Pas forcément, la réduction de la durée de validité des certificats est une des idées en vogue en ce moment. C’est une des pistes pour contourner les faiblesses des mécanismes de révocation (les CRL qui sont quasiment inutiles en pratique et OCSP qui pose plus de problèmes qu’il n’en résout).
Le raisonnement est qu’avec un certificat à courte durée de vie, si la clef privée est compromise, à défaut de pouvoir révoquer le certificat (ou plutôt, à défaut de pouvoir faire parvenir aux clients l’information que le certificat est révoqué), au moins il expirera vite et la période pendant laquelle la clef privée compromise pourra faire des dégâts sera réduite.
Plusieur sites de Google ont déjà des certificats valides pour seulement un mois. Adam Langley va jusqu’à proposer des certificats valides quelques jours.
[^] # Re: Must be a joke
Posté par gouttegd . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 3.
Pas forcément, la réduction de la durée de validité des certificats est une des idées en vogue en ce moment. C’est une des pistes pour contourner les faiblesses des mécanismes de révocation (les CRL qui sont quasiment inutiles en pratique et OCSP qui pose plus de problèmes qu’il n’en résout).
Le raisonnement est qu’avec un certificat à courte durée de vie, si la clef privée est compromise, à défaut de pouvoir révoquer le certificat (ou plutôt, à défaut de pouvoir faire parvenir aux clients l’information que le certificat est révoqué), au moins il expirera vite et la période pendant laquelle la clef privée compromise pourra faire des dégâts sera réduite.
Plusieur sites de Google ont déjà des certificats valides pour seulement un mois. Adam Langley va jusqu’à proposer des certificats valides quelques jours.