Avis du CERT-FR
Objet : Certificats SSL frauduleux
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Contournement de la politique de sécurité
Systèmes affectés
Tous les systèmes utilisant des certificats SSL pour l'authentification, en particulier les navigateurs.
Résumé
Des certificats frauduleux ont été émis par une autorité de certification et peuvent servir à authentifier à tort des ordinateurs.
Description
Une vulnérabilité sur un compte d'une autorité d'enregistrement (RA) affiliée à l'autorité de certification (CA) Comodo a permis l'émission frauduleuse de neuf certificats sur sept domaines différents.
L'un de ces faux certificats a été utilisé pour monter une attaque trompant les internautes.
Solution
Ces certificats sont mis en listes noires par certains logiciels.
Se référer aux bulletins de sécurité des éditeurs pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Debian 2011/dsa-2200 du 23 mars 2011 :
http://www.debian.org/security/2011/dsa-2200 -
Bulletin de sécurité Google Chrome du 17 mars 2011 :
http://www.googlechromereleases.blogspot.com/2011/03/stable-and-beta-channel-updates_17.html -
Bulletin de sécurité Microsoft 2524375 du 23 mars 2011 :
http://www.microsoft.com/france/technet/security/advisory/2524375.mspx -
Bulletin de sécurité de la fondation Mozilla 2011/mfsa2011-11 du 22 mars 2011 :
http://www.mozilla.org/security/announce/2011/mfsa2011-11.html -
Rapport d'incident de l'autorité de certification Comodo du 15 mars 2011 :
http://www.comodo.com/Comodo-Fraud-Incident-2011-03-23.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 24 mars 2011 | version initiale. |