Oui, le système des CA est cassé, mais pour le moment il n'y a que lui et la mise en place d'une nouvelle CA est une solution sur le court terme.
La mise en place d’une nouvelle CA est peut-être une solution au problème que pas assez de monde ne chiffre, mais sûrement pas une solution au problème que « le système des CA est cassé »...
Ca prends du temps de créer un nouveau système de certification et qu'il soit accepté par tout le monde.
Ça en prend encore plus quand on ne fait rien qui aille dans ce sens, ce qui est précisément le cas des éditeurs de navigateurs (qui sont pourtant les mieux placés pour le faire, ce sont eux qui décident de ce qui est accepté ou pas).
Le seul effort en la matière actuellement est Certificate Transparency (c’est le seul qui a une chance d’aboutir, puisque poussé par Google — Convergence, DANE, les clefs brutes, et tous les autres sont condamnés d’avance pour ce qui est du web1), et ce n’est pas un « nouveau système de certification », au contraire c’est une affirmation qu’on ne veut absolument pas se passer de l’ancien, et que toutes les propositions alternatives peuvent aller se faire voir. (CT considère comme un problème le fait que l’on puisse créer son certificat dans son coin et le publier dans le DNS.)
1 Ils ont en revanche plus d’avenir du côté d’autres protocoles, comme SMTP, IMAP, XMPP, SIP & co.
[^] # Re: Must be a joke
Posté par gouttegd . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 5.
La mise en place d’une nouvelle CA est peut-être une solution au problème que pas assez de monde ne chiffre, mais sûrement pas une solution au problème que « le système des CA est cassé »...
Ça en prend encore plus quand on ne fait rien qui aille dans ce sens, ce qui est précisément le cas des éditeurs de navigateurs (qui sont pourtant les mieux placés pour le faire, ce sont eux qui décident de ce qui est accepté ou pas).
Le seul effort en la matière actuellement est Certificate Transparency (c’est le seul qui a une chance d’aboutir, puisque poussé par Google — Convergence, DANE, les clefs brutes, et tous les autres sont condamnés d’avance pour ce qui est du web1), et ce n’est pas un « nouveau système de certification », au contraire c’est une affirmation qu’on ne veut absolument pas se passer de l’ancien, et que toutes les propositions alternatives peuvent aller se faire voir. (CT considère comme un problème le fait que l’on puisse créer son certificat dans son coin et le publier dans le DNS.)
1 Ils ont en revanche plus d’avenir du côté d’autres protocoles, comme SMTP, IMAP, XMPP, SIP & co.