Les robots de trading de cryptomonnaies et les applications d'échange pourraient rester exposés à une faille de sécurité de certificats liée à eMudhra, société indienne, malgré les correctifs d'urgence déployés par les grandes entreprises technologiques, selon la société de sécurité blockchain CertiK.

D'ici mardi, des géants technologiques dont Google, Apple et Microsoft avaient bloqué huit certificats vulnérables émis par eMudhra — des certificats qui pourraient imiter des versions de sites web légitimes, comme Cointelegraph l'a précédemment rapporté. Les autorités de certification telles qu'eMudhra constituent le fondement de la confiance HTTPS : ce sont des organisations de confiance qui émettent les certificats numériques que les sites web présentent pour prouver leur identité, c'est pourquoi les certificats émis de manière irrégulière sont traités comme un problème de sécurité à l'échelle du web. Cependant, ces correctifs au niveau des navigateurs pourraient ne pas s'étendre aux applications crypto qui s'appuient sur des systèmes de sécurité distincts, a déclaré à Cointelegraph Peiyu Wang, directeur principal de la sécurité des actifs numériques chez CertiK.

« Les blocages par les principaux navigateurs réduisent considérablement le risque pour les clients qui les reçoivent et les appliquent », a déclaré Wang. « Certaines applications en dehors de l'écosystème des navigateurs n'appliquent pas la Certificate Transparency et ne bénéficient pas des mêmes protections de révocation. »

La Certificate Transparency est un cadre largement utilisé selon lequel les navigateurs vérifient les certificats des sites web par rapport à des journaux publics et auditables, contribuant à garantir que les certificats émis de manière irrégulière peuvent être détectés et bloqués. Les applications fonctionnant en dehors de cet écosystème peuvent ne pas bénéficier des mêmes garanties — un écart qui touche directement le secteur crypto, où les robots de trading et les applications d'échange interagissent généralement avec les services via des API plutôt que via un navigateur.

Wang a souligné que les services crypto ne sont pas intrinsèquement plus sensibles à cette faille que les autres industries. Cela dit, des attaquants pourraient exploiter des certificats compromis pour usurper les connexions HTTPS utilisées par les échanges, les interfaces de portefeuille et les API.

Plus précisément, les attaquants pourraient se faire passer pour des services crypto afin de remplacer des adresses de dépôt ou d'inciter les utilisateurs à approuver des transactions malveillantes, a indiqué Wang. De telles attaques nécessiteraient également d'intercepter ou de rediriger le trafic internet des utilisateurs, et les clés compromises de l'autorité de certification, à elles seules, n'exposeraient pas les clés privées des portefeuilles.

Wang a exhorté les opérateurs crypto à mettre à jour leurs logiciels et leurs magasins de confiance de certificats et à vérifier que leurs applications rejettent les certificats concernés — un travail de vérification qui incombe à chaque opérateur, puisque les blocages au niveau des navigateurs peuvent ne pas atteindre automatiquement les applications en dehors de ces navigateurs.

Felix Ng a contribué à ce reportage.

Source : Cointelegraph