Mauvais eIDAS : l’Europe prête à intercepter, à espionner vos connexions HTTPS chiffrées

Des députés européens sont attendus pour adopter des règles d’identité numérique que les groupes de la société civile disent rendront internet moins sûr et ouvriront les citoyens à une surveillance en ligne. La législation, connue sous le nom de eIDAS (services électroniques d’identification, d’authentification et de confiance) 2.0, a été décrite comme une tentative de moderniser une version initiale des règles de service d’identité et de confiance numérique. Les règles couvrent des choses comme les signatures électroniques, les horodatages, les services de livraison enregistrés et les certificats d’authentification de site Web. Mais l’une des exigences de eIDAS 2.0 est que les fabricants de navigateur fassent confiance aux autorités de certification (CA) approuvées par le gouvernement et n’appliquent pas de contrôles de sécurité au-delà de ceux spécifiés par l’Institut européen des normes de télécommunications (ETSI). En vertu de eIDAS 2.0, les CA agréés par le gouvernement – les fournisseurs de services de confiance qualifiés (QTSP) – délivreraient des certificats TLS – des certificats d’authentification de site Web qualifiés (QWAC) – aux sites Web. Mais les fabricants de navigateurs, s’ils soupçonnent ou détectent un abus – par exemple, une interception de trafic – ne seraient pas autorisés à prendre des contre-mesures en mettant en doute ces certificats / QWAC ou en supprimant le certificat racine de l’autorité de certification / QTSP associée de leur liste de certificats racines de confiance.

Share the Post: