Alors que Chrome prépare la mort de vieux certificats TLS émis par Symantec, ce dernier décide de revendre son autorité à DigiCert pour plusieurs centaines de millions de dollars. Le nouveau propriétaire devra redonner confiance aux navigateurs dans l'ancienne branche de Symantec, accusé de nombreux dysfonctionnements sur plusieurs années.
Symantec n'a plus à se soucier de ses certificats. À l'occasion de ses derniers résultats trimestriels, l'éditeur de solutions de sécurité a annoncé revendre son autorité de certification, que Google compte sortir progressivement de Chrome dans les prochains mois.
L'heureux acquéreur s'appelle Thoma Bravo, derrière DigiCert, un autre mastodonte des certificats TLS pour sites web, surtout utilisés pour garantir la confidentialité des connexions en HTTPS. Tout le système se fonde sur ces sociétés, qui émettent des milliers (voire millions) de certificats, avec la garantie d'une validation rigoureuse, permettant aux navigateurs de s'appuyer sur eux... et de révoquer la confiance dans un acteur précis s'il émet trop de « tampons » litigieux.
DigiCert doit donc acquérir l'autorité de Symantec d'ici la fin de l'année, pour 950 millions de dollars et 30 % de ses actions ordinaires. L'entreprise aura fort à faire pour reconquérir la confiance des éditeurs de navigateurs, en premier lieu Google, qui a commencé son travail de dépréciation d'une large part des certificats émis par Symantec. Un sujet que ce dernier a évité de mentionner dans sa communication.
D'ici octobre 2018, ménage des certificats dans Chrome
Depuis juin et jusqu'en octobre 2018, Google Chrome se débarrasse de la confiance donnée à Symantec. Depuis le début d'année, le torchon brûle entre les deux entreprises, l'autorité affirmant avoir agi rapidement face aux problèmes relevés, dont elle conteste le nombre (en reconnaissant avoir fourni 2 500 validations à des sites inexistants). Google continue de marteler que la société a fourni à tour de bras son assentiment et n'a pas fait les contrôles que doit mener une telle autorité, notamment sur les informations affichées dans les navigateurs.
Une sanction au sein de Chrome, qui représenterait plus de la moitié des pages web vues dans le monde, est un couperet terrible. Le plan actuel du groupe est de retirer la confiance donnée aux anciens certificats Symantec. Entre Chrome 59 (sorti en juin) et Chrome 64 (prévu début 2018), chaque nouvelle version raccourcit de trois mois la durée de validité de chaque certificat visé, pour tomber à neuf mois.
À partir de Chrome 66 (avril 2018), tous les tampons apposés avant juin 2016 n'auront plus la confiance du navigateur. La version 70, prévue pour octobre, entérinera la destitution de l'ancienne autorité. La démarche est soutenue par Mozilla, qui a longuement listé tous les problèmes rencontrés avec Symantec, depuis 2009. Ils vont de questions techniques à la fourniture de certificats de test sur son infrastructure publique.
De son côté, l'autorité déclarait à la mi-juillet mettre en place une nouvelle infrastructure de validation au 1er décembre 2017, sur laquelle doivent migrer tous les clients pour continuer d'être considérés comme bons par Chrome. Sans cela, l'internaute verra la classique page d'avertissement, indiquant que la connexion au site concerné n'est pas sûr. De quoi détourner la majorité d'entre eux.
Regagner la confiance des navigateurs
Une autorité de certification ne vaut que pour la confiance qu'ont les logiciels (dont les navigateurs) dans ses certificats. Un traitement trop lâche des émissions est donc le meilleur moyen de la perdre. C'est la leçon que reçoit Symantec qui, même s'il nie l'ampleur du problème, a tenté ces derniers mois de maintenir ses relations avec des acteurs qui peuvent décider facilement de l'avenir de son activité.
La revente à DigiCert est donc une manière de faire table rase du passé, en s'appuyant sur une entreprise qui a encore la confiance du secteur. « Nous sommes confiants dans le fait que cet accord comblera les besoins de la communauté des navigateurs. DigiCert discute de cette opération et de ses intentions avec les éditeurs et continuera son étroite collaboration avec eux jusqu'à la clôture de la transaction » déclare DigiCert dans son communiqué... Quand Symantec évite soigneusement le sujet dans le sien.
Des questions restent tout de même en suspens, comme la transition des vieux certificats vers DigiCert, l'avenir de la nouvelle plateforme de l'autorité (qui pourrait simplement être celle du nouveau propriétaire, le calendrier convenant) ou encore les garanties concrètes que l'acquéreur compte apporter aux éditeurs de navigateurs. La réponse dans les prochains mois.
Commentaires (91)
#1
C’est pas Google qui avait refilé des certificats moisis aussi à des sites louches ?
