Pc-urgence LaPoste.fr indisponible suite à un problème de certificat SSL - Pc-urgence

Le site LaPoste.fr a été indisponible plusieurs heures ce jeudi matin. En cause, un problème de certificat Izenpe révoqué dix jours avant sa fin de validité.

Les utilisateurs du site vitrine LaPoste.fr ont eu une surprise ce matin. Entre 9h et jusqu’en fin de matinée ce jeudi, le site e-commerce et de services du groupe La Poste a été indisponible. En cause, un problème de certificat SSL invalide. « A notre connaissance, rien ne laisse supposer qu’il s’agisse d’une tentative de détournement », nous a expliqué Gabriel de Brosses, directeur de la cybersécurité du Groupe La Poste. « On a découvert qu’un certificat n’était plus valide et a bloqué l’accès à nos services ». Le certificat en question était fourni par la société Izenpe localisée au Pays Basque Espagnol et avait été émis le 3 août 2018 pour une date d’expiration prévue le 3 août 2020.

Selon nos informations, une erreur humaine chez Izenpe est à l’origine de ce problème bloquant. « Nous n’avons pas de confirmation sur ce point là », a réagi Gabriel de Brosses. « J’attends des réponses que l’on va traiter dans le cadre d’une analyse post mortem de l’incident qui est plutôt un incident IT et de production qu’un incident cyber ». Questionné sur le fait d’avoir sélectionné ce prestataire plutôt que Global Sign avec qui le groupe La Poste a signé un contrat depuis 2009, M. de Brosses nous a répondu : « Je n’ai pas de vision sur le pourquoi du choix d’Izenpe au niveau opérationnel. On a plusieurs fournisseurs de certificats dont Global Sign mais aussi Certinomis. Les contrats fonctionnent à bons de commande, on a négocié [avec Global Sign] un contrat cadre dans lequel on commande en fonction de nos besoins et de la durée de vie d’un certificat et il n’a pas remplacé dès le départ celui d’Izenpe ».

Le certificat Let’s Encrypt mis en place dans l’urgence

Afin de redonner un accès à son site, La Poste a pris une décision dans l’urgence : se tourner temporairement vers un certificat SSL gratuit, Let’s Encrypt, avec les éventuels risques que cela peut représenter en termes de cybersécurité. « La mesure que l’on a choisie c’est rétablir dans l’urgence le service. On a pris ce qui était le plus rapide à mettre en oeuvre mais c’est une solution temporaire. On a mis en place un certificat pour faire sauter l’indisponibilité des services. On a été obligé de faire une remédiation en urgence pour rétablir le service à partir du moment où le certificat n’était plus valide », poursuit Gabriel de Brosses. Valable à compter de ce 23 juillet 2020 pour une date de fin de validité au 21 octobre 2020, ce certificat n’a pas vocation à rester bien longtemps en place. « C’est une question d’heures, voire de jours d’ici lundi au plus tard », indique M. de Brosses sans indiquer le certificat prévu pour remplacer celui de Let’s Encrypt.

Le travail de supervision des durées de validité des certificats SSL est un sujet complexe. Un outil existe bel et bien au sein de La Poste pour alerter et prévenir les dysfonctionnements et révocations. « Les sites sont sous surveillance avec une détection toutes les 24h. Cet incident est arrivé en dehors de cette fenêtre de surveillance », explique Gabriel de Brosses. Des projets sont lancés au sein du groupe afin de se doter d’un certain nombre de solutions pour prévenir à l’avenir ce type d’incident, mais cela nécessite quelques précautions. « Il faut qu’elles soient compatibles avec l’architecture de nos systèmes et pas trop gourmandes », prévient Gabriel de Brosses. Le groupe La Poste supervise 1 500 sites Internet et prévoit cet été de changer 70 certificats et 130 l’été prochain. « Le nombre de certificats à renouveler est très important, il y a un impact de production sur les DSI, pour maintenir la capacité opérationnelle, on étale la charge d’après un plan de migration traité sur la durée ».

Let’s block ads! (Why?)

Powered by WPeMatico

Dépannage informatique à domicile

Dépannage informatique à domicile

PC urgence, le spécialiste du dépannage informatique à domicile sur Paris et Île-de-France, jour et nuit vous bénéficiez d'un dépannage informatique sans aucun surcoût et sans frais de déplacements. Contactez-nous au 09.70.40.81.52.
Protected by Copyscape Web Plagiarism Tool

Laisser un commentaire

Vous devez être connecté pour publier un commentaire.

Rappel Gratuit

Prix:
GRATUIT

Rappel Gratuit

Prix:
GRATUIT

Ouvert 24/24

Ouvert 24/24 Week end
border
Un technicien chez vous
24/24 7/7

Ouvert 24/24

Ouvert 24/24 Week end
border
Un technicien chez vous
24/24 7/7

Ouvert 24/24

Ouvert 24/24 Week end
border
Un technicien chez vous
24/24 7/7

Dépannage informatique Paris et Ile de france

Dépannage informatique paris et ile de france
Prix:
89 €