Internet n’est décidément pas sûr. Un groupe de chercheurs, dont deux cryptologues de l’Ecole polytechnique de Lausanne, ont mis au jour une faille importante dans le processus de certification des sites dits sécurisés,
dont l’adresse commence par ‘ https ‘.C’est le cas des sites bancaires ou de commerce électronique, dont la sécurité est théoriquement remise en cause par cette découverte. Les chercheurs sont parvenus à falsifier des certificats de sécurité, ces fichiers numériques
censés garantir l’identité d’un site.Pour ce faire, ils ont exploité une lacune d’un des algorithmes de cryptage souvent utilisé pour générer ces certificats, le MD5 (Message Digest 5). Découverte il y a plusieurs années, cette faille permet de produire deux
certificats différents affichant pourtant une même signature. Elle casse du même coup le principe d’authentification unique.
Une fausse autorité de certification
Les chercheurs ont poussé l’expérience plus loin, en allant jusqu’à simuler une fausse autorité de certification (entité qui délivre les certificats) : celle-ci a été reconnue fiable par les principaux navigateurs du marché.De fait, un faux certificat pourrait, en théorie, être attribué à n’importe quel site prétendument ‘ sécurisé ‘ ou à un serveur de messagerie. Cela ‘ pourrait ouvrir la porte à des
attaques par phishing pratiquement indétectables ‘, précise l’Ecole polytechnique de Lausanne dans un
communiqué.
‘ Le navigateur Internet recevrait un certificat falsifié qui serait reconnu fiable, et les mots de passe des utilisateurs ainsi que d’autres
données personnelles pourraient tomber entre de mauvaises mains ‘.Pas d’alarmisme, l” exploit ‘ de sécurité réalisé par les cryptologues
(exposé ici) ne peut être reproduit d’un claquement de doigts. Il leur a d’ailleurs fallu 200 PlayStation 3, montées en cluster
(‘ grappe ‘), pour obtenir la puissance de calcul nécessaire.Le mode opératoire n’a évidemment pas été publié. ‘ Cette nouvelle révélation n’augmente pas significativement le risque ‘, a vite réagi Microsoft à l’annonce de cet exploit. Dans un
avis de sécurité émis le 30 décembre, l’éditeur indique qu’il ‘ encourage ‘ les autorités de
certification à utiliser un autre algorithme de cryptage, le SH-1.
D’autres failles plus importantes
Le MD5 est de toute façon de moins en moins utilisé par les autorités de certification. La plus importante d’entre elles, Verisign,
affirme qu’elle l’avait déjà exclu de ses nouveaux certificats et qu’elle l’aura
définitivement banni fin janvier 2009.Elle propose néanmoins aux clients qui disposent d’un ancien certificat RapidSSL signé par MD5 de l’échanger gratuitement par un certificat signé par SHA-1 s’ils le souhaitent.Rappelons que le système de sécurisation par certificats présente de toute façon d’autres failles bien plus importantes que celle-ci. Ainsi, il n’est
pas très compliqué d’obtenir un certificat basique de la part d’une petite autorité de certification, qui se
contentera par exemple d’un numéro de Siret pour ‘ authentifier ‘ l’éditeur d’un site.De plus, de nombreux sites affichent des certificats périmés, qui n’ont pas été mis à jour après leur date d’expiration. Les internautes sont ainsi parfois contraints d’accepter des certificats reconnus invalides par leur navigateur
pour pouvoir accéder au site, sans se poser de questions. Voilà une brèche que les algorithmes les plus puissants ne pourront jamais combler.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
