Contexte juridique et économique
Le Bureau du contrôle des actifs étrangers (OFAC) a ajouté plusieurs institutions financières iraniennes à la liste des sanctions en 2023. Cette désignation interdit aux entreprises américaines, y compris les autorités de certification (CA) basées aux États-Unis, de fournir ou de renouveler des services de chiffrement aux entités sanctionnées. En pratique, les CA américaines doivent révoquer les certificats SSL déjà émis pour les domaines bancaires iraniens afin de respecter la réglementation.
Mécanisme de révocation des certificats SSL
La révocation s’appuie sur deux vecteurs standards du protocole TLS : les listes de révocation de certificats (CRL) et le protocole de statut de certificat en ligne (OCSP). Lorsqu’une CA retire un certificat, elle le publie dans une CRL mise à jour toutes les 24 heures et marque le statut « revoked » dans son serveur OCSP. Les navigateurs interrogent l’OCSP à chaque connexion TLS ; si le serveur répond « revoked », la chaîne de confiance est interrompue et la session est bloquée. La plupart des CA américaines ont automatisé ce processus, ce qui entraîne une propagation rapide de la révocation à l’échelle mondiale.
Conséquences techniques pour les services bancaires
Les sites web des banques iraniennes affichent désormais des erreurs de type NET::ERR_CERT_REVOKED ou SSL_ERROR_REVOKED_CERTIFICATE dans les navigateurs courants. Le trafic HTTPS est redirigé vers HTTP ou vers des solutions de contournement telles que les VPN. Cette rétrogradation expose les échanges à l’interception en clair, augmente la charge sur les infrastructures de filtrage et oblige les établissements à ré‑émettre des certificats via des CA non américaines, souvent auto‑signés ou délivrés par des fournisseurs hors juridiction OFAC. Les certificats auto‑signés ne sont pas reconnus par les navigateurs, ce qui oblige les utilisateurs à accepter manuellement les avertissements, un facteur de risque d’attaque de type man‑in‑the‑middle.
Limitations et perspectives
Le rapport source ne fournit pas de chiffres précis sur le nombre de certificats révoqués ni sur les délais de mise à jour des CRL. L’absence de données empêche d’évaluer l’impact exact sur le volume de trafic bloqué. De plus, la capacité des banques à migrer vers des CA non américaines dépend de la disponibilité de fournisseurs capables de délivrer des certificats compatibles avec les exigences de conformité locale. À moyen terme, les autorités iraniennes pourraient développer une infrastructure PKI souveraine, mais la transition nécessitera la mise à jour des navigateurs et des appareils mobiles pour accepter une nouvelle racine de confiance. En attendant, les utilisateurs restent exposés à des interruptions de service et à une réduction de la confidentialité des communications en ligne.
