TL;DR : L’essentiel
- Des assaillants ont piraté les registres nationaux du Ghana, de Sierra Leone et des Samoa américaines afin de modifier l’aiguillage des adresses web ciblées.
- Cette manipulation a trompé les organismes de contrôle en leur faisant croire que les pirates étaient les propriétaires légitimes des sites attaqués.
- Google a bloqué en urgence ces autorisations trompeuses dans Chrome grâce au système CRLSets, sans constater d’intrusion sur ses propres serveurs.
- L’incident prouve qu’un pirate capable de fausser l’annuaire d’Internet peut afficher un faux site parfaitement sécurisé aux yeux du grand public.
Un certificat HTTPS fonctionne comme la carte d’identité numérique d’un site web, garantissant que le visiteur échange bien avec la bonne entreprise. Quand cette pièce d’identité officielle est obtenue par un pirate, tous les voyants de confiance du navigateur s’affichent au vert alors que la connexion est en réalité détournée. L’équipe technique du navigateur Google Chrome a ainsi signalé une manœuvre critique : la prise de contrôle d’annuaires internet nationaux a permis de fabriquer de fausses autorisations de sécurité pour des pages de Google et de plusieurs entreprises mondiales.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Le piratage de l’annuaire web trompe les organismes de contrôle
Pour obtenir un certificat de sécurité, un site web doit prouver son identité auprès d’un organisme certificateur officiel, un peu comme un citoyen présente un justificatif de domicile en mairie. L’organisme demande généralement au gestionnaire du site de déposer un code secret dans son annuaire technique, appelé zone DNS. En piratant directement les registres qui gèrent les terminaisons géographiques du Ghana (.gh), de Sierra Leone (.sl) et des Samoa américaines (.as), les assaillants ont pu inscrire eux-mêmes ce sésame temporaire.
Grâce à cette manipulation, les pirates sont passés pour les propriétaires légitimes des adresses visées sans éveiller de soupçons. Selon les éléments techniques rapportés par GBHackers Security, les systèmes internes de Google sont restés totalement inviolés. Les organismes de certification ont simplement délivré les passeports de sécurité demandés, abusés par des réglages d’aiguillage entièrement falsifiés à la source.
En possédant à la fois l’aiguillage de l’adresse et le certificat officiel associé, les attaquants peuvent copier un portail officiel à l’identique. Pour l’internaute, le cadenas de sécurité s’affiche normalement sans susciter la moindre alerte, ce qui permet aux pirates d’intercepter des mots de passe ou d’installer des logiciels espions, comme le détaille The Register.
Analyse
Il est intéressant ici de comprendre à nouveau l’importance des certificats dans le fonctionnement de la sécurité sur Internet. Ils sont les garants essentiels de l’intégrité des sources d’information. En détenir les clés permet des manipulations malveillantes invisibles, totalement couvertes par des indicateurs au vert dans le navigateur.
Chrome bloque d’urgence les accès avec le système CRLSets
Pour couper court au danger, les développeurs ont activé le mécanisme d’urgence CRLSets intégré au navigateur Chrome. Cet outil agit comme une liste noire distribuée en direct à tous les utilisateurs pour rejeter immédiatement les faux laissez-passer, sans subir les délais des contrôles habituels. Cette protection a d’abord sécurisé les domaines de Google avant d’être étendue aux autres organisations touchées par la même offensive.
L’examen des registres publics Certificate Transparency a rapidement révélé que plusieurs marques internationales et services en ligne très fréquentés avaient également été ciblés. D’après les informations diffusées par BleepingComputer, les administrateurs ont averti les entreprises concernées tout en révoquant les certificats illicites auprès des autorités émettrices. L’éditeur précise néanmoins que ce bouclier protège d’abord Chrome, laissant potentiellement vulnérables les personnes utilisant d’autres logiciels de navigation.
Ces journaux publics forment un registre d’état civil ouvert où chaque certificat émis dans le monde est consigné. Leur surveillance continue permet aux équipes informatiques de repérer sur-le-champ un document d’identité numérique suspect, y compris sur des adresses web secondaires ou mises en sommeil.
Les consignes CAA empêchent la réutilisation des accès volés
Pour se prémunir contre ce type de détournement, les entreprises peuvent publier une règle appelée CAA dans leur annuaire technique. Ce réglage fonctionne comme une consigne explicite qui liste précisément les seuls organismes autorisés à fabriquer des pièces d’identité pour leur marque. La norme technique RFC 8657 renforce encore ce verrou en rattachant l’autorisation à un identifiant client unique et à des méthodes de vérification très strictes.
Cette consigne ne peut pas bloquer une fraude pendant que l’annuaire est aux mains des pirates, mais elle empêche ces derniers de réutiliser de vieilles autorisations temporaires une fois la faille colmatée. Grâce à ce verrouillage, les attaquants ne peuvent plus fabriquer de nouveaux titres frauduleux en cachette après la reprise en main du domaine. Google milite d’ailleurs pour raccourcir la durée de vie de ces certificats afin de limiter l’impact d’un vol de données d’identification.
L’attaque menée sur les extensions .gh, .sl et .as rappelle que la solidité de nos connexions chiffrées repose entièrement sur la confiance accordée aux fondations de l’annuaire internet. Les certificats de sécurité constituent le socle de cette confiance en ligne : dès lors que des pirates réussissent à en fabriquer légalement les clés, le sentiment de sécurité n’est plus qu’une illusion masquant l’interception de nos échanges.
Questions fréquentes sur le piratage des certificats web
Comment les pirates ont-ils pu fabriquer des certificats pour Google ?
Les pirates ont pris le contrôle des annuaires nationaux qui gèrent les adresses web. En modifiant ces registres officiels, ils ont fait croire aux organismes de validation qu’ils étaient les véritables propriétaires des domaines demandés.
Pourquoi les navigateurs n’ont-ils affiché aucun avertissement ?
Le navigateur vérifie uniquement si le certificat présenté a été validé par un organisme reconnu et correspond à l’adresse demandée. Les pirates disposant d’un document authentique délivré par une autorité officielle, aucun message d’alerte n’a été déclenché.
Qu’est-ce que le système de secours CRLSets de Chrome ?
CRLSets est une liste d’urgence gérée par Chrome permettant de bloquer instantanément des certificats devenus dangereux. Elle permet de neutraliser un certificat piraté sans attendre les vérifications de routine parfois très lentes.
À quoi sert la consigne CAA pour un nom de domaine ?
L’enregistrement CAA permet à une entreprise d’indiquer à l’avance les seuls organismes habilités à créer ses certificats de sécurité. Associé à la règle RFC 8657, ce verrou empêche les pirates d’utiliser des validations périmées pour créer de faux accès une fois l’incident passé.
Comment les entreprises repèrent-elles l’usurpation de leurs adresses ?
Les organisations surveillent les registres Certificate Transparency, qui répertorient publiquement et en temps réel chaque nouveau certificat créé sur le web. Consulter ces inventaires permet de détecter sans délai une émission imprévue ou frauduleuse.
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
