Qu'est-ce qu'une attaque par renégociation SSL ?

Here’s a bit of cybersecurity trivia for you: the world’s top 1 million websites use over 2 million SSL certificates. These certificates create a sense of trust—after all, don’t you feel safer when you visit a website with a little lock in the URL bar? 

However, just because you see that a site has an SSL certificate doesn’t mean that it’s being managed properly. According to Keyfactor’s 2024 PKI & Digital Trust Report, 37% of companies have experienced a certificate-related outage. Because SSL certificates are commonly used on websites and other customer-facing digital properties, their (mis)management directly impacts the customer experience.

Tout cela fait de la gestion de SSL un enjeu majeur pour les entreprises et les professionnels de la sécurité !

Outages can stem from various attacks, including an SSL renegotiation attack. An SSL renegotiation attack can be especially troubling because it exploits a vulnerability in the protocol. We’ll explore what an SSL renegotiation attack is and how certificate automation plays a role in preventing it. 

Renégociation SSL 

To understand what an SSL renegotiation attack is, let’s first talk about the SSL/TLS protocol. TLS v1.0 and later has a feature that allows a connection to be renegotiated during an active session. Renegotiation could take place while requiring client authentication after the initial connection or changing encryption parameters mid-session. 

La renégociation est une fonction légitime. Il y a de bonnes raisons pour qu'une connexion ait besoin d'être renégociée. Cela étant dit, la renégociation doit être protégée pour éviter que les attaquants ne l'exploitent. 

Comment les attaquants exploitent la renégociation 

Il y a deux façons d'exploiter la renégociation : 

• L'homme du milieu (MitM)
• Déni de service (DoS)

# N° 1 - L'homme du milieu

The first method involves a man-in-the-middle hacker injecting malicious data into an SSL session during renegotiation. Here’s what that looks like: 

Alice envoie un ClientHello à Bob pour établir une connexion, mais Mallory - un attaquant - peut intercepter la demande.

Mallory envoie sa propre demande ClientHello à Bob et crée une connexion sécurisée. Mallory lance ensuite une demande de renégociation, mais lorsque Bob entame une nouvelle poignée de main, Mallory transmet un texte clair malveillant, que Bob place dans sa mémoire tampon - sa corbeille - jusqu'à ce que le processus de poignée de main soit terminé.

Mallory transmet ensuite le message ClientHello initial d'Alice à Bob, qui établit une connexion sécurisée. Bob traite le message d'Alice, mais aussi les messages envoyés par Mallory au cours de la poignée de main.

# 2 - Déni de service

The second method involves the attacker sending multiple renegotiation requests to the server, known as denial of service (DoS).

Chaque demande initie une nouvelle négociation SSL , qui épuise les ressources du serveur car toutes les autres demandes sont placées dans une mémoire tampon jusqu'à ce que la négociation soit terminée. Le serveur est alors débordé et incapable de se connecter avec les utilisateurs légitimes. 

Il y a plusieurs raisons pour lesquelles les attaquants mènent des attaques par déni de service. Les cybercriminels organisés mènent ce type d'attaque contre rémunération. Dans d'autres cas, des hacktivistes politiques attaquent les serveurs d'organisations ou d'entreprises parce qu'elles soutiennent certaines causes. 

Comment prévenir une attaque par renégociation SSL ? 

Here’s one thing you must remember: SSL renegotiation attacks aren’t inevitable! A clear sign of an attempted SSL renegotiation attack is odd certificate usage patterns, such as repeated renegotiation attempts. When a user is trying to renegotiate an SSL session over and over again, there’s a high likelihood someone’s trying to perpetrate an SSL renegotiation attack. Your certificate solution can work with other security tools in your toolkit to maximize your protection. APIs and automation features within your certificate solution can integrate with tools such as firewalls, intrusion detection systems (IDS), and security information and event management (SIEM) solutions. 

Automatiser le renouvellement des certificats 

The existence of so many SSL certificates makes manual management impossible. SSL certificate automation simplifies and streamlines the renewal process.

L'automatisation signifie que les systèmes utilisent les normes cryptographiques les plus récentes, de sorte qu'il n'y a aucune crainte que les attaquants puissent exploiter les vulnérabilités des systèmes plus anciens. En outre, l'automatisation des certificats facilite l'identification et la révocation d'un certificat compromis. 

