Problèmes de certificats de sécurité sur macOS : un avertissement crucial

Récemment, Apple a pris des mesures pour bloquer huit certificats de sécurité web susceptibles d’être utilisés par des escrocs cherchant à usurper des sites légitimes. Bien que cette initiative soit bonne, une alerte lancée par un ingénieur en cryptomonnaie soulève des questions sur la gestion de ces certificats par macOS.

Les enjeux des certificats intermédiaires

Ces certificats, dits intermédiaires, sont essentiels pour prouver qu’un site web est authentique. Par exemple, lorsqu’un utilisateur accède à apple.com, Safari vérifie l’identité de ce site. Malheureusement, un bug dans le script de génération de ces certificats a laissé des clés privées vulnérables, accessibles simplement en testant 256 possibilités.

Apple a déjà révoqué les huit certificats compromettants et pris des mesures pour éviter que cette faille ne se reproduise à l’avenir. En dépit de ces précautions, certains experts, comme le cryptographe Dennis Jackson de Mozilla, alertent sur le fait que les ordinateurs Mac pourraient continuer à faire confiance à ces certificats échoués.

Un problème de confiance persistant

Jackson souligne que l’outil intégré /usr/bin/curl de macOS pourrait maintenir cette confiance car son ensemble de certificats ne vérifie pas les informations de révocation. Ainsi, si un Mac a déjà accepté un de ces certificats, il risque de le conserver dans sa confiance.

Heureusement, aucune preuve jusqu’à présent ne montre que ces certificats ont été exploités dans des attaques réelles. Cependant, cela reste un point à surveiller. Les utilisateurs de Mac peuvent s’attendre à une résolution potentielle dans une future mise à jour de sécurité d’Apple, qui pourrait corriger ce problème avant qu’il n’engendre des complications pour les utilisateurs.