Foire aux questions

Un certificat est comme une pièce d'identité ; vous l'envoyez à l'autre partie pour vous identifier comme autorisé ou pour confirmer votre identité. Cependant, comme tout le monde peut créer un certificat avec n'importe quel contenu sur son ordinateur, il est important qu'une autorité de certification (CA) de confiance confirme les informations contenues dans le certificat en le signant. Cela empêche également que le certificat soit modifié ultérieurement. Le certificat de l'AC n'est nécessaire que pour pouvoir vérifier ultérieurement la validité de cette signature et pour voir quelle AC est responsable de ces informations, afin que je puisse décider si je souhaite faire confiance à cette AC. Chaque certificat possède une clé privée. Cela sert de preuve que vous êtes le propriétaire du certificat ou que vous êtes autorisé à vous identifier avec ce certificat, car seules les personnes autorisées sont autorisées à accéder à la clé privée, tandis que le certificat peut être accessible à tous et l'est souvent. Je peux donc facilement obtenir le certificat de n'importe quel serveur web ou passerelle OpenVPN, car les deux m'envoient le certificat lorsque j'essaie de me connecter à eux, mais sans clé privée, je ne peux pas m'identifier avec le certificat. Si un attaquant souhaite se faire passer pour une passerelle OpenVPN spécifique, par exemple pour obtenir les mots de passe des utilisateurs, il doit mettre en place sa propre passerelle OpenVPN et rediriger le trafic de données de sa victime vers celle-ci, ce qui est tout à fait possible. Mais il a alors un problème : il doit également s'identifier comme la passerelle correcte. Cependant, si le client ne vérifie pas si l'adresse de la passerelle figure dans le certificat, il peut simplement utiliser un certificat utilisateur d'un utilisateur VPN, car celui-ci est également signé avec la même AC que le certificat de la passerelle. Il est beaucoup plus facile d'obtenir un certificat utilisateur et sa clé privée que le certificat de la passerelle. Pour obtenir le certificat de la passerelle, vous devez pirater directement la passerelle, mais si j'ai un accès illimité à la passerelle, je n'ai plus besoin du certificat car je peux alors intercepter les mots de passe directement au niveau de la passerelle et avoir immédiatement un accès complet à tous les réseaux privés qui s'y trouvent. Les passerelles sont bien sûr conçues pour être aussi difficiles à attaquer que possible, contrairement aux ordinateurs de travail des utilisateurs, sur lesquels il est beaucoup plus facile d'installer un cheval de Troie. Et il est encore plus facile si un utilisateur VPN souhaite agir lui-même comme un pirate informatique, car il a régulièrement accès à un certificat utilisateur valide, y compris une clé privée correspondante, et peut ainsi obtenir les mots de passe d'autres utilisateurs, ce qui peut lui conférer des droits d'accès étendus. Les mots de passe sont souvent gérés de manière centralisée et le même mot de passe est également utilisé pour d'autres services de l'entreprise. C'est pourquoi il ne suffit pas qu'un certificat soit valide et signé avec l'AC appropriée, il faut également s'assurer que le certificat de la passerelle est bien le certificat de la passerelle et qu'il correspond à la passerelle à laquelle vous parlez actuellement, sinon cela compromet tout le concept de sécurité des certificats.