Accueil » Blog » Sécurité » 3 millions de certificats TLS révoqués suite à un bug

3 millions de certificats TLS révoqués suite à un bug

Début mars, un gigantesque bug touchant le code back-end du projet Let’s Encrypt a créé la panique. En effet, plus de 3 millions de certificats TLS ont été délivrés sans même que le champ CAA du nom de domaine, une norme de sécurité clé, n’ait été vérifié. Naturellement, tous ces certificats ont dû faire l'objet d'une révocation. Un joli bazar…

Les contrôles de CAA mis de côté pour délivrer les certificats TLS

Parce que les pratiques évoluent et parce que les normes de sécurité doivent constamment s’adapter, les évolutions sont fréquentes. C’est ainsi en 2017 que les contrôles CAA (Certificat Authority Authorization) sont entrés en vigueur. Leur mise en place visait à renforcer la sécurité des noms de domaine. Un CAA permet, rappelons-le, qu’un organisme de certification ne puisse pas émettre de certificats pour ses propres domaines. Il permet aussi au propriétaire d’un nom de domaine de choisir l’autorité chargée de le certifier. Seulement voilà, ce jour de mars, le logiciel Boulder, celui-là même qui s’occupe des contrôles de CCA dans la démarche de délivrance des certificats TLS, a buggé. Sur les 116 millions de certificats TLS (en savoir plus sur le protocole TLS 1.3) actifs, Let’s Encrypt n’a d’autres choix que d’en révoquer 2,6 %. Eh oui 3 048 289 certificats SSL sont concernés, dont près de 1 million de doublons.

Une possibilité de vérifier ces certificats Let’s Encrypt

Parce qu’un certificat TLS en dit tout de même long sur la fiabilité d’un site Internet, les propriétaires de noms de domaines ont rapidement su ce qui se passait. Certains ont ainsi pu formuler une demande de nouveau certificat dans les meilleurs délais. D’autres ont d’abord pris le temps de jeter un œil aux listes de certificats révoqués avant de se positionner. Il faut dire qu’il ne semble servir à rien de se détourner de Let’s Encrypt. Depuis son lancement, le service a fait preuve d’une fiabilité absolue et il vient de démontrer son excellente gestion d’un incident. Pour autant, sachez qu’il existe d’autres possibilités pour obtenir un certificat SSL de qualité. En l’obtenant, vous pourrez garantir la sécurité des transactions bancaires sur votre site et optimiser votre référencement.