Dans un contexte où la cybersécurité devient une priorité absolue, la fiabilité des certificats TLS est devenue essentielle. Récemment, SSL.com, a été confrontée à une vulnérabilité alarmante mise au jour par un expert en cybersécurité connu sous le pseudonyme Sec Reporter. La société spécialisée dans l’émission de certificats numériques a entièrement reconnu le bug et a déjà fait le nécessaire.
Très récemment, un chercheur indépendant est parvenu à démontrer comment une faille technique permettait d’obtenir frauduleusement des certificats pour des domaines tiers. L’un des sites concernés, aliyun.com, appartient à la société chinoise Alibaba, qui gère des services cloud et une plateforme de webmail.
Cette affaire met en lumière les défis persistants de la cybersécurité et la nécessité de procédures robustes pour garantir l’intégrité du système de certification en ligne. Dans un contexte où les cyberattaques se perfectionnent et où les utilisateurs dépendent de la sécurité des certificats pour protéger leurs données, il est impératif que les acteurs du secteur continuent d’améliorer leurs mécanismes de validation.
Une faille exploitée et des implications lourdes pour la cybersécurité
Le mécanisme en cause repose sur la procédure de vérification de contrôle de domaine employée par SSL.com. Ce dernier sert à confirmer qu’un demandeur de certificat est bien le propriétaire du domaine en question.
Pour cela, l’entreprise permet aux utilisateurs un consultant porté par exemple d’enregistrer une adresse e-mail de contact via un enregistrement DNS TXT. Ce dernier sera ensuite utilisé pour l’envoi d’un code de validation et d’un lien d’activation. Une fois le lien cliqué et le code renseigné, le certificat est délivré.
Cependant, la faille exploitée par Sec Reporter repose sur une erreur d’interprétation. SSL.com considérait automatiquement que le titulaire de l’adresse e-mail renseignée était également propriétaire du domaine utilisé pour cette adresse.
Cette vulnérabilité n’est pas anodine.
En effet, des cybercriminels pourraient exploiter ce même procédé pour obtenir des certificats valides sur des sites officiels, ouvrant la porte à des attaques sophistiquées :
- Usurpation d’identité numérique : Les attaquants pourraient imiter des plateformes légitimes et tromper les internautes en leur faisant croire qu’ils naviguent sur un site authentique.
- Phishing et escroqueries : Avec des certificats SSL valides, ils pourraient monter des campagnes de phishing crédibles, visant à dérober des identifiants et des informations sensibles.
- Attaques de type man-in-the-middle : Grâce aux certificats frauduleusement obtenus, il serait possible d’intercepter et de déchiffrer des communications sécurisées, mettant en péril la confidentialité des échanges sur Internet.
SSL.com révoque les certificats frauduleux
Face à ces découvertes, SSL.com n’a pas tardé à agir en révoquant 11 certificats obtenus par cette procédure défectueuse. Parmi eux figurait celui qu’avait obtenu Sec Reporter pour prouver l’existence du problème. Toutefois, la société n’a pas divulgué d’informations concernant les autres certificats révoqués, laissant planer le doute sur d’éventuelles autres utilisations frauduleuses de cette faille avant sa découverte. Dans un rapport préliminaire, Rebecca Kelley, responsable de la conformité technique chez SSL.com, a confirmé l’existence de la vulnérabilité.
Elle a précisé que la cause était une implémentation incorrecte de la méthode de validation DCV :
« Une implémentation incorrecte de la méthode DCV spécifiée dans le SSL.com CP/CPS, section 3.2.2.4.14 (Email to DNS TXT Contact), a eu pour conséquence la délivrance erronée d’un certificat au nom d’hôte de l’adresse email du valideur »
De ce fait, pour éviter tout nouvel abus, SSL.com a pris la décision de suspendre définitivement la procédure de validation par email DNS TXT. Cela est à titre provisoire en attendant un rapport détaillé sur l’incident, prévu pour le 2 mai. Cette mesure vise à renforcer les contrôles de sécurité pour les professionnels : consultant porté, salarié IT, etc. et à empêcher que des certificats soient émis sans vérification stricte de la propriété du domaine.