+ Répondre à la discussion Actualité déjà publiée
  1. #1
    Chroniqueur Actualités

    Homme Profil pro
    Webmaster
    Inscrit en
    janvier 2014
    Messages
    639
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Côte d'Ivoire

    Informations professionnelles :
    Activité : Webmaster
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : janvier 2014
    Messages : 639
    Points : 13 654
    Points
    13 654

    Par défaut Let’s Encrypt annonce la disponibilité des certificats génériques pour janvier 2018

    Let’s Encrypt annonce la disponibilité des certificats génériques pour janvier 2018
    afin de faciliter la sécurisation d'un domaine et ses sous-domaines avec un seul certificat

    Avec le nombre élevé d’attaques informatiques ciblant les sites web sur la toile, il n’est nul besoin de rappeler que l’un des moyens essentiels de prévention contre ces piratages demeure l’adoption des mesures de sécurité comme le chiffrement des sites web.

    Let’s Encrypt, l’autorité de certification qui a lancé ses services publics en 2015, offre des outils dans ce sens avec la mise à disposition de moyens automatisés pour l’installation et le renouvellement de certificats gratuits pour le protocole de chiffrement TLS. Avec ces services, Let’s Encrypt souhaite offrir un web à 100 % sécurisé en permettant aux entités qui disposent de peu de ressources financières et techniques d’utiliser ses services pour sécuriser leurs sites web.

    Selon les statistiques fournies par Let’s Encrypt, avant le lancement public de ses services en 2015, le pourcentage des pages chargées sur la toile était estimé à 40 %. Depuis cette date, le taux de sites web sécurisés HTTPS est passé à 58 %. Il faut rappeler néanmoins que d’autres entreprises comme Amazon offrent également des certificats gratuits à ses clients utilisant AWS. À la fin du mois dernier, Let’s Encrypt fêtait ses 100 millions de certificats délivrés. Et actuellement, elle déclare qu’elle sécurise 47 millions de domaines sur le web.

    Pour faciliter le déploiement de ses outils et booster encore plus l’adoption de ses services de sécurité web, Let’s Encrypt annonce qu’elle offrira des « wildcard certificates » (certificats génériques) à partir de janvier 2018. Selon l’autorité, ces certificats génériques ont pour but de sécuriser n’importe quel nombre de sous-domaines d’un domaine de base. En d’autres termes, avec ces certificats génériques, les administrateurs pourront utiliser une seule paire de certificat et clé pour un domaine et tous ses sous-domaines, et ne plus enregistrer individuellement un certificat pour chaque adresse web comme c’est le cas présentement. Selon Josh Aas, directeur exécutif de ISRG, cela facilitera considérablement le déploiement et par-delà, l’adoption du HTTPS sur le web. En effet, avoir une paire unique de clé de chiffrement et un certificat pour un domaine et ses sous-domaines est de loin nettement plus facile à gérer que d’avoir plusieurs certificats pour différents domaines et sous-domaines.

    Nom : encrypt-2.png
Affichages : 1857
Taille : 28,5 Ko

    Comme les autres certificats, ces certificats génériques seront offerts gratuitement à travers la version 2 du protocole ACME (Automated Certificate Management Environment). Ce protocole est la pièce maîtresse du service offert par Let’s Encrypt. C’est l’élément avec lequel Let’s Encrypt interagit avec ses abonnés « afin qu’ils puissent obtenir et gérer les certificats ». Il permet à Let’s Encrypt de s’assurer que les méthodes de validation, de délivrance et de gestion sont entièrement automatisées, sécurisées et conformes à ses attentes. Avec la version 2, ACME pourra être facilement utilisé par les autres autorités de certification et deviendra une norme de IETF avec des améliorations techniques. Par ailleurs, l’API de la version 2 de ce protocole existera aux côtés de la version 1 en attendant la fin du cycle de vie de cette première version du protocole.

    Pour utiliser donc ces certificats génériques, les utilisateurs de ces solutions devront mettre à niveau la version 1 du protocole ACME et passer à la version 2 de l’API permettant de déployer les clés de certificats sur les serveurs.

