Sommaire
- Qu'est-ce qu'un certificat ?
- Je ne vois pas le problème
- Quoi faire ?
- Le cas de Let's Encrypt
- Au final…
Un autre article publié initialement sur mon site, sur un sujet qui me tient particulièrement à cœur, et pour lequel j'espère avoir des avis.
Les certificats font régulièrement la une de l'actualité informatique ces derniers temps. Ces petits fichiers ne contenant que du texte et valant leur poids (en kilo-octets) en dollars, sont censés être les garants de notre sécurité sur Internet. Mais en simplifiant leur mise en oeuvre nous avons ouvert une brèche. Une brèche dans un élément crucial de la chaîne de sécurité.
Qu'est-ce qu'un certificat ?
Un certificat est un "simple" fichier texte. La suite de caractères qu'il contient sert à chiffrer des données. Pour le commun des mortels, cela signifie simplement que le numéro de carte bancaire qu'ils transmettent à un site tiers se fait de façon sécurisée, sans bien sûr comprendre tout ce que cela implique sur le plan technique.
Dans la pratique, un certificat doit être signé, validé, par une autorité de certification. Il en existe un certain nombre, et il s'agit simplement d'un organisme habilité à émettre un certificat racine.
Ce certificat racine est généralement présent au sein du système d'exploitation ou du navigateur web, dès son installation. C'est la partie publique d'une chaîne de chiffrement, dont la clé privée est - normalement - jalousement gardée par l'autorité de certification.
Le but de ce certificat racine est notamment de s'assurer que les sites Internet que l'on visite sont effectivement sécurisés, et que la chaîne de confidentialité ne soit pas brisée, c'est-à-dire, que personne ne se soit intercalé entre le site en question et le visiteur.
Je ne vois pas le problème
Il n'y a pas eu de raison de douter de ce fonctionnement, jusqu'à ce qu'on trouve un certificat racine vérolé. Ce n'était qu'une question de temps de toute façon. D'après la Wikipédia:
Le système de certificats ne présente pas de vulnérabilité technique théorique sous réserve que toutes ses étapes soient correctement implémentées.
"[..]sous réserve que[..]". C'est toujours inquiétant de lire ça. Surtout quand on parle de certificats racines.
Concrètement, les certificats racines et les autorités de certification posent plusieurs problèmes, selon moi.
Les coûts prohibitifs
Un certificat coûte au minimum une centaine d'euros. Quelques exemples de premiers prix:
- 349 euros chez Symantec
- 179 euros chez GlobalSign
- 99 euros chez Thawte
Ces prix sont par an. Pour un fichier texte qu'on peut générer à la maison.
L'insouciance
C'est aussi à force d'œuvrer à la simplification de l'informatique qu'on scie la branche sur laquelle on est assis. Ce qui pousse les éditeurs de sites Internet à acheter un certificat, c'est l'insouciance induite chez les visiteurs.
Avant d'arriver sur ce blog, vous avez fait face à une fenêtre vous informant de l'invalidité de mon certificat. En réalité, mon certificat est tout à fait valide. Il n'est juste pas signé par une autorité de certification racine, dont les certificats racines sont dans votre navigateur.
Pour un visiteur non technicien, cette page fait peur. Ce n'est évidemment pas vendeur. Du coup, les éditeurs se tournent vers des autorités de certification pour que la visite de leur site ne soit pas entachée de cet avertissement.
Le fameux avertissement
Lors d'une session sécurisée, le serveur réclame un certificat que le navigateur est censé trouver dans sa "base de certificats". S'il n'en dispose pas, il demande à l'utilisateur s'il veut réellement accepter le certificat émis pas le serveur. Sauf s'il est signé par une autorité de certification qui dispose d'un certificat racine inclus dans le navigateur ou le système d'exploitation.
L'autre cas où le navigateur demande à l'utilisateur s'il veut réellement accepter le certificat, c'est lorsque le certificat attendu diffère de celui déjà dans la base de certificats du client.
Le problème, c'est qu'un certificat peut tout à fait être légitime, sans pour autant être signé par une autorité de certification racine. Dès lors, le ton pris par le navigateur pour avertir l'utilisateur que le certificat du serveur est invalide est légèrement hautain, voire dédaigneux, semble-t'il à la botte des autorités de certification racines et de leurs dollars bien mal acquis.
Quoi faire ?
Je tourne sous Debian. Les certificats racines sont installés par le paquet ca-certificates. Il est impossible de le supprimer car bon nombre d'autres paquets dépendent de lui, chose que j'ai peine à expliquer.
# apt-cache showpkg ca-certificates
Package: ca-certificates
[...]
Reverse Depends:
wordpress,ca-certificates
openssl,ca-certificates
0install-core,ca-certificates
wordpress,ca-certificates
wget,ca-certificates
w3m,ca-certificates
ubuntu-dev-tools,ca-certificates
python-txaws,ca-certificates
sympa,ca-certificates
sylpheed,ca-certificates
ssh-import-id,ca-certificates
software-properties-common,ca-certificates
sendmail-base,ca-certificates
rubygems-integration,ca-certificates
ruby-webmock,ca-certificates
ruby-excon,ca-certificates
python3-requests,ca-certificates
python-requests-whl,ca-certificates
python-requests,ca-certificates
libqt4-network,ca-certificates
libqca2,ca-certificates
python3-urllib3,ca-certificates
python-urllib3-whl,ca-certificates
python-urllib3,ca-certificates
python3-tornado,ca-certificates
python-tornado,ca-certificates
python3-pip,ca-certificates
python-pip,ca-certificates
python3-httplib2,ca-certificates
python-httplib2,ca-certificates
libpurple0,ca-certificates
php-guzzlehttp-ringphp,ca-certificates
php-guzzle,ca-certificates
osc,ca-certificates
openssl,ca-certificates
libopenconnect3,ca-certificates
nodejs-dev,ca-certificates
libneon27-gnutls,ca-certificates
mutt,ca-certificates
msmtp,ca-certificates
mew-beta-bin,ca-certificates
mew-bin,ca-certificates
mercurial-common,ca-certificates
libwww-perl,ca-certificates
liblwpx-paranoidagent-perl,ca-certificates
liblwp-protocol-https-perl,ca-certificates
libio-socket-ssl-perl,ca-certificates
libhttp-tiny-perl,ca-certificates
libgwenhywfar-data,ca-certificates
lava-dev,ca-certificates
kdelibs5-data,ca-certificates
igtf-policy-unaccredited,ca-certificates
igtf-policy-slcs,ca-certificates
igtf-policy-mics,ca-certificates
igtf-policy-iota,ca-certificates
igtf-policy-experimental,ca-certificates
igtf-policy-classic,ca-certificates
php-google-api-php-client,ca-certificates
gnustep-base-common,ca-certificates
glib-networking-tests,ca-certificates
gajim,ca-certificates
freeradius,ca-certificates
fetchmail,ca-certificates
esniper,ca-certificates
epiphany-browser,ca-certificates
libcurl3-nss,ca-certificates
libcurl3-gnutls,ca-certificates
libcurl3,ca-certificates
ca-certificates-java,ca-certificates 20121114
python-bzrlib,ca-certificates
boinc-client,ca-certificates
balsa,ca-certificates
aria2,ca-certificates
Mais c'est l'idée: j'aimerais supprimer tous les certificats racines de ma machine (on peut les supprimer un à un du navigateur ceci-dit).
Vous l'aurez compris: cela impliquerait que la première visite sur chaque site sécurisé que je fréquente soit précédée du message d'avertissement sus-cité. Un certificat à vérifier et à valider une fois pour toutes - normalement - et par site.
Je pense sincèrement qu'il s'agit là de la solution la plus raisonnable: forcer l'utilisateur à vérifier la chaîne de sécurité lors de sa première connexion à un site sécurisé. Ça prend quelques secondes, et peut éviter de grands problèmes.
Par ailleurs, cette page d'avertissement devrait être nettement moins agressive. Par exemple, parler de certificat inconnu lors de la première visite, plutôt que de certificat invalide, et opter pour une mise en page évoquant l'information plutôt que l'avertissement. Et parler de changement de certificat lorsqu'on visite un site dont le certificat ne correspond plus à celui déjà accepté auparavant, en optant cette fois pour la mise en page traditionnelle, afin d'avertir l'utilisateur que, cette fois, il y a danger. Peut-être même afficher directement le certificat au lieu de devoir l'afficher dans une boîte de dialogue.
En tout cas, je recommande plus que chaudement de générer soi-même ses propres certificats, avec sa propre autorité de certification, et déployer ses propres certificats "racines" dans les navigateurs qu'on utilise. C'est probablement coûteux en temps et en argent en entreprise, et présente sûrement peu d'intérêt pour un petit réseau à la maison (encore que…), mais qu'en serait-il du prix d'un dérapage incontrôlé ?
Le cas de Let's Encrypt
En ce qui concerne le prix des certificats, il y a des solutions alternatives, et notamment Let's Encrypt qui déchaîne les passions. Sur le papier, c'est alléchant puisque Let's Encrypt permet de se procurer gratuitement des certificats signés par une autorité de certification racine. Donc pas de message d'avertissement dans le navigateur, et un cadenas vert pour rassurer l'utilisateur.
Pourquoi ce n'est pas aussi bien que ce qu'on croit
En ce qui me concerne, je vais passer pour un paranoïaque comme d'habitude, mais j'ai tendance à ne pas faire confiance à un tiers, au moins pour ce genre de choses. D'autant qu'on peut parfaitement faire ses propres certificats à la maison, tout aussi gratuitement.
Ma crainte me parait justifiée, en particulier quand on voit les sponsors de Let's Encrypt. Personnellement, j'ai du mal à admettre que l'EFF puisse être sponsor des mêmes initiatives que facebook (est-il nécessaire de préciser pourquoi ?) ou Cisco (connue pour ses backdoors dans ses routeurs). Et voir ces entreprises s'immiscer dans un projet de la Linux Foundation me laisse tout aussi perplexe, mais c'est un autre débat.
Au final…
Au final, je ne vois qu'un changement de philosophie vis-à-vis des certificats racines pour améliorer les choses. Je considère désormais chaque certificat racine comme une potentielle backdoor, permettant de faire tout et surtout n'importe quoi, sans le moindre contrôle de l'utilisateur. On place notre confiance dans des entreprises financées notamment par ces certificats. C'est contraire aux principes d'un Internet ouvert et décentralisé. Contraire même au principe de sécurité le plus élémentaire: ne jamais céder cette dernière à un tiers. Enfin, c'est une preuve de notre oisiveté qui tend à privilégier le confort à la sécurité.
# Approximations
Posté par ianux (site web personnel, Mastodon) . Évalué à 10. Dernière modification le 31 janvier 2016 à 18:08.
Un certificat de base, c'est 10 balles chez Gandi : https://www.gandi.net/ssl/grid?lang=fr. Le prix que tu donnes me parait plutôt concerner un certificat wildcard (*.mondomaine.com).
Tous les softs et bibliothèques qui supportent une connexion SSL/TLS en dépendent, c'est logique. Tu réduis l'utilité des certificats à un petit cadenas vert dans un navigateur mais c'est un peu plus que ça.
[^] # Re: Approximations
Posté par Richard Dern . Évalué à -3.
Un cadenas vert dans un navigateur ou l'acceptation transparente d'une connexion https en console, il n'y a pas vraiment de différence pour moi.
[^] # Re: Approximations
Posté par SaintGermain . Évalué à 7.
Copié-collé de mon journal il y a 6 mois :
Personnellement ma position sur le sujet c'est qu'apparemment ce mécanisme de livraison de certificats SSL est bancal à la base mais que pour l'instant il n'y rien d'utilisable qui soit mieux (mais beaucoup de concepts « en cours »).
