1OpenSSL
N° 1 — OpenSSL. Dans les listes de 8 IA sur 10 ; place médiane : 1. Il gère TLS à l'intérieur de PHP, Node.js, Python et .NET, et possède le plus long historique de bogues de corruption de mémoire, Heartbleed compris.
Le saviez-vous ?
La faille Heartbleed a été découverte deux fois, indépendamment l'une de l'autre. Neel Mehta, de Google, l'a signalée à OpenSSL le 1er avril 2014. La société de sécurité Codenomicon a trouvé la même faille en améliorant ses propres outils de test, et indique le 3 avril 2014 comme date.
- Ce que c'est
- La principale bibliothèque TLS et de chiffrement intégrée à PHP, Node.js, Python et .NET.
- Son atout
- Elle compte bien plus de CVE recensées que Brotli ou zlib : 330 sur OpenCVE.
- À qui c'est utile
- Utile à qui veut savoir pourquoi le code de chiffrement d'un serveur web est une cible d'attaque de premier ordre.
- Portée et failles mémoire (CVE)330 CVE sur OpenCVE
Pourquoi il est là
Lorsque Heartbleed a été rendu public, on estimait qu'environ 17% des serveurs web sécurisés de confiance sur Internet, soit à peu près un demi-million, étaient exposés. Le code défectueux d'OpenSSL s'était répandu avec la version 1.0.1, publiée le 14 mars 2012.
Le saviez-vous ?
Le code défectueux de Heartbleed est entré dans OpenSSL le 31 décembre 2011, après qu'un relecteur eut laissé passer le bogue. Il a été livré dans la version 1.0.1 en mars 2012 : il est donc resté dans la bibliothèque plus de deux ans avant que Neel Mehta, de Google, le signale en avril 2014.
Histoire
En 2014, au moment où la faille Heartbleed a été découverte, OpenSSL était maintenu par une poignée de bénévoles, dont un seul à plein temps. Les dons annuels s'élevaient à environ 2 000 dollars américains. Le bogue était présent dans le code depuis 2012.
À garder en tête
Une étude de 2020 montre qu'après Heartbleed, le nombre de modifications du code par mois a triplé et que 91 vulnérabilités ont été trouvées et corrigées. Elle soutient aussi qu'un simple décompte des vulnérabilités est un mauvais moyen de juger de la sécurité d'une bibliothèque.
Pour aller plus loin
Ouvrez la liste des avis de sécurité d'OpenSSL, lisez d'abord l'entrée la plus récente et vérifiez quelles versions d'OpenSSL elle indique comme touchées.