    Après cette annonce, plusieurs personnes ont admis que l’absence de ces certificats génériques était la dernière raison pour laquelle plusieurs ne se tournaient pas vers Let’s Encrypt. Avec la disponibilité de ce service, ces personnes n’auront plus d’excuses pour justifier l’absence de chiffrement ou soutenir des arguments pour ne pas utiliser les services de Let’s Encrypt, affirment ces derniers. Toutefois, pour d’autres, l’expiration de 90 jours après la délivrance serait un frein à l’adoption de Let’s Encrypt et préfèrent acheter des certificats de longue durée (plusieurs années). Mais, à cet argument, certains avancent que vu que les certificats Let’s Encrypt sont renouvelables automatiquement, cela ne devrait pas poser de problème. Et pour ceux qui achètent des certificats de longue durée, s’il survenait des failles favorisant des fuites de certificats, cela exposerait ces derniers aux attaques de type homme du milieu, affirment les défenseurs de Let’s Encrypt. D’autres ajoutent comme inconvénient à l’utilisation des services Let’s Encrypt qu’il faut attendre encore un peu plus de 5 mois avant la sortie de ces certificats génériques. Mais à la sortie des certificats génériques, ces assertions n’auront plus de sens, concluent certains utilisateurs de Let’s Encrypt.

    Enfin, au-delà des défenseurs et des détracteurs de Let’s Encrypt, d’autres se posent la question de savoir si les fournisseurs de certificats SSL vont disparaître.

    Source : Let’s Encrypt

    Et vous ?

    Les petites entreprises et les individus se tourneront-ils davantage vers Let’s Encrypt avec cette solution ?

    Selon vous, qu’est-ce qui pourrait freiner encore l’adoption des services Let’s Encrypt avec l’arrivée prochaine de ces certificats génériques ?

    Voir aussi

    Les certificats SSL/TSL de Let’s Encrypt sont supportés par la majorité des navigateurs, l’autorité avance dans son projet de sécuriser le web

    L’EFF et Mozilla lancent une nouvelle autorité de certification pour chiffrer le Web « Let’s Encrypt » délivrera gratuitement des certificats TLS/SSL
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    tlt
    tlt est déconnecté
    Membre habitué Avatar de tlt
    Homme Profil pro
    Chef de projet, Developpeur Unity 3D, API Designer
    Inscrit en
    juillet 2004
    Messages
    99
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Madagascar

    Informations professionnelles :
    Activité : Chef de projet, Developpeur Unity 3D, API Designer
    Secteur : High Tech - Produits et services télécom et Internet

    Informations forums :
    Inscription : juillet 2004
    Messages : 99
    Points : 187
    Points
    187

    Par défaut

    Hâte de l'utiliser.
    Actuellement, j'utilise sslforfree.com avec qui je dois renouveler les certificats tout les 3 mois. Et avec beaucoup de sous domaines, ça en fait des certificats à gérer

  3. #3
    Membre habitué
    Profil pro
    Inscrit en
    juin 2006
    Messages
    89
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : juin 2006
    Messages : 89
    Points : 183
    Points
    183

    Par défaut

    Plus pratique surement, mais moins sécurisé ! Du coup je ne donne pas chère de la peau de la limite des 90 jours …
    Le but de ne pas délivrer des certificat générique était d'éviter qu'un serveur compromis puisse avoir des sous domaines non contrôlés certifiés. Donc ils ont relaché un peu de sécurité pour faire plaisir. L'argument de la «complexité» de gestion ne tient pas, tu ne créé pas tous les 4 matin un sous domaine, donc une fois automatisé c'est totalement transparent.