Donc quitte à prendre un truc bancal, autant prendre celui qui est gratuit (Let's Encrypt ou autre) et attendre quelque chose de mieux ET d'utilisable.
[^] # Re: Approximations
Posté par Richard Dern . Évalué à -3.
Chez Thawte, l'exemple le moins cher que je donne, le certificat à 99 euros est pour un domaine unique avec une garantie de $500'000. Chez Gandi, c'est 72 euros avec une garantie de $250'000 d'après les grilles tarifaires. Donc a priori, les tarifs sont équivalents en réalité.
[^] # Re: Approximations
Posté par SaintGermain . Évalué à 4.
Tiens c'est intéressant comme argument. Est-ce que cela marche vraiment ces histoires de garanties/assurances ?
Est-ce que quelqu'un a déjà essayé de se faire rembourser/dédommager pour donner un témoignage réel ?
J'ai un peu peur que ce soit du pur marketing qui ne marche jamais en pratique…
[^] # Re: Approximations
Posté par Tonton Benoit . Évalué à 6.
C'est surtout qu'il faut que la responsabilité vienne de l'autorité de certification et pouvoir de prévaloir d'un préjudice financier chiffré.
Bref ça n'arrive pas tous les jours !
# What's the point ?
Posté par Doc.who . Évalué à 5.
C’est pas le terme qui me vient à la lecture de ton journal.
Je dirai plutôt :
inconscient.
Toi aussi ami, fasciste, réactionnaire, néo-nazi, antisémite, défenseur du patronat persécuté, viens rencontrer tes amis sur Linuxfr pour combattre cette engeance gauchiste islamophile qui viole ta femme, mange ton bébé et pratique la sodomie.
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à 1.
Pourquoi inconscient ?
[^] # Re: What's the point ?
Posté par Doc.who . Évalué à 10. Dernière modification le 31 janvier 2016 à 18:38.
Parce qu’à un moment donné dans le jusqu’au-boutisme, ne pas accorder sa confiance à quelqu’un d’autre en croyant pouvoir tout faire soi-même en mieux c’est une démarche très naïve. En l’occurrence c’est du grand n’importe quoi.
1/ Ça me fait une belle jambe de voir que ton site est signé quand je m’y connecte : je n’ai pas plus moyen d’authentifier ton certificat que ton site.
2/ Refuser de faire confiance aux tiers ad-hoc, pour finir par accepter les certificats à l’aveugle, c’est space comme logique.
Toi aussi ami, fasciste, réactionnaire, néo-nazi, antisémite, défenseur du patronat persécuté, viens rencontrer tes amis sur Linuxfr pour combattre cette engeance gauchiste islamophile qui viole ta femme, mange ton bébé et pratique la sodomie.
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à -2.
2/ Refuser de faire confiance aux tiers ad-hoc, pour finir par accepter les certificats à l’aveugle, c’est space comme logique.
C'est là toute l'idée: ne pas accepter de certificat à l'aveugle, même s'ils sont signés par une autorité de certification.
[^] # Re: What's the point ?
Posté par FreeFax . Évalué à 10.
Et concrètement, comment fait-on pour ne pas accepter les certificats "à l'aveugle" ? On décroche son téléphone pour appeler le gérant du site et lui demander si c'est bien son certificat ? Mais comment fait-on pour être sûr d'avoir la bonne personne au bout du fil ? On le rencontre physiquement ? Mais est-il bien celui qu'il prétend être ? C'est un problème sans fin, fatalement tu devras faire confiance à un tiers qui te confirmera que c'est bien lui.
Je trouve le raisonnement un peu bancal. C'est comme si tu disais que tu aurais moins confiance en l'identité d'une personne qui te présente son passeport (fait par un tiers : l'état en question) qu'en une autre personne qui s'est contentée d'écrire son nom à la main sur un bout de carton…
Après oui, c'est vrai, certains autorités de certification se sont mal comportées par le passé, et pas forcément très loin de chez nous… Moi, je fais confiance aux personnes qui gèrent ma distrib et mon navigateur (et qui s'y connaissent sûrement bien mieux que moi) pour dégager les certificats douteux. Est-ce que je devrais leur faire confiance ? De toute manière, je leur fais déjà confiance (et toi aussi) : ce sont eux qui compilent tous les paquets installés sur mon PC…
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à 2.
Mon raisonnement c'est qu'à l'heure actuelle, si quelqu'un te montre un passeport en carton mais que l'État te dit qu'il est valide, tu l'accepte dans la joie et la bonne humeur, sans même chercher à comprendre.
Au moins, s'il y a une étape de validation systématique, c'est de ta responsabilité d'accepter un passeport en carton.
[^] # Re: What's the point ?
Posté par pasBill pasGates . Évalué à -1.
Ton raisonnement n'en est pas un.
Au mieux tu ne comprend rien à ce que tu fais, au pire tu es totalement déconnecté de la réalité. Tu préfères quoi ?
Tu penses sérieusement que ta grand-mère a la possibilité de vérifier les certificats ? Tu prends du LSD tous les jours c'est ça ?
Même toi tu n'as pas la capacité de le faire proprement et régulierement, bref, ravales ta prose, réfléchis un peu plus de 30 secondes, et aies l'humilité de te demander pourquoi tout le monde dans l'industrie informatique pense différemment de toi.
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à -2.
Et toi tu penses sérieusement que ta grand mère vérifie systématiquement que sa connexion est sécurisée avant de balancer ses infos sensibles n'importe où ? Nos grand-mères ne savent pas ce qu'est le HTTPs ni une connexion sécurisée.
Au moins ce que je propose a le mérite d'informer et de réclamer une action de l'utilisateur, et, présenté correctement, peut l'amener à réfléchir au lieu de faire n'importe quoi et cliquer n'importe où sans savoir à quoi s'attendre.
Tu as raison, Tor, bittorrent, bitcoin, etc. n'ont pas été créés par des gens pensant différemment des autres.
[^] # Re: What's the point ?
Posté par groumly . Évalué à 10.
Le probleme c'est que les utilisateurs n'ont pas les moyens de prndre une decision qui tiennent la route.
Les forcer a prendre cette decision, ca revient a les faire cliquer sur "oui, d'accord, j'accepte", ce qui revient en pratique a remettre tout le monde sur du http.
Tu preferes quoi, que certains utilisateurs a la marge soient vulnerables, ou que 99.99% des utilisateurs soient vulnerables?
Sans compter que comme dit ailleurs, ca se limite pas au web ton histoire, apple a sorti app transport security sur ios 9 pour une bonne raison. Dans ce contexte, exiger d'approver un cert, c'est du grand delire.
Ta grand mere, elle va peut etre pas verifier qu'elle est sur du https a chaque fois, mais elle peut facilement:
- verifier si la barre d'url est verte
- ne pas rentrer d'infos perso sur un site des bois quand son browser ne la laisse meme pas voir la page
Ca c'est accessible maintenant, facile a mettre en place, et en poussant https absolument partout dans les clients, c'est beaucoup plus raisonable que d'exiger de tout un chacun de comprendre les tenants et aboutissants d'un truc comme tls.
Le nombre d'informaticiens qui ne comprennent pas tsl et la secu qui tourne autour est deja alarmant, tu crois vraiment que le quidam moyen va y comprendre qq chose?
Linuxfr, le portail francais du logiciel libre et du neo nazisme.
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à -2.
Donc si je comprends bien, pour toi, un site avec un certificat auto-signé est forcément un "site des bois", et en plus on laisse le navigateur décider pour nous si on doit y accéder.
Un logiciel qui décide pour nous ce qui est bien ou pas pour nous.
Personnellement, je préfère qu'on me laisse le choix. Qu'on m'informe dans un premier temps (première acceptation du certificat), puis qu'on m'avertisse en cas de changement du certificat, mais qu'on me laisse le choix.
[^] # Re: What's the point ?
Posté par groumly . Évalué à 10.
A l'heure actuelle, et vu que l'intérêt de TLS sur le web est surtout de garantir a qui tu parles, oui (notamment sur un blog dont le contenu est public).
Un cert auto signe ou rien du tout, c'est strictement pareil, et celui qui déploie ca au mieux est en plein délire, au pire incompetent.
Non. tous les navigateurs te laisseront accéder au site. Pas par défaut. et tant mieux, parce qu'un certif invalid sur societegenerale.com, je préfère que mamie elle laisse tomber a cette étape.
Tu ne demande pas de laisser le choix, tu veux forcer les gens a prendre une decision qu'ils ne sont pas en mesure de prendre.
Ya une énorme difference.
Linuxfr, le portail francais du logiciel libre et du neo nazisme.
[^] # Re: What's the point ?
Posté par EauFroide . Évalué à -3.
Qu'est-ce qui me prouve que lorsque je me connecte a mon site de minage de crypto-monnaie le certificat TLS envoyé est bien l'original et non un de la NSA ou pire encore de la DGSE trusté par un des organismes de certification qui leur lèche le zboub?
En gros, TLS garantis à qui tu parles uniquement si les bureaux de la censure sont d'accord. (on ouvre les paris sur le sort réservé au TLS de mega?)
Avant d'avoir le droit de prendre ta bagnoles sur la route tu es censé apprendre les bases, si non tu es un danger public/un boulet.
Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à -2.
Ben oui, l'informatique c'est technique. J'en ai 150 par jour au boulot des utilisateurs obligés de prendre des décisions qu'ils ne sont pas en mesure de prendre (format de fichier, appliquer une mise à jour, télécharger un document, lire un simple mail). Heureusement que pour l'instant, ça se limite à des choses qui ne touchent pas à la sécurité.
[^] # Re: What's the point ?
Posté par gouttegd . Évalué à 8.
Je ne voulais pas répondre à ça (je commence à avoir ras-le-bol de répéter toujours la même chose lors de chaque discussion sur TLS, X.509 et PKIX), mais quand je vois que le commentaire est à +9, je ne peux pas laisser passer…
Allez, dernière fois.
Contre les attaques purement passives, les CA n’apportent rien, un certificat auto-signé suffit complètement. La seule raison d’être des CA est de prévenir les attaques actives de type MITM, en garantissant que le type à qui on parle est bien celui que l’on croit.
Or en l’état actuel du système PKIX, les CA n’apportent pas cette garantie. Quand je me connecte sur example.com et que mon navigateur ne me dit rien du tout, je n’ai aucune certitude que je suis bien sur le bon site : je peux être sur le site d’un attaquant qui a obtenu un certificat « valide » auprès de l’une quelconque des centaines de CA racines qui ont la confiance absolue de mon navigateur, ou de l’une quelconques des innombrables sous-CA.
Les CA ne servent à rien. Elles me laissent complètement vulnérable au type même d’attaques contre lequel elles sont supposées me protéger.
La seule différence aujourd’hui entre un certificat auto-signé et un certificat signé par une CA reconnue, c’est que l’un provoque la panique du navigateur alors que l’autre est accepté sans broncher. Mais la sécurité fournie est la même : une sécurité contre les attaques passives uniquement, sans aucune protection contre l’homme du milieu.
Je vous laisse continuer à vous auto-persuader du contraire.
(Demandez-vous quand même, à l’occasion, pourquoi tant de monde perd du temps sur HPKP, DANE, Certificate Transparency, et autres dispositifs complémentaires supposés pallier les carences de PKIX. Qu’ils sont cons ces ingénieurs sécurité, s’ils lisaient linuxfr.org ils sauraient que PKIX n’a pas besoin de ça.)
[^] # Re: What's the point ?
Posté par Zenitram (site web personnel) . Évalué à -5.
Oui. Et?
