Apple a bloqué huit certificats de sécurité compromis sur iOS et iPadOS après que des chercheurs ont découvert que leurs clés privées étaient étonnamment faibles. Le déploiement de la protection sur Mac est plus complexe.
Les certificats de sécurité (SSL/TLS) contribuent à protéger les internautes en chiffrant le trafic et en vérifiant la propriété des domaines. Cependant, un ensemble de certificats émis par une même autorité a été retiré de l'usage après que des chercheurs en sécurité les ont jugés extrêmement faibles. L'autorité de certification indienne eMudhra a révoqué ces certificats, ce qui empêche les sites web de les utiliser. Cette révocation a suivi leur découverte et leur divulgation le 17 octobre.
Google Chrome a bloqué six intermédiaires compromis autorisés à émettre des certificats TLS, et Mozilla a bloqué les certificats compromis dans Firefox, le 17 octobre dans les deux cas. Apple a suivi le 19 octobre en ajoutant des protections à iOS et iPadOS.
Les clés étaient entièrement devinables. Les clés privées compromises portaient les numéros 4, 56, 66, 115, 155, 156, 230 et 237. Six des certificats servaient pour TLS et étaient approuvés par les programmes racines d'Apple, Chrome, Microsoft et Mozilla, tandis que deux servaient à la signature de code et étaient approuvés par Microsoft. La plupart n'ont jamais été mis en production, et rien n'indique que des attaquants aient utilisé ces clés. Il est conseillé aux utilisateurs de mettre à jour leurs logiciels dès que possible.
Source: AppleInsider · Résumé par HeadlinesBriefing