Sécurité : PGP s'emmêle les clés

Ralf Senderek, ingénieur allemand en cryptologie, a découvert une faille de sécurité http://senderek.de/security/key-experiments.html dans Pretty Good Privacy, outil de codage des e-mails de Network Associates (7 millions d'utilisateurs dans le monde). Le problème touche les versions 5.5 à 6.5.3 du logiciel. Il réside dans les Additional Description Keys (ADK), des clés non-signées qui peuvent être utilisées par les forces de l'ordre pour décrypter des messages. Ces ADK pourraient être modifiées à l'insu de l'utilisateur par un pirate chevronné, qui pourrait ensuite intercepter et lire à sa guise les messages protégés.

Network Associates assure qu'aucun utilisateur n'a encore été touché par cette faille et que les serveurs de clés publiques ne comportaient aucune clé trafiquée. L'éditeur a mis en ligne un utilitaire http://www.pgp.com/other/advisories/adk.asp qui scrute les clés de l'utilisateur et répare celles qui auraient été modifiées.