Vu le nombre d’intermédiaires, (Routeurs, FAI, bornes wifi…), tu reviens à dire : tant que je reste chez moi, ça suffit complètement.
Ben oui, mais qui à part quelques perdus ont envie de gérer des "tant que"?
Et tu ne te demandes pas plutôt si tu ne devrais pas mieux réfléchir que tu te trompes peut-être?
Certes, "strictement" est un peu fort, il aurait dû mettre "presque* (*dans le cas spécial où tu fais de chez toi à 10 mettre plus loin en filaire chez toi, ça ne s'applique pas)" mais bon, on s'en fout non?
Conneries.
Je crois qu'on va surtout te laisser t'auto-persuader que tu es le meilleur et un incompris. Hint : peut-être que ce n'est pas le cas, pour les arguments avancés par les différents protagonistes ici (habituellement jamais d'accord)
PS : personne ne dit que le système est parfait. Il est juste dit qu'il est moins pourri que ce que vous proposez en alternative.
[^] # Re: What's the point ?
Posté par gouttegd . Évalué à 0.
For the record, je n’ai jamais proposé de faire purement et simplement l’impasse sur l’authentification du tiers et de se contenter d’une protection contre les attaques passives.
J’ai déjà exposé plusieurs fois ma « proposition », basée sur l’utilisation simultanée d’un ensemble de méthodes d’authentification au lieu se reposer sur les seules CA. Méthodes qui peuvent intervenir en complément des CA ou en remplacement, selon le crédit que tu es disposé à leur accorder.
Voici ce qui était je pense la formulation la plus précise que j’ai écrite. C’est toujours ce que j’utilise actuellement, grâce à mon plugin Uzbl.
Malheureusement, implémenter ça pour des navigateurs plus complexes que Uzbl, comme Firefox ou Chrome, est largement hors de ma portée.
[^] # Re: What's the point ?
Posté par zurvan . Évalué à 4.
oui, je suis d'accord avec toi sur ce point.
Je trouve effectivement très malvenu ce type d'alerte chez Mozilla (avec le petit gendarme).
D'autant plus que ce qu'ils proposent par défaut, c'est d'ajouter une exception permanente. Un petit "entrer quand même", sans avoir à cliquer 4 ou 5 fois, c'était trop dur à faire ? Une fois l'exception ajoutée, si le certificat est usurpé par la suite, que se passe-t-il ? Difficile à dire, ce n'est pas précisé. À la limite si je visite un site que je connais à peine, je préfère "entrer quand même", mais avoir une nouvelle alerte si je reviens.
C'est limite pire sur chrome :
"Votre connexion n'est pas privée mensonge, elle l'est, la connexion n'est juste pas certifiée par une autorité de certification racine.
Il se peut que des pirates soient en train d'essayer de dérober vos informations sur le site www.athaliasoft.com (par exemple, des mots de passe, des messages ou des informations sur vos cartes de paiement)."
J'ai l'impression également que c'est plus long pour afficher la page sur chrome (instantané sur
firefox une fois le certificat accepté).
Ce qui m'interpelle, c'est que l'on pousse vers la navigation sur des sites en https, et comme dit dans le journal, on est obligé de passer par des autorité racine pour ne pas avoir de blocage fastidieux. Qui dit que quand tous les sites seront en https, les navigateurs ne bloqueront pas tout simplement définitivement les sites qui ne rentrent pas dans le moule (sans possibilité d'ajouter une exception) ?
« Le pouvoir des Tripodes dépendait de la résignation des hommes à l'esclavage. » -- John Christopher
[^] # Re: What's the point ?
Posté par Zenitram (site web personnel) . Évalué à -2.
Mais vous essayez de suivre un minimum le problème avant de raconter des conneries d'il y a 10 ans?
Ce que propose Richard Dern, c'est de revenir 20 ans en arrière, alors qu'on a changé pour des raisons dont il ne parle pas.
Ce que propose zurvan, c'est de revenir 10 ans en arrière, alors qu'on a changé pour des raisons dont il ne parle pas.
Vraiment, bravo, vous ne suivez rien du tout de l'historie de la chose, ne cherchez pas à comprendre pourquoi on a changé et proposez quand même de faire un simple gros retour en arrière, quand ça ne marchait pas.
NON, il ne faut pas faire de "entrer quand même" simple, c'est justement voulu de faire compliqué.
Tu préfères n'importe quoi en fonction de ton expertise, ici on parle de l'usage par la planète entière qui n'a pas de formation pour tout (donc pas pour ce cas la).
tu es dans ton propre mensonge.
La connexion n'est pas sécurisé, personne ne peut te dire que en face est légitime. Faut se mettre ça dans le crâne. En face fait de la merde, on dit que c'est de la merde, point. Si tu veux passer outre, fait le mais tu pourras difficilement dire "je ne savais pas" avec les 4 clics.
On pousse vers de la sécurité, pas vers du semblant de sécurité, c'est tout. Tu aimes le placebo, d'autres préfèrent attaquer le problème et virer ces fausses sécurités.
Firefox et Chronium sont open source, tu es libre.
Par contre, si personne ne le fait et que toi seul le veut, peut-être faudra-t-il que tu te demandes si tu ne fais pas simplement de la sécurité de merde avec ton souhait.
Note : impossible d’empêcher, tu es libre d'ajouter un certificat dans le magasin de l'OS par l'interface de l'OS. Si Mozilla te vire l'interface, il te restera celle de l'OS (vu que tu es expert en sécurité et sait ce que tu fais au contraire de ceux qui ont bloqué la possibilité, tu sauras récupérer le certificat par un moyen quelconque, je n'en doute pas, tellement tu es le meilleur)
[^] # Re: What's the point ?
Posté par pasBill pasGates . Évalué à 2.
Moi je ne penses pas, je suis CERTAIN, que ma grand mère est plus en sécurité avec le modèle existant qu'avec le modèle absolument délirant et dangereux que tu préconise. Il n'y a même pas un doute, pas l'once de l'once d'un doute, et le fait que tu ne t'en rendes pas compte est vraiment absolument dingue.
Ma grand-mère, aujourd'hui avec les browsers existants, si elle va sur un le site de amazon.fr et le certificat n'est pas bon, tous les browsers vont automatiquement l'alerter. C'est un fait avéré. Si elle va sur le bon site, elle n'aura même pas à se poser la moindre question.
Avec ta "méthode" qui au final n'est qu'un grand délire irréealiste, la grand-mère, même si elle va sur le bon site, on va lui demander de vérifier le certificat. Grand-mère va se demander "c'est quoi un certificat ?", ensuite elle va se demander "ca sert à quoi un certificat ?" et 233 questions plus tard, si elle arrive jusque là elle se demandera "mais comment je fais pour vérifier que c'est le bon certificat ?" et il n'y a pas de bonne réponse à cette question. Parce que la bonne réponse c'est les autorités de certification, et ton "modèle" justement détruit la réponse.
Bref, tu auras ruiné l'utilisation d'internet pour la grand-mère, tu la forces à répondre à des questions auxquelles elle est absolument incapable de répondre. Elle aura le choix entre soit dire "je fais confiance à ce certificat" aveuglément et elle sera à la merci de toutes les attaques, soit elle dira non à tout et son utilisation d'internet sera réduite à néant.
C'est vraiment, absolument dingue que tu ne t'en rendes pas compte. Faut sortir de ta bulle mon pauvre.
Je veux dire sérieusement, tu crois vraiment que toi dans ton coin est arrivé à cette idée géniale, et que pas un des centaines d'ingénieurs sécurité chez Microsoft, Mozilla, Google et autres n'y a pensé avant ? Tu ne t'es jamais demandé pourquoi ça n'a pas été fait ? Qu'il n'y aurait pas une bonne raison à cela ?
LOL, ou comment jeter des mots en patures qui n'ont absolument rien à voir !
Allez, fais moi plaisir, traduis ta prose en anglais et pose la sur des ML comme Full-Disclosure ou netsec sur Reddit et autres, qu'on voit un peu ce que les gens dans la sécurité en pensent.
Juste pour te préparer à la réception grandiose de ton idée géniale, la sécurité informatique c'est mon boulot depuis plus de 10 ans, dont la plupart dans une boite qui était en charge d'un browser majeur et les 2 dernières chez Amazon. Bon nombre de pontes de la sécurité informatique étaient dans les bureaux autour de moi, je connais personnellement nombre de devs et project managers ayant bossé sur IE, et je t'assures à 100% (même pas 99.9 hein, 100, si on pouvait dire 10'000% je le dirais) qu'absolument tous, sans exception, éclateraient de rire, ou pleureraient en lisant ton idée.
[^] # Re: What's the point ?
Posté par gouttegd . Évalué à 6.
Moi ce que je ne comprends pas, c’est comment dans une boîte avec des centaines d’ingénieurs sécurité, on peut laisser n’importe qui créer un compte
hostmaster@live.fien dépit du fait quehostmasterfait partie des noms de boîte aux lettres utilisés par les CA pour vérifier que le demandeur d’un certificat a bien le contrôle du nom de domaine (CA/Browser Forum Baseline Requirements, §3.2.2.4). Permettant ainsi au même n’importe qui d’obtenir un certificat parfaitement valide (signé par une CA reconnue, ce qui comme chacun sait est une véritable garantie, non mais oh c’est du sérieux tout ça) pourlive.fi…(Et n’allez pas croire que je tape seulement sur Microsoft, parce que c’est Microsoft. Ils ont eu la gentillesse de me fournir cet exemple, c’est tout, mais ce n’est qu’un exemple parmi d’autres de l’excellence du système PKIX.)
[^] # Re: What's the point ?
Posté par EauFroide . Évalué à -3. Dernière modification le 01 février 2016 à 12:25.
Ptete car quand tu es une fondation/entreprise international tu ne peux pas te permettre de te mettre à dos les services d'espionnage/police des super-puissances occidentales sans te prendre un redressement fiscale dans les dents?
Tiens anecdote intéressante: le certificat utilisé par la police belge pour censurer les sites sur le web est auto-trust :D
On peut aussi imaginer communiquer une copie du certificat TLS via Tor Hidden Service.
Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
[^] # Re: What's the point ?
Posté par pasBill pasGates . Évalué à 4.
Ca c'est le genre de phrase que j'entends, et chaque fois que je regarde qui les prononce, c'est quelqu'un qui n'a jamais mis les pieds dans aucune de ces boites et qui préfère imaginer ce qu'il veut.
Depuis le temps que je suis là dedans je connais des gars dans les teams sécurité de toutes les grosses boites (les gens passent d'une boite à l'autre, tu les rencontres à des confs et fait qqe beuveries avec, …).
Pas une fois, pas une, je n'ai vu ou entendu qq'un parler d'une idée grandiose pour résoudre un problème de sécurité qui aurait été refusée sans bonne explication par sa boite. A chaque fois l'idée est jolie sur la papier, mais n'est pas scalable, trop couteuse, détruit les perfs, ne bloque pas tel ou tel attaque ce qui rend l'approche entière inutile, …
Et on parle de gens dans l'industrie sécurité : plein de non-américains, qui n'ont pas leur langue dans la poche et qui ont tendance à ne pas respecter les règles qu'ils n'aiment pas.
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à 0.
Donc selon toi tout est déjà fait et il n'y a plus rien à changer ? On est arrivés au point où plus rien ne peut être inventé ou amélioré ? Et encore moins si on ne bosse pas dans une grande boîte américaine ?
[^] # Re: What's the point ?
Posté par pasBill pasGates . Évalué à 2.
Oh non loin de la. Il y a plein de choses qui restent à faire et bcp ne seront pas créées dans ces grosses boites.
