Google vient de détecter un ensemble de certificats non autorisés pour sa plateforme. L’annonce a été faite il y a quelques jours par Adam Langley sur le blog officiel de la firme consacré à la sécurité.Les faits remontent au 20 mars dernier où le leader de la recherche sur le web a découvert la présence d’un ensemble de certificats numériques non autorisés délivrés pour plusieurs noms de domaine de sa plateforme. Ces certificats ont été délivrés par une autorité intermédiaire égyptienne dénommée MCS Holdings alors qu’elle n’en a pas le droit officiellement. CNNIC qui est l’autorité chinoise détentrice légale de ces certificats est l'autorité reconnue officiellement comme étant l'organisme de délivrance de ces certificats.
Le problème que cela soulève est que puisque MCS est une autorité intermédiaire, en délivrant ces certificats non autorisés, cela lui permettrait d’espionner les communications entre Google et les utilisateurs sur son réseau.
Concrètement, lorsque vous voulez vous connecter à la plateforme Google, vous envoyez une requête au serveur Google à partir de votre terminal. Cette requête est en fait un certificat de sécurité SSL pour établir une connexion sécurisée. Le serveur confirme l’authenticité de la clé et établit la connexion avec votre terminal. Lorsque le certificat est délivré par une autorité intermédiaire, cela peut favoriser une attaque de type homme du milieu par l’entreprise qui l’a délivré. Toutefois Google affirme que sa plateforme n’a pas été compromise. « Nous n’avons aucune indication d’abus et nous ne suggérons pas que les gens changent les mots de passe prennent d’autres mesures ».
Pour régler le problème, Google a immédiatement contacté CNNIC l’autorité légale de délivrance de certificats afin de révoquer son pouvoir de délivrance de certificats accordé à MCS. CNNIC a répondu en expliquant qu’un contrat a été signé entre les deux sociétés afin que MCS puisse délivrer des certificats intermédiaires pour les noms de domaines qu’elle détient.
Dans tous les cas, Google a bloqué ces certificats afin qu’ils ne puissent pas être utilisés pour se connecter à sa plateforme. Chrome et Firefox ont rejeté de fait les certificats non autorisés en utilisant le mécanisme de vérification des entités délivrant les certificats appelé public key pinning. Microsoft a également mis à jour sa liste de confiance des certificats en révoquant ceux détenus par MCS Holding.
Google rappelle à la lumière des récents évènements, l’importance de son projet certificate transparency qui permet de contrôler et vérifier les certificats SSL en temps réel.
Source : Blog Google
Et vous ?
Quel commentaire faites-vous de ce qui s’est passé ? 
