- \n
- Nginx : Chiffrement HTTPS et SSL<\/a><\/li>\n
- Nginx : Chiffrement HTTPS et SSL via une Autorit\u00e9 de Certification reconnue<\/a><\/li>\n<\/ul>\n
Dans le second article, je vous avais pr\u00e9sent\u00e9 StartSSL<\/a>, une autorit\u00e9 de certification qui offrait\u00a0un certificat de base gratuit.<\/p>\n
Malheureusement, suite \u00e0 une gestion calamiteuse de la distribution des certificats par la soci\u00e9t\u00e9 tierce WoSign, les diff\u00e9rents \u00e9diteurs de navigateurs ont d\u00e9cid\u00e9 de retirer la confiance aux certificats \u00e9mis par StartSSL.<\/p>\n
Apple \u00e9crit dans son billet du 5 d\u00e9cembre 2016<\/a> :<\/p>\n
L\u2019autorit\u00e9 de certification WoSign a rencontr\u00e9 de multiples probl\u00e8mes de contr\u00f4le dans ses processus d\u2019\u00e9mission de certificats pour la CA interm\u00e9diaire WoSign CA Free SSL Certificate G2. M\u00eame si aucune racine WoSign ne figure dans la liste des racines de confiance Apple, cette CA interm\u00e9diaire utilisait des relations de certificats sign\u00e9s de mani\u00e8re crois\u00e9e avec StartCom et Comodo pour se faire approuver sur les produits\u00a0Apple.<\/p>\n
\u00c0 la lumi\u00e8re de ces d\u00e9couvertes, nous avons pris des mesures pour prot\u00e9ger les utilisateurs dans une mise \u00e0 jour de s\u00e9curit\u00e9. Les produits\u00a0Apple ne se fient plus \u00e0 l\u2019autorit\u00e9 de certification interm\u00e9diaire WoSign CA Free SSL Certificate G2.<\/p><\/blockquote>\n
Firefox \u00e9crit dans son billet du 24 octobre 2016<\/a> :<\/p>\n
Mozilla a d\u00e9couvert qu’une autorit\u00e9 de certification appel\u00e9e WoSign a rencontr\u00e9 un certain nombre d’\u00e9checs techniques et de gestion. Tr\u00e8s s\u00e9rieusement, nous avons d\u00e9couvert qu’ils anti-dataient les certificats SSL afin de contourner la date limite du 1er janvier 2016 \u00e0 laquelle les CA devront cesser de d\u00e9livrer des certificats SSL SHA-1. En outre, Mozilla a d\u00e9couvert que WoSign avait acquis la pleine propri\u00e9t\u00e9 d’un autre CA appel\u00e9 StartCom sans le signaler<\/span>, comme l’exige la politique de Mozilla.<\/span> Les repr\u00e9sentants de WoSign et de StartCom ont ni\u00e9 et continu\u00e9 de r\u00e9futer ces deux all\u00e9gations jusqu’\u00e0 ce que des donn\u00e9es suffisantes aient \u00e9t\u00e9 recueillies pour d\u00e9montrer que les deux all\u00e9gations \u00e9taient correctes.<\/span> La malhonn\u00eatet\u00e9 affich\u00e9e par les repr\u00e9sentants de cette entreprise a conduit <\/span><\/span>Mozilla \u00e0<\/span><\/span> se m\u00e9fier des <\/span><\/span>futurs <\/span><\/span>certificats cha\u00een\u00e9s jusqu’\u00e0 l’actuel WoSign <\/span><\/span>inclus et les<\/span><\/span> certificats racines StartCom.<\/span><\/span><\/p><\/blockquote>\n
![\"\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2016\/12\/Letsencrypt-01-620x422.png\")
<\/a><\/p>\n- \n
- Mozilla et Google ont d\u00e9cid\u00e9 de se m\u00e9fier de tous les certificats racines StartCom \u00e0 partir du 21 octobre, cette situation aura un impact dans la prochaine version de Firefox et Chrome en janvier. La d\u00e9cision d’Apple annonc\u00e9e le 30 novembre de se m\u00e9fier de tous les certificats racines StartCom \u00e0 compter du 1er d\u00e9cembre aura un impact dans leur prochaine mise \u00e0 jour de s\u00e9curit\u00e9.<\/span><\/span><\/li>\n
- Les abonn\u00e9s qui ont pay\u00e9 les frais de validation apr\u00e8s le 21 octobre peuvent obtenir un remboursement complet sur demande.<\/span><\/span><\/li>\n
- StartCom fournira bient\u00f4t une solution provisoire et remplacera tous les certificats \u00e9mis le ou apr\u00e8s le 21 octobre en cas de demande.<\/span> Entre-temps, StartCom met \u00e0 jour tous les syst\u00e8mes et g\u00e9n\u00e8rera de nouveaux CA racines comme demand\u00e9 par Mozilla pour regagner la confiance dans ces navigateurs.<\/span><\/span><\/li>\n<\/ol>\n
![\"\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2016\/12\/Letsencrypt-02-98x175.png\")
<\/a>Concr\u00e8tement, les versions de Firefox et Chrome qui sortiront \u00e0 partir janvier n’accepteront plus les certificats sign\u00e9s apr\u00e8s les 21 octobre.<\/p>\nChez Apple, les nouvelles versions de Safari n’accepteront plus de se connecter aux sites dont le certificat a \u00e9t\u00e9 sign\u00e9 apr\u00e8s le 30 novembre 2016.
\nC’est d\u00e9j\u00e0 le cas de Safari inclus dans iOS 10.2.<\/p>\nLet’s Encrypt, l’alernative gratuite et open-source<\/h1>\n
![\"\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2016\/12\/Letsencrypt-03-620x125.png\")
<\/a><\/p>\nLet’s Encrypt<\/a> est une autorit\u00e9 de certification propuls\u00e9e<\/span> par l\u2019Internet Security Research Group<\/span> (ISRG) qui vise \u00e0 augmenter significativement la part de trafic HTTPS sur les sites web.<\/p>\n
Elle est soutenue par des t\u00e9nors d’internet comme : l\u2019Electronic Frontier Foundation<\/span> (EFF), la Fondation Mozilla, Akamai, Cisco Systems, PlanetHoster, OVH, …<\/p>\n
- Les abonn\u00e9s qui ont pay\u00e9 les frais de validation apr\u00e8s le 21 octobre peuvent obtenir un remboursement complet sur demande.<\/span><\/span><\/li>\n
- Nginx : Chiffrement HTTPS et SSL via une Autorit\u00e9 de Certification reconnue<\/a><\/li>\n<\/ul>\n
![\"\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2016\/12\/Letsencrypt-04-620x406.png\")
<\/a><\/p>\n