Java et d’autres systèmes peuvent nécessiter des correctifs distincts
Selon Sakshi Grover, directeur de recherche chez IDC, le remplacement du certificat d’un site Web ne résoudra peut-être pas toutes les dépendances d’un environnement d’entreprise. Elle a déclaré que l’exposition résiduelle réside dans les systèmes qui maintiennent leurs propres magasins de confiance et ne se mettent pas à jour selon le même calendrier que les navigateurs. Ceux-ci incluent les magasins de clés Java, les environnements d’exécution de langage, les images de conteneurs, les configurations TLS mutuelles, les proxys, les équilibreurs de charge, les appareils VPN et de sécurité et les appareils intégrés.
« Le constat le plus difficile pour de nombreuses organisations sera qu’elles ne peuvent pas du tout répondre à ces questions », a déclaré Grover, faisant référence aux endroits où les décisions de confiance en matière de certificats sont prises en dehors des navigateurs et des systèmes d’exploitation.
Grover a noté que Google a signalé n’avoir trouvé aucun certificat lié aux intermédiaires concernés dans les journaux de transparence des certificats avant qu’ils ne soient bloqués. Elle a déclaré que c’était rassurant pour les clients qui appliquent la transparence des certificats, mais ce n’est pas le cas de certaines applications et appareils autres que les navigateurs. L’exploitation nécessiterait également qu’un attaquant soit positionné pour intercepter le trafic, a-t-elle déclaré, décrivant le risque restant comme limité et ciblé plutôt que large.
