UNCLASSIFIED//NON CLASSIFIÉ

Transcription

1 OpenSSL Heartbleed Vulnerability and Mitigating Measures (AV14-617, CVE , VU #720951) Purpose As per advice already provided via other means, this Alert outlines mitigation actions in response to the vulnerability discovered in the OpenSSL cryptographic library that is used by many IT products and software applications. These products and software applications are broadly implemented, and are found throughout Government of Canada (GC) departments and agencies. A defect, commonly identified as the Heartbleed Bug, exists in several versions of the OpenSSL cryptographic software library that is used extensively to secure Internet-based communications including websites and . This Alert also lists the known mitigation techniques and available resources that can be used to mitigate the Heartbleed vulnerability. Such corrective actions should continue to be coordinated with departments through GC Computer Incident Response Team (GC CIRT), Shared Services Canada (SSC). Vulnérabilité Heartbleed dans OpenSSL et mesures d atténuation (AV14-617, CVE , VU # ) Objet Conformément aux conseils qui ont été fournis autrement, la présente alerte fait état des mesures d atténuation visant à contrer la vulnérabilité découverte dans la bibliothèque de cryptographie d OpenSSL qu utilisent bon nombre de produits et d applications logicielles en TI. Ces produits et ces applications logicielles sont largement utilisés, notamment au sein des ministères et organismes du gouvernement du Canada (GC). Une faille, appelée bogue Heartbleed, existe dans plusieurs versions de la bibliothèque logicielle de cryptographie d OpenSSL qui est utilisée à très large échelle pour sécuriser les communications sur Internet, par exemple sur les sites Web et dans les courriels. La présente alerte fait également état des mesures d atténuation et des ressources qui sont connues pour atténuer la vulnérabilité Heartbleed. Il faut continuer à coordonner ces mesures correctives avec les différents ministères et organismes par l entremise de l Équipe d intervention en cas d incident informatique du GC, de Services partagés Canada. 1 UNCLASSIFIED

2 Background OpenSSL is an open-source cryptographic software library widely used to provide encryption and authentication safeguards. The vulnerability is present in the OpenSSL implementation of the Transport Layer Security (TLS) Heartbeat Extension. The flawed implementation of protocol extension for the keep-alive functionality allows for the recovery of non-targeted (attacker cannot determine what memory is selected) but potentially sensitive application memory. This flaw is present in the OpenSSL cryptographic library versions through 1.0.1f and beta1. This vulnerability has been documented in the Public Safety cyber security bulletin AV and identified in the US National Vulnerability Database as CVE Mitigations Departments should: Identify the products that are used in their infrastructure that could be susceptible to the Heartbleed vulnerability; and Determine the potential information that could have been compromised through this exploit such as private keys and user name and password credentials. Based on this analysis, departments should 2 Contexte OpenSSL est une bibliothèque logicielle de cryptographie de source ouverte qu utilisent de nombreux sites pour appliquer des protocoles de chiffrement et des mesures d authentification. Cette vulnérabilité découle de la mise en œuvre du protocole de sécurité de la couche transport (TLS pour Transport Layer Security Protocol) associé à l extension Heartbeat d OpenSSL. Les sites qui comportent l extension vulnérable de ce protocole, lequel vise à vérifier si la connexion avec un serveur est toujours active, permettent la récupération non ciblée (l attaquant ne peut pas prévoir les données en mémoire qui sont sélectionnées) de données potentiellement sensibles stockées en mémoire. Toutes les versions de la bibliothèque logicielle de cryptographie d OpenSSL, depuis la version jusqu à la version 1.0.1f et 1.0.2beta1, présentent cette faille. Le Bulletin sur la cybersécurité AV de Sécurité publique et la base de données nationale sur les vulnérabilités des États-Unis (CVE ) présentent de l information sur cette vulnérabilité. Mesures d atténuation Les ministères et organismes doivent prendre les mesures d atténuation suivantes : déterminer parmi les produits de leur infrastructure ceux qui pourraient être vulnérables à Heartbleed; déterminer l information qu aurait pu compromettre cet exploit, par exemple les clés privées ainsi que les noms d utilisateur et les mots de passe.