Mais regarde ta proposition, elle n'a rien de nouveau ou d'innovant, elle consiste simplement à enlever les CA. C'est pas une nouvelle approche, un truc différent de ce qui se faisait avant, c'est le modèle existant, mais avec la partie importante en moins.
Tout le monde dans l'industrie sécurité a vu ton modèle depuis des années des années: On le voit a chaque certificat self-signed qu'un browser rencontre, et tout le monde sait que ce serait une catastrophe si tout le web était comme ca.
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à -3.
Désolé mais je ne suis pas d'accord avec toi, tout simplement pour des questions financières: le modèle actuel profite bien aux boîtes qui vendent des certificats.
Ça profite bien aux gouvernements aussi au passage.
[^] # Re: What's the point ?
Posté par pasBill pasGates . Évalué à 4.
Mais absolument qu'elles en profitent, sinon elles ne le feraient pas !
Visiblement par contre, tu as du mal à réaliser qu'elles arrivent à les vendre uniquement car elles ont une réputation de sécurité, et les CA qui perdent cette réputation se font virer des browsers.
Et oui, pour ce qui est des gouvernements, effectivement ceux ci peuvent certainement faire pression oui.
Maintenant, est-ce que ta grand-mère a besoin de s'inquièter de la NSA, la DGSE et GCHQ ? Non, 95% de la planète s'en fout éperdument. Ils veulent pouvoir entrer leur numéro de carte de crédit sur internet, les sysadmins se connecter à leur serveur web, … et le système de CA amène cela de manière sure. Ta méthode elle, détruit la sécurité de tout le monde, tu as beau croire que mettre la décision dans les mains des gens améliore leur sécurité, tu te mets un énorme pylone dans l'oeil, et visiblement tu es incapable de t'en rendre compte.
Ceux qui ont besoin d'un niveau de sécurité plus élevé le savent (entreprises sensibles, activistes,…), et savent quoi faire pour améliorer l'existant même si cela demande bcp plus d'efforts.
Faut que tu reviennes sur terre, et te rendes compte que même si le système de CA n'est pas idéal, il est mille, je dis bien mille, fois mieux que ta proposition. Ensuite, si tu n'arrives toujours pas à accepter que des gens dont c'est le boulot te disent que ton idée est délirante, ben désolé hein… c'est un effort que tu devras faire sur toi-même pour être capable d'accepter cela.
[^] # Re: What's the point ?
Posté par pasBill pasGates . Évalué à 1. Dernière modification le 01 février 2016 à 18:24.
Pour être clair. C'est bien que tu penses à la problématique et j'espère que tu continueras mais il faut aussi absolument que tu fasses 2 pas en arrière quand tu as une idée, que tu aies l'humilité de te demander "est-ce que j'ai raté un truc pour que ce soit aussi simple?" sinon tu vas venir tous les mois avec des idées farfelues et le jour ou tu auras une bonne idée personne ne t'écoutera.
[^] # Re: What's the point ?
Posté par Richard Dern . Évalué à 2.
Je teste depuis quelques semaines la désactivation des certificats racines dans firefox et kde.
J'ai eu quelques boîtes de dialogue me demandant ce que je voulais faire à la première connexion sur un site inconnu. J'accepte les certifs, et voilà. Je ne comprends pas ce qu'il y a de compliqué.
En effet, il faut penser à vérifier les données de base du certificat pour éviter de se faire avoir avec un cert forgé à l'arrache, et ça n'améliore pas la sécurité pour des certificats mieux forgés, on est d'accord.
Mais, une fois de plus, je trouve que c'est mieux que les outils clients me demandent au lieu d'accepter à l'aveugle.
Je ne vois pas ce qui est compliqué dans ce que j'ai fais, ni même de l'utilisation résultante des-dits outils.
[^] # Re: What's the point ?
Posté par pasBill pasGates . Évalué à 2.
Cette phrase décrit tout ton problème.
[^] # Re: What's the point ?
Posté par j_m . Évalué à 6. Dernière modification le 01 février 2016 à 20:10.
Vérifier un certificat consiste à vérifier qu'il a bien été signé avec la clé privée de l'authorité de certification. Tu ne peux pas faire ça mentalement en regardant le certificat du site.
Les informations que tu lis en texte clair dans la boite de dialogue du certificat de firefox ne sont pas fiables par elles-mêmes. C'est la "Certificate Signature value" qui est la preuve. Le certificat est juste si tu arrives à décoder la "Certificate Signature value" avec la clé publique du certificat racine et que le message décrypté est bien un hash (sha256 par exemple) qui a été construit avec les données en clair.
Je peux créer un certificat https://linuxfr.org (ou amazon) identique à celui du site officiel. Sans problème. Sauf que la signature sera différente et que le certificat racine de firefox ne permettra pas de le décoder.
[^] # Re: What's the point ?
Posté par kna . Évalué à 6.
Et de toute façon la vérification que tu peux faire manuellement est une vérification qui est déjà faite par le navigateur dans le système actuel. Si tu vas sur https://example.org/ et qu'il te fournit un certificat pour example.com, même signé par une autorité reconnue, même avec Extended Validation, le navigateur va t'afficher un gros message d'erreur.
@Richard Dern : j'aimerais savoir dans quel cas tu refuses un certificat, parce que le système que tu nous décris, c'est :
- TOFU, mais comme dit dans un autre commentaire, les certificats sont renouvellés régulièrement, et tu peux avoir même pour certains sites plusieurs certificats en même temps. Donc en pratique, tu vas devoir tout accepter, ne sachant pas si un changement de certificat est légitime ou non.
- une vérification basique du certificat, qui était déjà faite de toute façon.
Donc, de ce que je comprends, le problème c'est que trop de monde peuvent délivrer un certificat que ton navigateur va accepter, et ta solution c'est d'accepter un certificat que n'importe qui peut faire, à partir du moment où il l'a fait correctement.
En gros, comme certaines personnes arrivent à se faire délivrer des fausses cartes d'identité, il vaudrait mieux que chacun fasse sa carte d'identité dans son coin, ça serait plus fiable ?
[^] # Re: What's the point ?
Posté par luxcem . Évalué à -1. Dernière modification le 15 février 2016 à 14:40.
J’ai lu tes messages et il y a quelque chose de clair : tu ne comprends pas ce que tu fais.
Tu ne comprends pas les principes de cryptographie à clé publique.
Tu ne peux pas vérifier toi même un certificat
Je vais essayer de t’expliquer, l’enjeu du certificat est de s’assurer que tu parles à la bonne personne. C’est tout c’est juste pour assurer l’identité de la personne qui a fourni le certificat. Alors comment tu fais pour vérifier ça toi même ? Dis moi ça m’interesse ! Quand tu as un message d’avertissement comment tu vérifies l’identité ?
C’est simple, tu ne peux pas enfin pas facilement, il faudrait que tu vérifie en personne. Par exemple si tu vas sur mon site en https sans CA, il faudrait que je t’ai donné en personne la signature du certificat il n’y a rien que tu puisses vérifier depuis ton écran sans me voir en vrai.
Pour résoudre ce problème il y a qu’une solution : tu fais confiance à quelqu’un d’autre qui lui à verifié mon identité en vrai, par exemple un CA qui m’a demandé une photocopie d’une carte d’identité, un numéro de SIRET, m’a appellé, selon le CA le protocole n’est pas le même. Ou bien tu fais confiance à un amis qui a vérifié pour toi les certificats, c’est le Web of Trust (utilisé pour GPG).
Mais tu ne peux pas vérifier toi même un certificat sans faire une vérification poussée t’assurant de l’identité de la personne en face.
Tu fais une énorme erreur en supprimant tes certificats racines, tu n’est pas à l’abris d’un certificat forgé et tu n’auras aucun moyen de le distinguer d’un vrai.
[^] # Re: What's the point ?
Posté par Anthony Jaguenaud . Évalué à 5.
Ta réaction me fait penser à ça :
[^] # Re: What's the point ?
Posté par kantien . Évalué à -4.
Dix personnes dans le monde pour comprendre Turing, l'estimation me semble légère. Même pour Gödel, dont la pensée m'a toujours paru plus profonde, cela dépasse de très loin la dizaine.
Pour ce qui est du génie de Richard, ça me fait penser à ça : L'idéal pour une roue est d'être ronde, mais pour l'instant nous n'avons qu'une forme octogonale. Rendons la carré et nous aurons fait un progrès ! :-P
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: What's the point ?
Posté par jyes . Évalué à 5.
Bienvenu dans le club de ceux qui ne comprennent pas le génie de Turing !
[^] # Re: What's the point ?
Posté par kantien . Évalué à -2. Dernière modification le 02 février 2016 à 18:08.
Mais encore ? As-tu étudié leurs œuvres respectives ? Sur quoi te fondes-tu, en plus de ma remarque, pour aboutir à la conclusion : « Bienvenu dans le club de ceux qui ne comprennent pas le génie de Turing ! » ?
À mon corps défendant, je peux au moins verser au dossier de ma défense, ce commentaire où j'exposais de manière assez détaillée les principes de typage du
-calcul1. Il est à noter que ce langage est Turing-complet, ce qui résulte trivialement de la Turing-complétude définie par Turing en référence au 
-calcul dans son article Computability and lambda-definability.
De son côté on doit à Gödel : les théorèmes d'incomplétude du calcul des prédicats et de l'arithmétique de Peano (qui ont pour corollaire trivial l'impossibilité de résoudre le problème de l'arrêt pour une machine de Turing), le théorème de complétude de la logique classique (qui est un désassembleur interractif) ainsi qu'une version pour la logique intuitionniste. Mais aussi de nombreux résultats de consistance relative en théorie des ensembles, et d'études sur la nature de la logique et des mathématiques.
Il y a aussi cet échange avec Perthmâd juste au-dessus du message précédent.
Tu pourras aussi consulter le programme du master LMFI dont je suis sorti major de promotion.
Et je passe sous silence l'origine de ces résultats qui prend, en partie, racine dans des polémiques entre les tenants de l'école kantienne et l'école de Leibniz au sujet de la caractéristique universelle de celui-ci.
Néanmoins, je maintiens ce que j'ai dit sur les interrogations de Gödel qui me semblent plus fondamentales et plus profondes.
on peut noter que les principes ce cette théorie s'applique au typage de tout langage (C, C++, Java, Python…), c'est juste que la sémantique de leur langage de types est moins expressive. Et puisque le journal traite de protocole réseau, on pourra noter que le principe peut s'étendre au « typage » des protocoles : Formules valides, jeux et protocoles réseaux ↩
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: What's the point ?
Posté par Dr BG . Évalué à 5.
C'est clair qu'ils ne décernent pas de ceintures noires d'humour !
[^] # Re: What's the point ?
Posté par Doc.who . Évalué à 1.
Arf j’avais pas vu ça. Au moins ceci explique cela (faut avoir un peu suivi le journal sur les SSII).
Énorme !
Là il te bat à plate couture en terme d’humour, je dirai même qu’il est hors concours.
Toi aussi ami, fasciste, réactionnaire, néo-nazi, antisémite, défenseur du patronat persécuté, viens rencontrer tes amis sur Linuxfr pour combattre cette engeance gauchiste islamophile qui viole ta femme, mange ton bébé et pratique la sodomie.
[^] # Re: What's the point ?
Posté par Sufflope (site web personnel) . Évalué à 4.
Attends major de promo d'un master à Paris Diderot c'est quand même l'argument d'autorité suprême, j'ai rarement vu tant de puissance intellectuelle et autant d'années d'études réunies en une personne.
Le Master c'est pas du tout le diplôme que j'ai vu des potes valider en se branlant les couilles rue Mouffetard. Genre pas du tout.
[^] # Re: What's the point ?
Posté par kantien . Évalué à 2.
L'argument d'autorité : c'est mal !
