Tapi dans l’ombre de millions de sites légitimes et enfoui au plus profond d’internet, se cache le « dark web ». Armes, drogue, informations sur les cartes de crédit ou encore logiciels malveillants, vous y trouverez à peu près tout moyennant paiement.
Selon certaines études, l’achat d’une arme sur le Dark Web ne coûte pas plus de 450 GBP tandis qu’un faux passeport américain accompagné d’un permis de conduire falsifié s’échange contre 800 GBP. Le piratage d’un compte de courrier électronique ne vous coûtera pas plus de 100 GBP. Certains rapports estiment même que les attaques visant les courriers électroniques d’Hilary Clinton pendant la campagne des élections présidentielles de 2016 pourraient provenir du dark web.
Mais il existe également un marché noir prospère des données et informations des entreprises. Une enquête réalisée par le Cyber Security Research Institute (CSRI), pour le compte de Venafi, a identifié des certificats de signature en vente au prix de 900 GBP (1 200 USD) chacun. Entre de mauvaises mains, les conséquences peuvent être très lourdes pour les entreprises. La question principale consiste à déterminer comment les entreprises peuvent protéger leurs actifs afin qu’ils ne soient pas, à leur tour, vendus sur des places de marché en ligne illicites.
Une porte dérobée pour accéder à vos systèmes
Les certificats de signature de code servent à vérifier l’authenticité et l’intégrité des applications informatiques et des logiciels et constituent un élément fondamental d’internet et de la sécurité des entreprises. Qui plus est, les certificats de signature de code permettent à un terminal d’utilisateur d’établir l’authenticité de tous les logiciels en validant l’identification de l’application et de son concepteur par le terminal concerné.
Des milliers d’ordinateurs peuvent utiliser le même certificat de signature de code s’ils exécutent tous le même logiciel, comme une application de courrier électronique. On imagine aisément les risques encourus si un simple certificat de signature de code dérobé suffit à un cyberattaquant pour installer des logiciels malveillants sur des milliers de réseaux d’entreprises et de terminaux de particuliers. Les certificats de signature de code sont ainsi extrêmement recherchés par les pirates informatiques et leur vente peut être lourde de conséquences pour les entreprises qui ne les protègent pas correctement.
La valeur des certificats de signature de code est significative : à titre de comparaison, un tueur à gage ne coûte pas plus cher que l’équivalent de 25 certificats (25 000 GBP).
L’utilisation de certificats de signature de code permet d’établir un « accès dérobé » à vos applications et, en fin de compte, au terminal que vous utilisez pour accéder aux différents systèmes. Le certificat de signature de code d’un système d’exploitation mobile, par exemple, permet à un pirate informatique de se déplacer dans les différentes applications installées sur votre téléphone alors qu’elles ont toutes été identifiées avec fiabilité par le système d’exploitation, qui a validé leur identité en vérifiant l’authenticité de leur certificat. Les pirates sont ainsi en mesure de consulter tout ce qui se trouve sur votre ordinateur portable, votre téléphone mobile ou même votre système de chauffage intelligent.
Outre leur utilisation pour installer des logiciels malveillants dans les réseaux des entreprises ou sur les terminaux des particuliers, les certificats de signature de code peuvent également servir à effectuer des attaques de l’homme du milieu, permettant ainsi aux pirates informatiques de détourner des données d’utilisateurs.
Verrouiller la porte dérobée
Il existe, heureusement, des moyens pour se protéger des certificats de signature de code frauduleux acquis sur le Dark Web et de leurs dangers. Les entreprises peuvent mettre en place des procédures et utiliser des systèmes pour faire en sorte d’être les premières informées en cas de violation de leurs certificats de signature de code afin de pouvoir régler la situation, en limitant le plus possible les conséquences.
La première étape consiste à prendre le contrôle des identités numériques de leurs machines. Face à la progression de l’Internet des objets et de l’automatisation, les entreprises ont de plus en plus recours aux machines pour exécuter des tâches sans intervention humaine. Mais cela ne va pas sans risque. De multiples certificats sont utilisés pour valider l’identité des machines, de la même manière que les certificats de signature de code valident les logiciels. Il est cependant fréquent que les certificats, quel que soit leur type, ne soient pas enregistrés ni suivis correctement.
Sans savoir où sont utilisés les certificats de signature de code, les entreprises ne peuvent pas en avoir réellement le contrôle. Il leur faut disposer d’informations précises et actualisées sur l’identité de chaque machine car il est impossible de protéger quelque chose dont vous ne connaissez pas l’emplacement. C’est à ce niveau que se situe la différence entre une entreprise qui s’aperçoit qu’un pirate utilise des certificats pour installer des logiciels malveillants et un pirate qui passe inaperçu pendant des mois ou même des années.
Cependant, il ne suffit pas de déterminer où se trouve le problème. Les organisations doivent être également en mesure d’y remédier si elles s’aperçoivent que des certificats ont été dérobés. Cela suppose d’être en mesure de reprendre le contrôle et de faire en sorte qu’à l’avenir, le pirate ne puisse plus accéder à leurs systèmes. Il n’est possible de prendre des mesures efficaces que si vous savez où sont utilisés les certificats de signature de code dérobés – ce qui rend leur suivi indispensable.
Faut-il avoir confiance dans Internet ?
Avec plus de 30 milliards de terminaux , pour lesquels des clés et certificats devraient être nécessaires d’ici 2020 – soit cinq fois plus qu’en 2015 – ce marché est appelé à se développer. Il existe désormais un marché illégal des certificats d’un ampleur significative, qui met en péril l’ensemble de notre système d’authentification. Il faut impérativement déployer des systèmes technologiques afin de parer à l’utilisation abusive de certificats numériques, de manière à protéger les entreprises ainsi que les consommateurs.