Que faire d'une autorité dont la confiance peut être mise en cause ou d'une à qui on veut bien faire confiance mais qui a du mal à se faire accepter ? [...] Le projet Certificate Transparency a pour but de répondre a ces questions
Non.
Certificate Transparency répond aux questions « ce certificat a-t-il été émis par telle CA ? » et « y a-t-il en circulation un autre certificat pour le même domaine, émis par l’une quelconque des CA participant à Certificate Transparency ? ».
Certificate Transparency ne répond pas du tout à la question « que faire d’une CA indigne de confiance ? ». Et pour cause, ce n’est pas une question technique susceptible d’être résolue par un protocole, c’est une question politique, qui dépend de facteurs comme « combien de nos utilisateurs vont se plaindre si on retire cette CA du magasin de notre navigateur ? », « ceux qui vont se plaindre parlent-ils la même langue que nous ? », « quelles sont nos relations avec cette CA (est-ce que je joue au golf avec son PDG) ? », etc.
Certificate Transparency ne répond même pas à la question « cette CA est-elle digne de confiance ? ». Si Certificate Transparency détecte un doublon (une CA qui émet un certificat alors qu’un autre a déjà été enregistré dans les journaux CT), ça peut tout au plus laisser planer un doute mais ça ne dit pas avec certitude que l’un des certificats est frauduleux (il y a des raisons légitimes de faire émettre un certificat pour un même domaine à deux CA différentes, HPKP encourage cette pratique d’ailleurs), ni lequel des deux est frauduleux (ce n’est pas forcément celui qui a été émis en deuxième).
Certificate Transparency répond surtout aux inquiétudes des autorités de certification qui commençaient à craindre que les propositions de validation alternative (Convergence, DANE et assimilés) ne finissent par saper leur position. Trop de gens se mettaient à dire qu’il serait temps de se passer des CA, heureusement CT est là pour remettre les pendules à l’heure et rappeler à tout le monde que les CA sont indispensables (rappel : les journaux CT n’acceptent que les certificats émis par les CA « reconnues », en pratique les mêmes que celles dont le certificat est inclus dans les navigateurs).
# Certificate Transparency...
Posté par gouttegd . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 7.
Non.
Certificate Transparency répond aux questions « ce certificat a-t-il été émis par telle CA ? » et « y a-t-il en circulation un autre certificat pour le même domaine, émis par l’une quelconque des CA participant à Certificate Transparency ? ».
Certificate Transparency ne répond pas du tout à la question « que faire d’une CA indigne de confiance ? ». Et pour cause, ce n’est pas une question technique susceptible d’être résolue par un protocole, c’est une question politique, qui dépend de facteurs comme « combien de nos utilisateurs vont se plaindre si on retire cette CA du magasin de notre navigateur ? », « ceux qui vont se plaindre parlent-ils la même langue que nous ? », « quelles sont nos relations avec cette CA (est-ce que je joue au golf avec son PDG) ? », etc.
Certificate Transparency ne répond même pas à la question « cette CA est-elle digne de confiance ? ». Si Certificate Transparency détecte un doublon (une CA qui émet un certificat alors qu’un autre a déjà été enregistré dans les journaux CT), ça peut tout au plus laisser planer un doute mais ça ne dit pas avec certitude que l’un des certificats est frauduleux (il y a des raisons légitimes de faire émettre un certificat pour un même domaine à deux CA différentes, HPKP encourage cette pratique d’ailleurs), ni lequel des deux est frauduleux (ce n’est pas forcément celui qui a été émis en deuxième).
Certificate Transparency répond surtout aux inquiétudes des autorités de certification qui commençaient à craindre que les propositions de validation alternative (Convergence, DANE et assimilés) ne finissent par saper leur position. Trop de gens se mettaient à dire qu’il serait temps de se passer des CA, heureusement CT est là pour remettre les pendules à l’heure et rappeler à tout le monde que les CA sont indispensables (rappel : les journaux CT n’acceptent que les certificats émis par les CA « reconnues », en pratique les mêmes que celles dont le certificat est inclus dans les navigateurs).