La législation utilisée n'a guère d'importance puisque n'importe quelle AC (pas forcément celle dont on est client) peut émettre un vrai/faux certificat pour votre site et il sera accepté. C'est la plus grosse faiblesse de l'usine à gaz X.509 (ce que les journaliste appellent les « certificats SSL »).
[^] # Re: Je ne suis pas emballé
Posté par Stéphane Bortzmeyer (site web personnel, Mastodon) . En réponse au journal Encryptons. Évalué à 6.
La législation utilisée n'a guère d'importance puisque n'importe quelle AC (pas forcément celle dont on est client) peut émettre un vrai/faux certificat pour votre site et il sera accepté. C'est la plus grosse faiblesse de l'usine à gaz X.509 (ce que les journaliste appellent les « certificats SSL »).
Un exemple, l'émission d'un faux certificat gmail.com par une AC française dont Google n'était pas client
http://googleonlinesecurity.blogspot.it/2013/12/further-improving-digital-certificate.html