Sécurité

Google découvre de nouvelles failles de sécurité dans SSL. L’ensemble du système est-il fondamentalement défectueux ? – ExtrêmeTech

Ce site peut gagner des commissions d’affiliation à partir des liens sur cette page. Conditions d’utilisation.

Google a découvert qu’une autorité de certification intermédiaire avait émis des certificats non autorisés pour plusieurs domaines Google. Le problème est survenu parce que l’autorité intermédiaire, MCS Holdings, avait émis des certificats pour les domaines Google, bien qu’elle ne détienne pas elle-même ces domaines.

La raison pour laquelle il est essentiel que les entreprises ne pas des certificats Mint pour les sites Web qu’ils n’exploitent pas eux-mêmes, c’est parce que cela casse la fonction de SSL elle-même. Voici comment le système est censé fonctionner :

Comment fonctionne SSL

Votre PC contacte un serveur Google, qui renvoie un certificat. Votre ordinateur utilise ce certificat pour chiffrer une session de données. Le serveur confirme que la clé est bonne et établit la session sécurisée avec votre PC. Lorsque les certificats sont signés par des tiers, cela permet au faux serveur d’exécuter une attaque classique de l’homme du milieu.

Main_the_middle

Dans une attaque de l’homme du milieu, une autorité de certification intervenante peut prétendre être la véritable autorité émettrice, en particulier si la société de certification intermédiaire reçoit la pleine autorité d’une autorité de certification émettrice, ce qui s’est produit ici. Ce n’est pas censé se produire, comme le souligne Google – l’autorité de certification d’origine, CNNIC (le centre d’information sur le réseau Internet chinois) n’aurait jamais dû donner une telle autorité à MCS Holding en premier lieu.

Réparer le système TLS/SSL

Le problème avec le système SSL — en plus de tous les boguesau moins — est qu’il repose sur l’idée que les autorités de certification toujours délivrer de bons certificats. L’histoire a prouvé que ce n’est tout simplement pas vrai – plusieurs autorités de certification ont été piratées, y compris des sociétés comme VeriSign et DigiNotar, aujourd’hui disparu. Google veut réorganiser le processus de délivrance des certificats avec son Initiative de transparence des certificats. Ce projet permettrait :

  • Rendre impossible (ou du moins très difficile) pour une autorité de certification d’émettre un certificat SSL pour un domaine sans que le certificat soit visible pour le propriétaire de ce domaine.
  • Fournissez un système d’audit et de surveillance ouvert qui permet à tout propriétaire de domaine ou autorité de certification de déterminer si des certificats ont été émis par erreur ou de manière malveillante.
  • Protégez les utilisateurs (autant que possible) contre la duperie par des certificats émis par erreur ou de manière malveillante.
Psssssst :  Un développeur de mods de jeu surpris en train de distribuer délibérément des logiciels malveillants - High-teK.ca

Les certificats seraient enregistrés et les journaux seraient surveillés par des serveurs publics qui vérifieraient périodiquement si des certificats malveillants ou non autorisés étaient utilisés sur le net. Par exemple, si l’autorité de certification XYZ émet un certificat non autorisé pour Gmail, un moniteur de transparence des certificats détectera le problème et alertera Google lui-même. Enfin, les journaux et les moniteurs seraient eux-mêmes protégés par un programme de surveillance cryptographique, qui vérifierait que les certificats SSL étaient correctement enregistrés et que les journaux n’étaient pas falsifiés.

L’autre problème avec le système TLS/SSL, au-delà du fait qu’il repose sur la confiance intrinsèque, est que le système peut être facilement renversé. À moins que les certificats délivrés par une autorité particulière ne soient révoqués, ces certificats peuvent continuer à être utilisés pour faire des ravages. C’est pourquoi le récent Lenovo-Super poisson débâcle était si dangereux. Jusqu’à ce que Google, Microsoft et Firefox mettent à jour leur propre logiciel pour rejeter le certificat Komodo, il est resté disponible et fonctionnel, contournant ainsi toute sécurité qu’un site Web pourrait essayer de fournir.

Bouton retour en haut de la page