Mauvais eIDAS: l’Europe prête à intercepter, espionner vos connexions HTTPS chiffrées

Les députés européens sont attendus pour adopter des règles d’identité numérique que les groupes de la société civile disent rendront l’internet moins sûr et ouvriront les citoyens à une surveillance en ligne. La législation, connue sous le nom de eIDAS (services électroniques d’identification, d’authentification et de confiance) 2.0, a été décrite comme une tentative de moderniser une version initiale des règles de service d’identité et de confiance numérique. Les règles couvrent des choses comme les signatures électroniques, les horodatages, les services de livraison enregistrés et les certificats d’authentification de site Web. Mais l’une des exigences de eIDAS 2.0 est que les fabricants de navigateurs fassent confiance aux autorités de certification (CA) approuvées par le gouvernement et n’appliquent pas de contrôles de sécurité au-delà de ceux spécifiés par l’Institut européen des normes de télécommunications (ETSI). En vertu de eIDAS 2.0, les autorités de certification agréées par le gouvernement – les fournisseurs de services de confiance qualifiés (QTSP) – délivreraient des certificats TLS (certificats d’authentification de site Web qualifiés, ou QWAC) aux sites Web. Mais les fabricants de navigateurs, s’ils soupçonnent ou détectent une utilisation abusive – par exemple, une interception de trafic – ne seraient pas autorisés à prendre des contre-mesures en mettant en doute ces certificats / QWAC ou en supprimant le certificat de racine de l’autorité de certification / QTSP associée de leur liste de certificats de racine de confiance.

Share the Post: