La faille de sécurité Heartbleed a beau avoir été découverte il y a deux mois, Internet continue à en souffrir. Et c'est la sécurité de nos données qui est en jeu.
À l'annonce de cette vulnérabilité touchant le protocole SSL à la mi-avril, la société de sécurité Errata Security a opéré une analyse du trafic IP qui passe par ce dispositif de chiffrement. Le constat était alors que 615 268 sites utilisant SSL étaient vulnérables à Heartbleed.
La même analyse opérée aujourd'hui permet de constater une baisse de sites vulnérables, mais leur nombre est toujours très élevé : 309 197 serveurs n'ont toujours pas instauré le patch de sécurité permettant de fixer cette faille. Ce constat met à jour une grande réactivité de la moitié des entreprises utilisant SSL et une réticence à agir de la part de l'autre moitié.
Qu'est-ce que Heartbleed?
Heartbleed est une faille de sécurité dans le protocole SSL, le protocole qui permet de chiffrer les données émanant du navigateur de l'utilisateur jusqu'à leur arrivée sur le serveur. Connue également comme « https » ou « communication sécurisée », cette technologie est de plus en plus utilisée sur Internet.
Si SSL était au départ utilisé majoritairement par les banques pour les transactions par carte bancaire sur Internet, cette technologue est aujourd'hui présente sur Gmail, Facebook et beaucoup d'autres sites que nous utilisons tous les jours. Heartbleed est une sorte de « trou » dans le système de sécurité permettant aux hackers de pénétrer ces communications cryptées. Un « patch » a été publié peu de temps après la découverte de la faille, mais beaucoup d'entreprises utilisatrices de SSL sont toujours réticentes à l'appliquer.