Il n'y a pas besoin de la coopération de Microsoft pour faire cela. Enfin, pas vraiment, du moins ce n'est pas spécifique à Microsoft. Il suffit de contrôler une autorité de certification reconnue, quelle qu'elle soit.
Par exemple, Thawte, VeriSign et compagnie ont la possibilité d'émettre des certificats pour n'importe quelle nom, donc de se faire passer pour n'importe qui. Si un gouvernement parvient à faire introduire son certificat de certification dans un navigateur, il peut faire de même. Plus simple encore : si un gouvernement parvient à se faire délivrer un certificat de certification par une autorité de certification déjà connue, il devient par délégation d'autorité autorité de certification lui-même, et obtient ce même pouvoir.
Bref, ça n'est pas vraiment spécifique à Microsoft, c'est tout simplement le modèle même de SSL qui est troué à la base. Mais ça, ce n'est pas nouveau.
# Pas besoin de MS
Posté par 🚲 Tanguy Ortolo (site web personnel) . En réponse au journal Où l'on parle de Microsoft et des méthodes démocratiques de Ben Ali.... Évalué à 10.
Il n'y a pas besoin de la coopération de Microsoft pour faire cela. Enfin, pas vraiment, du moins ce n'est pas spécifique à Microsoft. Il suffit de contrôler une autorité de certification reconnue, quelle qu'elle soit.
Par exemple, Thawte, VeriSign et compagnie ont la possibilité d'émettre des certificats pour n'importe quelle nom, donc de se faire passer pour n'importe qui. Si un gouvernement parvient à faire introduire son certificat de certification dans un navigateur, il peut faire de même. Plus simple encore : si un gouvernement parvient à se faire délivrer un certificat de certification par une autorité de certification déjà connue, il devient par délégation d'autorité autorité de certification lui-même, et obtient ce même pouvoir.
Bref, ça n'est pas vraiment spécifique à Microsoft, c'est tout simplement le modèle même de SSL qui est troué à la base. Mais ça, ce n'est pas nouveau.