Juste pour chipoter : le HTTPS permet d'être sûr que l'on parle avec un certificat plausible pour le site en question, avec une autorité de certification fournie dans le navigateur. Donc les cas gérés sont certificat obsolète, certificat pour un mauvais domaine, certificat MiTM à l'arrache, etc. Et les cas non-gérés : autorité de certification (méchants, employeurs, agences de renseignement, incompétents, etc.) ayant signé un certificat pipoté pour ce domaine, ou MiTM avec une autorité de certification conciliante.
De base, le HTTPS ne protège pas du fait que le certificat utilisé a changé entre hier et aujourd'hui, sans raison valable.
[^] # Re: Quelques remarques
Posté par Benoît Sibaud (site web personnel) . En réponse à la dépêche Un prototype de Lupo Libero. Évalué à 4.
Juste pour chipoter : le HTTPS permet d'être sûr que l'on parle avec un certificat plausible pour le site en question, avec une autorité de certification fournie dans le navigateur. Donc les cas gérés sont certificat obsolète, certificat pour un mauvais domaine, certificat MiTM à l'arrache, etc. Et les cas non-gérés : autorité de certification (méchants, employeurs, agences de renseignement, incompétents, etc.) ayant signé un certificat pipoté pour ce domaine, ou MiTM avec une autorité de certification conciliante.
De base, le HTTPS ne protège pas du fait que le certificat utilisé a changé entre hier et aujourd'hui, sans raison valable.