Résumé :
La semaine dernière, la question de la clé privée du certificat eMudhra de la société indienne Caotai a attiré l'attention de l'ensemble du secteur. Les huit certificats CA intermédiaires émis par l’entreprise utilisaient tous des clés faibles. Parmi eux, la clé privée du certificat EM OV TLS CA-G3C a été exagérée jusqu'au chiffre 4, afin que n'importe qui puisse directement utiliser ce certificat pour émettre des sous-certificats pour d'autres noms de domaine.
Cependant, ces certificats problématiques ont été révoqués par les navigateurs et les systèmes d'exploitation. Cependant, certains appareils peuvent ne pas vérifier la liste de révocation des certificats ou ne pas pouvoir obtenir de mises à jour. Le certificat révoqué est toujours fiable et le sous-certificat utilisé pour l'émission peut toujours être utilisé.
Les passionnés ont donc émis 106 000 certificats pour les noms de domaine Google :
Pour tester l'utilisation d'eMudhra afin d'émettre des certificats pour n'importe quel nom de domaine, le nom de domaine de premier choix est bien sûr Google (tout comme les utilisateurs nationaux ouvrent Baidu pour vérifier s'ils sont connectés à Internet), de sorte que le journal actuel de transparence des certificats CT a enregistré que les passionnés ont émis jusqu'à 106 000 certificats pour le nom de domaine principal de Google, Google.com.
Actuellement, le journal de transparence des certificats enregistre 107 000 enregistrements d'émission, dont 99 % utilisent des noms de domaine Google comme objets de test. Ces certificats peuvent être authentifiés par la clé publique de l'AC, mais comme le certificat intermédiaire a été révoqué par le navigateur, l'accès réel sera bloqué (sauf si l'enregistrement de révocation ne peut pas être vérifié).
Pourquoi les certificats délivrés par moi-même peuvent-ils être enregistrés par CT :
Étant donné que l'émission du certificat et l'enregistrement du journal CT sont des processus différents, dans des circonstances normales, l'autorité de certification utilise la clé privée intermédiaire de l'autorité de certification pour émettre le certificat après avoir vérifié le contrôle du nom de domaine. Une personne disposant de la clé privée divulguée peut créer un certificat localement, écrire n'importe quel nom de domaine dans le champ du nom DNS, puis utiliser la clé privée pour signer.
La RFC 9162 stipule que n'importe qui peut soumettre un certificat au journal CT et joindre la chaîne de certificat pour l'inspection du journal. Le journal CT est responsable de l'enregistrement et de la publication du certificat pour un examen externe du statut d'émission de l'AC, et n'est pas responsable de l'examen des droits de contrôle des noms de domaine pour l'AC. Par conséquent, les passionnés peuvent être vérifiés s'ils le soumettent au journal CT lors de la délivrance des certificats.
Commentaires