Mais déformer les propos d'autrui, afin de leur faire dire ce qu'ils ne disent pas, ce n'est pas mieux non plus. Le message n'avait nullement pour intention de revendiquer je ne sais quelle autorité, mais de préciser à jyes que j'étais loin d'ignorer les travaux de Gödel et Turing, et que l'opinion que j'exprimais à leur sujet n'était pas sans fondement. Cela étant mon message et la discussion autour avec Perthmâd a plus d'importance que le point qui vous a tant marqué.
Pour ce qui est de la qualité du Master, que tu sembles mettre en doute, je ne savais pas que les normaliens et les polytechniciens avaient pour réputation de se « branler les couilles rue Mouffetard ». Ni, lorsque l'on lit les débouchés :
que les services de R&D de ces entreprise avait pour habitude de recruter à ses fonctions dans des masters qu'on obtient en se « pignolant ». Cela étant, je n'en sais rien, les problématiques autour de la logique, de l'épistémologie et de la philosophie eurent ma préférence sur celles en rapport avec l'informatique.
Néanmoins, je n'ai jamais eu la prétention d'avoir « tant de puissance intellectuelle et autant d'années d'études réunies en une personne », ni de me comparer à Gödel ou Turing : ça, c'est un homme de paille.
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: What's the point ?
Posté par Doc.who . Évalué à -1.
Celle-là elle est collector.
Toi aussi ami, fasciste, réactionnaire, néo-nazi, antisémite, défenseur du patronat persécuté, viens rencontrer tes amis sur Linuxfr pour combattre cette engeance gauchiste islamophile qui viole ta femme, mange ton bébé et pratique la sodomie.
[^] # Re: What's the point ?
Posté par Sufflope (site web personnel) . Évalué à 5.
Ouh la la je te présente mes excuses les plus sincères ! Je n'avais pas compris l'ironie, mais maintenant que c'est fait, je tiens à te dire que tu es très bon humoriste !
Heureusement que tu as répliqué par EDF, FT, le CEA et autres brontosaures engagent des X avec Master pour leur capacité à révolutionner la science grâce à leur 6ème année d'études après le diplôme d'ingé, pas du tout par un subtil système de castes moderne et pour les faire se « branler les couilles » en réunion sinon j'aurais pu continuer à croire que tu es sérieux.
[^] # Re: What's the point ?
Posté par kantien . Évalué à 1.
Il faut dire que ta blague s'inscrivait dans une controverse sur la réforme et l'assouplissement du code du travail, et que ton message s'apparentait plus à de la raillerie qu'autre chose, voire à un sophisme par homonymie dans le but d'éluder l'objet du débat.
L'expression « marché frileux » étant somme toute classique en science économique.
Mais là, tu semble te rapprocher grandement de l'ultime stratagème
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: What's the point ?
Posté par Doc.who . Évalué à 0.
Faut savoir s’arrêter, même avec le comique de répétition.
Tant d’égard pour mes modestes commentaires :)
Lol. Y’en a qui cherche ?
Toi aussi ami, fasciste, réactionnaire, néo-nazi, antisémite, défenseur du patronat persécuté, viens rencontrer tes amis sur Linuxfr pour combattre cette engeance gauchiste islamophile qui viole ta femme, mange ton bébé et pratique la sodomie.
[^] # Re: What's the point ?
Posté par kantien . Évalué à 0.
Tel n'est pas non plus leur objectif. Quoi qu'il en soit, j'ai ri à la lecture de la planche; et ma petite remarque ne visait nullement à mettre en cause son côté humoristique. Elle serai d'ailleurs sans doute moins efficace si elle ne minimisait pas le nombre, cela rajoute à la dimension d'incompréhension du génie par ses congénères. Bien qu'au fond, il n'y ait peut être effectivement que 10 personnes qui comprennent le génie de Turing : Lui et la machine qui passera son test.
Cela étant, le message auquel tu réponds était destiné à la reflexion de jyes dont je n'ai alors certes pas saisi la dimension humoristique, si telle était son intention. Mais ce dernier point à la lecture de son message n'a rien d'évident en soi : il coupe mon message pour ne retenir que ma comparaison entre Turing et Gödel, et semble en conclure que je fais parti des personnes qui n'ont rien compris au génie du premier. J'ai pris cela, à tort ou à raison, comme une attaque personnelle et je me défends. Encore, si j'ignorais totalement leurs œuvres respectives et leurs apports à la science, je me serais tu, mais c'est loin d'être le cas et je tenais à le préciser.
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: What's the point ?
Posté par LaBienPensanceMaTuer . Évalué à 4.
Et c'est la toute la stupidité du truc.
En admettant que tu desactives effectivement tout les roots CA de ton système, que feras tu ensuite ?
Tu vas faire ce que ton système aurait déjà fait sans toi à savoir vérifier si l'autorité de certification qui a signé le certificat du site visite est bien "trustable" (CN ok, Fingerprint OK, pubkey identique).
Et après ? Tu vas faire quoi de plus ?
Quelle valeur ajoutée apportes tu réellement à la sécurité de ton système en tant qu'humain ?
Une action plus juste, à mon avis, serait plutôt de reviewer la base de certificat root de ton système et d'en supprimer les certificats que tu ne juges pas de confiance.
Dans ta réflexion actuelle, tu ne fais qu'ajouter de la surface d'erreur potentielle (l'erreur humain) à un système bien rôdé et parfaitement automatisé.
[^] # Re: What's the point ?
Posté par EauFroide . Évalué à 0.
Tiens je réfléchissais à comment vérifier que le certificat reçu est bien le bon et l'idée m'est venue d'utiliser torsocks.
En cherchant vite fait j'ai dégoté
Il ne manque qu'a spécifier le pays de l'exit node (si quelqu'un sait comment?), faire une boucle javascript qui va télécharger plusieurs fois le certificat via plusieurs pays et une regex qui vérifie que la majorité des certificats reçu sont identique à celui du site qu'on tente de visiter. Empaqueter enfin le tout dans une extension Firefox.
Note: si on reçoit un (ou plusieurs) certificat fake, si je ne m'abuse (a vérifier) Tor ne change pas directement d'exit node et donc on doit pouvoir enchaîner une requête ajax vers un serveur pour récupérer l'ip de l'exit node evil qui fait du mitm et le signaler au réseau Tor.
Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
[^] # Re: What's the point ?
Posté par gouttegd . Évalué à 5.
C’est grosso modo le principe de Convergence : on récupère le certificat depuis plusieurs endroits en misant sur le fait qu’un attaquant ne peut pas faire du MITM partout. La différence étant que Convergence passe par des notaries là où tu proposes de passer par des nœuds Tor.
Malheureusement le développement de Convergence semble complètement arrêté.
[^] # Re: What's the point ?
Posté par claudex . Évalué à 3.
Du coup, il suffit de faire du MitM sur l'upstream du serveur.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: What's the point ?
Posté par EauFroide . Évalué à 0. Dernière modification le 01 février 2016 à 23:04.
merci pour le partage gouttegd c'est super intéressant :)
Ouaip ou bien à l'échelle du pays, du coups installer un hidden service se justifie doublement :)
Je viens de tester la commande que j'ai posté plus haut et je confirme qu'elle fonctionne avec les hidden service (comme indiqué dans le commentaire du code, n'indiquez pas le https, et le port reste 443 sauf si vous avez mis un autre :) )
Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
# Délit de faciès
Posté par Bisaloo . Évalué à 9.
Alors, je veux bien qu'on reproche plein de choses à facebook (et je suis d'accord) : problèmes de vie privée, non respect des standards, droits d'auteurs, etc.
Mais il ne faut pas tomber non plus dans le rejet systématique. Certaines compagnies font des choses critiquables MAIS aussi des choses biens à côté : l'année dernière, fb a fait partie des plus gros donateurs au projet OpenPGP, qui en avait bien besoin.
Beaucoup de ces compagnies qu'on critique changent de stratégie dernièrement. Pour rien au monde, ils ne renonceraient à espionner leurs utilisateurs mais ils participent aux projets pour protéger leurs utilisateurs contre les autres.
# Quel le problème en fait ?
Posté par Nico C. . Évalué à 7.
Quel ton vrai problème derrière tout ce déluge d'octets ?
Si j'ai bien compris, 2 choses :
1 - le prix des certificats
2 - le message d'alerte en cas de certificat invalide ou autosigné
Concernant le prix des certificats, tu te trompes. Déjà, le prix moyen d'un certificat standard tourne autour des 50$/an environ. On en trouve même des gratuits chez RapidSSL pour une utilisation personnelle (à renouveler tous les ans).
Je trouve ça plutôt raisonnable globalement.
Pour le problème du message d'alerte, faut pas oublier que la principale utilité des certificats jusqu'à aujourd'hui concerne les paiements en ligne pour le commun des mortels. Les gens ne lisent pas les messages, ils voient juste les couleurs effrayantes et éventuellement le titre du message. Pour leur faire comprendre qu'il y a un risque, il faut vraiment envoyer un message fracassant.
Toi, moi et tous les gens qui fréquentent ce site et qui savent de quoi parle ce message et ce que veut dire "autosigné" représentent même pas 0,001% de la population. Va t'on faire prendre un risque trop important pour 99,999% de la population à cause d'un message d'alerte trop complexe pour satisfaire le désir de pinaillage technique de qq geeks ?
Et puis, le laïus sur les tiers de confiance auxquels tu n'as pas confiance. OK sur le principe. Sauf que ta solution de remplacement est carrément plus nulle car comment valider soi-même que le mec qui te présente un certificat est bien celui qu'il dit être ? Tu vas le voir personnellement ? Tu vas visiter sa baie ? tu envoies un mail à postmaster et tu attends qu'il te réponde ? Tu fais une key-signing-party tous les WE à l'échelle mondiale ?
Les tiers de confiance ne font que de la vérification automatisée pour les certificats pas chers (ils font bien mieux pour les certificats plus chers) mais ce minimum syndical assure tout de même que le mec qui demande un certificat pour un domaine est en lien avec celui qui détient le domaine.
Les tiers de confiance, pour moi, c'est un peu comme la démocratie. C'est le pire des régimes à l'exception de tous les autres… et on a pas encore trouvé mieux.
Enfin, tu te trompes une dernière fois : avec les tiers de confiance, on ne délègue pas la sécurité, on délègue la vérification du mec qui présente son certificat. C'est pas tout à fait la même chose.
Pour moi, le seul "moyen" de débloquer cette situation pas géniale que tu dénonces maladroitement mais avec raison sur le constat, ce serait que l'État propose une autorité de certification lui-même au même titre qu'il distribue des cartes d'identités… Mais on tombe de nouveau dans d'autres problématiques liées au fichage et au contrôle gouvernemental sur l'activité des citoyens. Et encore fadrait il avoir confiance dans tous les États de cette planète…
[^] # Re: Quel le problème en fait ?
Posté par Richard Dern . Évalué à 0.
Je crois qu'il y a au moins un paragraphe de ce que j'ai écris que tu n'as pas lu ou pas compris.
Je trouve justement qu'il est bien plus risqué que le navigateur ne pose aucune question quand un certificat est signé par une autorité racine, et qu'au contraire, à la première connexion, il devrait demander à l'utilisateur ce qu'il veut faire, sous une forme informative et non sous la forme d'une erreur, sauf si le certificat a changé depuis la première connexion.
En conséquence, la notion même de certificat auto-signé n'a même pas besoin d'être abordée par le navigateur lorsqu'il demande à l'utilisateur s'il veut accepter ou non le certificat.
Oui donc au final il y a toujours quelqu'un qui prend la décision de dire si c'est ok ou pas. Personnellement, je n'aime pas l'idée de trouver un autre responsable que soi-même en cas d'erreur, parce que finalement c'est de ça dont il s'agit, pas tellement l'identification.
