google

Usurpation d'identité pour Google

Des cyberpirates ont volé à la compagnie néerlandaise DigiNotar, société de certification et d'authentification de site web, un certificat SSL utilisé par plusieurs noms de domaines de Google.com, en usurpant l’identité de Google, l'internaute ne se méfiera pas du faux certificat puisqu'il authentifiera ses services comme des sites légitimes (mail.google.com, docs.google.com et son réseau social plus.google.com).

Pour rappel un certificat d'authentification ou certificat SSL (secure socket layer) est un protocole de sécurité qui permet au navigateur Internet d'assurer l'authenticité d'un site web afin d'effectuer des échanges sécurisés sur Internet (HTTPS)

Le problème est à prendre très au sérieux car si votre navigateur accède à un site malveillant, qui utilise ce faux certificat, suite à une attaque de phishing venant d'un faux mail de Gmail par exemple ou utilisant les autres services de Google, vos données personnelles comme vos identifiants ou mot de passe seront en dangers.

Un consultant en sécurité, S. Hamid Kashfi, a diffusé sur son compte Twitter (@hkashfi) que cette attaque était mené par le gouvernement iranien

Twit-hkashfi

Réaction des acteurs du web

Les principaux acteurs du web, Windows, Mozilla, Google, ont rapidement réagi en révoquant les faux certificats SSL de leur navigateur : Internet Explorer, Firefox et Google Chrome.

Ne soyez pas surpris si un message d'alerte signale que le site que vous êtes en train de visiter comporte un risque, s'il utilise les certificats de DigiNotar.

probleme-certificat-securite

Des mises à jour sont à venir, en attendant des mesures sont prises, également pour protéger la vie privée des internautes :

- Google a averti ses utilisateurs du problème sur son blog sécurité et rassure les utilisateurs de Google Chrome puisque ce dernier a révoqué 247 certificats SSL, dont le faux certificat de DigiNotar.

- Pour Firefox, la fondation Mozilla recommande à ses utilisateurs de mettre à jour le navigateur Firefox ou de supprimer manuellement les certificats DigiNotar.

Voici la procédure :

- Dans Menu Outils - sélectionnez Options puis Avancé

- Cliquez sur le bouton Afficher les certificats

- Sélectionnez le ou les certificats de DigiNotar puis cliquez sur Supprimer

- Microsoft a prévenu ses utilisateurs sur son site par une alerte sécurité, pour signaler la suppression des certificats de sa liste de confiance Microsoft Certificate Trust List (MCTL) concernant Office, Internet Explorer pour Windows Vista, Windows 7 par contre une mise à jour est à prévoir pour Windows XP et Windows Server 2003.

Les mises à jour des navigateurs doivent normalement se faire automatiquement, dans le cas contraire il faut procéder à la mise à jour à partir du menu Aide ou ? puis "A propos de [nom du navigateur]"

Le site de Diginotar piraté par des cyberpirates iraniens

L'éditeur en sécurité informatique F-Secure signale que le site de Diginotar a été piraté par un pirate informatique iranien sous le pseudo Black.Spook.

diginotar-hacke

Selon vous, est-ce que ce piratage remet en question la sécurité du web au sujet des services en ligne (cloud computing) ?

Source des communiqués : Google - Mozilla - Microsoft - vasco/DigiNotar - F-Secure