Journal d'investigation en ligne et d'information‑hacking
par bluetouff

#MITM de #Google par l' #ANSSI : la théorie du doigt qui pointait la Lune

Ce week-end, sur son blog dédié à la sécurité, Google a publié une note qui n'a pas manqué d'attirer l'attention de toute la communauté de la sécurité informatique hexagonale. Dans son billet, Google explique qu'un faux certificat x509 a été signé par l'administration française, dépendante de l'ANSSI (l'autorité de certification O=IGC/A).

Ce week-end, sur son blog dédié à la sécurité, Google a publié une note qui n'a pas manqué d'attirer l'attention de toute la communauté de la sécurité informatique hexagonale. Dans son billet, Google explique qu'un faux certificat x509 a été signé par l'administration française, dépendante de l'ANSSI(l'autorité de certification O=IGC/A). Le raccourcis a été vite fait par certains : "l'ANSSI aurait lancé une attaque par MITM contre les services Google" (NDLR : dans le but d'intercepter des données...). Google affirme avoir découvert ce qu'il considère plus ou moins explicitement comme une attaque sur ses services et avoir bloqué ce certificat en le révoquant dans une mise à jour de son navigateur Chrome.

"This incident represents a serious breach and demonstrates why Certificate Transparency, which we developed in 2011 and have been advocating for since, is so critical."

Alors on respire un grand coup...

Loin d'alimenter la polémique sur l'ANSSI, nous allons porter un autre regard, car l'examen des faits prouve qu'on est quand même assez loin d'Aurora. Le communiqué laconique de l'ANSSI n'a pas franchement suffit à calmer les esprits, les gens de l'ANSSI ne sont pas des personnes de discours, on ne les blâmera certainement pas pour ça. Mais avant de crier au loup, il faut commencer par s'interroger sur les prérogatives de l'ANSSI. L'ANSSI,...