Moyens d'arrêter les attaques de renégociation SSL

Vous pouvez prendre des mesures pour stopper les attaques de renégociation SSL , mais vous devez tenir compte de certaines considérations.

Désactivation de la renégociation

Vous pourriez désactiver la renégociation, ce qui empêcherait les pirates de lancer des attaques exploitant cette vulnérabilité. Cela dit, la désactivation de la renégociation est une option plus radicale. Il est plus logique d'activer la renégociation pour les serveurs à faible risque dont le trafic est bénin. Toutefois, les serveurs à haut risque nécessitent des contrôles plus stricts. 

Activation des demandes de renégociation côté serveur uniquement

Un autre moyen d'empêcher les attaques par renégociation SSL consiste à activer les demandes de renégociation côté serveur uniquement. Toutefois, les pirates peuvent inciter le serveur à initier une demande à votre place, et cette méthode n'est donc pas infaillible. 

Renégociation sécurisée

Implementing secure renegotiation binds the original requests with any renegotiation requests via a cryptographic process. For this to work, both the client and the server must be configured to support this feature. 

Configuration des limites de débit pour les tentatives de renégociation 

Vous pouvez également définir une limite de débit pour le nombre de tentatives de renégociation autorisées. Lorsque le nombre de tentatives de renégociation est trop élevé, le système de gestion des informations et des événements de sécurité (SIEM) intervient et déclenche une alerte de sécurité ou met automatiquement fin à la connexion. 

Gestion des certificats pour prévenir les attaques de renégociation SSL

L'organisation de vos certificats est l'une des méthodes les plus importantes pour empêcher les attaques de renégociation SSL . Il existe plusieurs méthodes pour y parvenir. Nous en examinerons deux : les outilsopen-source et les processus manuels, ainsi que leurs avantages et inconvénients. 

Outils Open-Source

Il existe sur le marché une variété d'outils open-source qui vous aident à identifier les certificats SSL qui vont bientôt expirer. 

The Pros: The benefit of using open-source tools is that they have either no or low upfront costs. 

The Cons: There are some notable drawbacks to using open-source tools. 

Même si vous n'avez pas besoin d'investir dans un outil open-source lors de sa mise en œuvre initiale, il y a d'autres coûts à prévoir. Votre équipe devra gérer ces outils, et il se peut qu'elle ne bénéficie pas d'une assistance technique lorsqu'elle en a besoin.

Processus manuels

Vos équipes devaient rechercher manuellement les certificats sur le point d'expirer.

The Pros: You’re saving money by not investing in software. 

The Cons: The money you’ve saved by not investing in software will be eaten up by how much time your team will spend on this activity. 

En outre, quel que soit le nombre de personnes chargées de cette tâche, il est impossible qu' elles trouvent tous les certificats arrivant à expiration. S'ils en oublient un, votre organisation peut être en danger.

Meilleures pratiques : Une solution de gestion centralisée des certificats 

La centralisation de la gestion des certificats au sein d'une plateforme automatisée unique résout les problèmes que posent les autres solutions. Cette solution utilise moins de ressources et demande moins d'investissement en temps que les solutions open-source ou les processus manuels. 

La gestion centralisée des certificats vous donne une vue en temps réel de tous les certificats de l'organisation, même ceux qui ne sont pas documentés. Cette visibilité unique vous permet d'économiser du temps et des efforts, de sorte que votre équipe peut consacrer plus de temps à ce qui compte le plus. 

En outre, les plateformes centralisées peuvent vous aider à mettre en œuvre l'automatisation des certificats. L'automatisation de la gestion du cycle de vie des certificats SSL minimise les problèmes tels que les certificats expirés ou non documentés. Il est également plus simple et plus rapide de révoquer des certificats avec une plateforme centralisée, ce qui vous permet de renforcer votre posture de sécurité et de maintenir la connectivité. 

Poser les bases de l'automatisation des certificats avec Keyfactor

You can protect yourself from SSL renegotiation attacks by ensuring your SSL certificates are up to date. Automating the certificate lifecycle allows you to quickly and easily identify SSL certificates that put you at risk. Find out how Keyfactor can help–watch our demo now.