Scoubidouhoua a écrit 37 commentaires

Je viens de vérifier les 5 certificats QuoVadis que j’ai sur mon poste et dans la VM, ils ont chacun la même empreinte sha256 (du moins à l'affichage).

Sur https://twitter.com/LX2025 (si c’est réellement son compte Twitter), il est plutôt vietnamien.

Je n'ai pas ce certificat non plus dans le Firefox ma machine virtuelle et pourtant, ça passe, le chiffrement se fait.

J'ai aussi supprimé les certificats de QuoVaids. J'ai refait un sudo dpkg-reconfigure ca-certificates, les certificats QuoVadis ont été rajoutés et j'ai toujours l'erreur de certificat sur la plateforme de paiement de la Société Générale. Vraiment bizarre.

J'avais mal lu. C'est normal que tu aies l'erreur si tu as supprimé les certificats Quo Vadis (ce qu'il ne fallait pas faire). J'ai bien ces certificats : https://wtf.roflcopter.fr/pics/NVvkucNK/Qq0lTtGU.png

Très intéressant. Donc je ne suis pas le seul à avoir ce problème avec ce certificat en particulier. J'ai installé Linux Mint 20.2 Cinnamon mais en conservant tout mon dossier home et donc mon ancien profil Firefox. Je suppose que ton profil est aussi ancien ? Il y a eu quelque chose dans Firefox à un moment donné qui l'empêche d'authentifier ce certificat.

Tu as l'erreur de certificat ou le certificat est reconnu et tu as l'erreur du serveur HTTP ?

J'ai désactivé mon pare-feu dès fois qu'un protocole tel que l'interrogation des serveurs OCSP soit bloqué. Nada.

Et le pire, c'est que c'est uniquement avec ce site web que j'ai ce problème !

• J'ai la même version de Firefox et les mêmes certificats des autorités de certification sur mon poste et ma VM.
• J'ai désactivé en même temps DNS via HTTPS et toutes les extensions, vidé complètement le cache et redémarré Firefox. -> toujours le même problème uniquement sur mon poste.

Il y a peut-être un paramètre de configuration qui diffère entre les 2 mais je ne le vois pas.

Je sèche complètement.

J'ai déjà testé ça. J'ai vidé tous mes caches, désactivé toutes mes extensions puis redémarré Firefox. J'ai alors l'erreur à propos du certificat.

J'ai comparé ma liste de CA entre mon poste et la VM, j'ai juste 2 certificats en plus : https://wtf.roflcopter.fr/pics/dCmMer3X/fQlj0dBz.png
Ils auraient dû être révoqués, je suppose : https://en.wikipedia.org/wiki/DigiNotar

Je les ai enlevés, mais ça ne résoud évidemment pas mon problème.

Avec un nouveau profil, je n'ai plus le problème de certificat. J'ai 36 onglets d'ouverts, ça pourrait perturber ?

Ah oui, c'est plus clair maintenant. Donc j'ai un souci avec ma liste de certificats signés par les autorités de certification. J'ai réinstallé les paquets ca-certificate, ca-certificate-java et ca-certificate-mono, que dalle, toujours l'alerte. Je vais essayer avec un nouveau profil de Firefox.

Ce que je ne comprends pas non plus, c'est que sur mon poste, j'ai vidé tous mes caches et désactivé toutes mes extensions puis redémarré Firefox. J'arrive à accéder à https://payment-webinit.sogenactif.com/paymentInit sans passer par le site marchand (j'ai alors l'erreur à propos du certificat), alors que dans la VM, j'ai de suite une erreur 500.

Avec Linux Mint 20.2 Cinnamon installé dans une VM et avec la même version de Firefox :
https://wtf.roflcopter.fr/pics/h7q4nNLl/Cxo6sLtD.png
https://wtf.roflcopter.fr/pics/JLq5zpZa/r12oHHqB.png

C'est parce qu'il faut d'abord faire l'achat sur le site web d'origine qui redirige vers le site de paiement. Ce que j'ai fait et ça marche ! Donc il y a bien un souci sur mon poste, mais où ???
En tout cas, merci pour l'aide.

J'utilise Mozilla Firefox 91.0, Linux Mint 20.2 Cinnamon. Tu utilises la même chose ?

J'ai :

Quelqu’un pourrait être en train d’essayer d’usurper l’identité du site. Vous ne devriez pas poursuivre.

Les sites web justifient leur identité par des certificats. Firefox ne fait pas confiance à payment-webinit.sogenactif.com, car l’émetteur de son certificat est inconnu, le certificat est auto-signé ou le serveur n’envoie pas les certificats intermédiaires corrects.

Code d’erreur : SEC_ERROR_UNKNOWN_ISSUER

SHA-256
F9:0F:D8:63:D5:9A:FE:EC:1B:73:07:AE:8B:63:CC:CF:66:A4:8B:8D:B8:38:47:1C:A0:D1:5C:67:73:50:B2:C2

Je mets le lien pour tester : https://payment-webinit.sogenactif.com/paymentInit

La première réponse de l'équipe sécurité de la société générale :

"Les premières analyses indiquent jusqu’à présent qu’y compris dans ce contexte, les données sont bien chiffrées.

Il semblerait que le message que vous avez reçu correspondrait à celui émis lorsqu’une machine est configurée avec une date dans le futur/passé (une date supérieure à 23/03/2022 ou inférieure à 31/03/2021).

N’hésitez pas à nous confirmer / infirmer cette hypothèse.

"

J'ai répondu que je suis bien synchronisé avec les serveurs NTP
Personne d'autre n'a réussi à reproduire cette erreur de certificat ?

Oui. Mais je n'ai pas validé l'exception et ne la validerai pas, je ferai mon achat quand ce sera réglé.

Non, je n'ai rien bidouillé, c'est une installation par défaut. Je viens quand même de taper cette commande, j'ai 129 certificats d'autorités de certification à la fin et j'ai toujours la même erreur chez un marchand qui utilise cette plateforme de paiement.

Merci pour l'info sur QuoVadis. Donc La société générale utilise bien des certificats fournis par une autorité de certification aussi pourrie que les auteurs de Pegasus.

C'est une Linux Mint 20.2 Cinnamon fraîchement installée et je n'ai rien viré dans la liste des certificats ni dans la liste des autorités de certification.

Excellente !