#2
C’est plutôt de vrai-faux certificat “google.com” “gmail.com” etc. qui avait été émis par une autorité de certif après un piratage non ?
#3
et rien pour Letsencrypt ?
Dans le genre certificat pour sites de phishing, ils sont au top…
#4
Le vrai soucis est qu’on a martelé pendant des années que “si le cadenas est là, c’est sécurisé”
Alors que HTTPS ne garantit que deux choses :
-Que le site que l’on voit en face est bien celui affiché dans la barre d’adresse
-Que la communication n’a pas été interceptée au milieu (et encore, s’il n’y a pas de proxy transparent au milieu avec inclusion du certificat racine dans la machine)
#5
C’estle problème du “tout HTTPS”.
Avant les certificats avaient deux objectifs : le chiffrement de la connexion et la validation de l’identité (d’où les certificats payants avec parfois des assurances derrières)
Maintenant que tout le monde pense que le cadenas vert suffit à être en sécurité… facile de faire du pishing.
Il faudrait des cadena d’autres couleurs pour différencier les certificats “identité garantie” des certificats sans contrôle.
#6
#7
Ou sinon les gens peuvent apprendre à vérifier l’adresse des sites qu’ils visitent, aussi ;)
On ne peut pas reprocher à Let’s Encrypt de délivrer un certificat pour un domaine tel que gooogle.com ou goggle.com (tant que c’est bien le propriétaire du domaine qui demande le certificat, bien entendu). Et je ne vois pas pourquoi un tel site devrait avoir une barre en orange.
C’est aux internautes d’apprendre à vérifier par eux-même qu’ils sont sur un site légitime. Plus on prend les gens par la main, moins ils ont à réfléchir, plus on aura de problèmes.
#8
#9
#10
#11
#12
Et c’est bien pour ça qu’il faut éduquer les internautes. Leur expliquer que le cadenas veut juste dire qu’on ne peut pas intercepter, mais que ça ne veut pas pour autant dire que le site avec lequel ils communiquent ne leur veut pas de mal.
#13
+1000
#14
Parce que tu connais par cœur tout les services de traitements de paiements par exemple ?
Le pishing ca ne se limite pas à google et facebook…
#15
Il dit qu’il n’a plus de genoux.
Personne n’a dit que le certificat empêchait le piratage. Juste que Let’s encrypt permet d’avoir un joli cadena vert, or beaucoup jusqu’à maintenant la communication a toujours été “vous voyez le cadena ? c’est tout bon”…
#16
Cela existe déjà avec les certificats SSL EV (Extended Validation)
voirhttps://www.globalsign.fr/fr/centre-information-ssl/definition-certificat-ev-ssl…
#17
Ah il y a déjà une légère différence effectivement. Mais faudrait renforcer l’iNpact avec une couleur différente.
Mais merci tout de même, je ne savais pas qu’il y avait déjà une différence d’affichage :)
#18
Y’a des moments, même en faisant attention, on peut se faire avoir.
Un de mes potes a faillit se faire avoir comme ça. C’était une copie parfaite du site original, par contre, y’avais une lettre de différence dans le nom de domaine. Le tout, en ayant un certificat valide.
Donc même en faisant attention, ça peut être facile de se faire avoir.
#19
Surtout avec l’arrivée des accents dans les FQDN… (exemple avec le .fr article nxi .fr
#20
#21
Les certificats EV, c’est bien sur le principe, mais personne n’y fait gaffe. Surtout qu’en plus, aucun des 10 plus gros sites sur Internet n’en a (pour des raisons que j’ignore, si quelqu’un a une explication…).
#22
#23
Hum, l’interception est possible (si on ne regarde pas le certificat). L’utilisateur voit le cadenas vert et l’adresse du site est correcte, donc pour lui tout est bon. Sauf que l’on peut faire du Man in the Middle, ce que font les solutions antivirus (KIS entre autres).
#24
Bien sûr que non, mais mettre en place une nouvelle échelle de couleur ne résoudrais pas le problème. Un site avec un certificat EV (donc belle barre verte), mais avec une vulnérabilité (XSS par exemple) pourrait tout autant être exploité par un pirate, et l’internaute se sentirait à fond en sécurité…
La solution c’est d’apprendre aux gens à réfléchir. Saisir eux-même les URL, ou cliquer sur un lien, mais sur un site qu’ils connaissent et dans lequel ils ont confiance. (genre tu veux ton espace privé sur le site de ta banque ? tu cliques sur un lien depuis le site officiel).
#25
Le MitM sur une connexion TLS n’est possible que s’il n’y a pas de key-pinning. Sinon, soit le navigateur affiche une belle erreur, soit la connexion est carrément refusée.
#26
Tu ne te souviens pas du méchant pishing/scam au moment de la vente de billet pour les JO de Pékin ?
