Lien La croissance phénoménale de Let's Encrypt pourrait poser des problèmes (SPOF)
24
avr.
2018
Forum Astuces.divers Petit challenge du dimanche... Auto-hébergement, IPV6, Freebox et Lets Encrypt
25
fév.
2018
Bonjour à tous et bon gromanche !
je me trouve face a une difficulté avec Let's Encrypt et ma freebox. J'ai un petit serveur auto-hébergé à la maison derrière un nom de domaine .freeboxos.fr offert gracieusement par free.
J'ai donc un enregistrement A et, à ma grande surprise, un enregistrement AAAA pointant vers ma freebox, associés à mon sous-domaine .freeboxos.fr
Quand j'essaie de renouveler mon certificat Let's Encrypt, depuis que le serveur ACME (si je dis pas de bêtise) a une (...)
Journal Letsencrypt désactive l'authentification tls-sni
19
jan.
2018
Let's Encrypt (LE) est une autorité de certifications qui a bousculé l’écosystème en fournissant gratuitement des certificats SSL reconnus par la plupart des navigateurs.
Ces certificats ont une durée de validité assez courte (quelques mois), mais des scripts permettent de les générer et de les renouveler automatiquement.
Pour obtenir ou renouveler un certificat il faut réussir à démontrer que le demandeur est bien le propriétaire du nom domaine rattaché au certificat.
Pour se faire il existait trois méthodes (challenges):
-
Challenge (...)
Journal Vérification des certificats X.509 sur le point d'expirer
3
jan.
2018
Comme beaucoup, j'utilise Let's Encrypt.
J'ai pas mal automatisé le renouvellement avec acme-tiny, mais il me manque surtout le petit truc qui me dit quand le certificat n'est plus valide. Et si possible, avant que ça arrive.
C'est là : https://framagit.org/Glandos/lets_check
C'est simple. Éditez le script pour y mettre votre délai en jours, et vos noms d'hôtes, et lancez-le. S'il y a un problème, ça l'écrit. Si tout va bien, rien n'est écrit. C'est donc tout à fait (...)
Forum général.général Let's Encrypt est-il adéquat?
27
déc.
2017
Bonjour,
je viens chercher vos avis après la mise en place de certificats signés par Let's Encrypt sur une machine, chez moi.
Je me pose la question: est ce que ce certificat apporte vraiment plus de sécurité?
L'obtention du certificat est automatisée, quiconque contrôle mon domaine peut créer ce certificat (ou le renouveler?). Cela pourrait être:
- Mon fournisseur de nom de domaine
- Mon FAI
- Quelqu'un sur mon réseau ayant accès à ma box
- Quelqu'un sur mon (...)
Journal Let's Encrypt, OVH et la sécurité
27
juil.
2017
Bonjour Nal,
Depuis quelques temps, OVH permet à tout leurs clients d'avoir des certificats SSL gratuits grâce à Let's Encrypt. C'est automatisé, y'a rien à faire, et c'est bien!
Mais quel est l'intérêt si pour envoyer des fichiers sur mon hébergement, je n'ai aucune sécurité? En effet, depuis toujours, les hébergements Perso n'ont qu'un simple accès FTP, avec mot de passe non chiffré.
Pour Héberger mon blog, je n'ai pas besoin de 250 Go d'espace, ou de 100 comptes (...)
Firefox 50 Cent
17
nov.
2016
La 50e version majeure de Firefox est sortie le 15 novembre 2016.
Raccourcis claviers, démarrage plus rapide, Emojis, Let’s encrypt, 27 failles corrigées mais aussi des projets plein la tête !
Design par Jeferson « wsaconato », sans licence explicite.
- Notes de la version de bureau (427 clics)
- Notes de la version mobile pour Android (108 clics)
- Notes de version pour développeurs (97 clics)
- Nouveautés WebRTC de cette version (146 clics)
- Précédente dépêche, pour la version 49 (109 clics)
- Firefox 50 Site Compatibility (85 clics)
- Failles de sécurité corrigées dans Firefox 50 (98 clics)
Forum Linux.général Let's encrypt et plusieurs serveurs sur la même IP
6
nov.
