20110315: Comodo fabrique 9 certificats non-autorisés suite au vol d'un accès

Comodo a été leurré à fabriquer 9 certificats se rapportant à des sites très connus (google, yahoo, skype, etc.) le 15 mars 2011.

L'attaquant a en fait utilisé le login et mot de passe d'un partenaire de Comodo ayant les droits de Registration Autority (RA). A ce jour on ne sait pas comment le pirate a obtenu cet accès (vol? hacking?) mais à priori il ne s'agit pas d'une attaque par force brute.

Les certificats ont été promptement découverts et révoqués par Comodo. Mais, vu l'ampleur du risque, Comodo a promptement contacté les éditeurs de navigateurs afin qu'ils puissent intégrer en dur, une blacklist des certificats, ce qu'ils ont fait le 23 mars.

Comodo a alors rendu l'information publique, en publiant ces 2 articles:

• http://www.comodo.com/Comodo-Fraud-Incident-2011-03-23.html
• http://blogs.comodo.com/it-security/data-security/the-recent-ca-compromise/

Ceci n'aurait jamais du se produire ! Et cela a pu se produire, en majeure partie, parce que l'authentification utilisée (pour se connecter dans l'interface Comodo) était faible, à base de mot de passe.

Si vous gérez des utilisateurs, vous le savez bien : ils stockent les mots de passe n'importe comment, ils utilisent des choses facile à deviner, et pire encore, ils ont tendance à mettre toujours le même mot de passe ! Et ralent lorsque l'on exige des mots de passe plus complexes.

Cela doit tous nous amener à réfléchir sur l'utilisation des accès à authentification faible: imaginez ce qu'une personne mal intentionnée pourrait faire dans vos systèmes avec un mot de passe volé !

Chez TBS INTERNET, nous sommes concernés et inquiets : la plupart de nos clients optent pour l'authentification faible (username/password). Et pourtant notre système offre le choix entre authentification faible ou forte ! Nous réfléchissons donc à une série de mesures pour limiter les risques, qui seront prochainement annoncés.

Comodo a aussi pris les choses en main : l'authentification faible va être supprimée, et des tokens cryptographiques contenant un certificat vont être distribués aux RA. De plus, un challenge DCV va être rajouté dans le processus d'obtention de certificat.

Bilan

• A aucun moment l'infrastructure de Comodo n'a été compromise. Les racines Comodo sont sûres et restent fonctionnelles.
• Comodo déploie actuellement l'authentification par certificats utilisateur pour ses Registration Authority
• Un challenge DCV est actuellement déployé pour tous les certificats (hormis les EV)