Black Hat : Kaminsky livre les détails sur la faille du DNS

Sphere: Related Content Malgré la pression des autorités et les commentaires parfois peu amènes de ses pairs du milieu de la sécurité, si c'était à refaire, Dan Kaminsky le referait, car désormais « des centaines de millions de gens sont plus en sécurité ». S'exprimant hier à la conférence Black Hat de Las Vegas, le découvreur de la faille des DNS est revenu sur sa façon de procéder, et a affirmé qu'il existait de multiples moyens d'exploiter cette faille, y compris pour circonvenir la sécurité d'un certificat SSL.

Début juillet, Dan Kaminsky a averti publiquement de l'existence d'une faille dans le système de gestion des noms de domaine sur Internet (DNS, Domain name system). Cela faisait un an qu'il travaillait, avec les principaux éditeurs, à des solutions pour colmater cette brèche dans leurs logiciels. La plupart ont sorti les correctifs début juillet (Apple n'a sorti le sien qu'il y a quelques jours).

Parfois accusé d'avoir dramatisé sa découverte, Dan Kaminsky a profité de la conférence Black Hat, spécialisée dans la sécurité, pour exposer en détail son point de vue. Le directeur des tests d'intrusion d'IOActive y a expliqué, face à un public nombreux, que le DNS était affecté par une série de bugs, dont des pirates pourraient tirer profit : en redirigeant les internautes vers de faux sites Web, en s'infiltrant dans les échanges de courriels ou en infectant les systèmes de mises à jour automatiques de logiciels. D'après lui, les connexions SSL (Secure socket layer), qui cryptent les échanges entre l'internaute et un site Web préalablement authentifié, pourraient aussi être compromises, dans la mesure où les certificats sont validés via le Web ou les messageries électroniques.

Dan Kaminsky a également cité un autre type d'attaque, par le biais des systèmes de régénération de mots de passe, lorsqu'un internaute demande à un site Web de lui renvoyer son mot de passe. La faille du DNS permettrait alors de rediriger l'envoi vers le pirate.