Le site “arnaque” était mieux foutu que le site officiel, et il tombait avant dans les résultats Google.
Ce n’est pas toujours aussi simple.
Et oui évidemment il y a des précautions à prendre, mais là je rappelle qu’on parle d’un indicateur (parmis d’autres) de confiance, justement un indice sur la confiance que l’on peut accorder à un site. S’il se fait pirater, que ce soit du http ou https (EV ou non) ne change rien au problème de base. Là on a quand même un indicateur qui ne veut plus dire grand chose, et pratiquement pas de communication sur le cadena en mode “EV”.
J’ai rien contre Let’s Encrypt, mais vu que tous les sites ont tendances à migrer vers l’https, afficher un cadena “vert” pour tout le monde devient donc inutile comme indication, même contre productive pour la prévention justement.
#27
Justement, c’est là qu’est le problème.
Le cadenas ne devrait pas être vu comme un indicateur de confiance dans le site. C’est uniquement un indicateur de la confiance qu’on peut avoir dans la connexion entre notre navigateur et le serveur hébergeant le site.
Le fait que tous les sites migrent vers des connexions sécurisées est une bonne chose. Et Let’s Encrypt est un des acteurs majeurs ayant favorisé cette implémentation de masse de TLS.
#28
#29
Non, c’est juste pour te dire que c’est pas tout le temps si simple. Donc veut mieux le cumul de plusieurs indicateurs.
#30
Oui, mais comme dit plus haut, le cadenas n’est pas fait pour être un indicateur de la confiance à accorder à un site (sauf dans le cas d’un certificat EV à la rigueur), mais uniquement un indicateur de la sécurisation de la connexion au site.
#31
#32
#33
Raison pour laquelle je dis que la solution n’est pas de sortir une nouvelle échelle de couleur, qui ne serait même pas rattachée à un indicateur en rapport avec la confiance à accorder au site, mais d’éduquer correctement les gens.
#34
#35
Je suis assez d’accord.
#36
Hmmmmm, non, ce n’est pas équivalent.
Par exemple, je peux m’auto-signer un certificat pour le domaine google.com si je le souhaite (et l’utiliser dans le cadre d’une attaque MitM). Mais à moins d’arriver à hacker les enregistrement DNS de Google, jamais une AC, pas même Let’s Encrypt, ne me délivrera le moindre certificat (en théorie; il y a eu des loupé par le passé).
#37
#38
#39
#40
#41
Je n’ai rien compris à ton message " />
#42
#43
#44
#45
#46
Bon je ne suis pas sûr de comprendre ce que tu souhaitais exprimer, mais je vais essayer de répondre quand même.
Par rapport à ton premier message, les navigateurs ont raison d’afficher un avertissement dans le cas de certificats auto-signés : un tel certificat peut être utilisé pour une attaque MitM. Donc les navigateurs affichent un avertissement. Et si c’est notre site web, on sait que c’est normal d’avoir un cert auto-signé, et on valide une exception de sécu. Rien ne t’empêche d’utiliser un tel certificat !
Les AC (autorités de certification) gratuites, telles que Let’s Encrypt ou StartCom, te fournissent des certificats signés (donc pas d’avertissement dans le navigateur), mais que si tu peux leur prouver que tu contrôles effectivement le domaine pour lequel tu demandes un certificat. Donc tu peux en demander pour ton site perso, sur ton domaine, mais pas pour le domaine de quelqu’un d’autre (donc tu ne peux pas récupérer de certificat signé pour une attaque MitM).
#47
#48
On est d’accord sur le fait que le cadenas a été présenté au grand public comme un indicateur de confiance, alors que celui-ci n’a jamais indiqué qu’un site est de confiance.
On n’est pas d’accord sur la solution à apporter ;)
#49
Cf ma réponse en #46
#50
#51
#52
Et il y a d’autres problèmes:
Kaspersky AV SSL interception
#53
Let’s Encrypt fournit actuellement 18637 certificats pour des sites contenant le mot “paypal”…
https://crt.sh/?identity=paypal%25&iCAID=16418
A chacun de décider si “Let’s Encrypt” doit rester neutre ou s’il doit aider à lutter contre le phishing.
#54
#55
A moins de vouloir faire quelque chose d’illégal, je ne vois pas pourquoi tu voudrais absolument refuser l’authentification qui accompagne le chiffrement pour un site public.
Pour une utilisation privée, pas de problème si le navigateur te met un warning.
#56
Je comprend ce que tu veux dire. Juste quelques points :
#57
J’ai oublié le 3ème point:
#58
#59
Dans le cas de StartCom, les certificats gratuits étaient sont un produit d’appel, leur permettant de te vendre des certificats payants (genre des wild-card, certificats personnels, …).
