Les certificats SSL de DigiNotar indignes de confiance

Hinault Romaric · 07/09/2011, 15h11

Certificats SSL de DigiNotar : Microsoft publie un correctif
Et les qualifie d'indignes de confiance

Tous les certificats de sécurités SSL (Secure Socket Layer) de Diginotar seraient désormais peu fiables selon Microsoft suite à une enquête de la société.

L'autorité de certification hollandaise DigiNotar avait été victime récemment d’une attaque revendiquée par le pirate ComodoHacker qui avait entraîné l’émission de faux certificats pour plusieurs sites, dont l’ensemble des sites de Google.

La réaction de Microsoft suite à cette affaire est la publication d’une mise à jour de sécurité pour l’ensemble de ses systèmes d’exploitation Windows (XP, Vista, Seven, Server, etc.).

La firme conclut dans un billet de blog que "les certificats de DigiNotar sont indignes de confiance". Elle place ceux-ci au niveau des certificats non approuvés dans son correctif disponible depuis hier.

Microsoft avait déjà procédé à la suppression des certificats de DigiNator dans sa liste de confiance Microsoft Certificate Trust List (MCTL) utilisée par Windows Vista, Windows 7, Windows Server 2008, Windows Server 2008 R2 et Internet Explorer pour valider l'approbation d'une autorité de certification.

La mise à jour de sécurité permet donc de régler ce problème pour les utilisateurs de Windows XP, Windows Server 2003 et les autres applications Windows tierces non protégées.

La mise à jour est disponible dans le monde entier via la fonction de mise à jour automatique de Windows... sauf au Pays-Bas suite à une demande explicite du gouvernement Néerlandais, indique Microsoft (DigiNotar est une autorité de confiance hollandaise qui a publié des certificats pour les institutions de ce pays).

Pour mémoire, plus de 500 certificats SSL frauduleux pouvant induire les internautes en erreur et usurper leur identité auraient été émis par DigiNotar après l’exploitation d'une faille de sécurité par des pirates. Pas moins de 300 000 IP uniques se seraient identifiées à des comptes Google à travers ces certificats falsifiés.

DigiNotar avait gardé le silence sur l'attaque de ses systèmes pendant près de deux mois.

Source : Microsoft

Inazo · 07/09/2011, 15h55

Bonjour,

Juste :

Citation:

DigiNotar avait gardé le silence sur l'attaque de ses systèmes pendant près de deux mois.

Irréaliste tout simplement, rassurez nous pas ils ont pris des mesures durant ces deux mois

Cordialement,

ctiti60 · 07/09/2011, 16h08

Oui, ils ont pris toutes les mesures pour le cacher le plus longtemps possible

droggo · 07/09/2011, 16h36

Moa,

Parce que quand Microsoft a des problèmes, ils le crient sur les toits pour mettre tout le monde au courant ...

sevyc64 · 07/09/2011, 17h43

Le problème, en tant qu'autorité de certification, ils l'auraient signalé immédiatement et pris les mesures qui vont bien, ça aurait pû passer. Mais là, que les mesures aient été prises ou pas, de ne pas signaler et de cacher volontairement que leurs certificats peuvent potentiellement être corrompus, fait que l'on ne peut vraiment plus avoir confiance en eux, et justifie de fait l'action de Microsoft.

droggo · 07/09/2011, 18h12

Lai,

Je ne cherche pas à excuser leur comportement, mais à rappeler que quand ça arrive à d'autres, vous semblez fermer les yeux beaucoup plus facilement.

Marco46 · 07/09/2011, 18h32

Citation:

Envoyé par droggo

Lai,

Je ne cherche pas à excuser leur comportement, mais à rappeler que quand ça arrive à d'autres, vous semblez fermer les yeux beaucoup plus facilement.

Oui mais là on parle d'une autorité de certification. La clef de voûte d'une PKI c'est précisément la confiance. Donc ...

J'espère que la fondation fera la même mise à jour pour ses logiciels.

