Heartbleed s’attaque aux appareils Android

Heartbleed continue à faire des ravages. Après avoir affecté des agences gouvernementales(Revenu Canada entre autres) et des services web très connus comme Yahoo ou Google, ce bug s’attaque maintenant aux appareils mobiles, surtout ceux roulant sur le système d’exploitation Android.

Les chercheurs en sécurité s’accordent pour dire que les appareils sur Android 4.1.1 sont les plus menacés. Dans un communiqué de sécurité s’adressant aux utilisateurs des ses produits, Google a indiqué que son équipe travaillait à mettre à jour ses services pour contrer cette menace. Dans la liste des services touchés figurait Android.

C’est quoi encore ce Heartbleed?

Un petit rappel. Heartbleed est une faille de sécurité découverte en Avril 2014, mais présente depuis 2 ans déjà. Il s’agit d’un bogue lié aux serveurs web qui s’attaque à la bibliothèque OpenSSL. Cette bibliothèque est le service le plus répandu sur le net dans la gestion du protocole SSL, servant notamment à encrypter et sécuriser un site web.

Donc vous ditez que mon Android est touché?

Comme mentionné, si vous possédez une tablette ou un téléphone Android avec la version 4.1.1, vous êtes en risque. Les appareils sur 4.2.2 avec un stock d’origine du fabricant souffriraient aussi de la menace. Si votre appareil est propulsé par un ROM personnalisé tel que CyanogenMod(mon cas), AOKP ou autre, vous êtes dans une meilleure situation, mais il ne faut pas prendre de risques.

Prenez gare si vous utilisez l’application de messagerie Blackberry Messenger (BBM). Dans le cas présent, peut importe votre plateforme, Android, iOS ou Blackberry, vous êtes visé. Heureusement, les rapports officiels de l’entreprise affirment que des correctifs ont été apportés pour corriger cette menace.

Comment Heartbleed attaque-t-il mon téléphone ou tablette?

Marc Rogers, chercheur en chef sur la sécurité pour Lookout Mobile nous éclaire à ce sujet dans une interview accordée à Ars Technica. Selon ses dires, le scénario le plus probable serait que menace soit conçue pour être déclenchée par l’utilisateur même. Les méthodes d’approche varient mais restent classiques: un lien dangereux dans un message, SMS ou autre type de communication.  En le dirigeant vers un site web piégé, l’attaquant pourrait ouvrir un autre onglet et extraire l’information sensible stockée en mémoire sur les autres sites web ouverts. Dans d’autres cas, ces données peuvent aussi être extraites à partir de la mémoire même de l’appareil.

Je veux me protéger. Comment faire.

Voici une belle liste des choses à vérifier si vous pensez être affecté.

1- Bien sûr nous avons l’outil classique qui est le bon sens: ne pas cliquer sur des liens de la part des inconnus ainsi que d’autres trucs classiques que vous devriez apprendre à votre grand-mère.

2-Les entreprises comme Google et Blackberry ont mis à jour leurs produits. Soyez-sûr de l’être aussi  dans vos services.

3- Attention à la sécurité de vos connexions Wifi. Une menace peut être déclenchée directement sur  un réseau.

4- Enfin, un petit outil magnifique: Heartbleed Detector. Cette application développée par Lookout Mobile vous permet de savoir si  la version d’OpenSSL présent sur votre appareil est affectée par Heartbleed ou non afin de prendre des mesures nécessaires.