Deepseek, comme mentionné dans le contexte des applications d'IA et des vulnérabilités de sécurité, ne détaille pas explicitement ses étapes pour vérifier la signature numérique d'un certificat SSL. Cependant, sur la base des pratiques générales de vérification du certificat SSL, voici les étapes typiques qui seraient impliquées dans la vérification de la signature numérique d'un certificat SSL:
1. Obtenez la clé publique: le client (par exemple, un navigateur Web ou une application) obtient la clé publique de l'autorité de certificat (CA) qui a délivré le certificat SSL. Cette clé publique est généralement stockée dans un magasin de certificat de confiance au sein du client.
2. Décrypter la signature numérique: le client utilise la clé publique du CA pour décrypter la signature numérique attachée au certificat SSL. Cette signature numérique est un hachage du contenu du certificat, chiffré à l'aide de la clé privée de l'AC.
3. Générer un nouveau hachage: le client génère un nouveau hachage du contenu du certificat SSL (en particulier, la partie "à signer" du certificat) en utilisant le même algorithme utilisé par le CA.
4. Comparez les hachages: le client compare le hachage décrypté de la signature numérique avec le hachage nouvellement généré. Si les deux hachages correspondent, cela indique que le certificat n'a pas été falsifié et a en effet été signé par le CA.
5. Vérifier la validité du certificat: le client vérifie que le certificat SSL est valide et n'a pas expiré. Il vérifie également si le certificat a été révoqué en consultant une liste de révocation du certificat (CRL) ou en utilisant le protocole de statut de certificat en ligne (OCSP).
6. Vérifiez la chaîne de certificat: le client s'assure que le certificat SSL fait partie d'une chaîne de certificats valide, ce qui signifie qu'il est émis par un CA de confiance et tous les certificats intermédiaires sont valides et fiables.
7. Vérification du nom de domaine: le client vérifie si le nom de domaine du certificat SSL correspond au nom de domaine du site Web accessible. Cela garantit que le certificat est utilisé pour le domaine correct.
8. Vérification du magasin de fiducie: le client vérifie que la CA délivrant le certificat est incluse dans son magasin de fiducie. Si le CA n'est pas fiable, le certificat est considéré comme non valide.
Si Deepseek devait mettre en œuvre ces étapes, cela améliorerait considérablement sa sécurité en s'assurant qu'il se connecte aux serveurs légitimes et protège contre les attaques d'identité. Cependant, comme indiqué dans les résultats de la recherche, Deepseek a fait face à des problèmes liés à un manque de validation SSL appropriée, ce qui le rend vulnérable à de telles menaces [6].
Citations:
[1] https://apidog.com/blog/ssl-nertificate-verrification/
[2] https://sslinsights.com/what-are-digital-signatures-in-ssl-tls/
[3] https://help.deepsecurity.trendmicro.com/11_0/on-premise/digital-signature-check.html
[4] https://www.appdome.com/dev-sec-blog/ssl-certificate-validation-and-pinning/
[5] https://commandlinefanatic.com/cgi-bin/showarticle.cgi?article=art012
[6] https://www.appknox.com/blog/is-your-ai-app-safe-analyzing-deepseek
[7] https://brainsteam.co.uk/2025/2/12/ai-code-assistant-curl-ssl/
[8] https://www.keenformatics.com/manual-verifiants-an-ssl-certificate/