DigiNotar a laissé un pirate émettre 531 faux certificats — en faillite en dix semaines

DigiNotar était l'une des autorités de certification racines approuvées par tous les grands navigateurs et l'émetteur de certificats pour les services gouvernementaux néerlandais. En juin 2011, un intrus a pénétré dans son réseau via un logiciel non corrigé sur ses serveurs web et s'est déplacé latéralement à travers les systèmes segmentés censés isoler l'émission de certificats. Le 10 juillet, l'intrus a émis un certificat frauduleux pour google.com. L'audit de routine de DigiNotar a découvert des certificats frauduleux le 19 juillet, les a révoqués, a enquêté, et à la fin du mois estimait le problème résolu. Il ne les avait pas tous trouvés.

Le 27 août, un utilisateur de Gmail en Iran a constaté que le navigateur de Google, Chrome, refusait la connexion — Google « épinglait » les certificats qu'il avait réellement achetés, de sorte qu'un certificat google.com émis par DigiNotar ressortait immédiatement. Google a rendu l'affaire publique le 29 août, avertissant d'attaques de l'homme du milieu contre des utilisateurs en Iran. Les enquêteurs ont ensuite dénombré 531 certificats frauduleux pour des domaines dont aol.com, microsoft.com, cia.gov et mossad.gov.il, et environ 298 000 adresses IP uniques — 95 pour cent d'entre elles en Iran — accédant à de fausses pages Google susceptibles de récolter des mots de passe Gmail.

L'effondrement fut rapide et total. Les fabricants de navigateurs ont retiré DigiNotar de leurs magasins de confiance ; le 14 septembre, le régulateur néerlandais OPTA a mis fin à son enregistrement en tant qu'émetteur de certificats ; et le tribunal de district de Haarlem l'a déclarée en faillite le 20 septembre 2011 — dix semaines après l'émission du premier certificat frauduleux, trois semaines après que la violation est devenue publique. Le propriétaire Vasco Data Security a déclaré une perte de 6,1 millions de dollars liée aux activités abandonnées plus 5,2 millions de dollars de dépréciations dans son formulaire 10-K de 2011, et a fermé définitivement l'activité de certification.

DigiNotar B.V. en faillite le 20 septembre 2011 ; le propriétaire Vasco a enregistré une perte de 6,1 M$ liée aux activités abandonnées et 5,2 M$ de dépréciations, et s'est retiré de l'activité de certification

Un logiciel non corrigé sur des serveurs web exposés à Internet a fourni à l'intrus son point d'entrée dans un réseau par ailleurs fortement défendu.

L'audit interne de juillet a déclaré l'incident clos sans prouver qu'aucun autre certificat frauduleux n'existait — le fatal certificat google.com n'est apparu que lorsqu'un navigateur d'utilisateur l'a refusé.

Le seul actif d'une autorité de certification est la confiance. Une fois que Chrome, Firefox et Microsoft ont cessé d'honorer ses certificats, il ne restait plus de revenus à protéger.

DigiNotar a traité un incident de sécurité publique comme un problème informatique privé à contenir discrètement ; une violation d'une AC implique tous ceux pour lesquels les certificats se portent garants.

Quand votre produit est la confiance, toute violation est existentielle, et un « nous avons corrigé » déclaré après un audit interne n'équivaut pas à la fin de la violation — un seul faux certificat manqué peut mettre fin à l'entreprise.

Personne n'a jamais été arrêté ni inculpé ; la presse a spéculé, sans preuve, sur une implication de l'État iranien. Le gouvernement néerlandais a repris les opérations de DigiNotar et a commandé le post-mortem « Black Tulip » de Fox-IT. L'incident a poussé l'industrie vers Certificate Transparency de Google, une généralisation de l'épinglage de certificats et des exigences de base plus strictes pour les AC — des changements dont les auteurs citent DigiNotar nommément. Vasco, rebaptisé plus tard OneSpan, n'est jamais revenu à l'activité de certification, et l'enquête non publique de la FTC s'est close sans allégations.