2016
Je cherche un moyen de certifier des certificat TLS avec cette m…. de Let's encrypt.
Trois serveurs se trouvent sur la même IP publique et un seul des trois (qu'on nommera server1) occupe les ports publique 80/443.
Donc la grande question : comment certifier les certificat de server2 et server3 alors que let's encrypt ne permet PAS de choisir d'autres ports que les deux principaux des 4 ports web (car oui, même 8080 et 8443 ne sont pas autorisé, oh (...)
Forum général.général Let's Encrypt en prod en entreprise
21
sept.
2016
Salut
Je récupère l'administration d'un serveur web (2-3 sites Wordpress).
Ma première tâche va être d'activer HTTPS.
Réduction des coûts oblige, je regarde Let's Encrypt.
Je m'interroge sur la pertinence d'utiliser ces certificats.
Oui, ils sont gratuits, mais limités à 90 jours.
Il faut donc les renouveler régulièrement, ce qui implique des coûts d'exploitation, soit pour le renouvellement manuel, soit pour l'exploitation du script d'automatisation.
Finalement, autant payer quelques dizaines d'euros et être tranquille pendant deux ans.
Des avis ?
Merci.
Journal Créer des certificats avec ACME/Let's Encrypt et des vérifications DNS
18
août
2016
Cher journal,
Voici une petite introduction à mon nouvel petit outil acme-dns-tiny qui me permet de demander à mon autorité de certification préférée de signer un certificat TLS automatiquement suite à des vérifications de ressources DNS et au moyen du protocol ACME.
L'outil a été crée depuis le projet père acme-tiny qui permet de faire la même chose, mais par vérification de liens HTTP.
Le but principal était de pouvoir créer des certificats sans avoir à perturber les services (...)
Journal Le Directeur général de Comodo à propos de la marque déposée "Let's Encrypt"
24
juin
2016
Il semblerait que Comodo essaye de récupérer la marque "Let's Encrypt"
https://letsencrypt.org//2016/06/23/defending-our-brand.html
Sur le Forum de la boîte, le Directeur général se défend, et c'est assez fou:
"Why are they copying our business model of 90 day free ssl is the question!"
En gros, ils leur reprochent d'avoir choisi une durée de vie de 90 jours pour leurs certificats arguant que c'était une innovation de Comodo:
- "We invented the 90 day free ssl"
- "So they are admitting they (...)
Journal Petites news dans le monde des autorités de certifications
18
juin
2016
Problème de sécurité chez letsencrypt
En début de semaine, mauvaise nouvelle chez Letsencrypt… Ils ont laissé fuiter 7 618 adresses mails de leurs utilisateurs (pas plus, pas moins). Soit 2,0% de leurs clients (et non 1,9% comme le montre leur annonce !). C'est le premier incident de sécurité dont j'ai entendu parler pour Letsencrypt, mais leur site communautaire montre qu'il y en a eu d'autres.
https://community.letsencrypt.org/t/email-address-disclosures-june-11-2016/17025
Nouveau nom du client letsencrypt
Le client letsencrypt se nomme dorénavant, certbot. L'objectif est de laisse (...)
Les temps sont durs chez TuxFamily.org
1
avr.
2016
Dans un courrier envoyé à l'ensemble de ses hébergés, TuxFamily.org propose une approche novatrice pour promouvoir les mises à jour de vos sites web hébergés, notamment du point de vue des failles de sécurité corrigées dans des versions plus récentes des produits que vous avez mis en ligne.
TuxFamily.org est un hébergeur de projets libres proposant des gestionnaires de version pour le code (git, svn… même si certains sont encore sur cvs o_O), espace web permettant de mettre en place forum / wiki / CMS / ce que vous voulez, espaces de téléchargement de 1 Go mais pouvant être augmenté à la demande.
