Le gouvernement sud-coréen (GPKI) tente une nouvelle fois d’être enregistré dans le magasin de certificats racine de Firefox

Le certificat racine GPKI était principalement utilisé par le gouvernement pour émettre des certificats pour les domaines de nombreux sites web publics, notamment sous le TLD .go.kr. (Notez bien qu’il s’agit du passé : aujourd’hui, les sites gouvernementaux obtiennent chacun leurs certificats auprès de différents prestataires pour proposer leurs services en HTTPS)

Contrairement aux autres navigateurs, Firefox dispose de sa propre liste de certificats racine et ne suit pas la liste des certificats du système d’exploitation lors des connexions TLS. Par exemple, sous Windows, le certificat GPKI est préinstallé, mais Firefox ne le lit pas. (Cela dit, ces jours-ci, il est possible de le faire suivre facilement via une simple case à cocher dans l’onglet sécurité de la page de configuration about:config)

L’un des motifs emblématiques de refus d’enregistrement du certificat racine GPKI est que le gouvernement a, par le passé, délivré des certificats extrêmement larges comme *.or.kr ou *.ac.kr.

Cependant, la tentative d’enregistrement n’est pas bloquée uniquement à cause de ce cas d’émission quasi illimitée : elle est aussi retardée ou rejetée parce que le gouvernement n’a pas toujours été en mesure de satisfaire à temps toutes les procédures strictes de certification de confiance exigées par Mozilla, comme les résultats d’audits externes, les méthodes de vérification des listes de révocation de certificats (CRL) ou les méthodes de validation de certificat (OCSP).

Dans certains cas, même lorsque cela a été fait à temps, le résultat lui-même posait problème, par exemple lorsque le certificat du ministère de l’Intérieur et celui du ministère de l’Éducation étaient audités par le même prestataire.

En consultant les tickets dans BugZilla, on constate que les tentatives d’enregistrement se poursuivent depuis de nombreuses années ; l’un des points intéressants à observer est que, selon les années, le nom du fonctionnaire en charge et celui de l’organisme de rattachement changent sans cesse, en raison des rotations de postes dans la fonction publique et des réorganisations gouvernementales liées aux alternances politiques.