C'est chouette de lire un article parfois (par opposition à des billets de moins de 500 mots). Qui n'est pas du domaine y apprend moult informations. Et ça ouvre à une foule de questions. Du genre, pourquoi est-ce que Let's encrypt a connu un tel succès, ou autrement formulé, où est le loup ? Combien ça coûte de fournir ainsi ces clefs de chiffrement, après tout la puissance de calcul des microprocesseurs et les débits des réseaux étant ce qu'ils sont de nos jours, ça ne doit pas être si lourd ? Ou pas ? Est-ce qu'envisager un service public pour une telle infrastructure qui paraît des plus routinières et indispensable ne serait pas envisageable ? etc, etc ?
Du genre, pourquoi est-ce que Let's encrypt a connu un tel succès, ou autrement formulé, où est le loup ?
Parce que c'est gratuit et sans paperasse. Je me suis penché sur l'usage d'autre chose, mais à chaque fois, je me retrouve à devoir gérer un secret de plus (clé d'api, login/pass), et ça rajoute de la complexité. Si demain, on me donne un truc comme lets encrypt mais sans avoir à m'enregistrer spécifiquement, ok, je basculerais. En attendant, non, je prends le chemin de moins résistance.
Combien ça coûte de fournir ainsi ces clefs de chiffrement, après tout la puissance de calcul des microprocesseurs et les débits des réseaux étant ce qu'ils sont de nos jours, ça ne doit pas être si lourd ?
Je sais que l'assoce fait plus que let's encrypt, et de ce que je vois, y a grosso modo 4/5 millions en salaires et co (pour 9 personnes), et presque 1 million en infra (rubrique 24, page 10 des papiers de 2024). Le reste, c'est soit des consultants (audit du code), soit du sponsoring, soit des gens payés par l'assoce en dehors des USA (3 personnes). 9 millions de rentrée d'argent en 2024, 8 millions de dépenses. Le tout en US$.
Combien ça coûte de fournir ainsi ces clefs de chiffrement, après tout la puissance de calcul des microprocesseurs et les débits des réseaux étant ce qu'ils sont de nos jours, ça ne doit pas être si lourd ?
Le gros du coup de revient d'une CA, ce n'est pas tant le computing, même si le matériel coûte cher (un HSM c'est ~10K€ pièce, il t'en faut à minima un par serveur de CA —let's encrypt fait de la cross-signature—, plus la redondance, plus les environnements de dev/qualif). Ce qui coûte vraiment cher, c'est le process et l'administratifs : reporting aux autorités, audits, cérémonies de clefs (à faire régulièrement), suivi de compliance, etc.
La paperasse, un truc notablement bien fait par un gouvernement.
Donc rien n’empêcherais d'avoir par un exemple un service publique pour ça, genre sur le TLD du pays uniquement. Ça coûterais sans doute moins cher que Let's encrypt vu que le logiciel existe déjà (donc maintenance partagé), et qu'il y a sans doute moins de trafic sur un TLD unique.
Ensuite, et peut être que je suis juste mal réveillé, on a pas de CA géré par l'état français dans Firefox, mais on a des tas de CA pour signer autre chose, donc on a les compétences pour opérer un HSM, et on a même l'industrie qui va avec (vu que Thales fait des HSM).
Et en fait, si on fait déjà une grande part du taf (à savoir la gestion d'une CA interne), qu'une autre part du taf est déjà fait (le code), et qu'il y a des bénéfices assez claires en termes d'indépendance et de souveraineté, ça me semble être peut être une bonne idée d'aller vers ça.
# Oh un article !
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 10 (+8/-0).
C'est chouette de lire un article parfois (par opposition à des billets de moins de 500 mots). Qui n'est pas du domaine y apprend moult informations. Et ça ouvre à une foule de questions. Du genre, pourquoi est-ce que Let's encrypt a connu un tel succès, ou autrement formulé, où est le loup ? Combien ça coûte de fournir ainsi ces clefs de chiffrement, après tout la puissance de calcul des microprocesseurs et les débits des réseaux étant ce qu'ils sont de nos jours, ça ne doit pas être si lourd ? Ou pas ? Est-ce qu'envisager un service public pour une telle infrastructure qui paraît des plus routinières et indispensable ne serait pas envisageable ? etc, etc ?
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: Oh un article !
Posté par Misc (site web personnel) . Évalué à 10 (+7/-0).
Parce que c'est gratuit et sans paperasse. Je me suis penché sur l'usage d'autre chose, mais à chaque fois, je me retrouve à devoir gérer un secret de plus (clé d'api, login/pass), et ça rajoute de la complexité. Si demain, on me donne un truc comme lets encrypt mais sans avoir à m'enregistrer spécifiquement, ok, je basculerais. En attendant, non, je prends le chemin de moins résistance.
Comme c'est une assoce à but non lucratif, il y a des comptes. Si tu parles anglais et que tu as le temps, je pense qu'il faut regarder la: https://projects.propublica.org/nonprofits/organizations/463344200
Je sais que l'assoce fait plus que let's encrypt, et de ce que je vois, y a grosso modo 4/5 millions en salaires et co (pour 9 personnes), et presque 1 million en infra (rubrique 24, page 10 des papiers de 2024). Le reste, c'est soit des consultants (audit du code), soit du sponsoring, soit des gens payés par l'assoce en dehors des USA (3 personnes). 9 millions de rentrée d'argent en 2024, 8 millions de dépenses. Le tout en US$.
[^] # Re: Oh un article !
Posté par aiolos . Évalué à 2 (+1/-1).
Puisque tu as l'air d'en avoir beaucoup lu, tu sais d'où viennent les 9M$ de rentrée ?
[^] # Re: Oh un article !
Posté par Misc (site web personnel) . Évalué à 6 (+3/-0).
Les sponsors sont listés sur leur rapport d'activités annuel aux pages 34 à 36. Ou ici. Les tarifs sont ici.
[^] # Re: Oh un article !
Posté par aiolos . Évalué à 3 (+1/-0).
Merci
[^] # Re: Oh un article !
Posté par aiolos . Évalué à 3 (+1/-0).
Le gros du coup de revient d'une CA, ce n'est pas tant le computing, même si le matériel coûte cher (un HSM c'est ~10K€ pièce, il t'en faut à minima un par serveur de CA —let's encrypt fait de la cross-signature—, plus la redondance, plus les environnements de dev/qualif). Ce qui coûte vraiment cher, c'est le process et l'administratifs : reporting aux autorités, audits, cérémonies de clefs (à faire régulièrement), suivi de compliance, etc.
[^] # Re: Oh un article !
Posté par Misc (site web personnel) . Évalué à 6 (+3/-0).
La paperasse, un truc notablement bien fait par un gouvernement.
Donc rien n’empêcherais d'avoir par un exemple un service publique pour ça, genre sur le TLD du pays uniquement. Ça coûterais sans doute moins cher que Let's encrypt vu que le logiciel existe déjà (donc maintenance partagé), et qu'il y a sans doute moins de trafic sur un TLD unique.
Ensuite, et peut être que je suis juste mal réveillé, on a pas de CA géré par l'état français dans Firefox, mais on a des tas de CA pour signer autre chose, donc on a les compétences pour opérer un HSM, et on a même l'industrie qui va avec (vu que Thales fait des HSM).
Et en fait, si on fait déjà une grande part du taf (à savoir la gestion d'une CA interne), qu'une autre part du taf est déjà fait (le code), et qu'il y a des bénéfices assez claires en termes d'indépendance et de souveraineté, ça me semble être peut être une bonne idée d'aller vers ça.
Envoyer un commentaire
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.