VeriSign a été plusieurs fois piraté en 2010.
L’expert en sécurité VeriSign a été plusieurs fois piraté en 2010, peut-on lire dans des documents remis à la SEC.
Selon l’agence de presse Reuters, l’expert en sécurité VeriSign a dévoilé dans des documents remis à la Security and Exchange Commission (le contrôleur boursier américain) avoir en 2010 été piraté à plusieurs reprises par des agresseurs extérieures.
La direction de VeriSign estime toutefois que “ces attaques n’ont pas piraté les serveurs qui supportent le réseau Domain Name System”.
VeriSign offre en effet des services DNS pour les adresses web .com, .net et .gov. Si les pirates pouvaient abuser de ces serveurs, ils pourraient se faire passer pour n’importe quel site portant ce genre d’adresse.
Mais des informations révélées par VeriSign, l’on ne sait manifestement pas savoir ce qui s’est exactement passé et l’on peut encore moins estimer les dégâts occasionnés. Le département sécurité de VeriSign serait bel et bien intervenu, mais la direction n’en a clairement pas été informée avant septembre 2011 (ce qui explique la déclaration tardive remise à la SEC).
Sur base du descriptif des événements par VeriSign, un ex-CTO de l’entreprise, Ken Silva, n’exclut pas que les attaques aient été perpétrées par un autre pays, auxquelles il peut être malaisé de remédier.
Par ailleurs, VeriSign fut jusqu’en août 2010 aussi un important éditeur de certificats SSL, mais a ensuite vendu cette activité à Symantec. Cette entreprise a déclaré qu’il n’y avait aucune preuve que le piratage mentionné ait été lié aux systèmes de production SSL.
Tout cela ne serait en rien comparable avec les problèmes qu’a connus le fournisseur SSL Diginotar l’année dernière et qui avaient provoqué sa faillite. Mais cela contribue néanmoins à augmenter la méfiance vis-à-vis des mécanismes d’authentification utilisés aujourd’hui.
