« Plus de 83 000 certificats de près de 7 000 clients de DigiCert doivent être remplacés dès maintenant. »

Alors que le drame de DigiCert se poursuit, nous avons maintenant une meilleure idée de l’ampleur du problème – avec le patron de la sécurité informatique de l’organisation admettant que le balayage de révocation des certificats SSL/TLS affectera des dizaines de milliers de ses clients, certains d’entre eux ayant averti que le préavis court pourrait avoir des implications sur la sécurité réelle et perturber des services critiques. Un bref rappel de ce qui s’est passé : Le 29 juillet, l’autorité de certification a déclaré qu’au moins certains clients avaient seulement 24 heures pour remplacer leurs certificats de sécurité précédemment émis en raison d’un défaut de programmation vieux de cinq ans dans ses systèmes. C’est assez technique, et vous pouvez tout lire à ce sujet ici dans notre article précédent. Cela implique essentiellement une validation de propriété de domaine incorrecte, des nombres aléatoires et des tirets bas, tous conduisant à une sélection de certificats émis jugés peu fiables et donc nécessitant une révocation et un remplacement immédiats. Cela a affecté « environ 0,4 % des validations de domaine applicables » que DigiCert avait déjà traitées pour ses clients, selon l’AC. Mais il n’a pas chiffré ce 0,4 %. Cependant, un certain post Bugzilla de Mozilla place le nombre dans les dizaines de milliers. « Nous avons identifié 83 267 certificats impactant 6 807 abonnés », a noté le CISO de DigiCert, Jeremy Rowley. « Nous prévoyons de commencer les révocations dans la fenêtre de 24 heures ».