“We, the Chrome Security Team, propose that user agents (UAs) gradually change their UX to display non-secure origins as affirmatively non-secure.”
[Today, HTTPS is displayed in green and HTTP without any indicator. The idea is to have a warning indicator for HTTP.]
▻https://www.chromium.org/Home/chromium-security/marking-http-as-non-secure
Encore récemment, où je proposais à un client un certificat... celui-ci me répond que les données échangées n’ont aucun caractère confidentiel... qu’un tel certificat ne sert à rien. Idem pour la protection d’un phpMyAdmin... le client m’explique que les données de la base de données n’ont aucun caractère marchand ou confidentiel.
Finalement, c’est contre quoi qu’ils veulent nous protéger les gens de Chrome ? Contre le fait que les fichiers téléchargés, on n’est pas du tout sûr qu’ils proviennent du site qu’on croit consulter ? Ça devient lourd à expliquer aux utilisateurs !
Stéphane, que penses-tu des certificats qui vont être proposés « bientôt » par l’EFF et la Fondation Mozilla ? Car c’est bien gentil de passer en https, mais ça coûte très cher auprès des vendeurs de certificats (mais c’est une éventuelle source de revenus pour le grand G, qui peut compenser la fin de l’ère du web publicitaire).
@hlc Si c’est une question de prix (mais il y a aussi la question du statut de ces AC, toutes des boîtes privées à but lucratif), essaie CAcert ►http://seenthis.net/messages/98342 ►http://seenthis.net/messages/97239 que SeenThis devrait AMHA adopter.
@hlc Et sur le projet EFF/Mozilla, voir ►http://seenthis.net/messages/314991
Il y a effectivement une question de prix quand on gère plusieurs domaines. Mais les certificats gratuits ne sont pas reconnus par les navigateurs et produisent une grosse alerte qui effraient les usagers. C’est une méthode un peu mafieuse, sous couvert de sécurité, qui consiste à dire, « si tu ne payes pas un des copains de la bande des certifieurs, alors on va détourner les gens de ton site ». La même chose que Amazon qui dit qu’un livre est indisponible si Amazon n’en est pas le libraire/distributeur.
Visiblement, en lisant les articles que tu propose, les certificats de Let’s encrypt seront reconnus... c’est une grande différence avec des certificats auto-signés.
Mais partant du principe « quand c’est gratuit, il faut se méfier », je voudrais avoir ton avis éclairé.
@hlc Ce n’est pas le fait qu’ils soient gratuits (StartSSL l’est aussi, pour un usage non commercial), c’est plus arbitraire que ça. Et si les certificats de Let’s Encrypt seront acceptés, mais pas ceux de CAcert, cela illustrera simplement cet arbitraire.
Je ne prône pas les auto-signés (qui n’offrent aucune garantie : un attaquant Homme du Milieu a pu les générer) mais l’utilisation d’autorité de certification démocratiques et populaires :-) comme CAcert.
Pour le reste, j’attends DANE ►http://www.bortzmeyer.org/jres-dane-2011.html
La #NSA a détruit toute #sécurité sur Internet. Nous devons la reconstruire.
▻http://fr.falkvinge.net/2013/09/12/la-nsa-et-le-congres-des-etats-unis-ont-detruit-toute-la-securite-sur-
La NSA a falsifié des certificats de sécurité internet. Le pire, c’est que nous savions qu’elle le pouvait, et nous avons continué d’avoir confiance dans la sécurité basée sur les certificats. La sécurité sur le net comme nous la connaissons est morte et nulle – pire que nulle, en fait – et doit être reconstruire de zéro.
Une ébauche de début d’idée pour une alternative aux certificats web. Aucune idée de ce que ça peut valoir…
C’est une idée déjà normalisée et mise en œuvre, #DANE : ►http://www.bortzmeyer.org/6698.html Sur les défauts des certificats X.509, voir aussi ►http://www.bortzmeyer.org/jres-dane-2011.html
