Actu
Mozilla empêche DarkMatter de devenir une autorité de certification approuvée dans Firefox
juillet 2019 par Kevin Bocek, Vice President of Security Strategy & Threat Intelligence chez Venafi
Mozilla a décidé d’empêcher DarkMatter, une entreprise spécialisée en sécurité basée aux Emirats Arabes Unis, de devenir une autorité de certification approuvée dans Firefox car il craint que ses certificats ne soient utilisés à des fins malveillantes. En parallèle, Mozilla a également décidé de révoquer la confiance dans les certificats intermédiaires utilisés par DarkMatter.
« Le gouvernement et le milieu des affaires devraient se demander si d’autres autorités de certification ne devraient pas faire l’objet du même examen", commente Kevin Bocek, VP security strategy & threat intelligence chez Venafi
Selon un rapport de Reuters, DarkMatter serait lié à un groupe de pirates informatiques parrainé par les Émirats arabes unis appelé Project Raven, les chercheurs en sécurité, l’EFF et de nombreux professionnels de la vie privée craignaient d’utiliser le pouvoir d’une autorité de certification pour des attaques commanditées par l’État.
Kevin Bocek, VP Security Strategy &Threat Intelligence chez Venafi, commente :
"La décision de Mozilla d’empêcher DarkMatter de devenir une autorité de certification (CA) n’est pas seulement un problème pour DarkMatter lui-même - c’est un problème pour toutes les entreprises numériques qui dépendent des identités machines - certificats numériques TLS - pour établir confiance et confidentialité. Comme des événements de cette ampleur peuvent se produire sans avertissement ?! Les entreprises ont besoin d’une visibilité totale de chaque certificat sur leur réseau afin de pouvoir les identifier, les révoquer et les remplacer immédiatement.
Étant donné que l’entreprise moyenne utilise des centaines de milliers, voire des millions, de certificats, il n’est tout simplement pas possible de le faire manuellement. Une bonne agilité implique l’automatisation de la visibilité et de l’intelligence complètes pour trouver tous les certificats depuis le centre de données jusqu’au cloud. Et de pouvoir ensuite automatiser le remplacement des certificats en quelques secondes. L’automatisation n’est pas seulement une mesure de sécurité vitale pour empêcher les pirates informatiques comme c’était le cas avec Heartbleed et Meltdown, c’est aussi une mesure cruciale pour s’assurer qu’il n’y a pas de pannes imprévues lorsque Mozilla ou Google bloque soudainement l’accès à votre site Web parce que le certificat n’est pas jugé digne de confiance.
Pendant que Mozilla prend cette mesure contre DarkMatter, il y a des autorités de certification en Chine, en Turquie et dans le monde entier en qui Firefox a toujours confiance. Le gouvernement et le milieu des affaires devraient se demander si ces autorités de certification ne devraient pas faire l’objet du même examen."
