Ce ne serait pas user-friendly, la plupart des sites changes avant la date d'expiration du certificat.
En fait, cela n'impacterait pas, dans la mesure où je parlai de révocation et non pas d'expiration.
Ceci étant dit, ta remarque sur les certificats différents pour chaque instance d'un même service met, effectivement, le point sur un problème. Même si je ne suis pas, a priori, convaincu de l'intérêt de ce genre de configuration.
Tout comme je ne le suis pas d'avoir un certificat wildcard doublé d'un certificat nominatif et de manière générale : d'avoir plusieurs certificats matchant les mêmes cibles.
Quant à la directive report-uri, elle me fait l'effet d'une une issue de secours mitoyenne de la porte équipée des derniers modèles de serrure tip-top inviolable qui doit toujours être fermée.
Je ne comprend pas non plus. [...]
Effectivement, cela mérite précision : j'imagine un MITM qui souhaite s'interposer, sans report-uri il n'a aucun moyen de connaitre la situation du client et il a le choix de tenter d'imposer ses certificats (quitte à les annoncer avant dans un PKP) et donc de, potentiellement, lever une alerte ou d'abandonner.
Par contre, avec la directive et l'en-tête PKP-RO, il peut demander, sans lever d'alerte, le moment précis pour lancer une attaque qui réussira.
[^] # Re: Politique de confiance client
Posté par ealprr . En réponse au journal Public Key Pinning Extension for HTTP. Évalué à 1.
En fait, cela n'impacterait pas, dans la mesure où je parlai de révocation et non pas d'expiration.
Ceci étant dit, ta remarque sur les certificats différents pour chaque instance d'un même service met, effectivement, le point sur un problème. Même si je ne suis pas, a priori, convaincu de l'intérêt de ce genre de configuration.
Tout comme je ne le suis pas d'avoir un certificat wildcard doublé d'un certificat nominatif et de manière générale : d'avoir plusieurs certificats matchant les mêmes cibles.
Effectivement, cela mérite précision : j'imagine un MITM qui souhaite s'interposer, sans report-uri il n'a aucun moyen de connaitre la situation du client et il a le choix de tenter d'imposer ses certificats (quitte à les annoncer avant dans un PKP) et donc de, potentiellement, lever une alerte ou d'abandonner.
Par contre, avec la directive et l'en-tête PKP-RO, il peut demander, sans lever d'alerte, le moment précis pour lancer une attaque qui réussira.