[^] # Re: Quel le problème en fait ?
Posté par Nico C. . Évalué à 6. Dernière modification le 31 janvier 2016 à 20:53.
Et l'utilisateur fonde son jugement sur quoi concrètement ?
Et à terme, ça deviendra une énième pop-up validée sans même jeter un oeil sur ce qu'elle demande…
Ben ouais, mais en tant que particulier, tu as beaucoup moins de capacité à vérifier un certificat par toi-même… ou alors, explique moi comme tu envisages le truc parce que je suis curieux…
[^] # Re: Quel le problème en fait ?
Posté par Richard Dern . Évalué à 0.
Je l'explique dans mon article:
[^] # Re: Quel le problème en fait ?
Posté par Nico C. . Évalué à 1.
Oui d'accord mais sur quels éléments tu te fondes pour t'assurer que le certificat émane bien de celui que tu attends ?
Évidemment, il vaut mieux éviter le pur déclaratif et encore plus les informations déclarées DANS le certificat…
[^] # Re: Quel le problème en fait ?
Posté par Richard Dern . Évalué à 1.
Désolé je vais répondre par une question mais ce n'est pas rhétorique: et les CA, elles font comment pour le savoir ?
[^] # Re: Quel le problème en fait ?
Posté par groumly . Évalué à 1.
Ca s'appelle un background check, et ya un paquet de techniques complementaires (papiers d'identites/officiels, demander de mettre un contenu precis a une url precise, et probablement un paquet que je ne connais pas).
Le truc, c'est que a) c'est fait une seule fois et b) c'est fait offline, la ou une acceptation du cert a la volee, tu vas pas avoir 3 semaines a passer a verifier l'identite d'un cert.
Linuxfr, le portail francais du logiciel libre et du neo nazisme.
[^] # Re: Quel le problème en fait ?
Posté par Richard Dern . Évalué à 1.
Donc ce n'est pas spécialement ma proposition qui tient pas la route, c'est aussi toutes les initiatives qui proposent des certificats gratuits, du genre Let's Encrypt, en tout cas les initiatives qui ne réclament pas ce background check. En fait, si j'ai bien compris comment Let's Encrypt fonctionne, c'est que leur autorité est approuvée par une autre, ce qui fait que si Let's Encrypt génère un certificat pour une personne malintentionnée, bah on l'a dans l'os parce que le certificat sera accepté d'office par le client.
[^] # Re: Quel le problème en fait ?
Posté par gouttegd . Évalué à 5.
Pour l’instant, oui. Ils envisagent de faire intégrer leur propre racine auto-signée dans les magasins des navigateurs, mais ce n’est pas encore fait.
Ça c’est totalement indépendant de la façon dont Let’s Encrypt fonctionne. Tu auras le même problème lorsque (si) Let’s Encrypt aura sa propre racine auto-signée, tout comme tu as déjà le même avec n’importe quelle autre autorité de certification.
Ce qu’on demande à une CA, c’est une preuve d’identité (est-ce que cette machine qui dit être
www.amazon.comest réellementwww.amazon.com?), en aucun cas une preuve de l’absence de mauvaises intentions.D’ailleurs, Let’s Encrypt se fait taper sur les doigts à cause de ça par certains utilisateurs, qui aimeraient bien que Let’s Encrypt joue à la police et révoque tout certificat ayant été utilisé à de mauvaises fins — Let’s Encrypt refuse de faire ça et ça ne plaît pas à tout le monde, alors qu’aucune autre CA ne le fait sans que ça ne fasse broncher personne…
[^] # Re: Quel le problème en fait ?
Posté par EmilienR . Évalué à 5.
Les certificats délivrés gratuitement bénéficient aussi de cette vérification (envoi de mail à une adresse postmaster@mondomaine.fr, pages à ajouter sur le site en question). Let's encrypt par exemple réalise des requêtes DNS sur plusieurs serveurs DNS différents pour trouver l'IP du site puis une page spéciale est vérifiée par plusieurs chemins réseau différents afin de s'assurer qu'il n'y a pas de spoofing quelque part.
Tu te vois vraiment faire tout ça à chaque fois? Tu considères que ta façon de faire est meilleure?
[^] # Re: Quel le problème en fait ?
Posté par Richard Dern . Évalué à 3.
Ben apparemment, c'est que qu'ici on n'a pas compris alors que je le précise à chaque fois: l'utilisateur ne validerait le certificat qu'à la première connexion, comme actuellement. Et si le certificat change, c'est au client (navigateur, outil console, etc.) d'avertir l'utilisateur que le certificat a changé et qu'il peut y avoir un risque de sécurité.
Je ne comprends pas pourquoi ma suggestion déchaine tant la colère de certains: c'est un peu le workflow d'une connexion ssh: la première fois que tu te connecte à un nouveau serveur ssh, le client demande d'accepter la clé (RSA/DSA etc.) du serveur, et si cette clé change, le client en averti l'utilisateur.
[^] # Re: Quel le problème en fait ?
Posté par claudex . Évalué à 4.
Et ssh, ce n'est pas utilisé par tout le monde et, normalement, tu connais l'admin, tu peux lui demander si l'id renvoyé est le bon. Le TOFU, ça ne marche que dans certains contextes. De plus, SSH n'a pas les même contraintes d'échelle que www.google.com par exemple. Tu n'a qu'une seule machine derrière une connexion SSH, alors que derrière des sites fort fréquentés, tu as en des millier et tu utilise plusieurs certificats pour éviter d'avoir tout à révoquer d'un coup en cas de problème. Un autre point, est que le certificat peut changer pour plein de raison, sans que l'utilisateur en soit averti, il n'a donc aucun moyen de savoir en cas de changement si c'est légitime ou pas.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Quel le problème en fait ?
Posté par gouttegd . Évalué à 2.
Rien ne dit que ça ne marcherait pas dans le contexte de HTTPS. D’ailleurs, c’est l’une des principales pistes pour pallier les déficiences de PKIX, c’est pour ça qu’on a inventé l’épinglage des clefs publiques dans les en-têtes HTTP (HPKP).
Ce n’est pas parce que les navigateurs acceptent sans sourciller qu’un certificat puisse changer à tout moment (en absence d’extension chargée précisément de surveiller ça, comme CertPatrol ou assimilée) que c’est une bonne idée de changer de certificat à l’improviste.
Toutes les méthodes d’épinglage des clefs, que ce soit dans les en-têtes HTTP (HPKP), dans le DNS (DANE), ou même pré-chargées dans le navigateur, vont exiger des administrateurs de serveurs TLS un peu plus de rigueur et d’anticipation dans la gestion de leurs certificats, et c’est une bonne chose.
[^] # Re: Quel le problème en fait ?
Posté par claudex . Évalué à 3.
Si tu expliquais comment l'utilisateur peut vérifier que c'est bien la bonne qu'il contact, on pourrait peut-être avancer là dessus.
Un des modes de fonctionnement de DANE, c'est de distribuer la CA par le DNS, pas le certificat utilisé, ça permet donc de changer de certificat quand on veut.
Comme dit l'article que tu cite, ce sont les CA qui sont pinné, pas les certificats. Ça permet de changer de certificat tous les jours si tu veux.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Quel le problème en fait ?
Posté par gouttegd . Évalué à 2.
Il ne vérifie pas. Ce n’est pas pour rien qu’on parle de Trust-On-First-Use ou de Leap-Of-Feath…
TOFU ne protège pas d’un MITM lors de la première connexion, c’est un fait. Mais il protège les connexions ultérieures, ce que le système PKIX ne fait pas.
[^] # Re: Quel le problème en fait ?
Posté par Frank-N-Furter . Évalué à 4.
OK, j’suis allé sur ton site, et bien sûr comme le certificat est autosigné Firefox m’a demandé ce que je veux faire. Comment est-ce que je sais que le certificat que je vais accepter est bien le tien, et pas celui d’un boitier, entre ton site et moi, qui me fait un MITM?
Depending on the time of day, the French go either way.
[^] # Re: Quel le problème en fait ?
Posté par Richard Dern . Évalué à -2.
Tu ne peux pas.
Mais je n'ai qu'un mot à dire: SuperFish.
[^] # Re: Quel le problème en fait ?
Posté par Frank-N-Furter . Évalué à 2.
Vois pas le rapport. Le certificat racine était autosigné. Le problème est que lenovo, pour faire quelques thunes a baiser ses utilisateurs.
Comment vérifies-tu, la chaine de sécurité?
Depending on the time of day, the French go either way.
[^] # Re: Quel le problème en fait ?
Posté par Richard Dern . Évalué à -1.
Moi non plus je ne vois pas le rapport: certificat racine autosigné ou pas, il n'a pas été approuvé par l'utilisateur.
À l'époque on savait que SuperFish était une boîte de pub. Personnellement, je n'aurait pas accepté le certificat d'une boîte de pub si on m'avait posé la question.
Question rhétorique. Un minimum de bon sens permet déjà de pas se faire avoir sur des certs forgés à l'arrache.
C'est comme pour le phishing: un mec qui prend le temps de faire un mail peaufiné aux petits oignons peut facilement se faire passer pour une banque. Plus le niveau technique de l'utilisateur est élevé, mieux il peut faire face. Au final c'est quand même l'utilisateur qui prend la décision de livrer ses infos, en fonction de ses compétences techniques. Pour les certs, ça devrait être pareil.
Aujourd'hui, les certificats, en l'état, c'est rien de plus qu'une rustine pour contourner le problèmes de l'identification d'un serveur distant. Ma proposition ne vise pas à changer ça en profondeur puisqu'il faudrait revoir certaines couches plus basses du modèle OSI (et y en à déjà qui bossent dessus). Ma proposition vise à restaurer une valeur fondamentale du Libre en rendant à tout le monde un pouvoir qu'on a délégué à des entreprises commerciales.
[^] # Re: Quel le problème en fait ?
Posté par groumly . Évalué à 4.
T'évites soigneusement de répondre a la question quand meme, surtout pour un mec qui explique la vie a tout le monde.
Alors, on va prendre un exemple tout simple, le certificat de linuxfr. Tu réponds simplement ce coup ci, et t'essayes pas de noyer le poisson a coup de "nan mais c'est facile".
Qu'est ce qui te permet de dire que 76 E7 95 FF 88 7C 1D 83 2F E5 70 B1 4F 1C B2 41 A6 4E DD 51 correspond bien au sha1 du certificat emit par les admins de linuxfr?
Linuxfr, le portail francais du logiciel libre et du neo nazisme.
[^] # Re: Quel le problème en fait ?
Posté par Richard Dern . Évalué à 1.
Rien.
[^] # Re: Quel le problème en fait ?
Posté par Nico C. . Évalué à 3.
Donc t'as aucune idée de ce que tu approuves… OK.
Et imagine que tu fais partie des "sachants" en informatique et t'as aucune idée de ce que tu fais. Alors comment les particuliers peuvent s'en sortir avec ta solution ?
[^] # Re: Quel le problème en fait ?
Posté par EauFroide . Évalué à -2.
Je te pose l'exact même question, comment puis-je savoir que je ne suis pas en plein mitm avec une de vos fameuses boites noires neo-nazie? (ne me réponds pas la signature vu que le gouvernement français, dans son infinie sagesse, peu forcer vos organismes de certif à truster ce qu'il a envie).
Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
[^] # Re: Quel le problème en fait ?
Posté par Ytterbium . Évalué à 2.
