CACert est une autorité de certification. Je n'en entends que du bien, parce qu'elle fait bien son boulot, est dirigée par des gens qui ont à cœur le travail bien fait, etc... Mais elle ne résout pas le problème. Pour moi, tant qu'une seule CA suffira à garantir la validité d'un certificat, le problème restera entier. Je préfère un modèle plus proche de PGP, où une identité peut être signée par un nombre indéterminé de personnes, et c'est moi qui décide manuellement de faire confiance à certains parmi ce nombre indéterminé, et seulement à ce moment là (ie quand un certain nombre de personnes de confiance me renvoie la même chose), je peux décider de faire confiance au site tiers. Le modèle de perspectives/convergence, associé à du pinning, est bien plus intéressant à mon goût que le système traditionnel.
[^] # Re: Autorité de certification
Posté par rakoo (site web personnel) . En réponse au journal Organisation de tests de sécurité pour XMPP. Évalué à 5.
CACert est une autorité de certification. Je n'en entends que du bien, parce qu'elle fait bien son boulot, est dirigée par des gens qui ont à cœur le travail bien fait, etc... Mais elle ne résout pas le problème. Pour moi, tant qu'une seule CA suffira à garantir la validité d'un certificat, le problème restera entier. Je préfère un modèle plus proche de PGP, où une identité peut être signée par un nombre indéterminé de personnes, et c'est moi qui décide manuellement de faire confiance à certains parmi ce nombre indéterminé, et seulement à ce moment là (ie quand un certain nombre de personnes de confiance me renvoie la même chose), je peux décider de faire confiance au site tiers. Le modèle de perspectives/convergence, associé à du pinning, est bien plus intéressant à mon goût que le système traditionnel.
Mais en attendant, oui, CACert est intéressante.