À ce titre, l'équipe de joyeux mythos^W^W^Wde modérateurs et admins dévoués de TuxFamily veut mettre en place dans les prochains jours un système rappelant les bienfaits d'avoir un site à jour avec votre CMS / framework préféré, dans un contexte d'état d'urgence pour éviter les failles qui traîneraient dans de vieilles versions.
À titre expérimental, un exemple est donné sur certains sites sélectionnés(*) avant un déploiement plus général : vous avez de l'ordre d'un mois pour actualiser, avant mise en place effective. Sinon, vous aurez à subir la présence (l'omniprésence) de la trombine d'un des membres de l'équipe si votre site n'a pas été mis à jour : concrètement, elle apparaîtra sur toutes les pages de votre site et suivra le curseur de votre souris (oui, oui, c'est joueur).
Que pensez-vous de cette initiative ?
- mytho : franchement, ce n'est fait que pour mettre en avant l'équipe !
- logique : pour promouvoir la sécurité, il faut savoir en arriver à des mises en abîme
- vous croyez vraiment que je vais mettre à jour mon site qui fonctionne très bien en python 2.4 ? (vécu)
- hein, TuxFamily.org existe encore alors que tout le monde est sur github^Wgitorious voire auto-hébergé !?
- autre : les commentaires sont là pour donner votre avis (même si vous n'êtes pas hébergé(e))
- Site de TuxFamily.org (419 clics)
- Les coupables^Wmembres de l'équipe fournissant les services (175 clics)
- Les recommandations d'hygiène de sécurité sur TuxFamily.org (117 clics)
- Le forum d'entraide collaborative entre hébergés de TuxFamily.org (47 clics)
- Un exemple des « dégâts » sur un site ami (ami) (360 clics)
- Quelques méthodes et bonnes pratiques recommandables (faites tourner !) (111 clics)
- Exhaustivité des possibilités en libre service chez TuxFamily.org (58 clics)
Reparlons de Let’s Encrypt
24
fév.
2016
Let’s Encrypt est une autorité de certification fournissant gratuitement des certificats de type X.509 pour TLS. Dans le dernier journal où il était question de Let’s Encrypt, des commentateurs ont demandé des retours d’expérience :
On est sur LinuxFr.org, moi je t’aurais surtout demandé « Comment ? ». J’ai l’intention de m’y mettre aussi, mais je n’ai pas encore franchi le pas et j’aimerais avoir des retours d’expérience.
En effet, y a largement matière à s’étendre sur l’utilisation de Let’s Encrypt. Cette dépêche est donc un ensemble pas forcément cohérent de réflexions sur des points divers et variés (sans aucune prétention à l’exhaustivité), agrémentées d’un peu de « retours d’expérience » et de conseils (qui valent ce qu’ils valent).
Convention : « Let’s Encrypt » (en deux mots) désignera l’autorité de certification délivrant des certificats par l’intermédiaire du protocole ACME (« Automatic Certificate Management Environment »), tandis que « Letsencrypt » (en un seul mot) désignera le client ACME officiel.
- Journal à l’origine de la dépêche (324 clics)
Journal Reparlons de Let’s Encrypt
23
fév.
2016
Ce journal a été promu en dépêche : Reparlons de Let’s Encrypt.
Dans le dernier journal où il était question de Let’s Encrypt, des commentateurs ont demandé des retours d’expérience :
On est sur Linuxfr, moi je t'aurais surtout demandé "Comment ?". J'ai l'intention de m'y mettre aussi mais j'ai pas encore franchi le pas et j'aimerais avoir des retours d'expérience.
L’auteur du journal a répondu que Let’s Encrypt était « suffisamment simple d’utilisation pour qu’il ne soit pas nécessaire [de s’]étendre sur le sujet. »
Je disconviens respectueusement. Questions à se poser, pièges (...)