Comprendre la faille Heartbleed et s'en protéger

Innovations week-end : au menu, la faille Heartbleed. Découverte le 7 avril, elle touche un logiciel présent sur des centaines de milliers de sites. Quels sont les risques, comment se protéger ?

Je m'abonne à la newsletter « Infos »

Heartbleed est une faille de sécurité, repérée en décembre 2011 mais dévoilée au grand public le 7 avril dernier. Elle touche tous les sites Internet qui utilisent le logiciel OpenSSL pour sécuriser leurs échanges, les connexions avec les internautes. Ces sites sont très nombreux, par exemple des sites de e-commerce, des banques.

Quels sont les risques ?

Une faille informatique, c'est un "défaut de fabrication" dans un logiciel, une sorte de trou par lequel des pirates informatiques peuvent s'introduire. Et les conséquences peuvent évidemment être graves.

Concernant Heartbleed, on a su jeudi (17 avril) qu'un jeune canadien l'avait exploitée, il a été arrêté par la police. Donc on sait que des hackers ont potentiellement utilisé cette faille, ce qui est inquiétant car les risques sont potentiellement assez importants. On peut imaginer que toutes les informations que vous livrez à des sites de e-commerces, à votre banque, lors de connexions sécurisées ont pu tomber dans les mains de ces pirates. Donc vos mots de passe, vos identifiants, vos numéros de carte bancaire.... en clair tout ce qui est normalement crypté, chiffré.

Quels sites sont touchés ?

On parle de 500 000 sites, surtout des sites de e-commerce, des réseaux sociaux. Selon les experts du laboratoire Lexsi, spécialistes en sécurité informatique, on peut affirmer sans se tromper que chacun d'entre nous a un compte sur au moins un site qui utilise le logiciel concerné.

Le problème c'est qu'il est très difficile de savoir si les sites sur lesquels on va régulièrement sont concernés. Théoriquement, ces sites doivent prévenir leurs clients ou faire savoir si oui ou non ils sont touchés et s'ils sont corrigé cette faille informatique puisqu'il y a une parade. Dans la réalité, on a du mal à être mis au courant.

Selon le site slate.fr, Facebook, Google, Yahoo, Darty et Ebay ont comblé la faille. Beaucoup de banques françaises ont affirmé ne pas être concernées, tout comme la Fnac, Auchan, Booking.com, PriceMinister. Pour d'autres sites on ne sait pas encore. Il n'y a pas d'informations. Cependant un site permet de savoir cependant en tapant l'adresse d'un site, s'il est concerné : cliquez ici

Que faire ?

Dans l'absolu et dans le doute, les spécialistes conseillent de changer tous ses identifiants et mots de passe sur tous les sites où on est inscrits, que ces sites aient été infectés ou pas, peu importe. Ca peut-être fastidieux si vous êtes inscrits sur plusieurs dizaines de sites... mais c'est à faire pour être tranquille.