Si vous faites partie des personnes qui utilisent des certificats PGP pour sécuriser les échanges d’e-mails ou vérifier l’authenticité d’un paquet logiciel, sachez que vous êtes face à un gros problème. Des inconnus ont en effet porté un coup fatal aux serveurs de clés PGP de type « Synchronizing Key Server » (SKS), qui sont les plus déployés et utilisés dans le monde. Un server SKS stocke les clés publiques de certificats PGP et les rend disponibles à la façon d’un annuaire, avec indexation et moteur de recherche. Créés dans les années 1990, ces serveurs sont synchronisés les uns avec les autres et stockent les données pour toujours : une fois qu’une clé a été téléversée, on ne peut plus la supprimer. L’idée était de lutter contre les éventuelles manipulations gouvernementales.
Un spam qui fait planter les logiciels de chiffrement
Comme il est difficile de vérifier l’authenticité d’un certificat publique, quelqu’un qui connaît bien son propriétaire peut y ajouter sa signature cryptographique en guise de caution, créant ainsi un réseau de confiance entre les utilisateurs. Mais ce fonctionnement très ouvert et collectif vient de subir une attaque irrémédiable. Quelqu’un a eu la funeste idée d’ajouter plusieurs dizaines de milliers de signatures sur les clés publiques de deux développeurs connus d’OpenPGP, Robert J. Hansen et Daniel Kahn Gillmor. Résultat : leurs clés publiques sont désormais inutilisables, car elles font planter les logiciels de chiffrement qui les téléchargent, tels que GnuPG ou Enigmail. Elles sont tout simplement trop volumineuses.
Malheureusement, ce problème est insurmontable, car il est intrinsèquement lié au design des serveurs SKS. Les clés publiques spammées ne peuvent pas être effacées et cette attaque, d’une simplicité effarante, ne peut pas être empêchée. Le problème risque donc de se produire pour d’autres personnes. Par ailleurs, le code des serveurs SKS ne pourra pas être modifié, car il est vieux et écrit dans un langage que plus personne ne maîtrise. C’est pourquoi les deux victimes estiment que c’est la fin de l’histoire.
« Je ne crois pas que le réseau global de serveurs de clés [SKS] peut être sauvé. Les utilisateurs à haut risque doivent immédiatement arrêter d’utiliser le réseau de serveurs de clés [SKS] », estime Robert J. Hansen, dans une note de blog. « C’est le bazar et pour longtemps. Les parties de l’écosystème OpenPGP qui reposent sur les suppositions naïves du serveur de clés SKS ne peuvent plus être utilisées, car les usagers abusent délibérément de ces serveurs de clés. Nous avons besoin d’un système beaucoup plus défensif et de meilleurs protocoles pour déterminer quand et comment récupérer les certificats OpenPGP », écrit, pour sa part, Daniel Kahn Gillmor.
Une nouvelle technologie est heureusement disponible
Pour autant, cette situation n’est pas vraiment une surprise. Il y a un an, Werner Koch, le développeur de GnuPG, s’est également fait spammé de la sorte, mais à un niveau moindre (moins de 5000 signatures). Le volume de spam actuel est inédit et, surtout, fatal pour les logiciels associés. Heureusement, il existe une porte de sortie et elle s’appelle « keys.openpgp.org ». Il s’agit là d’une nouvelle génération de serveurs de clés moins vulnérables que les serveurs SKS et plus respectueux vis-à-vis de la protection des données personnelles. La vérification des certificats se fait au travers de l’adresse e-mail et non au travers de signatures. Ce qui évite les attaques par spam. Toutefois, cette technologie n’a été lancée que le mois dernier, et risque donc de ne pas fonctionner à tous les coups. Mais c’est déjà bien qu’elle existe. Le chiffrement PGP est donc sauvé.
Source: Vice
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
