L’état actuel du projet « Certificats numériques avec blockchain » semble immature et truffé de graves erreurs. L’experte en sécurité informatique Lilith Wittmann du projet Zerforschung a examiné les serveurs accessibles au public en collaboration avec une personne portant le pseudonyme Flüpke et a découvert plusieurs points faibles. Celles-ci rendent actuellement la blockchain des certificats tout simplement inutilisable.

Le processus pour obtenir un certificat dans la blockchain devrait se dérouler comme suit : Tout d’abord, l’institution émettrice crée un certificat sous forme de document PDF et exporte les données du certificat via une API standardisée. Le système rattache les données du certificat au format XML au PDF. Le document PDF lui-même est signé de manière cryptographique. Une valeur de hachage de ce document composite est finalement enregistrée dans la blockchain. Le processus de vérification prévoit que le PDF signé avec les données XML soit envoyé aux serveurs de l’imprimerie fédérale. Ceux-ci renvoient ensuite le résultat de la vérification de l’authenticité.

Toutefois, les descriptions sont quelque peu imprécises et parfois contradictoires à différents endroits. Le système a été développé par govdigital – une association de prestataires de services informatiques publics – et par Bundesdruckerei. Une phase de test est en cours depuis le milieu de l’année dernière.

De graves lacunes

Quelques erreurs techniques se sont apparemment glissées dans la mise en œuvre, ce qui annule l’utilisabilité, du moins dans un premier temps.

Sur les serveurs de test de l’imprimerie fédérale, Flüpke a d’abord rencontré des lacunes de cross-site scripting. Lors de contrôles plus approfondis, Wittmann a toutefois découvert que l’API n’était apparemment pas sécurisée par une authentification : n’importe qui peut inscrire n’importe quelles données dans la blockchain. Il s’agit donc de facto de délivrer des certificats numériques, mais ceux-ci ne disposent pas de la signature numérique d’un institut officiel comme le BMBF. Wittmann a déposé un exemple de code sur github pour les deux cas.

Lilith Wittmann a expliqué à heise Security les erreurs qu’elle a trouvées : « Tout cela montre une fois de plus que l’administration fédérale ou, dans ce cas, le BMBF, ne dispose d’aucune compétence numérique et n’est donc pas en mesure de commander et de piloter de tels projets ou même de prendre des décisions techniques. Pour moi, il n’y a pas d’autre explication au fait qu’avec un tel projet, des millions ont une fois de plus été dépensés pour quelque chose que l’on ne peut plus que jeter. Et il a manqué, tant au niveau technique qu’au niveau de la mise en œuvre, des bases techniques absolues ainsi que la compréhension des technologies utilisées et de leurs limites ».

« Une fois de plus, comme pour le portefeuille d’identification, on s’est laissé aveugler par les mots à la mode et, bien entendu, on n’a pas évalué l’impact social de ces technologies, ni même consulté d’experts dans ce domaine », poursuit Wittmann.

Tout n’est que test

Entre-temps, l’imprimerie fédérale allemande a également pris position sur les failles trouvées : « Hier, nous avons été informés par des chercheurs en sécurité via Twitter que le système de test actuel contenait plusieurs failles pouvant être exploitées par des pirates potentiels. Des personnes non autorisées auraient été en mesure d’émettre des certificats (fictifs, non signés). Suite aux rapports publiés sur Twitter, le système de test a d’abord été mis hors ligne en accord avec le client, afin de vérifier les rapports et de déclencher d’autres améliorations. L’analyse des erreurs se poursuit actuellement. Les résultats seront pris en compte dans l’optimisation ultérieure du système, le test se poursuivra ensuite.La délivrance de véritables témoignages n’a été possible à aucun moment ». Le développement du projet se poursuit donc apparemment dans le cadre actuel.