« Plus de 83 000 certificats provenant de près de 7 000 clients de DigiCert doivent être remplacés maintenant. »

Alors que le drame de DigiCert se poursuit, nous avons maintenant une meilleure idée de la taille et de l’ampleur du problème – avec le responsable de la sécurité de l’information de l’organisation admettant que le balayage de révocation des certificats SSL/TLS affectera des dizaines de milliers de ses clients, dont certains ont averti que le préavis court pourrait avoir des implications de sécurité réelles et perturber des services critiques. Un bref rappel de ce qui s’est passé: Le 29 juillet, l’autorité de certification a déclaré qu’au moins certains clients disposaient de seulement 24 heures pour remplacer leurs certificats de sécurité précédemment émis en raison d’une faille de programmation vieille de cinq ans dans ses systèmes. C’est assez technique, et vous pouvez tout lire à ce sujet dans notre article précédent ici. Cela implique essentiellement une validation de propriété de domaine défaillante, des nombres aléatoires et des traits de soulignement, qui ont tous conduit à ce que certains certificats émis soient considérés comme non fiables et nécessitent donc une révocation et un remplacement immédiats. Cela a affecté environ « 0,4 % des validations de domaine applicables » que DigiCert avait déjà traitées pour ses clients, selon la CA. Mais elle n’a pas donné de chiffre pour ce 0,4 %. Un certain post de Mozilla Bugzilla, cependant, met le nombre dans les dizaines de milliers. « Nous avons identifié 83 267 certificats affectant 6 807 abonnés », a noté le CISO de DigiCert, Jeremy Rowley. « Nous prévoyons de commencer la révocation dans la fenêtre de 24 heures. »