le problème, c’est que les certificats sont gérés n’importe comment.
Loin d’alimenter la polémique sur l’ANSSI, nous allons porter un autre regard, car l’examen des faits prouve qu’on est quand même assez loin d’Aurora. Le communiqué laconique de l’ANSSI n’a pas franchement suffit à calmer les esprits, les gens de l’ANSSI ne sont pas des personnes de discours, on ne les blâmera certainement pas pour ça. Mais avant de crier au loup, il faut commencer par s’interroger sur les prérogatives de l’ANSSI. L’ANSSI, c’est les « gentils », pas les barbouzes. L’agence a pour mission de préserver les intérêts français sur le terrain de la sécurité informatique. Si la Loi de Programmation Militaire 2013 prévoit une extension de ses pouvoirs, outre le fait que c’est un peu tôt pour qu’elle se mette à l’interception administrative de grande envergure, l’ANSSI reste aujourd’hui concentrée sur la défense des systèmes d’information : sécurisation des réseaux des administrations et des organismes d’importance vitale de la Nation (administrations ou sociétés privées)… et non sur l’interception massive des communications des citoyens français, ni même dans l’espionnage des sociétés américaines… ça c’est plutôt le genre de choses que ferait la DGSE si ceci était jugé nécessaire. L’ANSSI n’a, à notre connaissance, aucune prérogative liée à l’intelligence économique extérieure qui justifierait une attaque par Man In The Middle sur SSL/TLS explicitement dirigée contre Google ou toute autre société.
As a result of a human error which was made during a process aimed at strengthening the overall IT security of the French Ministry of Finance, digital certificates related to third-party domains which do not belong to the French administration have been signed by a certification authority of the DGTrésor (Treasury) which is attached to the IGC/A.
====
It's a human error you know ?
This is a list of Certification Authorities (CAs) who have applied for inclusion of their certificates into the Mozilla project Root CA store, and whose applications are pending.
Révocation des certificats ANSSI