De toute manière il n’y a aucun risque tant que tu génères ta propre clé privée et qu’ils n’y ont jamais accès ;)
EDIT: corrections
#60
C’est sûr que le cas Symantec nous montre que c’est beaucoup plus fiable quand c’est une grosse boîte connue dans le domaine de la sécurité…
#61
#62
Let’s Encrypt garanti très bien l’interlocuteur. Tu ne peux demander un certificat pour un domaine que si tu contrôles effectivement ce domaine.
Par exemple, tu ne pourras pas demander à LE un certificat signé pour le domaine google.com à moins de contrôler ce domaine.
Après, rien n’empêche d’acheter un domaine avec un nom approchant, et de demander un certificats dessus. Si les gens ne savent pas lire, c’est leur soucis.
#63
#64
#65
Pour les certificats EV il y a effectivement une vérification de l’identité de la personne (physique ou morale) qui effectue la demande.
Pour les certificats de base il n’y a pas ce genre de vérifications, quelle que soit l’AC. Il faut juste montrer qu’on contrôle le domaine.
Les certificats TLS (à part les EV), n’ont jamais été faits pour garantir que l’on est bien sur un site appartenant à telle ou telle entreprise.
#66
#67
#68
#69
#70
#71
Avant de faire transiter des informations sensibles (données CB, …) sur le net, il faut effectivement vérifier la présence du petit cadenas pour s’assurer de la sécurisation de la connexion. Ce n’est juste pas la seule vérification à effectuer.
#72
Il n’y a absolument pas eu de changement de philosophie. Les certificats de base n’ont jamais garanti l’identité de la personne ayant demandé le certificat, juste qu’elle avait le contrôle sur le domaine.
Des années avant LE, StartCom fournissait déjà des certificats gratuits avec une simple vérification du contrôle du domaine (plus faible que la vérification de LE d’ailleurs).
#73
Peut-être que l’AC à laquelle tu achetais tes certificats effectuait plus de vérifications, mais pour des certificats de base elle n’était pas tenue de le faire.
#74
Pour moi le point précis c’est pas le paiement, mais que letsencrypt ne me demande rien.
#75
Comme bien d’autres autorités avant elle.
Elle te demande d’avoir le contrôle sur le domaine, c’est tout ce qu’elle est tenue de te demander (pour un certificat TLS de base).
#76
#77
#78
#79
#80
#81
#82
Que les gens soient crédules c’est une chose. Qu’ils se fassent avoir par du phishing c’en est une autre.
Pour les geeks paranos que nous sommes, il va de soi qu’on va bien vérifier le certificat d’un site avant de soumettre des infos confidentielles… En fait, non. Notre “hygiène” électronique est tellement parfaite qu’on ne s’abaisse même pas à aller lire un certificat. Oui, car nous les geeks paranos sommes arrogants.
Mais pensons a cette brave Mme Michu qui va sur google pour trouver une paire de chaussure et qui se retrouve a fournir ses coordonnées bancaires à https://amazon.secure.com , en toute sécurité car il y a le cadenas vert et que c’est bien marqué “amazon” dans l’url (comme lui a dit son petit neveu)…
Peut-on vraiment lui en vouloir de ne pas comprendre pourquoi la hiérarchie du nom de domaine est de droite à gauche( amazon est un sous-domaine de secure.com), alors que la hiérarchie des ressources de gauche à droite (system32 est un sous-dossier de C:\windows) ?
#83
C’est marrant comme exemple, sauf qu’il faut plutôt imaginer qu’il y a un feu vert qui masque un sens interdit.
#84
#85
On en revient à savoir si Let’sEncrypt doit être neutre car sa mission est de chiffrer les échanges, ou s’il doit vérifier un minimum les noms de domaine car sa mission est de sécuriser les échanges.
#86
#87
Tu es faible " />
#88
#89
Une idée ? faire payer très cher le certificat mais rembourser si le site est OK 30 jours plus tard
#90
Soit retourner à la situation d’avant.
Let’s Encrypt, ça a été fait pour généraliser les échanges dit sécurisés, pas pour permettre à Cdiscount d’avoir un certif gratos à la place de payer 30 000€ à l’année. Prix dans lequel sont compris justement l’authentification de celui à qui le certificat est accordé et disposant d’assurances sur les transactions.
Si tu mets un ticket d’entrée “très cher”, tu reviendras exactement à la même situation : quel service associatif, personnel, etc, aura envie/les moyens de claquer ne serait-ce que 1000€ juste pour prouver qu’on est “clean” ?
De plus, quels seront les critères pour dire que le site est OK, qui décide ?
J’aimerais éviter de revenir à l’auto signé pour mon cloud personnel, ne serait-ce que pour les messages anxiogènes de merde des navigateurs et, pire encore, les applications qui l’interdisent.
#91
Non le plus simple et le moins contraignant pour tout le monde est juste de modifier le cadena pour les certificats non EV.
Comme ça tout le monde est content :