Le vol des certificats SSL de Comodo revendiqué par un hacker iranien

Qui affirme avoir seul « l'expérience de 1 000 hackers »

Mise à jour 30/03/11, par Hinault Romaric

Un hacker iranien âgé de 21 ans, qui se fait appeler ComodoHacker, vient de revendiquer la responsabilité de l'attaque ayant abouti au vol des certificats SSL de divers domaines du groupe Comodo.

Pour mémoire Comodo Group avait annoncé que des faux certificats de sécurité avaient été générés pour Gmail, Google, Youtube ou encore Skype. Après enquête il semblerait que l'attaque provenait bien de l'Iran et qu'elle était motivée par des raisons politiques (lire ci-avant).

Cependant le hacker affirme avoir agi seul et n'aurait aucune liaison avec le gouvernement iranien. « Je ne suis pas un groupe de hacker, je suis un pirate qui a l'expérience de 1 000 hackers. Je suis un simple programmeur mais avec l'expérience de 1 000 programmeurs » écrit-il.

ComodoHacker déclare qu'à la base, il voulait casser un algorithme de sécurité RSA avant de trouver des failles et d'obtenir un accès complet à InstantSSL.it, la filiale italienne de Comodo. Il dit avoir ensuite décompilé un fichier DLL qui lui a permis de récupérer le nom d'utilisateur et les mots de passe d'un revendeur de Comodo.

Avec ces informations, ComodoHacker dit avoir falsifié les neuf certificats de sécurité en 10 à 15 min.

Les raisons des agissements du hacker sont, selon ses affirmations, d'établir « une égalité entre les Etats ». Il cite par exemple le ver Stuxnet qui à touché le nucléaire Iranien qui pour lui aurait été créé et financé par les Etats-Unis et Israël et menace de répondre à toutes les attaques contre son pays « Je ne permettrai à personne de causer des préjudices à mon pays et de nuire à mon président » écrit ComodoHacker.

Un pirate solitaire, donc.

Source : Message de ComodoHacker

Firefox : mise à jour après le vol de certificats SSL
De Comodo, Microsoft pousse son patch dans Windows Update, Chrome sécurisé

Mise à jour du 25/03/11

Après l'annonce officielle par Comodo du vol de certificats SSL et des risques que celui-ci fait peser sur des services populaires comme Gmail, Google, Yahoo ou Skype (lire ci-avant), les principaux éditeurs de navigateurs ont mis à jour leurs produits.

Aujourd'hui c'est au tour de Mozilla de patcher Firefox, dans sa branche 3.6 (qui passe à la version 3.6.16). Une mise à jour hautement recommandée, voire indispensable. Pour mémoire, le tout récent Firefox 4 n'est pas touché.

De son coté Google a déjà mis à jour automatiquement Chrome. Quant à Internet Explorer, le patch est à présent diffusé dans Windows Update. Là encore, si les mises à jour ne sont pas paramétrées pour être automatiques, il est fortement recommandé de sécuriser le navigateur de Microsoft manuellement.

Restent, dans le Top 5 du marché, Opera et Safari. Les correctifs d'Apple et d'Opera Software ne devraient cependant pas tarder à être publiés. En attendant, la prudence est donc de mise.

MAJ de Gordon Fowler

Une attaque en provenance d'Iran a falsifié des certificats SSL et visé divers domaines, dont Gmail, Hotmail et Skype

Comodo Group, autorité de certification délivrant les certificats SSL et représentant 15% de la part de marché aux Etats-Unis, a déclaré que le compte utilisateur de l'un de ses affiliés basé en Europe (RA) a été compromis.

Résultat : de faux certificats de sécurité ont été générés puis propulsés vers six domaines, majoritairement des webmails, dont la plateforme Live de Microsoft, Gmail, Google, Skype, Yahoo, et certaines extensions de Firefox.

Heureusement, l'attaque a vite été découverte et circonscrite. Le pirate était d'ailleurs toujours en train d'utiliser le compte utilisé lorsqu'il fut désactivé.

Après enquête, il semble qu'elle émanait de l'Iran (adresses IP utilisées attribuées par un fournisseur d'accès iranien), et qu'elle était motivée par des visées politiques. En effet, falsifier les certificats SSL peut permettre de tromper un site Web et d'y voler divers contenus dont des informations sensibles (login des comptes), mais aussi d'en espionner les utilisateurs.

Et les services visés, notamment les webmails, pourraient être très utiles dans ce contexte pour un gouvernement qui voudrait surveiller les conversations de ses citoyens, surtout en temps de révolte (comme ce qui se passe actuellement dans les pays d'Afrique du Nord).

D'après le CEO de Comodo, c'est la première fois qu'une attaque d'Etat vise la couche d'authentification de l'Internet.

Plus de précisions ont été apportées par la firme spécialisée en sécurité informatique F-Secure. "Si vous êtes un gouvernement et que vous pouvez contrôler le routage du Net depuis votre pays, vous pouvez tout rediriger, par exemple les utilisateurs de Skype vers une fausse page d'identification et ainsi collecteur leurs mots de passe. Ou alors, vous pouvez lire leurs messages lorsqu'ils se connectent à Yahoo, Gmail ou Hotmail. Et pratiquement aucun d'entre eux ne s'en rendrait compte".

Prudence est donc de mise, mais Comodo a déjà révoqué tous les certificats frauduleux. De son côté, Microsoft a publié un bulletin d'alerte et diffuse un patch (qui actualise la liste des certificats révoqués sur Windows).

Chrome et Firefox (qui utilisent le protocole OCSP - Online Certificate Status Protocole) ont également réagit en plaçant les certificats en liste noire.

Sources : Comodo ; F-Secure ; Microsoft