VPN vulnérables

Une étude tente de démontrer que la majorité des VPN proposés sur le marché de
l’informatique sont vulnérables. Vous pensiez être sécurisés, il semble que le cadenas
a des failles.

Un VPN, un moyen de protéger vos surfs et communications sur Internet. Il permet de se
constituer un « tunnel » chiffré entre vous et vos interlocuteurs numériques. Chiffrement
donc, et l’ip qui apparaît sur le site Internet que vous visitez est celui de l’outil de protection.
Sauf qu’il n’y a rien de plus dangereux qu’une personne, une entreprise, se pensant
sécurisée car elles utilisent des logiciels lui promettant cette sécurité. La société High-Tech
Bridge, spécialisée dans la sécurité informatique, vient de démontrer que se cacher derrière
un virtual private network [VPN] n’est pas obligatoirement aussi sécurisé que prévu.

HTB a contrôlé plus de dix mille serveurs VPN SSL. Dans les « cibles », des VPN de chez
Cisco, Fortinet, Dell. Neuf machines sur dix étaient faillibles. 77% de ces outils utilisent le
protocole SSLv3, certains osent encore le SSLv2. 10% exploitant OpenSSL… souffre encore
de la vulnérabilité Heartbleed. Un coeur qui saigne depuis 2014 !

76% utilisent un certificat SSL non fiable. Parfait pour espionner une communication. 41%
des virtual private network utilisent toujours des clés RSA 1024, taille considérée comme
peu sûre. A noter que j’utilise, entre autre, l’excellent service de VPN, Hide My Hass. Plusieurs
centaines de serveurs dans le monde. Fonctionne sur un ordinateur (PC, MAC) ; Tablette et
smartphone (iOS, Android, Windows).

En janvier 2015, une faille visant les navigateurs Firefox et Chrome, permettait un cyber
espionnage qui profitait d’un bug dans le protocole WebRTC. Un protocole que l’on retrouve
dans les navigateurs Firefox et Chrome. WebRTC passe par un serveur STUN qui lui
donne ainsi l’occasion de connaître son adresse IP publique. Sans cela, point de salut lors
de la visite d’un site web. Sauf que STUN communique aux deux navigateurs l’adresse IP
privée et publique. Bilan, le serveur connaissait donc le VPN et vos deux précieux. Pratique
pour tracer un internaute