Faux certificats UserTrust.com dans Chrome?

Question

J'essayais d'installer un certificat SSL lorsque je me suis plongé dans Chrome Paramètres et j'ai examiné ceux qui étaient installés (onglet Serveurs).

Celles-ci sont marquées comme non sécurisées et sont liées à mail.google.com, login.skype.com, login.live.com, addons.mozilla.org et quelques autres, dans un dossier nommé "Google Ldt". .

Par exemple,

qui se traduit par

Common Name: mail.google.com Subject Alternative Names: mail.google.com, www.mail.google.com Organization: Google Ltd. Organization Unit: Tech Dept. Locality: English State: Florida Country: US Valid From: March 14, 2011 Valid To: March 14, 2014 Issuer: UTN-USERFirst-Hardware, The USERTRUST Network Write review of Comodo Key Size: 2048 bit Serial Number: 047ecbe9fca55f7bd09eae36e10cae1e

Sont-ils en sécurité?

muru · Accepted Answer

Ils ne sont PAS et c’est pourquoi ils sont marqués comme non fiables . C'étaient de faux certificats. Voir cet article sur EFF :

Le 15 mars, une autorité de certification HTTPS/TLS a été amenée à émettre des certificats frauduleux présentant un risque grave pour la sécurité sur Internet. Sur la base des informations actuellement disponibles, l’incident s’est approché d’une catastrophe de la sécurité à l’échelle de l’Internet, sans toutefois s’y rapporter. Comme l'explique ce billet, ces événements montrent pourquoi nous devons d'urgence renforcer le système actuellement utilisé pour authentifier et identifier les sites Web et les systèmes de messagerie sécurisés.

Jacob Appelbaum a publié un article sur le blog du projet Tor, analysant la révocation d’un certain nombre de certificats HTTPS la semaine dernière. Les correctifs des principaux navigateurs Web ont mis sur liste noire un certain nombre de certificats TLS qui ont été délivrés après que des pirates informatiques se soient introduits par effraction dans une autorité de certification. Appelbaum et d'autres ont pu croiser les numéros de série des certificats inscrits sur la liste noire par rapport à une collection complète de listes de révocation de certificats (ces URL CRL ont été obtenues en interrogeant les bases de données de l'observatoire SSL de EFF) pour savoir quelle autorité de certification avait été affectée.

La réponse a été fournie par le certificat "UTN-USERFirst-Hardware" de UserTrust, détenu par Comodo, l'une des plus grandes autorités de certification sur le Web. Comodo a maintenant publié une déclaration sur les certificats mal émis, qui concernaient des domaines de très grande valeur, tels que google.com, login.yahoo.com et addons.mozilla.org (ce dernier domaine pourrait être utilisé pour contrôler tout système en cours d'installation). une nouvelle extension Firefox, bien que les mises à jour des extensions précédemment installées disposent d'une deuxième couche de protection contre les signatures XPI). Un certificat était pour "trustee global" - pas un nom de domaine. Il s’agissait probablement d’un certificat d’autorité de certification malveillant pouvant être utilisé pour emprunter une identité parfaite sur n’importe quel domaine du Web.