07/09/2011, 15h11	#1
Hinault Romaric Chroniqueur Actualités Hinault Romaric Consultant Inscription : janvier 2007 Messages : 2 121 Détails du profil Informations personnelles : Nom : Hinault Romaric Localisation : Cameroun Informations professionnelles : Activité : Consultant Secteur : High Tech - Éditeur de logiciels Informations forums : Inscription : janvier 2007 Messages : 2 121 Points : 31 199 Points : 31 199	Les certificats SSL de DigiNotar indignes de confiance Certificats SSL de DigiNotar : Microsoft publie un correctif Et les qualifie d'indignes de confiance Tous les certificats de sécurités SSL (Secure Socket Layer) de Diginotar seraient désormais peu fiables selon Microsoft suite à une enquête de la société. L'autorité de certification hollandaise DigiNotar avait été victime récemment d’une attaque revendiquée par le pirate ComodoHacker qui avait entraîné l’émission de faux certificats pour plusieurs sites, dont l’ensemble des sites de Google. La réaction de Microsoft suite à cette affaire est la publication d’une mise à jour de sécurité pour l’ensemble de ses systèmes d’exploitation Windows (XP, Vista, Seven, Server, etc.). La firme conclut dans un billet de blog que "les certificats de DigiNotar sont indignes de confiance". Elle place ceux-ci au niveau des certificats non approuvés dans son correctif disponible depuis hier. Microsoft avait déjà procédé à la suppression des certificats de DigiNator dans sa liste de confiance Microsoft Certificate Trust List (MCTL) utilisée par Windows Vista, Windows 7, Windows Server 2008, Windows Server 2008 R2 et Internet Explorer pour valider l'approbation d'une autorité de certification. La mise à jour de sécurité permet donc de régler ce problème pour les utilisateurs de Windows XP, Windows Server 2003 et les autres applications Windows tierces non protégées. La mise à jour est disponible dans le monde entier via la fonction de mise à jour automatique de Windows... sauf au Pays-Bas suite à une demande explicite du gouvernement Néerlandais, indique Microsoft (DigiNotar est une autorité de confiance hollandaise qui a publié des certificats pour les institutions de ce pays). Pour mémoire, plus de 500 certificats SSL frauduleux pouvant induire les internautes en erreur et usurper leur identité auraient été émis par DigiNotar après l’exploitation d'une faille de sécurité par des pirates. Pas moins de 300 000 IP uniques se seraient identifiées à des comptes Google à travers ces certificats falsifiés. DigiNotar avait gardé le silence sur l'attaque de ses systèmes pendant près de deux mois. Source : Microsoft __________________ Si déboguer est l’art de corriger les bugs, alors programmer est l’art d’en faire Mon blog Mes articles En posant correctement votre problème, on trouve la moitié de la solution
	20

07/09/2011, 16h08	#3
ctiti60 Membre habitué Développeur informatique Inscription : octobre 2007 Messages : 73 Détails du profil Informations personnelles : Sexe : Âge : 39 Localisation : France, Oise (Picardie) Informations professionnelles : Activité : Développeur informatique Informations forums : Inscription : octobre 2007 Messages : 73 Points : 106 Points : 106	Oui, ils ont pris toutes les mesures pour le cacher le plus longtemps possible
	21

07/09/2011, 16h36	#4
droggo Expert Confirmé Inscription : août 2006 Messages : 3 195 Détails du profil Informations forums : Inscription : août 2006 Messages : 3 195 Points : 3 341 Points : 3 341	Moa, Parce que quand Microsoft a des problèmes, ils le crient sur les toits pour mettre tout le monde au courant ... __________________ Il court en ce moment une espèce de grippe, mais elle ne court pas très vite, car on peut l'attraper sans courir.
	00

07/09/2011, 17h43	#5
sevyc64 Modérateur Yves Développeur informatique Inscription : janvier 2007 Messages : 3 880 Détails du profil Informations personnelles : Nom : Yves Âge : 39 Localisation : France, Pyrénées Atlantiques (Aquitaine) Informations professionnelles : Activité : Développeur informatique Informations forums : Inscription : janvier 2007 Messages : 3 880 Points : 7 656 Points : 7 656	Le problème, en tant qu'autorité de certification, ils l'auraient signalé immédiatement et pris les mesures qui vont bien, ça aurait pû passer. Mais là, que les mesures aient été prises ou pas, de ne pas signaler et de cacher volontairement que leurs certificats peuvent potentiellement être corrompus, fait que l'on ne peut vraiment plus avoir confiance en eux, et justifie de fait l'action de Microsoft. __________________ Sevyc64 --- Le partage est notre force NON AU LANGAGE SMS & FAUTES VOLONTAIRES SUR LES FORUMS
	30

07/09/2011, 18h12	#6
droggo Expert Confirmé Inscription : août 2006 Messages : 3 195 Détails du profil Informations forums : Inscription : août 2006 Messages : 3 195 Points : 3 341 Points : 3 341	Lai, Je ne cherche pas à excuser leur comportement, mais à rappeler que quand ça arrive à d'autres, vous semblez fermer les yeux beaucoup plus facilement. __________________ Il court en ce moment une espèce de grippe, mais elle ne court pas très vite, car on peut l'attraper sans courir.
	00

Outils de la discussion
Afficher une version imprimable Envoyer un lien vers cette page par email