Euh, ça m'étonnerait. Malgré les récentes législations antiterroristes, l'État et les services de renseignement ne sont pas tout-puissants. À la rigueur, faire du MITM avec un certificat de l'ANSSI, ça c'est déjà vu, mais de là à imposer un organisme indépendant de lui certifier un certificat bidon, il y a de la marge.
[^] # Re: Quel le problème en fait ?
Posté par pasBill pasGates . Évalué à -1.
Absolument rien
Tout cela évidemment est basé sur l'idée que le govt peut forcer la main des CA. Peut-être, peut-être pas.
Alors oui, voila, le système de CA laisse tout le monde à la merci des gouvernements ayant assez de pouvoir.
Par contre il résoud le problème pour tout le reste.
Tu as mieux, et qui marche à l'échelle mondiale pour tout le monde du pekin moyen à la société de 100'000 personnes ? Je serai ravi d'entendre tes propositions…
[^] # Re: Quel le problème en fait ?
Posté par kantien . Évalué à -1.
Du Trust On First Use… Mais là comme on réduit grandement la surface d'attaque pour le MITM, dont le principal acteur dont il faut se méfier semble être les gouvernements, pour éviter la compromission du premier intermédiaire (le FAI), on lance un nombre conséquent de requêtes via Tor en se disant que statistiquement l'attaquant ne peut s'interfacer à la sortie de tous le nœuds par lesquels on est passé. Puis l'on conclue ainsi : je me sens plus en sécurité car je n'ai fait confiance à personne d'autre que moi-même. :-D
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: Quel le problème en fait ?
Posté par pasBill pasGates . Évalué à 0.
J'ai dit :
"qui marche à l'échelle mondiale, du pekin moyen à la société de 100'000 personnes"
Pour les certificats d'entreprises, tu gères ça comment ? T'as un Tor interne à la boite ?
Pour les sites en load balancing avec plus d'un certificat, ta grand-mère fais quoi ? Ton Tor va répondre avec 13 certificats différents…
[^] # Re: Quel le problème en fait ?
Posté par kantien . Évalué à 2.
Mon message était ironique ;-)
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: Quel le problème en fait ?
Posté par pasBill pasGates . Évalué à -3.
Ah :) Après ce que j'ai lu sur ce journal plus rien ne m'étonne :)
[^] # Re: Quel le problème en fait ?
Posté par kantien . Évalué à 0.
C'était une explication en prose d'une solution proposée dans le fil, dont la mise en pratique est la simplicité même. :-P
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: Quel le problème en fait ?
Posté par EauFroide . Évalué à 0.
Alors j'ai bon chercher, je ne vois nul part avoir signalé avoir découvert une solution. Proposer des idées, des alternatives (hidden service) certes, mais pas de solution.
Et si on en découvrait une sur LinuxFR, je n'en doute pas que vous trolleriez de toute façon :D (beaucoup de ceux qui font du "pro" sur le web ne comprennent pas le désire d'indépendance des auto-host)
Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
[^] # Re: Quel le problème en fait ?
Posté par kantien . Évalué à 0.
Je ne fais pas de "pro" sur le web, et même en ces lieux, derrière, c'est une structure associative et le certificat est signé par Gandi.
Le sujet du journal ne porte de toute façon pas sur l'indépendance des auto-host, mais sur une toute autre problématique : comment garantir aux clients l'identité du serveur ? Alors comment faîtes-vous avec Richard Dern sans passer par des CA ?
Je rappelle que la solution originelle de Richard consistait à virer tous les certificats des CA, et de faire du Trust On First Use. Solution qui a fait rire tout le monde ici, et vous êtes les deux seuls à ne pas comprendre. Il ne vous est alors pas venu à l'esprit que vous faisiez fausse route ?
Et pour une personne qui désire l'indépendance en étant auto-host (je ne vois d'ailleurs pas ce que cela signifie), en quoi Let's Encrypt n'est pas satisfaisant ? Ne faire confiance à personne relève grandement d'un délire paranoïaque. Avez-vous lu tout le code qui tourne sur vos machines ? Pas de blob binaire ? Un bios libre ? Vous avez construit vous même votre machine ? Vous faîtes confiance à votre distribution pour les logiciels qu'elles empaquettent mais pas aux CA qu'elle fournie ?
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: Quel le problème en fait ?
Posté par gouttegd . Évalué à 2. Dernière modification le 02 février 2016 à 01:26.
Ce n’est pas parce que la solution est maladroitement proposée qu’elle est à écarter d’emblée.
Je suis d’accord que demander aux visiteurs de faire tout le boulot eux-mêmes est irréaliste.
Mais avec le support des sites visités (épinglage des clefs publiques) et le support des navigateurs (qui se chargent eux-mêmes d’assurer le suivi des certificats de manière transparente pour l’utilisateur), les solutions du type Trust-on-First-Use ne sont pas aussi ridicules que tu sembles le croire.
En tout cas, elles sont suffisamment pas ridicules pour que les « centaines d’ingénieurs sécurité » de Google et de Mozilla décident d’implémenter HPKP dans Chrome et Firefox, et que ceux de Microsoft y réfléchissent (« under consideration »). Tant il apparaît nécessaire à tout ce beau monde de ne pas se fier aux seules CA…
[^] # Re: Quel le problème en fait ?
Posté par pasBill pasGates . Évalué à -2.
Et pourtant si, HPKP ne change absolument rien au besoin de CA, il permet simplement d'empécher que qq'un fasse un MITM à travers un cert amené d'une autre CA que l'originelle.
HPKP ne fonctionne pas sans CA, car il faut toujours pouvoir vérifier le certificat originel au départ pour l'accepter.
[^] # Re: Quel le problème en fait ?
Posté par kantien . Évalué à 1.
Je ne m'attends pas à rencontrer une solution sur linuxfr, mais plutôt dans des laboratoires comme gt-verif
Sapere aude ! Aie le courage de te servir de ton propre entendement. Voilà la devise des Lumières.
[^] # Re: Quel le problème en fait ?
Posté par Doc.who . Évalué à 0.
Comme tu y vas ! Quelques années d’expériences en politique m’ont apprise que ce sont ceux qui crient le plus fort au nazisme/stalinisme qui sont les plus adeptes du totalitarisme.
D’ailleurs cette incapacité que tu montres à accorder ta confiance à un tiers, est assez typique de ce type de régime, tel qu’analysé durant la seconde moitié du XXème siècle, car fondé sur la destruction totale de la société (qui repose, je vous donne dans le mille : sur une confiance minimale entre les individus, même des inconnus/étrangers).
Toi aussi ami, fasciste, réactionnaire, néo-nazi, antisémite, défenseur du patronat persécuté, viens rencontrer tes amis sur Linuxfr pour combattre cette engeance gauchiste islamophile qui viole ta femme, mange ton bébé et pratique la sodomie.
[^] # Re: Quel le problème en fait ?
Posté par groumly . Évalué à 8.
ta méthode c'est donc la roulette russe en fait.
En gros, tu cliques sur approuver a n'importe quel cert qui t'es présenté.
Et tu viens nous sortir de grande tirades sur l'education des utilisateurs, et leur nécessité de s'impliquer et comprendre les problèmes de sécurité sur internet.
lol.
Linuxfr, le portail francais du logiciel libre et du neo nazisme.
[^] # Re: Quel le problème en fait ?
Posté par Doc.who . Évalué à 0. Dernière modification le 01 février 2016 à 21:01.
doublon
Toi aussi ami, fasciste, réactionnaire, néo-nazi, antisémite, défenseur du patronat persécuté, viens rencontrer tes amis sur Linuxfr pour combattre cette engeance gauchiste islamophile qui viole ta femme, mange ton bébé et pratique la sodomie.
[^] # Re: Quel le problème en fait ?
Posté par Zenitram (site web personnel) . Évalué à 0. Dernière modification le 01 février 2016 à 22:14.
Le problème pour toi malheureusement est qu'on a compris, justement, apparemment toi n'a pas compris la stupidité de l'"idée" (entre guillement car en fait il n'y a pas d'idée, tu propose juste de revenir à avant SSL sans essayer de ocmprendre pourquoi SSL a été fait)
Super…
Oui, Mr tout le monde utilise SSH, c'est bien connu… CQFD.
En tout cas bravo : réussir à mettre dans le même "camp" Groumly, PbPb, Zenitram (qui valide tout ce qui a été dit) et d'autres têtes fortes du site (même les amins de LinuxFr ont lâché l'affaire et sont passé d'un certificat équivalent à de l'auto-signé à un certificat "normal") est en soit un énorme exploit, tu peux en être fier, peu d'élus pour ça.
[^] # Re: Quel le problème en fait ?
Posté par patrick_g (site web personnel) . Évalué à 4.
Un moment c'était tellement gros que je me suis même demandé si "Richard Dern" n'était pas un pseudo de pBpG utilisé pour faire des propositions absurdes afin de se faire rétamer par PasBill qui engrangerait ainsi un plussage massif.
[^] # Re: Quel le problème en fait ?
Posté par pasBill pasGates . Évalué à 4.
J'utiliserais bien des pseudos pour poster des trucs absurdes genre "l'open source c'est plus sûr" ou "Linux est prêt pour le desktop" mais je suis pas sur que ça m’amènerait des plussages :)
[^] # Re: Quel le problème en fait ?
Posté par Nico C. . Évalué à 1. Dernière modification le 01 février 2016 à 10:19.
T'as deja acheté un certificat ou bien ? Visiblement non.
Ils te demandent un certain nombre d'actions techniques pour prouver que tu as bien accès à la gestion technique du domaine : ID à exposer sur une URL précise, envoi d'un mail à postmaster@domain.tld (y'a interêt qu'il soit bien redirigé), etc. Et ça, c'est juste pour les certificats pas chers…
Pour les plus chers, y'a une vraie vérification manuelle avec demande de papiers d'identité, papiers officiels sur l'entreprise, etc La procédure peut prendre qq semaines.
Bref, tout un ensemble d'actions que je ne pourrais pas réaliser par mes propres moyens pour chaque site en HTTPS que je visite. Mais comme tu as une solution révolutionnaire pour améliorer tout cela, tu vas nous en faire part au lieu d'essayer de noyer le poisson, non ?
[^] # Re: Quel le problème en fait ?
Posté par gouttegd . Évalué à 10.
Ouais, demande à Zenitram ce qu’il en pense…
# Diffamation ?
Posté par galactikboulay . Évalué à 3.
Tu peux étayer cette affirmation par des preuves ?
Si tu parles de l'affaire avec la NSA, la NSA détournait des livraisons d'équipements Cisco à leur insu pour y implanter des backdoors.
[^] # Re: Diffamation ?
Posté par Nico C. . Évalué à 0.
Faut pas utiliser les grands mots pour si peu… d'une, Cisco n'a jamais été un grand champion dans la sécurité de ses firmwares et, pire, dans la conf par défaut de ses équipements (bien trop souvent déployés avec cette même conf par défaut). Et de deux, Cisco n'a jamais fait la fine gueule pour aider joyeusement son gouvernement. La vraie question étant, pendant combien de temp la NSA a t'elle vraiment vraiment agi dans le dos de Cisco ? Des rumeurs sur ces détournements existaient depuis bien longtemps (la 1ère fois que j'en ai entendu parlé sans vraiment le croire évidemment, c'était en 2003-2004), il serait étonnant que Cisco n'ait pas investigué un minimum sur le sujet.
Et de trois, Juniper s'est fait gauler (mais a surtout eu l'honnêteté de dévoiler publiquement le problème), sommes nous vraiment sûrs que Cisco n'a rien à se reprocher de ce genre et aura l'honnêteté de l'annoncer publiquement si jamais il découvrait qqch ? Personnellement, connaissant le passif de Cisco sur la publication des failles, j'ai comme un doute…
[^] # Re: Diffamation ?
