Auteur Sujet: Un certificat de l'ANSSI utilisé pour des attaques MITM sur les services Google (Lu 9613 fois)

corrector · « **Réponse #12 le:** 10 décembre 2013 à 12:35:25 »

Citation de: krtman le 10 décembre 2013 à 09:25:57

Vous trouverez une description de ce qui s'est passé ici. D'aprés les premiers éléments, il s'agit d'une erreur humaine,

Qui ne doit jamais pouvoir se produire.

On ne fait pas joujou avec une racine mondialement reconnue. Là il doit y avoir démission d'un responsable de la sécurité, et enquête administrative, au grand minimum.

Je pense qu'une commission d'enquête parlementaire est de rigueur, mais bon, je ne rêve pas.

Citation de: krtman le 10 décembre 2013 à 09:25:57

A priori, pas de volonté d'une agence de renseignement d'inspecter le trafic internet.

D'après eux, juste la volonté d'une agence de renseignement d'inspecter le trafic vers l'Internet.

C'est juste un piratage en règle, et je pense que Google serait en droit de porter plainte pour contrefaçon, sans parler du délit informatique.

Pour l'instant, il faut que je vire la racine en question.

corrector · « **Réponse #13 le:** 10 décembre 2013 à 12:38:31 »

Citation de: vivien le 10 décembre 2013 à 11:16:27

Quels sont les sites web qui vont êtres impactés par ce retrait de certificats ? (effectif dans la prochaine version de Firefox qui sort cette semaine)

Tous les sites d'administrations ?

Très franchement, je ne pense pas qu'un seul site intéressant le public dépende de cette racine.

C'est une racine à la con comme il y en a des centaines.

corrector · « **Réponse #14 le:** 10 décembre 2013 à 13:09:29 »

Je ne sais pas ce qui serait pire :
- "chef, j'ai ripé"
- "on s'est fait tipiaker la clef"

Et vous, vous préfériez lequel?

corrector · « **Réponse #15 le:** 10 décembre 2013 à 13:20:13 »

Lecture très intéressante :

https://www.imperialviolet.org/2011/05/04/pinning.html

krtman · « **Réponse #16 le:** 10 décembre 2013 à 14:01:20 »

Citation de: corrector le 10 décembre 2013 à 12:35:25

Qui ne doit jamais pouvoir se produire.

On ne fait pas joujou avec une racine mondialement reconnue. Là il doit y avoir démission d'un responsable de la sécurité, et enquête administrative, au grand minimum.

Ca on peut le dire, c'est une énorme boulette.

Citation de: corrector le 10 décembre 2013 à 12:35:25

D'après eux, juste la volonté d'une agence de renseignement d'inspecter le trafic vers l'Internet.

C'est juste un piratage en règle, et je pense que Google serait en droit de porter plainte pour contrefaçon, sans parler du délit informatique.

Pour l'instant, il faut que je vire la racine en question.

Au début c'est les soupcons que j'ai eu, mais, je ne pense que l'explication du test dans le réseau privé qui a mal tourné est tout a fait plausible. Avec les remontées qui sont faites par Chrome, ca ne pouvaient pas passer innapercus. Aprés les barbouzes Francais sont peut etre des amateurs.

Electrocut · « **Réponse #17 le:** 10 décembre 2013 à 15:37:01 »

Citation de: krtman le 10 décembre 2013 à 14:01:20

l'explication du test dans le réseau privé qui a mal tourné est tout a fait plausible. Avec les remontées qui sont faites par Chrome, ca ne pouvaient pas passer innapercus.

Effectivement.

A en lire les différents liens cités plus haut, l'ANSSI aurait voulu tester / auditer un outil de "proxy SSL", basé sur l'inspection du contenu chiffré (déchiffrement + chiffrement à la volée), comme le font certains proxy d'entreprise. Sauf qu'au lieu d'utiliser une autorité de certification locale, pour signer le certificat utilisé dans le produit (ou de l'auto-signer), ils ont utilisé leur autorité de certification publique ANSSI.

Le produit en test venait donc à se faire passer pour un (faux) site Google, authentique du point de vue du navigateur Internet.

Quand Google Chrome voit qu'un site *.google.* est signé par une autre autorité de confiance que celles habituelles pour les sites Google (Verisign, Google Internet Authority, Equifax et GeoTrust), il refuse le site, et il irait (à confirmer) cafter à la maison mère . cf. Public Key Pinning

Voici comment comment la "bourde" aurait fuité.

(merci de corriger mes éventuelles imprécisions dans le domaine des certificats

)

corrector · « **Réponse #18 le:** 10 décembre 2013 à 16:46:20 »

Oui, c'est certainement ce qui s'est passé.

minidou · « **Réponse #19 le:** 10 décembre 2013 à 20:16:02 »

Citation de: corrector le 10 décembre 2013 à 12:38:31

Très franchement, je ne pense pas qu'un seul site intéressant le public dépende de cette racine.

C'est une racine à la con comme il y en a des centaines.

une racine abusive comme en possèdent toutes les agences gouvernementales du monde

corrector · « **Réponse #20 le:** 11 décembre 2013 à 05:38:10 »

Rappelons que cette vulnérabilité (faille d'un tiers de confiance) est discutée intensivement depuis des années. Les Autorités ont été mises en garde sur les mauvaises pratiques, comme des certificats pour les noms comme "localhost" (sic), pour des adresses IP privées (re-sic), etc.

Il concerne le Web, l'email... tout ce qui utilise le DNS comme système de nommage, mais pas toutes les utilisations de SSL/TLS dans tous les contextes : un réseau qui utilise TLS dans un cadre fermé, centralisé, autoritairement administré (comme Tor) peut définir son propre système d'autorités (dans Tor ce sont les "Directory Server").

jack · « **Réponse #21 le:** 11 décembre 2013 à 09:23:12 »

Bawé.
Le HTTPS avec les CA type comodo etc, c'est super, sauf que la sécurité de l'ensemble se base sur la qualité de la confiance que tu as dans une myriade d'élèment inconnus.

M'enfin;

corrector · « **Réponse #22 le:** 11 décembre 2013 à 09:24:33 »

Comodo, sans blague?

BadMax · « **Réponse #23 le:** 11 décembre 2013 à 21:01:13 »

Du coup, je comprends un peu plus le pourquoi du comment des certificats "Extended Validation" dont la procédure est bien bien parano.