La version HTTPS du site n'envoie pas toute la chaine de certificats
openssl s_client -connect linuxfr.org:443 -CApath /etc/ssl/certs
---
Certificate chain
0 s:/CN=linuxfr.org
i:/O=CAcert Inc./OU=http://www.CAcert.org/CN=CAcert Class 3 Root
---
HTTP Strict Transport Security, ou HSTS, est un brouillon de norme Internet qui propose une méthode pour augmenter la sécurité des sites web en apportant une solution à une faille courante située entre la chaise et le clavier.
Il s'agit pour les sites web sécurisés d'indiquer au navigateur qu'il doit systématiquement forcer l'accès en HTTPS.
J'ai déjà parlé de ce sujet ici, je vais donc faire très court.
Dans le journal précédent j'avais déjà parlé des certificats signé pour "localhost" ou autre nom non FQDN. Et bien voilà que le groupe de l'observatoire SSL de l'EFF arrive avec des nouvelles données intéressantes mais effrayantes.
Nos amis, les CA, ont tout simplement signé plus de 37'000 certificats SSL valides ayant des noms bidons. Par exemple, ils ont trouvé 806 certificats ayant comme (…)
Chaque fois qu'on parle de sécurité sur le Web, voir sur Internet, SSL est très souvent la réponse. Ce protocole permet de sécurisé les communications avec des algorithmes de chiffrement évolués que je ne peux contester, je n'en ai pas les connaissances.
Par contre ce que je peux contester, c'est l'architecture basée sur un tiers de confiance. En effet, le SSL repose sur une entité en qui on doit la pleine et entière confiance afin de transmettre nos messages (…)
Salut,
Je me demande bien pourquoi les fils Atom que je chope sur httpS://linuxfr.org/ me renvoie vers des liens du type http://linuxfr.org/
Il existe sûrement des solutions du type HTTPS Everywhere, mais je m'étonne de devoir moi-même faire ce tweak sur un site de geeks.
Un récent article de Rue89 nous informe que Microsoft a permis à la Tunise de Ben Ali d'espionner les comptes Google et Facebook de ses ressortissants !
Petit résumé de l'histoire : tout commence par du phishing, mis en place par le gouvernement de Ben Ali, afin de récupérer des mots de passe (comptes GMail, ...) de ses ressortissants. Pour éviter cela, Google décide d'obliger les Tunisiens à accéder à GMail via https, de façon à leur garantir qu'ils arrivent (…)