Apple comble une faille de sécurité 3 semaines après Microsoft

iFail !

Titre trollesque
"Apple comble une faille de sécurité 3 semaines après les autres"

3 semaines pour enlever un certificat d'une liste verte. Apple reste conforme à ses habitudes dès qu'on parle de sécurité informatique : "on verra plus tard quand on aura le temps".

Matthieu Lamelot > Elle est ou la faille? Il ne s'agit pas d'une faille mais de la possible utilisation d'un certificat volé. C'est comme dire qu'il y a une faille dans la gestion des cartes bancaire par ce que quelqu'un à pu utiliser une carte volé sur internet.

Ça reste une faille dans le jargon
Maintenant c'est pas des certificats "volés", mais "contrefaits", ça fait une grosse différence. Et c'est à un tel niveau que la faille est juste... terrible. Le genre de truc imparable quoi.

Cela peut être dangereux pour les débutants en informatique, qui peuvent imprudemment cliquer des liens reçus dans des faux mails faisant croire qu'il y a un problème avec leurs comptes gmail yahoo msn live etc.

Pas beaucoup plus dangereux que le phishing classique, la seule différence c'est que ça permet de faire du phishing sécurisé (ie: https). Je ne pense pas que les gens qui se font avoir par ce genre de trucs soient très sensibles au https/http ou au petit cadena...

on savais apple agir dans le sens de la sécurité avec un certain temps de retards, cela se confirme ici, même s'il faut l'avouer, ils ont été plutôt rapide sur ce coup ... par rapport à d'habitude

C'est marrant, mais il me semble qu'on parlait du vol de certificat permettant d'en faire d'autre et donc de l'utilisation, possible, des certificats volés même si cette utilisation se borne à la fabrication d'autres certificats.

C'est pas le vol d'un certificat, mais le vol d'un compte, ce qui a permis de créer plusieurs certificats dont les noms correspondent à ceux d'autres sites.

Ca permet du coup de créer des sites bidons authentifiés comme étant les vrais, du phishing de luxe quoi. En fait, ça permettrait carrément, en s'attaquant à une personne en particulier, d'intercepter toutes ses communications chiffrées avec un vrai site, donc de l'espionnage sans être du phishing pour autant.

Bref, ça peut être super problématique. Toute la sécurité sur internet tient sur des certificats, si les certificats sont cassés, plus rien n'est fiable, et ça casse tout internet.

Pas exactement. Avoir des certificats pour tel et tel site permet une attaque man-in-the-middle dans lequel l'attaquant intercepte les communications et se fait passer pour le site sécurisé original, e.g. https://microsoft.com.

Sans avoir de certificats valides (c'est à dire signés par une autorité de certification reconnue par le navigateur ou l'OS), une attaque man-in-the-middle est uniquement possible avec du HTTP classique. C'est pour ça qu'on dit aux gens de vérifier que le petit cadenas est présent et que l'URL est correcte : du HTTPS vers la bonne adresse est absolument sûr, tant que l'infrastructure à clef publiques (PKI) n'est pas compromise.

D'ailleurs, ce problème d'autorité de certification compromise n'est pas une surprise. C'est un cas de figure qui a été envisagé dans les normes, et un système existe pour parer à ce genre de soucis : les listes de révocation (gérées par le protocole OCSP). En gros, quand un ordi se connecte au net, il commence par aller vérifier une liste de certificats déclarés "invalides" pour une raison ou pour une autre, et les traite comme tel (...plus ou moins).

Ici, les principaux éditeurs ont pu simplement mettre à jour leur liste de révocation, et on en parle plus.

Le problème, c'est que chez Apple, OCSP n'est pas activé par défaut. Du coup ils ont été obligés de retirer l'autorité de certification incriminée directement dans le produit (au niveau de l'OS/Safari) via une mise à jour de sécurité.