Les certificats SSL sont à la base de la plupart des sécurités Internet. C’est grâce à eux que les sites Web affichent le fameux cadenas, que vos coordonnées bancaires sont cryptées et protégées, que les navigateurs peuvent savoir si vous n’êtes pas sur un site de phishing, que Windows reconnaît les pilotes sains et, enfin, que les antivirus déterminent qu’une application est officielle et non un malware. Ces certificats sont émis par des tiers de confiance, qui sont chargés de vérifier et de contrôler l’authenticité des acteurs à qui ils accordent des certificats. Mais que se passerait-il si l’un de ces tiers de confiance, par négligence ou malveillance, venait à accorder des certificats valides à des cybercriminels ? Malheureusement, nous n’allons plus tarder à le savoir ! Car l’un de ces organismes, le hollandais Diginotar, a été victime d’une attaque sophistiquée qui l’a amené à générer 531 “ faux ” certificats. Résultat : des pirates se retrouvent en possession de certificats valides pour des domaines aussi fondamentaux que “ google.com ”, “ twitter.com ”, “ windowsupdate.com ”, “ wordpress.com ”, “ login.yahoo.com ”, “ facebook.com ”. Ils peuvent désormais monter des sites de phishing qui se comporteront comme des sites authentiques et organiser des attaques totalement transparentes. Ainsi la semaine dernière, plus de 300 000 Iraniens ont été dupés en se connectant à leur Gmail. Les pirates peuvent créer des malwares qui donneront l’impression de provenir de Microsoft ou de Google et franchiront les barrières des antivirus. Les OS eux-mêmes sont potentiellement mis en danger. Les créateurs de navigateurs Web du monde PC ont vite réagi en supprimant Diginotar de leur liste de confiance ? encore faut-il que les utilisateurs aient accepté les mises à jour. En revanche, les navigateurs des mobiles, eux, seront exposés tant que les utilisateurs ne recevront pas les mises à jour adéquates. Ce qui inquiète dans cette affaire, c’est l’ampleur de l’attaque et l’importance des domaines choisis. Il va falloir être très prudents et vérifier que l’on possède bien les dernières mises à jour pour tous nos appareils dans les prochains jours.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
