Faille de sécurité Heartbleed : la NSA dément avoir exploité à son profit le bug

Les révélations s’enchaînent et il est difficile de déceler le vrai du faux. Depuis ce mardi jour où la faille de sécurité Heartbleed a été signalée, les informations se multiplient. Ainsi, vendredi l’agence américaine Bloomberg affirmait que la NSA était au courant depuis le début de l’existence de ce bug sur la toile. Cette même source estimait que l'agence de surveillance américaine avait exploité à son profit Heartbleed. En effet selon « des sources proches du dossier », elle avait identifié cette faille de sécurité juste après son apparition dans le logiciel OpenSSL, en décembre 2011. Mais ce dimanche, la NSA a démenti. 

« La NSA n'était pas au courant de la vulnérabilité récemment identifiée dans OpenSSL, appelée faille Heartbleed, jusqu'à ce qu'elle soit rendue publique dans un rapport d'une société privée de sécurité informatique. Les informations faisant état du contraire sont fausses », a déclaré une porte-parole de la NSA en réaction à l'article de Bloomberg. La porte-parole du Conseil de sécurité nationale (NSC, dépendant de la Maison Blanche), Caitlin Hayden, a également nié le fait que « la NSA ou toute autre branche du gouvernement » aient eu connaissance de la faille.

« Le gouvernement fédéral a lui aussi recours à l'OpenSSL pour protéger les utilisateurs de sites internet gouvernementaux. Cette administration prend au sérieux sa responsabilité d'aider au maintien d'un internet ouvert, interopérable, sécurisé et sûr. Si le gouvernement fédéral, y compris la communauté du renseignement, avaient découvert cette vulnérabilité avant la semaine passée, elle en aurait informé la communauté responsable de l'OpenSSL », peut-on lire dans un communiqué.

Pour rappel Heartbleed existe depuis deux ans environ et l’une des conséquences et qu’elle a pu permettre à des pirates informatiques d'avoir accès à des données sensibles, dont des mots de passe ou des codes secrets, en passant par la mémoire des serveurs. Il n’y a cependant pour l’heure aucune preuve que cela ait été le cas.