Les certificats sont un maillon essentiel de la chaine de sécurité. Ils servent à prouver, en théorie, que l’on est bien qui l’on prétend être. Ils sont là pour assurer l’identification d’une entité et sont à la base de la chaine de confiance sur Internet, encore aujourd’hui. Mais leurs problèmes sont multiples. Notamment, si un acteur malveillant arrive à s’emparer d’un certificat, il peut exploiter des failles potentielles pendant une durée prolongée.

Apple veut réduire la validité à 45 jours

C’est à cette durée que veut s’attaquer Apple. Notons d’emblée que ce n’est pas la première entreprise à proposer une telle réduction. Avant 2011, la validité d'un certificat pouvait ainsi porter sur un maximum de 8 ans. Au cours de la décennie suivante, la durée a été progressivement rabotée pour atteindre le maximal de 398 jours que l’on connait aujourd’hui. Cependant, Google avait déjà suggéré de la faire descendre à 90 jours.

La proposition d’Apple au Certification Authority Browser Forum (CA/B Forum) est à la fois plus radicale et plus progressive. À compter de septembre 2025, la durée descendrait à 200 jours. Un an plus tard, elle tomberait à 100 jours. Enfin, en septembre 2027, elle atteindrait le chiffre souhaité, soit 45 jours. Parallèlement, Apple souhaite réduire la validité du contrôle de domaine (DCV) à 20 jours, là encore après septembre 2027.

L’importance des certificats

Comme nous l’explique Louis Desplanche, ingénieur chez moji (actionnaire majoritaire de Next), les certificats sont un maillon essentiel de la sécurité. « Aujourd’hui, tout ce qui est exposé à Internet est automatisé sur la gestion des certificats. La durée dépend de l’autorité qui a émis le certificat. Avec VeriSign par exemple, on est sur la durée classique de 13 mois. Avec Let’s Encrypt, c’est 90 jours. Pour les besoins internes, il y a aussi l’auto-certification, avec des durées beaucoup plus longues si nécessaire ». Des sites existent pour obtenir les détails d'un certificat, comme celui de Qualys.

Si les certificats sont si importants, c’est parce qu’ils établissent une relation de confiance entre deux parties. Lorsque l’on souhaite se connecter à un service en ligne par exemple, la clé publique du certificat du serveur est envoyée au client qui vérifie son authenticité et sa validité. Si la « poignée de main » (handshake) entre les deux est confirmée, il y a ouverture d’un canal sécurisé, établi par le protocole TLS puis protégé par une clé symétrique.

Sur la proposition d’Apple, l’ingénieur ne voit a priori pas de problème. « Je peux comprendre pourquoi Apple propose cette réduction. Une fois un certificat émis, il est réputé sécurisé pour toute sa validité. S’il est volé, les pirates peuvent s’en servir jusqu’à la fin. À moins qu’il soit révoqué, mais la gestion des listes de révocation n’est pas simple. Une durée de 45 jours réduit donc les risques en cas de vol », explique Louis Desplanche.

Un avis similaire à celui du spécialiste des réseaux Stéphane Bortzmeyer, qui nous a répondu : « De toute façon, avec Let's Encrypt, qui est très largement utilisé, tout le monde a automatisé, donc 45 ou 90 jours ne font pas davantage de travail ».

Cependant, Louis Desplanche estime qu’une telle bascule « sera pénible pour les petites infrastructures ou legacy ». Comprendre celles ayant de vieux systèmes et où l’automatisation sera complexe, voire impossible à mettre en place.

Sur Reddit, les cris des administrateurs

Effectivement, si la proposition s’entend sur le plan de la sécurité, il en va tout autrement de la logistique. Sur le subreddit r/sysadmin, des centaines d'administrateurs se sont rués pour dire tout le mal qu’ils pensaient de cette idée.

« J'ai des appareils réseau qui nécessitent des certificats SSL et qui ne peuvent pas être automatisés. Certains d'entre eux fonctionnent avec des systèmes qui ne prennent en charge que les autorités de certification publiques », a indiqué l’un d’eux. « C'est un peu cauchemardesque. J'ai environ 20 services de type appareil qui ne prennent pas en charge l'automatisation. Presque tout dans mon environnement est automatisé dans la mesure du possible », lui répond un autre.

De très nombreux commentaires vont dans le sens de ce que nous a indiqué Louis Desplanche sur les petites ou anciennes infrastructures.

D’autres désapprouvent la méthode proposée par Apple et insistent sur la nécessité de fortifier le système des listes de révocation. À ce sujet, certains estiment qu’elles ne fonctionnent tout simplement pas, et d’autres encore que leur inefficacité tient à ce que de trop nombreux éditeurs les ignorent, contrairement aux dates de fin de validité des certificats.

Sans automatisation, point de salut ?

Quoi qu’il en soit, des problèmes se poseront potentiellement pour les utilisateurs finaux. À l’expiration d’un certificat, par exemple quand on souhaite aller sur un site, le navigateur affiche un avertissement. On peut passer outre et se rendre quand même sur le site. Mais avec le renforcement de ces messages ces dernières années et l’insistance sur le danger à continuer, il sera délicat de recommander aux internautes de passer outre. Et ce n’est valable que dans le cas de la navigation, quand la possibilité existe d’agir.

Dans les infrastructures, les certificats servent aussi à établir des connexions entre des composants qui n’impliquent pas d’action utilisateur. Si la proposition d’Apple est retenue – et il y a des chances qu’elle le soit avec le soutien de Google – toutes les entités possédant des certificats devront en dresser un inventaire complet. Après quoi, il faudra en automatiser le renouvellement autant que possible. Mais le problème restera entier pour les cas où cette automatisation sera impossible.