Apple a bloqué huit certificats de sécurité web dont la compromission aurait pu permettre à des fraudeurs d’imiter des sites légitimes. Google et Mozilla ont également appliqué un blocage dans leurs navigateurs, afin d’empêcher qu’un certificat concerné serve à établir à tort qu’un site est bien celui qu’il prétend être.
Ces certificats sont des certificats intermédiaires : ils participent à la chaîne de confiance utilisée lorsqu’un navigateur vérifie l’identité d’un site. En visitant un domaine tel qu’Apple.com, cette vérification doit notamment permettre à Safari de confirmer que la connexion vise le véritable site.
Des clés privées faciles à retrouver
Le problème provient d’une erreur dans un script servant à générer ces certificats. Elle rendait certaines clés privées trivialement accessibles : il suffisait de tester 256 nombres possibles pour les retrouver. Les huit certificats concernés ont depuis été révoqués, et des mesures ont été prises pour éviter que cette faille touche de futurs certificats émis.
Le blocage dans les navigateurs est essentiel : il réduit le risque qu’un internaute voie comme fiable un faux site utilisant l’un de ces certificats. La révocation vise précisément à retirer cette confiance lorsqu’un certificat ou sa clé privée est compromis.
macOS et l’outil curl peuvent conserver leur confiance
L’alerte ne s’arrête toutefois pas au navigateur. Dennis Jackson, ingénieur cryptographique chez Mozilla, prévient que des Mac pourraient continuer à faire confiance aux certificats compromis, car macOS ne vérifie pas les informations de révocation dans ce cas.
Il cite également /usr/bin/curl, l’utilitaire intégré à macOS pour effectuer des requêtes réseau en ligne de commande. Son bundle de certificats ne vérifie pas les informations de révocation : si un Mac a déjà accepté l’un des certificats touchés, il peut donc continuer à le faire dans ce contexte. Dennis Jackson indique qu’aucune exploitation de ces certificats n’a été observée à ce stade.
Ce que ça change
Pour la navigation courante, le blocage appliqué par les navigateurs limite directement le risque de tomber sur un site usurpé utilisant ces certificats. En revanche, les personnes ou outils qui s’appuient sur les mécanismes système de macOS, notamment via curl, doivent retenir que la révocation d’un certificat ne produit pas nécessairement le même effet partout.
Cette affaire illustre une différence concrète entre la protection apportée par un navigateur et celle fournie par les composants réseau du système : un même certificat peut être refusé dans l’un et encore accepté dans l’autre.
Source : Dennis Jackson (Mozilla, alerte sur les certificats eMudhra)
Rédigé avec l'assistance d'outils d'IA, vérifié et validé par la rédaction.