Accéder au contenu principal

Face aux risques d’espionnage, Twitter muscle son chiffrement


Pour parer la surveillance omniprésente de la NSA, le service de microblogging renforce le chiffrement des échanges HTTPS par une méthode d’échange de clés de chiffrement plus contraignante, mais transparente pour l'utilisateur.


Depuis les révélations d’Edward Snowden, on sait que les services secrets tels que la NSA ont tendance à tout enregistrer, même les échanges chiffrés. Quitte à les décoder plus tard, quand la puissance des ordinateurs sera suffisante, ou lorsqu’ils auront eu accès aux clés de chiffrement stockées sur les serveurs. Le premier cas est difficile à parer, mais pour le second il existe des solutions. L’une d’entre elles vient d’être implémentée par Twitter pour protéger les flux de données HTTPS entre ses serveurs et ses utilisateurs.
Ces échanges sont chiffrés par une clé appelée « clé de session », choisie au hasard par le logiciel client côté utilisateur. Jusqu’à présent, cette clé de session est transmise au serveur, pour que celui-ci puisse également coder et décoder les échanges. Cette transmission de clé se fait, là aussi, de manière chiffrée en utilisant la clé publique du serveur. Le problème : si un service secret enregistre cet échange préalable, puis met la main sur la clé privée du serveur, il est capable de retrouver la clé de session et, par conséquent, de déchiffrer l’ensemble des échanges.
Pour combler cette faille de sécurité, Twitter a mis en œuvre une autre méthode d’échange de clé, baptisée Elliptic Curve Diffie-Hellman (ECDH). Basée sur la propriété des nombres premiers, cette méthode permet à deux personnes de convenir d’une clé de chiffrement commune sans que celle-ci n’ait besoin de circuler entre elles. Seules des valeurs partielles et intermédiaires sont échangées, mais elles ne suffisent pas pour reconstituer la clé de session finale. Et comme celle-ci est stockée en local (mémoire RAM) et de manière éphémère, il serait donc impossible d’y accéder dans le futur. Pour mettre en œuvre cette nouvelle procédure, Twitter a été contraint de modifier l’architecture technique de son pool de serveurs.

source ; http://www.01net.com/editorial/608706/face-aux-risques-d-espionnage-twitter-muscle-ses-technologies-de-chiffrement/?utm_content=buffer8bf57&utm_source=buffer&utm_medium=twitter&utm_campaign=Buffer

Commentaires

Posts les plus consultés de ce blog

BYOD, cloud, reseaux sociaux ..... attention à la sécurité

De plus en plus de collaborateurs utilisent leurs appareils personnels en entreprise et se connectent au cloud et aux réseaux sociaux dans un contexte professionnel. Comment garantir la sécurité de ces nouveaux usages ? Mauro Israel, consultant formateur Demos et responsable du pôle audit sécurité et tests d’intrusion chez Fidens, dresse la liste des risques et donc des bonnes pratiques à adopter. Les nouveaux usages remettent en question les modèles classiques de protection des systèmes d’information et des infrastructures réseaux et télécoms.     ● Facebook, Twitter, Linkedin, Viadeo… Vous le savez, les réseaux sociaux ont envahi notre quotidien, privé comme professionnel.     ● L’utilisation des smartphones et des tablettes explose en France : en 2012, en moyenne, 29 % des Français étaient ainsi équipés d'un smartphone et 8 % d'une tablette (+ 12 points chez les cadres supérieurs et + 11 points chez les revenus les plus élevés en un an).     ● C...

67% des applications Android gratuites les plus populaires seraient vulnérables aux attaques MITM

Les chercheurs en sécurité de FireEye ont publié ce jeudi une étude sur les applications du Google Play Store. Ils en ont conclu que la majorité des applications les plus populaires présentaient des failles SSL et étaient susceptibles de subir des attaques type Man-in-the-Middle (MITM). Ces chercheurs ont analysé les 1000 applications gratuites les plus téléchargées du Play Store. Ils y ont cherché trois vulnérabilités SSL précises et ont découvert que sur cet échantillon, 674 applications présentaient au moins l'une des trois failles. Mauvaise utilisation des bibliothèques SSL  Un risque important, puisque ce type d'attaque permet potentiellement de récupérer un nombre extensif de données : identifiants et mots de passe, emails, ID de l'appareil, géolocalisation, photos, vidéos... Sans compter qu'un attaquant pourrait injecter un code malicieux dans ces applications, par exemple. Les développeurs seraient bien à l'origine de cette situation, mais i...

Une faille Windows exploitée par la Russie

Une vulnérabilité critique a été détectée dans Windows. Selon un cabinet de sécurité informatique, cette brèche est exploitée depuis plusieurs années par les autorités russes pour espionner des cibles comme l'OTAN, la Pologne ou encore l'Ukraine. Un opérateur télécoms français est aussi concerné. C'est une découverte qui ne devrait pas améliorer les relations entre l'Occident et la Russie, qui sont déjà fortement tendues à cause de la crise ukrainienne. Selon la firme  iSight Partners , dont la spécialité est la sécurité informatique, la Russie a exploité pendant des années une faille critique dans Windows pour espionner de nombreuses cibles en Europe et aux États-Unis. Cette vulnérabilité affecte toutes les versions de Windows à partir du second Service Pack de Vista. Même la toute dernière déclinaison du système d'exploitation, Windows 8.1, est touchée. Par ailleurs, elle a été aussi détectée dans les versions 2008 et 2009 de Windows Server. Il s'ag...