20090807: Vulnérabilité au caractère null dans les CN... ou pas!

Lors de la conférence Black Hat 2009, 2 chercheurs ont présenté leur recherches sur l'utilisation du caractère NULL dans le champ CN afin de tromper les navigateurs. Ils montrent en effet que tous les navigateurs, sauf Firefox 3.5, se laissent berner.

Une partie de leur théorie se base sur l'obtention d'un certificat d'autorité qui aurait ce caractère NULL. Cela reste à démontrer! VeriSign, Thawte et Comodo nous confirment que leurs systèmes n'émettent pas de certificats avec ce caractère... De même pour TBS X509.