Oui je conseille aussi de vider la liste des CA et ne pas faire confiance aux CA installés dans les navigateurs, qui ne sont souvent absolument pas vérifiés et donnent des certificats à n'importe qui pour n'importe quel domaine. Cf. encore récemment la débâcle de CNNIC, que Mozilla a décidé de virer de Firefox... 5 ans après que le monde entier ait commencé à leur dire que CNNIC n'était pas un CA fiable. Purée.
Faire une telle généralisation c'est aller un peu vite en besogne. Pour modérer un peu je voudrais tout de même préciser que les AC des navigateurs doivent bien être vérifiées. Une certification (et donc un audit) ETSI, CA/Browser Forum ou ISO 21188 est une condition sine qua non de tous les programmes d'inclusion d'AC. Et la plupart des AC font bien leur travail. Mais comme dans tout processus d'audit il peut y avoir des erreurs, des manquements, des attaques et même de la triche, comme par exemple lors des affaires Comodo, Diginotar, ANSSI ou CNNCI. Dans ce cas les différents acteurs (navigateurs, auditeurs, organismes de certifications...) cherchent toujours à améliorer les processus d'inclusion et de contrôle et d'opérations des AC. En outre les initiatives telles que HSTS, Public Key Pinning, Certificate transparency ou encore DANE tentent de réduire l'impact en cas d'émission frauduleuse de certificat.
[^] # Re: Non, Opera aussi
Posté par jcs (site web personnel) . En réponse au journal panne de l'OCSP chez StartSSL/StartCom. Évalué à 2.
Faire une telle généralisation c'est aller un peu vite en besogne. Pour modérer un peu je voudrais tout de même préciser que les AC des navigateurs doivent bien être vérifiées. Une certification (et donc un audit) ETSI, CA/Browser Forum ou ISO 21188 est une condition sine qua non de tous les programmes d'inclusion d'AC. Et la plupart des AC font bien leur travail. Mais comme dans tout processus d'audit il peut y avoir des erreurs, des manquements, des attaques et même de la triche, comme par exemple lors des affaires Comodo, Diginotar, ANSSI ou CNNCI. Dans ce cas les différents acteurs (navigateurs, auditeurs, organismes de certifications...) cherchent toujours à améliorer les processus d'inclusion et de contrôle et d'opérations des AC. En outre les initiatives telles que HSTS, Public Key Pinning, Certificate transparency ou encore DANE tentent de réduire l'impact en cas d'émission frauduleuse de certificat.