Mauvais eIDAS: l’Europe prête à intercepter, espionner vos connexions HTTPS chiffrées

Les législateurs européens sont attendus pour adopter des règles d’identité numérique que les groupes de la société civile disent rendra internet moins sûr et permettra aux citoyens d’être exposés à des surveillance en ligne. La législation, appelée eIDAS (electronic IDentification, Authentication and trust Services) 2.0, a été décrite comme une tentative de moderniser une version initiale des règles de service d’identité et de confiance numérique. Les règles couvrent des choses comme les signatures électroniques, les horodatages, les services de livraison enregistrés, et les certificats pour l’authentification de site web. Mais une des exigences d’eIDAS 2.0 est que les fabricants de navigateur font confiance aux autorités de certification approuvées par le gouvernement (CA) et n’implémentent pas de contrôles de sécurité au-delà de ceux spécifiés par l’Institut européen des normes de télécommunications (ETSI). Selon eIDAS 2.0, les CA approuvés par le gouvernement – fournisseurs de service de confiance qualifiés, ou QTSP – délivreraient des certificats TLS – certificats d’authentification de site web qualifiés, ou QWAC – aux sites web. Mais les fabricants de navigateur, s’ils soupçonnent ou détectent un abus – par exemple, une interception de trafic – ne seraient pas autorisés à prendre des mesures correctives en mettant en doute ces certificats/QWAC ou en supprimant le certificat de racine de l’autorité de certification/QTSP associée de leur liste de certificats de racine de confiance.

Share the Post: