour d’Apple
de s’exprimer et les nouvelles sont rassurantes. Mais sur nos machines, nous
n’utilisons pas que des produits 100 % Apple …
Voici l’état des lieux et la conduite à tenir pour minimiser les risques
liées à Heartbleed :
Tout d’abord, déclaration officielle d’Apple qui va rassurer les
utilisateurs d’iOS et d’OS X : les deux systèmes n’utilisent pas le
protocole victime de la faille, ils ne sont pas
vulnérables.
En ce qui concerne les services Internet proposés par Apple (iCloud,
iMessage , etc …) la société indique que les "services clés" ne sont
pas touchés ("key web-based services were not affected") sans les
lister en détail mais en appelant pas à changer les mots de passe, signe que
tout va bien.
Mais si iOS, OS X et les serveurs d’Apple ne sont pas touchés, on ne vit pas
dans un monde fermé et certains sites ou service que l’on visite ou utilise
depuis nos machines peuvent eux être vulnérables. Que faire ?
La seule solution pour le moment est d’attendre que la faille soit
corrigée site après site puis de modifier son mot de passe dans la
foulée.
Afin de recenser les sites affectés (et corrrigés) ou non, lesite
Mashable a entamé une longue
liste que vous pouvez retrouver ici.
Parmi les services plus populaires touchés, qui ont corrigé la faille et
donc pour lesquels il faut changer votre mot de passe, on trouve
notamment :
- Dropbox
- Yahoo
- Gmail
- Minecraft
- Tumblr
- Amazon Web Services
- IFTTT
Et bien entendu, recommandation habituelle mais tellement importante :
n’utilisez jamais le même mot de passe sur deux service différents ! Si
jamais l’un d’eux est récupéré, il ouvre la porte à tout le reste …
Pour cela, il faut un bon gestionnaire de mots de passe.
Très clairement, sur iOS comme sur Mac (et PC), la meilleure solution certes
couteuse mais tellement pratique et efficace est pour nous (mais pas seulement)
1Password. On en a déjà parlé de nombreuses fois dans nos
colonnes : l’application stocke les mots de passe, les transfère
automatiquement entre Mac, PC, iPhone, iPad (et même Android) et surtout permet
de les utiliser directement sur son navigateur d’ordinateur ou dans le
navigateur intégré à l’appli, sans avoir à les saisir. Un seul mot de
passe à retenir au final.
L’éditeur a bien vu l’opportunité et vient du coup de proposer une promotion
sur l’appli iPhone / iPad et sur le client Mac qui sont proposés à – 50 %
actuellement :
Bon courage !
gaga
11 avril 2014 à 12 h 33 min
ameduvent, c’est plus facile de critiquer que de faire…crée ton propre
site et tu pourras donner les infos en temps et en heures
Patrick (posté avec l'application iFon.fr HD)
11 avril 2014 à 19 h 53 min
Une autre application de gestion de mot de passe est : PassSecret
Facile d utilisation et disponible en Français , PassSecret vous permet de
protéger vos données sensibles ( compte bancaires, sites web, abonnements,
comptes d’accès au bureau ) à l’écart des yeux indiscrets.
piri
11 avril 2014 à 14 h 49 min
J’entend beaucoup parler de ces solutions de stockage de mot de passe
mais… n’est-ce pas encore plus risqué de mettre tous ses mots de passe au
même endroit ? Si le site de stockage saute, ce sont tous les passwords qui
sont accessibles d’un coup.
Maay (posté avec l'app i-nfo.fr V2)
11 avril 2014 à 16 h 12 min
@piri
C’est un risque, faible, mais un risque quand même. Mais avoir ses mots de
passe sur son ordi aussi, même protégé par un master password (qui peut être
craqué avec un keylogger), et aussi les mots de passe sur des papiers à la
maison (en cas de cambriolage). Il n’y a pas de solution parfaite, mais au
moins les services spécialisés type 1password ou lastpass bâtissent leur
réputation sur cette sécurité, et donc restent hyper vigilants (une erreur et
ils perdent leurs clients), ce qui en soit est appréciable, en particulier pour
ceux et celles qui n’ont pas d’expertise particulière en matière de sécurité
informatique. Après à chacun de valider sa propre stratégie de sécurité en
fonction de ces paramètres, de ses besoins et de ses compétences.
Asci (posté avec l'application iFon.fr HD)
11 avril 2014 à 20 h 34 min
Mail reçu de dashlane,changement de mots de passe a leurs demande pour les
sites visites .et non pour laps même ,protocole non affecté.
Ameduvent (posté avec l'app i-nfo.fr V2)
11 avril 2014 à 11 h 31 min
Trois jours que la faille à été mise en avant, bravo pour la réactivité.
NetSkywalker (posté avec l'app i-nfo.fr V2)
12 avril 2014 à 0 h 17 min
Oui sympa les Dashlane et autres 1Password mais s’ils se font craquer c’est
un peu comme si ils avaient directement acces a la salle des coffres de nos
données personnelles avec un accès à suffisamment d’infos pour pouvoir usurper
l’identité de quelqu’un …
NetSkywalker (posté avec l'app i-nfo.fr V2)
12 avril 2014 à 0 h 21 min
@istaff et @lafricain : clairement, le système de paiement en One Shot d’un
logiciel est plus intéressant pour le consommateur que l’abonnement mensuel qui
est vraiment de plus en plus utilisé et super pénible (Office 365 et autres
…). C’est sur que c’est une source d’argent récurrent pour l’éditeur et que
du coup, tous poussent dans ce sens mais c’est très pénible pour le
consommateur