Un cadenas affiché lors d’une connexion web est censé rassurer : il confirme que le site contacté est bien celui qu’il prétend être. Or cette vérification ne repose pas toujours sur les mêmes mécanismes selon l’application utilisée sur un Mac. C’est ce qui rend l’alerte autour de huit certificats eMudhra particulièrement importante pour les usages professionnels et techniques.
Huit certificats retirés des navigateurs
Apple, Google et Mozilla ont bloqué huit certificats intermédiaires après la découverte d’un défaut dans un script de génération. Ces certificats servent de maillon dans la chaîne de confiance qui permet aux navigateurs de contrôler l’identité d’un site sécurisé.
Le problème concernait leurs clés privées : d’après Dennis Jackson, ingénieur cryptographique chez Mozilla, elles pouvaient être retrouvées en essayant seulement 256 valeurs possibles. Une personne malveillante disposant d’une telle clé aurait pu tenter de faire passer un faux site pour un service légitime auprès d’un logiciel qui accordait encore sa confiance au certificat.
Les huit certificats ont été révoqués et des mesures ont été appliquées pour empêcher que le défaut affecte les futurs certificats. Le blocage par les navigateurs est donc une protection immédiate pour la navigation web courante.
macOS et curl ne réagissent pas de la même façon
L’alerte de Dennis Jackson porte surtout sur certains composants de macOS. Le système ne consulterait pas les informations de révocation dans ce cas précis, ce qui peut conduire un Mac à continuer d’accepter un certificat compromis s’il lui faisait déjà confiance.
Il cite aussi /usr/bin/curl, l’outil intégré à macOS pour réaliser des requêtes réseau depuis le Terminal. Son ensemble de certificats ne vérifie pas non plus les données de révocation. Cette nuance vise surtout les scripts, les outils d’administration et les logiciels qui reposent sur ces mécanismes système plutôt que sur les protections propres d’un navigateur.
Dennis Jackson indique qu’aucune exploitation de ces certificats n’a été observée à ce stade.
Ce que ça change
Pour consulter des sites au quotidien, les navigateurs ayant appliqué le blocage réduisent directement le risque lié à ces huit certificats. En revanche, les utilisateurs qui automatisent des connexions avec curl ou administrent des services depuis un Mac doivent garder à l’esprit qu’une révocation n’est pas forcément appliquée de manière identique par tous les logiciels.
Cette affaire rappelle qu’un cadenas dans le navigateur et la confiance accordée par les outils réseau du système sont deux protections distinctes. Pour les équipes techniques, il devient particulièrement utile d’identifier les flux qui s’appuient sur les certificats de macOS plutôt que sur le navigateur.
À lire aussi
Source : Dennis Jackson (Mozilla, alerte sur les certificats eMudhra)