  4. #4
    Membre éprouvé

    Homme Profil pro
    Développeur Web
    Inscrit en
    octobre 2007
    Messages
    601
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 36
    Localisation : Belgique

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : octobre 2007
    Messages : 601
    Points : 1 041
    Points
    1 041

    Par défaut

    Hâte qu'ils arrivent aussi, j'utilise Let's Encrypt depuis un moment mais, oui, avoir un averto sur son domaine à cause d'imports d'images provenant de sous-domaines non-https, ça gave vraiment, juste parce qu'il n'y a pas de wildcards...
    Afin d'obtenir plus facilement de l'aide, n'hésitez pas à poster votre code de carte bancaire

    Mon GitHub

  5. #5
    Membre éprouvé

    Homme Profil pro
    Développeur Web
    Inscrit en
    octobre 2007
    Messages
    601
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 36
    Localisation : Belgique

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : octobre 2007
    Messages : 601
    Points : 1 041
    Points
    1 041

    Par défaut

    Citation Envoyé par Mimoza Voir le message
    L'argument de la «complexité» de gestion ne tient pas, tu ne créé pas tous les 4 matin un sous domaine, donc une fois automatisé c'est totalement transparent.
    Et que fais-tu des sites, comme dans mon cas, qui créent un sous-domaine par utilisateur, dans une logique, par exemple, de référencement de professionnels?

    Actuellement, outre la complexité d'automatisation pour créer un certificat par sous-domaine, à la volée, t'as un nombre limité de certificats, ce qui n'est donc pas une solution viable pour un site ayant des milliers de sous-domaines.
    Afin d'obtenir plus facilement de l'aide, n'hésitez pas à poster votre code de carte bancaire

    Mon GitHub

  6. #6
    Membre émérite

    Homme Profil pro
    Justicier
    Inscrit en
    avril 2006
    Messages
    604
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 77
    Localisation : France

    Informations professionnelles :
    Activité : Justicier
    Secteur : Service public

    Informations forums :
    Inscription : avril 2006
    Messages : 604
    Points : 2 538
    Points
    2 538
    Billets dans le blog
    1

    Par défaut

    Citation Envoyé par Mimoza Voir le message
    Plus pratique surement, mais moins sécurisé ! Du coup je ne donne pas chère de la peau de la limite des 90 jours …
    Le but de ne pas délivrer des certificat générique était d'éviter qu'un serveur compromis puisse avoir des sous domaines non contrôlés certifiés.
    Je suis d'accord sur ce point.

    Citation Envoyé par Mimoza Voir le message
    L'argument de la «complexité» de gestion ne tient pas, tu ne créé pas tous les 4 matin un sous domaine, donc une fois automatisé c'est totalement transparent.
    Pas d'accord du tout. Au contraire, je suis dans un cas où je crée des sous-domaines "tous les 4 matins", ce qui m'oblige à jongler avec des chaînes de certificats, parce qu'un certificat ne peut pas contenir plus de 100 sous-domaines, mais on est également limité en nombre de certificats délivrés par semaine (ce qui empêche une gestion simple de type un sous-domaine = un certificat). Donc quand on a 1500+ sous-domaines à gérer, Let's Encrypt est très mal adapté tel quel. Après, le wildcard est fourni par les autres fournisseurs SSL classiques, mais le coût du wildcard est loin d'être négligeable.

  7. #7
    Membre éprouvé

    Homme Profil pro
    Développeur Web
    Inscrit en
    octobre 2007
    Messages
    601
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 36
    Localisation : Belgique

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : octobre 2007
    Messages : 601
    Points : 1 041
    Points
    1 041

    Par défaut

    Pour moi (et je pense que c'est la raison de leur choix aussi), pour le problème de sécurité d'un serveur compromis, cela ne rentre pas dans la chaîne de responsabilités d'un fournisseur de certificats, c'est de la responsabilité de la personne qui gère le serveur.

    Il me paraît donc logique qu'ils aient choisi d'éviter de priver des utilisateurs de cette fonctionnalité importante, pour des raisons qui dont ils n'ont cette responsabilité.
    Afin d'obtenir plus facilement de l'aide, n'hésitez pas à poster votre code de carte bancaire

    Mon GitHub

  8. #8
    Membre éprouvé

    Homme Profil pro
    Développeur Web
    Inscrit en
    octobre 2007
    Messages
    601
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 36
    Localisation : Belgique

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : octobre 2007
    Messages : 601
    Points : 1 041
    Points
    1 041

