Bonjour,
Du fait de la compromission de l’Autorité de Certification eMudhra, nous vous recommandons de mettre à jour régulièrement l’ensemble de vos systèmes numériques connectés (VPS, équipements, frigo, tv, voiture, etc.) durant les prochains jours (voir semaines).
Détails pour comprendre de quoi on parle
Qu’est-ce qu’une autorité de certification ?
Le système des autorités de certification x509 permet d’authentifier les serveurs lors de nos communications numériques.
Pour mieux comprendre, vous avez sans doute entendu parler de chiffrement. Le chiffrement permet d’éviter qu’un message puissent être lu (ou modifié) par une autre personne que la personne qui détient la clé de déchiffrement. C’est bien… sauf que c’est beaucoup moins efficace si votre équipement ne peut s’assurer de l’authenticité du serveur avec lequel il communique.
C’est là que le système (imparfait) des autorités de certification x509 entre en jeu, l’idée est que votre équipement (ou logiciel) embarque une liste de fichiers qui permettent d’authentifier un message émis par l’une de ces autorités. A partir de là, ces autorités peuvent, en théorie après vérification, signer par exemple un certificat pour arn-fai.net qui nous permet de signer à notre tour les messages émis par nos serveurs. ET ainsi grâce à une (trop) grande chaîne de confiance, vos équipements peuvent déduire si la communication est sûre ou si elle est (mal) usurpée.
Quel est l’impact d’une autorité de certification compromise ?
Lorsqu’une autorité de certification est compromise, une entité attaquante peut usurper la communication. Autrement dit, les équipements et logiciels qui se basent sur x509 pour l’authentification ne peuvent plus communiquer sans risque, ce qui peut aboutir à du vol de données, ou d’autres types d’attaques.
Combien d’Autorité de Certification sont utilisées ?
Ça dépend des équipements et logiciels, mais par exemple dans Firefox, on peut lister un peu plus de 70 entités qui gèrent une Autorité de Certification.
Ce qui veut dire qu’au delà de l’autorité de certification compromise ces derniers jours, il y en a probablement d’autres qui le sont notamment par des agences de renseignement.
Est-ce qu’il y a d’autres moyens pour authentifier ?
Certains logiciels embarquent du chiffrement de bout en bout et des mécanismes d’authentification manuels. C’est le cas par exemple de la messagerie Matrix, mais ces fonctionnalités sont difficiles à mettre en œuvre car ils sont souvent considérés comme peu ergonomiques.
SSH, qui permet de se connecter à un serveur, laisse la responsabilité de l’authentification de la première communication à l’utilisateur⋅ice en lui demandant de vérifier une empreinte. Malheureusement, de nombreux fournisseurs ne permettent pas de vérifier cette empreinte.
Tor (et tor browser) utilise son propre système pour authentifier les services cachés en .onion, mais ce n’est pas utilisé si vous consultez un site du web standard.
Il existe aussi DANE qui permet d’authentifier des machines grâce aux DNS, malheureusement, c’est peu implémenté à l’heure actuel. Il faut par exemple passer par un plugin pour Firefox et constater que la plupart des siteweb ne proposent pas ce type d’authentification. Pourtant, ce serait probablement plus sûr pour nos communications.
Comment mettre à jour ou sécuriser un équipement ?
Les systèmes d’exploitation ont ou vont publier des mises à jour (par exemple une mise à jour ca-certificate pour debian). Il suffit donc de mettre à jour.
MAIS, certains logiciels gèrent leur propre liste, il faut donc mettre à jour les logiciels aussi, en prenant en compte qu’il peut y avoir un certains délais avant publication selon la réactivité de l’équipe qui gère le logiciel.
Et puis, il est possible que votre système ou votre logiciel ne soit plus maintenu, dans ce dernier cas vous pouvez dans certains cas retirer vous même le fichier qui correspond à cette autorité de certification.