Une clé de sécurité censée être quasiment impossible à deviner… mais qui ne pouvait prendre que 256 valeurs différentes. Voici la mauvaise surprise découverte chez eMudhra, une autorité de certification dont les certificats étaient reconnus par Apple, Google, Mozilla et Microsoft. Comme le rapporte BleepingComputer, huit certificats intermédiaires présentaient une faiblesse cryptographique majeure, permettant à n'importe qui de retrouver leurs clés privées. Six d'entre eux pouvaient servir à émettre de faux certificats HTTPS, avec le risque de faire passer un site malveillant pour un site légitime.
Image Unsplash
Cette affaire rappelle les limites du système de confiance sur lequel repose HTTPS. Pour établir une connexion sécurisée, les navigateurs s'appuient sur des certificats délivrés par des organismes reconnus, appelés autorités de certification. Ces dernières peuvent déléguer leur pouvoir à des autorités intermédiaires. Si la clé privée de l'une d'elles est compromise, un attaqu...
Espace publicitaire · 300×250