    Par défaut

    J'ajouterais même que si l'on ne peut faire confiance au serveur demandeur, pour des sous-domaines, pourquoi pourrait-on le faire, pour un domaine, tout court? Rien ne permet davantage de savoir si la demande de certificat d'un domaine n'émane pas, aussi, d'un serveur corrompu.
    Afin d'obtenir plus facilement de l'aide, n'hésitez pas à poster votre code de carte bancaire

    Mon GitHub

  9. #9
    Membre émérite

    Homme Profil pro
    Justicier
    Inscrit en
    avril 2006
    Messages
    604
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 77
    Localisation : France

    Informations professionnelles :
    Activité : Justicier
    Secteur : Service public

    Informations forums :
    Inscription : avril 2006
    Messages : 604
    Points : 2 538
    Points
    2 538
    Billets dans le blog
    1

    Par défaut

    Citation Envoyé par Lcf.vs Voir le message
    J'ajouterais même que si l'on ne peut faire confiance au serveur demandeur, pour des sous-domaines, pourquoi pourrait-on le faire, pour un domaine, tout court? Rien ne permet davantage de savoir si la demande de certificat d'un domaine n'émane pas, aussi, d'un serveur corrompu.
    De toute façon avec un système de vérification automatisé qui ne fonctionne qu'à la demande et une fois tous les 2 mois par la suite, on pourrait très bien "gruger" le système, en validant le sous-domaine, puis en le faisant pointer sur autre chose juste après la validation. Même si je ne vois pas l'intérêt de la manoeuvre, techniquement, cela reste possible.

    Il faut savoir aussi que si SSL a été fait à l'origine dans le double but de chiffrer le transfert et authentifier le site visité, tous les sites ne cherchent pas forcément à avoir les deux sécurités. Beaucoup souhaitent du SSL pour le référencement, et pour rassurer les utilisateurs qui n'ont pas envie que leurs mots de passes circulent en clair sur les réseaux (en particulier s'ils sont par exemple sur du Wifi public). Ce n'est pas pour rien que les fournisseurs classiques du SSL ont plusieurs gammes, qui vont de la simple validation semi-automatisée du domaine jusqu'à l'authentification de visu des personnes derrière la société possédant le nom de domaine, ce dernier type de certificat étant bien entendu plus coûteux. Autant pour des sites de E-commerce et pour des banques, ce type de super SSL se justifie, autant pour les sites qui ont des besoins simples et ne font pas de commerce électronique, un SSL tout simple conviendra parfaitement.

  10. #10
    Membre éprouvé

    Homme Profil pro
    Développeur Web
    Inscrit en
    octobre 2007
    Messages
    601
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 36
    Localisation : Belgique

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : octobre 2007
    Messages : 601
    Points : 1 041
    Points
    1 041

    Par défaut

    Citation Envoyé par Chuck_Norris Voir le message
    De toute façon avec un système de vérification automatisé qui ne fonctionne qu'à la demande et une fois tous les 2 mois par la suite, on pourrait très bien "gruger" le système, en validant le sous-domaine, puis en le faisant pointer sur autre chose juste après la validation. Même si je ne vois pas l'intérêt de la manoeuvre, techniquement, cela reste possible.
    En effet, mais ce que je voulais dire, c'est que puisqu'il est possible de définir plusieurs domaines sur un même serveur, un attaquant ayant main-mise sur le serveur, pourrait très bien y ajouter un domaine en cyrillique (par exemple), afin de duper l'internaute, à la perfection, et que l'admin peu vigilant pourrait laisser passer.
    Afin d'obtenir plus facilement de l'aide, n'hésitez pas à poster votre code de carte bancaire

    Mon GitHub

Discussions similaires

  1. Réponses: 18
    Dernier message: 30/04/2015, 16h44
  2. Microsoft annonce la disponibilité de solutions MDM pour Office 365
    Par Stéphane le calme dans le forum Microsoft Office
    Réponses: 1
    Dernier message: 03/04/2015, 08h25
  3. Abréviation des termes génériques pour le type de voie
    Par saclac dans le forum SIG : Système d'information Géographique
    Réponses: 1
    Dernier message: 06/07/2013, 18h55
  4. Réponses: 0
    Dernier message: 05/07/2010, 16h05
  5. Réponses: 1
    Dernier message: 22/04/2009, 22h25

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo