Let’s Encrypt – Fuite mineure d’adresses mail

1
122

Petit raté pour l’initiative Let’s Encrypt qui a laissé échapper quelques milliers d’adresses mail à la suite d’un dysfonctionnement de l’un de ses programmes interne.

7 617 adresses mail d’utilisateurs du projet Let’s Encrypt, visant à proposer des certificats SSL gratuits pour les sites Internet, ont fuité par mail suite à un dysfonctionnement au sein des systèmes informatiques de l’ISRG (Internet Security Research Group), l’organisme gérant le projet. Le nombre peut paraître faible mais il faut rapporter cela au niveau de sécurité général auquel doit satisfaire ce genre de service de certification !

La fuite de données personnelles a eu lieu le 11 juin, lorsque certains membres du projet ont eu la surprise de recevoir un mail d’information de la part de l’ISRG, contenant les adresses d’autres utilisateurs de Let’s Encrypt. C’est un bug dans le système d’envoi de mails qui a eu pour conséquence que chaque destinataire voyait les adresses des destinataires précédents… La procédure a été stoppée en urgence, limitant la fuite à exactement 7617 adresses mail. Pour rappel, cela ne représente qu’à peine 2% des 383 000 comptes utilisateurs de Let’s Encrypt. Le problème aurait donc être largement plus critique.

Josh Aas, le directeur exécutif de l’ISRG demande expressément de ne pas divulguer les données ayant fuitées, mais il est inutile de préciser que cet incident représente un sérieux frein au projet du fait de la perte de confiance potentielle des utilisateurs :

« Si vous avez reçu un de ces courriels, nous vous demandons de ne pas publier de listes d’adresses électroniques au public. Une procédure de test insuffisante est considérée comme la cause de cet incident. »

L’ISGR a publié un état des lieux et a conclut à un manque de test. Cela a eu pour conséquence la mise en production d’une récente modification de code qui est la cause de l’incident. La vérité est toute simple et montre une négligence : le logiciel de mailing avait été considéré comme fiable et comme un maillon non critique de la chaîne car non relié directement aux données sensibles. Rassurez-vous, ce n’est plus le cas aujourd’hui et ce dernier a intégré la même chaîne de certification que les autres éléments, afin d’éviter tout problème futur.

Source : NextInpact

1 COMMENTAIRE

Les commentaires sont fermés.