L’ÉDITION DU 7 OCTOBRE 2026
Des détournements DNS permettent d’obtenir des certificats TLS non autorisés
Selon Google, des attaquants ont détourné des domaines de premier niveau pour obtenir des certificats TLS visant ses services et d’autres organisations. Chrome bloque les certificats identifiés, mais le périmètre reste incomplet. L’incident souligne la dépendance de la validation des certificats au contrôle du DNS.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
Le contrôle du DNS a permis à des attaquants d’obtenir des certificats TLS non autorisés, selon Google. Les mesures annoncées dans Chrome réduisent le risque identifié, mais leur portée reste limitée. Cet incident met en évidence la fragilité de la validation des certificats lorsque le contrôle des domaines est détourné.
Des attaquants ont détourné les domaines de premier niveau .gh, .sl et .as pour obtenir des certificats TLS non autorisés concernant des services Google et d’autres grandes organisations. Ars Technica rapporte cette déclaration de Google. La date des attaques elles-mêmes n’est pas précisée. Le nombre de certificats émis et la liste des autres organisations concernées restent également inconnus.
Le mécanisme décrit repose sur le contrôle du DNS. Les attaquants ont modifié des enregistrements faisant autorité et des délégations de serveurs de noms pour certains domaines. Ils ont ainsi réussi les vérifications automatisées destinées à établir qu’un demandeur contrôle le domaine pour lequel il sollicite un certificat. Selon Google, les autorités de certification ont respecté les exigences applicables et les infrastructures des propriétaires des domaines concernés n’ont pas été compromises.
Les certificats TLS associent un nom de domaine à une clé publique et participent à l’authentification des services Internet. Obtenir un certificat non autorisé peut donc permettre d’usurper l’identité de l’infrastructure visée. L’analyse de cet incident fait apparaître une limite précise : une validation fondée sur le contrôle du domaine peut être satisfaite par un attaquant qui a détourné ce contrôle. Le respect de la procédure d’émission ne suffit alors pas à établir la légitimité du demandeur.
Google indique avoir mis à jour Chrome pour bloquer tous les certificats identifiés comme non autorisés. L’entreprise dit également avoir travaillé avec les autorités émettrices pour révoquer ceux concernant ses propres services. Elle précise que les utilisateurs de Chrome n’ont aucune action à effectuer pour bénéficier de cette protection. Cette réponse ne constitue toutefois pas une garantie générale : Google ne peut assurer avoir identifié tous les domaines touchés, et les interventions dans Chrome ne protègent pas de manière fiable les utilisateurs des autres navigateurs.
Pour les propriétaires de domaines, Google recommande de surveiller les journaux de transparence des certificats afin de repérer les émissions inattendues. L’entreprise conseille aussi de publier des enregistrements DNS Certification Authority Authorization restrictifs, notamment pour empêcher la réutilisation de données de validation mises en cache après le rétablissement du contrôle du DNS. Le risque connu a été réduit par les blocages annoncés, mais l’absence d’un inventaire exhaustif laisse ouverte la question des certificats qui auraient échappé à la détection.