SSH secoué, pas mélangé par la vulnérabilité de Terrapin

Un vulnérabilité dans le protocole SSH peut être exploitée par un adversaire bien placé pour affaiblir la sécurité des connexions des gens, si les conditions sont bonnes. Dans une attaque man-in-the-middle réussie, l’adversaire peut être en mesure de forcer les clients SSH à utiliser des méthodes d’authentification plus faibles et à désactiver certains mécanismes de défense. Il est difficile de déterminer l’impact réel et réaliste de la faille en ce moment, car cela dépend des configurations individuelles client-serveur, des implémentations du protocole, et d’autres variables. SSH est principalement utilisé pour se connecter à des systèmes distants afin de les utiliser ou de les administrer via une interface en ligne de commande. La technique, baptisée attaque Terrapin, est décrite dans un document technique partagé cette semaine par Fabian Bäumer, Marcus Brinkmann et Jörg Schwenk, qui sont des informaticiens de l’université de Bochum en Allemagne. En octobre, après avoir découvert la vulnérabilité, ils l’ont divulguée en privé aux développeurs de clients et de serveurs SSH afin de l’aborder. Maintenant, c’est public avec des correctifs et des informations qui sortent. Le trio a publié des scripts de preuve de concept et d’autres matériaux associés sur GitHub si vous êtes intéressé par les détails de bas niveau. Il existe également un outil open source qui peut être utilisé pour déterminer si votre client ou serveur SSH est vulnérable à Terrapin. En conséquence des résultats de cette étude, des mises à jour de logiciels SSH devraient parvenir aux utilisateurs, et il existe des contournements disponibles en attendant. Ce n’est pas à paniquer, car quelqu’un devra effectuer une attaque man-in-the-middle (MITM) sur votre connexion vulnérable plutôt que d’attaquer directement votre serveur; c’est principalement une attaque de downgrade plutôt qu’un problème d’injection de commande ou de déchiffrement; et il existe des moyens de vous protéger immédiatement des attaques Terrapin.