L'interception s'est faite en déroutant le trafic destiné au serveur vers un intermédiaire malveillant qui, du coup, a pu obtenir un certificat TLS valide via let's encrypt. Ça correspond à ce que propose le produit Jupiter, proposé par Nexa et vendu comme un logiciel d'interception légale (j'en parlais ici il y a quelques jours).
On note que les intercepteurs ont fait une petite boulette en oubliant de renouveller leur certificat a temps, ce qui a permis à l'administrateur système de détecter le problème.
Comme ils le notent en conclusion, la surveillance des journaux certificate transparency (cf. journal précédemment cité) aurait permis à l'administrateur de repérer le problème plus tôt. Ils notent aussi qu'on peut aussi demander à let's encrypt, via le DNS, de limiter la délivrance de certificats à un compte let's encrypt bien précis, de façon à empêcher l'attaque.
# Le coupable probable : interception légale (et pieds nickelés)
Posté par Samuel (site web personnel) . En réponse au lien Interception de traffic sur les serveurs jabber.ru xmpp.ru. Évalué à 10. Dernière modification le 20 octobre 2023 à 21:41.
L'interception s'est faite en déroutant le trafic destiné au serveur vers un intermédiaire malveillant qui, du coup, a pu obtenir un certificat TLS valide via let's encrypt. Ça correspond à ce que propose le produit Jupiter, proposé par Nexa et vendu comme un logiciel d'interception légale (j'en parlais ici il y a quelques jours).
On note que les intercepteurs ont fait une petite boulette en oubliant de renouveller leur certificat a temps, ce qui a permis à l'administrateur système de détecter le problème.
Comme ils le notent en conclusion, la surveillance des journaux certificate transparency (cf. journal précédemment cité) aurait permis à l'administrateur de repérer le problème plus tôt. Ils notent aussi qu'on peut aussi demander à let's encrypt, via le DNS, de limiter la délivrance de certificats à un compte let's encrypt bien précis, de façon à empêcher l'attaque.