sebastienHello,
Comme je sais qu'il y a ici pas mal de gens qui bossent dans la sécurité informatique, j'ai une question : je suis tombé sur les CGU de Let's Encrypt (https://letsencrypt.org/documents/LE-SA-v1.7-June-04-2026-diff.pdf). Est-ce que cela veut dire que Let's Encrypt devient un pouvoir politique malgré lui, plutôt qu'un service universel ? Doit-on se poser la question de trouver une alternative à Let's Encrypt ?
Si je comprends bien, on a un problème de gouvernance problématique.
Pour qu'une autorité de certification soit reconnue, il faut qu'elle soit validée au sein des navigateurs par les organismes qui gèrent les "Root Stores" (magasins de certificats). Ces organismes se résument à un quatuor d'entreprises privées : Microsoft, Alphabet (Google), Apple et Mozilla.
Ces entreprises privées, ainsi que les autorités de certification, se coordonnent au sein du CABF (CA/Browser Forum). Le problème, ces acteurs dominants sont tous américains. L'organisme qui édite les certificats (Let's Encrypt) et ceux qui les valident (les navigateurs) sont donc juridiquement dépendants des lois américaines (comme les sanctions de l'OFAC). L'Internet mondial est donc une extension du droit américain. Si l'État américain décide de mettre sous embargo n'importe quel pays ou entité, toute cette chaîne doit s'y plier. Il y a donc un déséquilibre énorme des pouvoirs, centralisés sur un seul gouvernement.
Et nous avons un autre souci. Imaginons que demain, on crée un organisme supranational qui chapeaute au niveau mondial les certifications. Son but serait d'éviter qu'un pays puisse s'approprier une certification (comme un régime autoritaire créant un MiTM), avec pour seule mission la sauvegarde et la sécurité des utilisateurs du réseau, au-delà du droit d'un pays.
Dans les faits, cet organisme ne verrait jamais le jour. Car pour fonctionner, il lui faudrait l'accord technique des entreprises qui contrôlent les navigateurs pour inclure sa certification racine. Si ces entreprises américaines décident de ne pas l'inclure, il n'y a plus aucune possibilité d'avoir une alternative viable. Aujourd'hui, par l'entremise de ces entreprises technologiques, les États-Unis ont un droit de veto technique sur le monde entier.
#Infosec #CyberSecurite #MastoSec #LetsEncrypt #PKI #SouveraineteNumerique #GouvernanceInternet #Geopolitique #Decentralisation
Afnic
Stéphane Bortzmeyer
out of bounds, anywhere out