Posté par Leslie Basmid . Évalué à 1.
Encore un lot d'affirmations sans preuves, avec citation de rumeurs en prime et qui se termine par "j'ai comme un doute": c'est très très peu crédible… Bravo, c'est un post 100% FUD.
[^] # Re: Diffamation ?
Posté par Benoît Sibaud (site web personnel) . Évalué à 7.
Je ne sais pas si c'est à ces différents cas qu'il était fait référence, mais il n'y a que l'embarras du choix lors d'une recherche cisco + backdoor (mais ça serait probablement pareil pour tous les autres équipementiers) :
http://arstechnica.com/security/2015/09/malicious-cisco-router-backdoor-found-on-79-more-devices-25-in-the-us/
http://www.infoworld.com/article/2608141/internet-privacy/snowden--the-nsa-planted-backdoors-in-cisco-products.html
http://www.lemondeinformatique.fr/actualites/lire-cisco-promet-de-supprimer-le-backdoor-present-sur-ses-routeurs-56244.html
http://www.zdnet.com/article/cisco-fixes-wi-fi-access-points-with-hard-coded-backdoor-access/
https://en.wikipedia.org/wiki/Cisco_Systems#Firewall_backdoor_developed_by_NSA
…
[^] # Re: Diffamation ?
Posté par Nico C. . Évalué à -1.
Je sais pas ce que tu fais exactement mais dans le milieu du réseau, Cisco est connu pour ce que je viens de raconter…
Y'a bien que les commerciaux Cisco qui nient tout ça.
Effectivement, je n'ai pas de preuve mais j'en ai rien a foutre qu'on me croit en fait… dans tous les cas, j'en ai rien a foutre de protéger ou attaquer la probité de Cisco ou pas. C'est pas mon employeur ni ma propriété.
Mais bon, quoiqu'il en soit, monter tout de suite sur ses grands chevaux en parlant de diffamation pour ça, c'est un peu ridicule. Sauf pour un commercial Cisco ou un mec avec le logo tatoué sur son front, peut être ?
Pour les preuves, y'aurait surement moyen d'en trouver sur les cas ou Cisco a délibérément caché des rapports de faille mais j'ai la flemme de chercher - d'autant plus que les articles sur la sécurité un peu anciens sont complètement éclipsés par l'affaire snowden et la NSA
[^] # Re: Diffamation ?
Posté par EauFroide . Évalué à -1.
Comme le dit dans ses confs Benjamin Bayart en matière de matériel réseau: "on a juste le choix de qui va nous espionner: USA ou Chine" :D
Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
[^] # Re: Diffamation ?
Posté par galactikboulay . Évalué à 3.
"J'ai pas de preuve, mais c'est connu dans le milieu hein. Ah et ceux qui disent le contraire c'est des vendus". Tu parles d'une argumentation…
Ce n'est pas mon employeur (et je n'ai pas d'actions non plus ni de tatouage), mais chez moi quand on prétend affirmer quelquechose, on apporte des preuves, c'est un peu le raisonnement scientifique de base en fait. Sinon, on peut justifier l'existence de licornes roses sans aucun problème.
Vu ce que la NSA a été obligée de mettre en place (détournement des livraisons, patches sauvages des firmwares), j'aurais plutôt tendance à penser que Cisco est clean justement. Evidemment, c'est là tout l'intérêt d'avoir des sources ouvertes et libres.
Après, des failles de sécurité, il en existe dans tous les logiciels, y compris libres. Pourtant personne n'affirme que c'est le résultat de devs Linux, Apache, OpenSSL ou PHP qui travaillent pour la NSA.
Pour le terme diffamation, d'après Wikipédia: "En France, la diffamation est une infraction pénale découlant « l'allégation ou l'imputation d'un fait qui porte atteinte à l'honneur ou à la considération de la personne à laquelle le fait est imputé" (personne physique ou morale). Donc désolé mais tu es en plein dedans.
[^] # Re: Diffamation ?
Posté par Richard Dern . Évalué à -2.
CALEA, ça te dit quelque chose ?
En gros c'est une loi qui oblige les constructeurs à implanter des backdoors.
Cisco étant un constructeur de matériel réseau américain, il est soumis à cette loi. Par conséquent, les routeurs Cisco intègrent des backdoors.
Je t'invite également à lire les documents de l'EFF consacrés à Cisco.
[^] # Re: Diffamation ?
Posté par galactikboulay . Évalué à 3.
Oui, et l'implémentation de CALEA chez Cisco s'appelle Lawful Intercept:
http://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst6500/ios/12-2SX/lawful/intercept/book/65LIch1.html
"After acquiring a court order or warrant to perform surveillance, the LEA delivers a surveillance request to the target's service provider. Service provider personnel use an administration function that runs on the mediation device to configure a lawful intercept to monitor the target's electronic traffic for a specific period of time (as defined in the court order)."
Donc rien à voir avec une backdoor, c'est une fonction de capture du trafic documentée et prévue pour cet usage et le service provider doit explicitement configurer son équipement pour permettre cet accès pour être en conformité avec la législation.
[^] # Re: Diffamation ?
Posté par claudex . Évalué à 2.
Ben, ça dépend des failles, certaines laissent planer le doute.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Diffamation ?
Posté par Leslie Basmid . Évalué à 0.
Je sais que je ne devrais pas nourrir le… mais…
"Tout le monde le sait bien, mais j'ai la flemme de chercher"… Bravo encore.
En l'état, ton post mérite juste son bandeau {{À prouver|date=février 2016}}
# Monkeysphere
Posté par Parleur . Évalué à 2.
Tiens, c'est étonnant que, sur ce sujet, personne n'ai même_simplement fait mention de Monkeysphere.
C'était pourtant un intermédiaire intéressant dans ce domaine. Qui n'a jamais décollé ?
[^] # Re: Monkeysphere
Posté par Parleur . Évalué à 1.
https://linuxfr.org/news/monkeysphere-enlever-lhomme-du-milieu
# Let's Encrypt
Posté par MTux . Évalué à 4.
Je teste Let's Encrypt et je trouve que c'est super. Non seulement c'est gratuit mais en plus c'est carrément plus rapide à faire et le renouvellement peut-être automatisé en cron.
Du coup je me demande ce que vont devenir les autres autorités de certification ? Quel intérêt à payer des sommes importantes pour une chaîne au final plus compliquée ? Parce que oui un certificat c'est pas cher, mais une wildcard si, surtout si on a plusieurs domaines.
[^] # Re: Let's Encrypt
Posté par claudex . Évalué à 4.
Let's Encrypt ne fait pas de validation étendue (qui est nécessaire pour une utilisation des cartes de crédit) et ne peut pas le faire de manière automatisée, donc, les CA actuelles vont pouvoir garder au moins ces revenus. Si je ne me trompe pas, Let's encrypt publie la liste des certificats qu'elle signe, il y a plein de gens qui veulent des certificats valides pour des domaines internes sans que ce soit publique (ce n'est sans doute pas un cas d'utilisation qui rapporte énormément d'argent).
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Let's Encrypt
Posté par Moonz . Évalué à 4. Dernière modification le 02 février 2016 à 08:55.
Depuis quand ?
[^] # Re: Let's Encrypt
Posté par MTux . Évalué à 2.
Si, tout est scriptable et le renouvellement se fait en cron.
Ils ne font pas les wildcard certes, mais c'est tellement simple de demander/renouveler un certificat que je ne sais pas si c'est toujours nécessaire.
[^] # Re: Let's Encrypt
Posté par Sufflope (site web personnel) . Évalué à 2.
Il faudrait peut-être lire la phrase entière…
Tu fais comment de l'EV avec un cron ?
[^] # Re: Let's Encrypt
Posté par MTux . Évalué à 2.
Ah, je n'avais pas compris car ta phrase n'était pas claire.
En gros tu dis que c'est pas pris en charge donc c'est pas non plus possible de l'automatiser… logique.
Autrement je ne sais pas ce qu'est l'EV, je n'ai jamais eu à traiter avec ça.
[^] # Re: Let's Encrypt
Posté par Sufflope (site web personnel) . Évalué à -1.
Je sais pas ce que vous avez en ce moment à croire que c'est la même personne quand j'explique ce qu'a dit un tiers…
Et par ailleurs je ne vois pas ce qui n'est pas clair dans LE ne fait pas d'EV et ne peut pas en faire automatiquement.
[^] # Re: Let's Encrypt
Posté par gouttegd . Évalué à 5.
Extended Validation. Des certificats que l’autorité de certification ne délivre qu’après avoir tout mis en œuvre pour vérifier que le demandeur est bien celui qu’il prétend être — par opposition aux certificats Domain-Validated, où la CA vérifie seulement que le demandeur a un certain contrôle sur le nom de domaine demandé.
Et attention, c’est du sérieux ⸮ Un certificat EV, tu le payes cher, mais tu en as pour ton argent. Les vérifications sont tellement strictes que personne ne peut obtenir un certificat en ton nom, et par un effet mystérieux connu sous le nom de « je paye un max donc c’est mieux », tu apportes à tes visiteurs la garantie que personne ne peut non plus obtenir un certificat DV (qui concrètement a la même valeur, à part que l’affichage est moins joli dans le navigateur) auprès d’une autre CA.
Ou pas.
[^] # Re: Let's Encrypt
Posté par mytemp . Évalué à 4.
Vendredi j'ai acheté un certificat EV en wildcard de 3 ans pour une grosse ville française. Ca a été acheté chez ssl247 auprès de GlobalSign. Et effectivement, la vérification à été très stricte: Un coup de téléphone de la part de ssl247 au prestataire d'infogérance de cette ville (donc moi même, absolument pas salarié de cette ville et habitant à plus de 300km) et ça a duré pas loin de 2 minutes…
Rassurez-moi, vous pensiez quand même pas que cette vérification était réellement crédible, si?
[^] # Re: Let's Encrypt
Posté par Sufflope (site web personnel) . Évalué à 3.
Tu n'as visiblement pas lu le passif de gouttegd sur les CA, ni vu son point d'ironie, ni saisi l'outrance de ses propos.
En bref il était purement ironique.
[^] # Re: Let's Encrypt
Posté par Zenitram (site web personnel) . Évalué à -2. Dernière modification le 02 février 2016 à 11:44.
Il faudrait la lire en effet, tu verrais qu'elle prête à confusion :
tu penses qu'elle dit :
- Let's Encrypt ne fait pas de validation étendue (vrai)
- validation étendue ne peut pas le faire de manière automatisée (vrai)
Les gens (dont moi) lisent et comprennent :
- Let's Encrypt ne fait pas de validation étendue (vrai)
- la validation Let's Encrypt (non EV donc) ne peut pas être faite de manière automatisée (faux, les gens te réponde donc que si)
Note : vu la gueule de la validation étendue (cf mon journal à ce sujet), une validation automatisée est largement faisable. Plus compliquée mais faisable, un robot m'aurait appelé que ça aurait été pareil.
Edit : argh, ça m'apprendra à faire autre chose entre temps, grillé. Et je vois donc que la personne s'entête à penser que sa "traduction" est celle des autres obligatoirement, snif… On sait ce qu'il a voulu dire, mais non ce n'est pas ce qu'il a dit.
[^] # Re: Let's Encrypt
Posté par Sufflope (site web personnel) . Évalué à 1.
Tout ce pavé pour dire que dans le contexte de LE, dont une caractéristique importante longuement discutée notamment ici est la création automatique de certificats, vous n'êtes pas capables de comprendre une simple conjonction de coordination "ils n'en proposent pas (de l'EV) à l'instant T et ne peuvent le proposer de manière automatique".
C'est un journal sur la tragédie de l'échec des CA ou de l'échec scolaire ?
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.