URL: https://linuxfr.org/users/tchetch/journaux/ssl Title: SSL ... Authors: Etienne Bagnoud Date: 2011年03月24日T12:33:34+01:00 License: CC By-SA Tags: ssl, surveillé, sécurité et web Score: 50 Chaque fois qu'on parle de sécurité sur le Web, voir sur Internet, SSL est très souvent *la* réponse. Ce protocole permet de sécurisé les communications avec des algorithmes de chiffrement évolués que je ne peux contester, je n'en ai pas les connaissances. Par contre ce que je peux contester, c'est l'architecture basée sur un _tiers de confiance_. En effet, le SSL repose sur une entité en qui on doit la pleine et entière confiance afin de transmettre nos messages privés sans qu'un intermédiaire puisse les lire, connu sous le nom de CA (pour Certificate Authority). C'est ce CA qui va attester que Google est bien Google, Microsoft est bien Microsoft, ... Et vous n'avez pas d'autre choix de croire en cette entité. Dans un monde parfait, ça fonctionne. Si chaque être humain était animé par un désir de protéger son prochain, nous n'aurions aucune crainte à avoir. Mais le monde n'est pas parfait et l'on peut le voir notamment dans les diverses résultats de [EFF SSL Observatory](https://www.eff.org/observatory) que certains grands noms, comme Verisign, ne prennent pas la peine de faire leur travail correctement et signe des certificats pour des noms de domaine comme [localhost ou webmail](https://www.eff.org/files/ccc2010.pdf) (voir page 45), par exemple. Ce document nous apprend aussi qu'il y a une prolifération de sous-CA (par exemple Deutsche Telekom a signé 252 CA). Il y'a aussi des certificats EV (Extended Validation, validation étendue, qui propose un _vrai_ contrôle de la validité du demandeur et qui coûte beaucoup plus cher) qui ne respectent pas les règle _EV_ ... Bref un véritable fiasco, mais un machine à fric. Il y'a aussi la sécurité des autorités de certification qui entre en jeu. Et là, c'est pas mieux : neuf certificats pour sept domaines, comme www.google.com, mail.google.com, login.yahoo.com, login.skype.com, login.live.com, addons.mozilla.org et un septième qui ne semble pas être un nom de de domaine, [ont été générés frauduleusement](http://www.comodo.com/Comodo-Fraud-Incident-2011年03月23日.html). D'après l'annonce, l'attaquant a obtenu un nom d'utilisateur et mot de passe pour accéder à l'outil de signature de certificat. Bien entendu c'est l'Iran qui l'a fait, ça a été fait par un état et donc c'est la grande classe (clinical accuracy), donc [Comodo](http://www.comodo.com/) ne pouvait rien faire (si, si, dans le communiqué). Dans le [message sur le blog de Comodo](http://blogs.comodo.com/it-security/data-security/the-recent-ca-compromise/), il est dit que l'attaquant a obtenu le nom d'utilisateur et le mot de passe d'un partenaire pouvant générer des certificats. Ça modère tout de suite l'attaque. Une simple attaque par ingénierie social suffit (et oui je lis "Social Engineering: The Art of Human Hacking"). Donc _l'attaque étatique super balaise_, est-ce juste pour couvrir de l'incompétence ? Je n'en sait rien. Par contre ce que je sais : pouvoir générer des certificats SSL valide avec un simple nom d'utilisateur et un mot de passe, c'est ridicule. Pour accéder à mon compte en négatif à la banque c'est déjà plus sécurisé ! Donc voilà, la sécurité de vos communications sur le Web et Internet ne tient qu'à **un nom d'utilisateur et un mot de passe**. Je serais pas là aujourd'hui, je vais déposer des fleurs sur la tombe de la vie privé de l'internaute inconnu.