Posté par delio .
En réponse au message Self-hosting et HTTPS.
Évalué à 1.
Dernière modification le 06 novembre 2013 à 15:06.
Un certificat auto-signé, c'est comme une clef ssh. Il faut la vérifier lors de la première connexion, ou juste accepter un petit risque. La clef est enregistrée sur le poste client.
Ensuite, à chaque connexion, le client vérifie que la clef n'a pas changé et on est certain d'être prévenu si la clef change: ssh refuse la connexion. C'est ce qui est le plus important: savoir que dans la durée on parle toujours au même serveur.
Au contraire, le comportement des navigateur internet (firefox en tête) avec les certificats ssl n'est pas sain du tout:
- ils font confiance à la place de l'utilisateur en tout un tas d'autorités de certifications, dont certaines filent des certificats comme des petits pains
- ils ne levent pas (par defaut) d'alerte quand un certificat (pas auto-signé) change!! Tout certificat signé par une autorité de confiance est réputé valide. Pratique pour un homme du milieu!.
Avec un certificat auto-signé, si on a recupéré et enregistré le bon certificat à la première connexion, il est impossible d'être victime de l'homme du milieu.
[^] # Re: c'est quand meme le tien
Posté par delio . En réponse au message Self-hosting et HTTPS. Évalué à 1. Dernière modification le 06 novembre 2013 à 15:06.
Un certificat auto-signé, c'est comme une clef ssh. Il faut la vérifier lors de la première connexion, ou juste accepter un petit risque. La clef est enregistrée sur le poste client.
Ensuite, à chaque connexion, le client vérifie que la clef n'a pas changé et on est certain d'être prévenu si la clef change: ssh refuse la connexion. C'est ce qui est le plus important: savoir que dans la durée on parle toujours au même serveur.
Au contraire, le comportement des navigateur internet (firefox en tête) avec les certificats ssl n'est pas sain du tout:
- ils font confiance à la place de l'utilisateur en tout un tas d'autorités de certifications, dont certaines filent des certificats comme des petits pains
- ils ne levent pas (par defaut) d'alerte quand un certificat (pas auto-signé) change!! Tout certificat signé par une autorité de confiance est réputé valide. Pratique pour un homme du milieu!.
Avec un certificat auto-signé, si on a recupéré et enregistré le bon certificat à la première connexion, il est impossible d'être victime de l'homme du milieu.