3 consider implementing one or more of the following mitigation actions: Patch - Contact the product vendors to determine whether they used the vulnerable OpenSSL cryptographic libraries. If a vulnerable OpenSSL cryptographic library has been used, request an implementation schedule when a patch will be available to address this vulnerability and implement the patch when available; Recompile - For certain cases of open source software, departments can recompile the OpenSSL cryptographic library to turn off the heartbeat functionality; Filtering - Block the heartbeat messaging at the perimeter of the network through IP filtering; and Add Proxies Architect your network to use proxies such as TLS load balancers that are not susceptible to this vulnerability. À la suite de cette analyse, les ministères et organismes doivent envisager de mettre en œuvre une ou plusieurs des mesures d atténuation suivantes : Correctif Communiquer avec les fournisseurs de produits pour savoir s ils utilisent les bibliothèques de cryptographie vulnérables d OpenSSL. Le cas échéant, demander le calendrier des mises en œuvre afin de connaître le moment où un correctif sera accessible et l appliquer dès que possible; Recompilation Pour certains logiciels de source ouverte, les ministères et organismes peuvent recompiler la bibliothèque de cryptographie de source ouverte d OpenSSL pour mettre hors fonction l extension Heartbeat; Filtrage Bloquer les messages Heartbeat au périmètre du réseau en filtrant les adresses IP; Ajout de serveurs mandataires S assurer que l architecture de réseau comprend des serveurs mandataires, comme des équilibreurs de charge de protocoles TLS qui ne sont pas vulnérables à Heartbleed. Recommendations Recommandations CSE strongly urges all GC departments and agencies to assess the impact of this vulnerability and implement the appropriate mitigation action(s) recommended in the mitigation section of this alert. After implementation of the mitigation actions, system owners should replace or update the sensitive information that may have been disclosed such as private keys and user credentials. Le CST recommande fortement à l ensemble des ministères et organismes du GC d évaluer l incidence de cette vulnérabilité et de prendre les mesures d atténuation recommandées dans la section «Mesures d atténuation» qui s appliquent à leur situation. Après avoir mis en œuvre les mesures d atténuation nécessaires, les responsables 3

4 If necessary, this would require issuing new GC certificates that depend on the secure issuance of CA certificates in the upstream chain of trust, including the anchors of trust embedded in browsers. Coordinate with the GC-CIRT as documented in the GC IT Incident Management Plan (IMP). des systèmes doivent remplacer ou mettre à jour l information sensible ayant pu faire l objet de divulgation, comme les clés privées et les justificatifs d identité. Au besoin, il faudra délivrer de nouveaux certificats du GC qui dépendent de l émission sécurisée de certificats de l AC en amont de la chaîne de confiance, ce qui comprend l intégration d ancres d approbation dans les navigateurs. Communiquer avec l Équipe d intervention en cas d incident informatique du GC, comme l indique le Plan de gestion des incidents de TI du GC. References RFC 6520, Internet Engineering Task Force CVE , 7 April 2014, National Vulnerability Database, NIST AV Cyber Security Bulletin, Public Safety Canada VU #720951, US. CERT GC IT Incident Management Plan, TBS Références RFC 6520, Internet Engineering Task Force CVE , 7 April 2014, National Vulnerability Database, NIST Bulletin sur la cybersécurité AV14-617, Sécurité publique Canada VU #720951, US. CERT Plan de gestion des incidents de la TI du gouvernement du Canada, SCT 4

5 Contacts and Assistance Questions or comments regarding this Alert should be directed to: Security Client Services Communications Security Establishment PO Box 9703, Terminal Ottawa, Ontario K1G 3Z4 Telephone: Aide et renseignements Pour toute question ou tout commentaire sur l alerte, prière de communiquer avec le : Services à la clientèle Centre de la sécurité des télécommunications C.P. 9703, Terminus Ottawa (Ontario) K1G 3Z4 Téléphone : Courriel : itsclientservices@cse-cst.gc.ca La chef adjointe de la Sécurité des TI, Toni Moffa Deputy Chief, IT Security 10/04/2014 Date 5