Foire aux questions

Un certificat est comme une pièce d’identité ; vous l’envoyez à l’autre partie pour vous identifier comme autorisé ou pour confirmer votre identité. Cependant, étant donné que n’importe qui peut créer un certificat avec n’importe quel contenu sur son ordinateur, il est important qu’une autorité de certification (CA) digne de confiance confirme les informations contenues dans le certificat en signant celui-ci. Cela empêche également toute modification ultérieure du certificat. Le certificat CA n’est nécessaire que pour pouvoir vérifier ultérieurement la validité de cette signature et voir quelle CA est responsable de ces informations, afin que je puisse décider si je souhaite faire confiance à cette CA. Chaque certificat possède une clé privée. Cela sert de preuve que vous êtes le propriétaire du certificat ou que vous êtes autorisé à vous identifier avec ce certificat, car seules les personnes autorisées sont jamais autorisées à accéder à la clé privée, tandis que le certificat peut être accessible à tous et l’est souvent. Je peux donc facilement obtenir le certificat de n’importe quel serveur web ou passerelle OpenVPN, car les deux m’envoient le certificat lorsque j’essaie d’y me connecter, mais sans clé privée je ne peux pas m’identifier avec le certificat. Si un attaquant souhaite se faire passer pour une passerelle OpenVPN spécifique, par exemple pour obtenir des mots de passe auprès des utilisateurs, il doit configurer sa propre passerelle OpenVPN et rediriger le trafic de données de sa victime vers celle-ci, ce qui est tout à fait possible. Mais alors il a un problème : il doit également s’identifier comme la passerelle correcte. Cependant, si le client ne vérifie pas si l’adresse de la passerelle figure dans le certificat, il peut simplement utiliser un certificat utilisateur d’un utilisateur VPN, car celui-ci est également signé avec la même CA que le certificat de la passerelle. Il est beaucoup plus facile d’obtenir un certificat utilisateur et sa clé privée que le certificat de la passerelle. Pour obtenir le certificat de la passerelle, vous devez pirater directement la passerelle, mais si j’ai un accès illimité à la passerelle, je n’ai plus besoin du certificat car je peux alors intercepter les mots de passe directement au niveau de la passerelle et avoir immédiatement un accès complet à tous les réseaux privés qui s’y trouvent. Les passerelles sont bien sûr conçues pour être aussi difficiles que possible à attaquer, contrairement aux ordinateurs portables des utilisateurs, sur lesquels il est beaucoup plus facile d’installer un cheval de Troie. Et c’est encore plus facile si un utilisateur VPN souhaite agir lui-même comme pirate informatique, car il a régulièrement accès à un certificat utilisateur valide comprenant une clé privée correspondante et peut ainsi obtenir les mots de passe d’autres utilisateurs, ce qui peut lui conférer des droits d’accès étendus Les mots de passe sont souvent gérés de manière centralisée et le même mot de passe est également utilisé pour d’autres services de l’entreprise. C’est pourquoi il ne suffit pas qu’un certificat soit valide et signé avec la CA appropriée, il faut également s’assurer que le certificat de la passerelle est bien le certificat de la passerelle et correspond à la passerelle à laquelle vous parlez actuellement, sinon cela compromet tout le concept de sécurité des certificats.