Nous connaissons tous le SSL, ce dispositif cryptographique essentiel qui protège nos communications en ligne. Il sécurise les échanges entre les navigateurs web que nous utilisons et les serveurs sur lesquels sont hébergés des sites comme celui-ci. Vous reconnaîtrez un site sécurisé à l’icône en forme de cadenas ou à la présence de HTTPS dans l’adresse.
Et de manière générale, le SSL est une bonne chose. Toute transaction impliquant des informations financières, comme les opérations bancaires ou les achats en ligne, utilise le SSL pour préserver la confidentialité de vos informations. Mais récemment, une tendance visant à sécuriser l’ensemble du trafic Internet avec le SSL s’est développée, et non plus seulement le trafic contenant des combinaisons nom d’utilisateur/mot de passe ou des données financières. Des révélations très médiatisées, comme celles d’Edward Snowden sur la surveillance de masse à l’échelle mondiale incitent davantage d’utilisateurs à exiger le chiffrement en ligne, et les fournisseurs sont heureux de répondre à cette demande.
C’est pourquoi son utilisation augmente ; la plupart des sites web les plus populaires au monde, tels que Google, Amazon et Facebook, utilisent désormais par défaut le protocole HTTPS — qui assure le chiffrement SSL — pour l’ensemble du trafic. On estime que d’ici la fin de l’année 2015 plus de la moitié du trafic Internet mondial sera chiffrée. (Cela s’explique principalement par Netflix, qui représente une part considérable du trafic Internet et passe au protocole HTTPS.)
Mais s’il ne fait aucun doute que le chiffrement du trafic Internet protégera davantage nos données sensibles, il accroît en réalité les risques pour les entreprises. En effet, de nombreux dispositifs de sécurité d’entreprise ne peuvent pas inspecter le contenu du trafic chiffré, ce qui permet aux logiciels malveillants de passer inaperçus.
Les pare-feu, les passerelles web, les systèmes de prévention des intrusions et d’autres dispositifs peuvent avoir du mal à détecter les logiciels malveillants qui transitent par des flux chiffrés. La situation pourrait virer au cauchemar pour les entreprises si des cybercriminels parvenaient à dissimuler des logiciels malveillants dans une transaction supposément sécurisée. Et cela fonctionne dans les deux sens : non seulement un logiciel malveillant peut s’introduire sans être détecté, mais il peut également renvoyer des informations sensibles à son serveur de commande au moyen d’une transaction chiffrée que la plupart des outils de sécurité ne détecteraient pas.
Le cheval de Troie bancaire Dyre en est un exemple. Selon certains rapports, ce logiciel malveillant était capable de dérober des informations avant leur chiffrement, puis de les transmettre au serveur de commande et de contrôle en les faisant passer pour du trafic chiffré légitime. Surtout, la session semble sécurisée puisque le symbole du cadenas est affiché, alors qu’en coulisses, des données sensibles sont aspirées.
En réalité, n’importe quel site web douteux peut diffuser des logiciels malveillants par téléchargement furtif et, si la session est chiffrée, les outils de sécurité ne peuvent déterminer ni le contenu réel de ce trafic ni sa destination. Les dispositifs tels que le serveur proxy ou la passerelle de filtrage des URL n’y voient absolument rien.
Il s’agit d’un problème bien réel auquel les entreprises sont confrontées. Les chiffres de Gartner indiquent que moins de 20 % des organisations utilisant des pare-feu, des systèmes IPS ou des solutions UTM déchiffrent le trafic SSL, ce qui signifie que les logiciels malveillants dissimulés dans ce trafic contourneraient ces plateformes de sécurité. Gartner affirme également que d’ici 2017, plus de 50 % des attaques réseau visant les entreprises utiliseront SSL pour contourner les dispositifs de sécurité.
Comment les entreprises peuvent-elles éviter d’être prises au dépourvu par des logiciels malveillants dissimulés dans du trafic chiffré ? La réponse la plus simple serait de déchiffrer ce trafic, mais toute la question est de savoir comment procéder sans porter atteinte à la vie privée ni exposer des données sensibles à des attaques.
Il s’agit donc de déterminer quel trafic doit être déchiffré. Si une entreprise diffuse du contenu à des utilisateurs externes, elle doit utiliser un dispositif permettant de décharger le serveur du traitement du trafic SSL, puis d’intégrer une protection au flux de trafic. Cela interrompt le chiffrement SSL, mais de manière intelligente : il n’est pas souhaitable de déchiffrer une session bancaire, contrairement à une session Facebook.
La solution de sécurité doit être suffisamment intelligente pour comprendre où va le trafic, puis décider s’il convient de le déchiffrer ou de le laisser tel quel. Il s’agit de casser le chiffrement SSL, mais de manière sûre et intelligente.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.