Base de Connaissances

Faille Heartbleed: vulnérabilité dans les versions d’OpenSSL 1.0.1 à 1.0.1f et 1.0.2-beta1

Le 7 avril 2014, la faille de sécurité Heartbleed a été révélée à la communauté Internet. Heartbleed n’est pas une vulnérabilité des protocoles SSL ou TLS, mais une faille dans l’implémentation par OpenSSL de la fonctionnalité heartbeat de TLS/DTLS. La faille Heartbleed permet à un attaquant d’accéder, sans laisser de traces, à des informations sensibles normalement protégées par les protocoles SSL et TLS.

Vous êtes uniquement concerné si vous utilisez les versions d’OpenSSL 1.0.1 à 1.0.1f ou 1.0.2-beta1, ou si vous exécutez un logiciel utilisant une version affectée de la bibliothèque OpenSSL.

Les étapes permettant de sécuriser votre environnement contre la vulnérabilité Heartbleed doivent être effectuées dans l’ordre suivant. Par exemple, vous ne devez pas effectuer l’étape 6 (réinitialisation des mots de passe) avant d’avoir terminé les étapes 1 à 5, faute de quoi vos nouveaux mots de passe pourraient encore être exposés.

1. Déterminer si vous êtes vulnérable à une attaque exploitant la faille Heartbleed
   
   
   • Pour une vérification rapide
     Si vous n’avez que quelques serveurs accessibles depuis Internet à vérifier, utilisez notre SSL Server Checker
     
     
   •  Pour une vérification approfondie
     Utilisez DigiCert Discovery pour déterminer si vous êtes vulnérable à une attaque exploitant la faille Heartbleed.
     
     Si vous êtes vulnérable à une attaque exploitant la faille Heartbleed (c’est-à-dire si vos serveurs exécutent une version vulnérable d’OpenSSL ou un logiciel utilisant une bibliothèque OpenSSL affectée par Heartbleed), vous devez prendre les mesures suivantes dès que possible afin de limiter les dommages potentiels.
      
2. Appliquer les correctifs à vos logiciels
   Pour sécuriser votre environnement contre la faille Heartbleed, vous devez appliquer les correctifs à OpenSSL sur les serveurs exécutant des versions vulnérables, ainsi qu’aux logiciels utilisant des versions affectées de la bibliothèque OpenSSL. Pour protéger vos serveurs et logiciels concernés contre la vulnérabilité Heartbleed, prenez les mesures appropriées pour appliquer les correctifs à vos serveurs/logiciels:
   
   
   • Effectuez une mise à niveau vers la dernière version d’OpenSSL (version 1.0.1g ou ultérieure)
     
     Serveurs
     Vérifiez si un package OpenSSL mis à jour est disponible dans votre gestionnaire de packages et installez-le. Si aucun package OpenSSL mis à jour n’est disponible, contactez votre fournisseur de services pour obtenir la dernière version d’OpenSSL et l’installer.
     
     Logiciels
     Vérifiez si des correctifs logiciels ont été publiés pour résoudre la vulnérabilité Heartbleed et installez-les. Si aucun correctif logiciel n’est disponible, contactez votre fournisseur de logiciels pour obtenir le dernier correctif et l’installer.
     Remarque: Vous devrez peut-être redémarrer le logiciel après l’application du correctif afin de vous assurer que la bibliothèque OpenSSL est réinitialisée et que la faille Heartbleed n’est plus présente dans la mémoire cache.
     
     
   • Revenez à la version 1.0.0 d’OpenSSL ou à une version antérieure.
   • Recompilez OpenSSL sur vos serveurs avec l’indicateur OPENSSL_NO_HEARTBEATS.
      
3. Vérifier que les vulnérabilités Heartbleed ont été corrigées.
    
   • Pour une vérification approfondie
     Pour analyser vos réseaux internes ou plusieurs serveurs, utilisez DigiCert Discovery afin d’effectuer une nouvelle analyse de votre environnement et de vous assurer que vous n’êtes plus vulnérable à une attaque exploitant la faille Heartbleed.
     
     
   • Pour une vérification rapide
     Si vous n’avez que quelques serveurs accessibles depuis Internet à vérifier, utilisez notre SSL Server Checker  
      
4. Générer de nouvelles clés, réémettre et installer vos certificats.
   
   
   • Vous devez générer de nouvelles clés et réémettre tous les certificats présents sur vos serveurs concernés.
     Lors de la réémission des certificats, veillez à générer de nouvelles demandes de signature de certificat (CSR).
     Pour les clients DigiCert, consultez Réémission d’un certificat SSL DigiCert®.
     
     
   • Ensuite, une fois les correctifs appliqués aux serveurs et aux logiciels, et uniquement après leur application, installez vos certificats réémis. 
      
5. Révoquer les certificats remplacés
   
   Après avoir installé vos certificats réémis, vous devez révoquer les certificats qui ont été remplacés. Pour faire révoquer votre certificat, contactez votre autorité de certification.
   
   Pour les clients DigiCert, procédez comme suit:
   Pour faire révoquer votre certificat, contactez le support DigiCert. Veillez à indiquer le numéro de commande de votre certificat et à fournir une brève description du certificat que vous souhaitez révoquer.
   
   
6. Réinitialiser les mots de passe
   
   Si vos serveurs acceptent des mots de passe, vous devez également demander à vos clients de réinitialiser leurs mots de passe, mais uniquement après l’application des correctifs aux serveurs et aux logiciels, la génération de nouvelles clés, la réémission et l’installation des certificats, ainsi que la révocation des certificats remplacés.
   
   Remarque: Si les clients réinitialisent leurs mots de passe avant l’application des correctifs aux serveurs/logiciels, la génération de nouvelles clés, la réémission, l’installation et la révocation des certificats, leurs mots de passe restent exposés et ils doivent les réinitialiser à nouveau.
   
   Pour participer à la discussion et obtenir davantage d’informations sur la faille Heartbleed, consultez notre article de blog Heartbleed Openssl Fix/