Pour clarifier, je ne dis pas que la certification SSH est inutile, mais que la certification par tiers SSH est superflue.
Une entreprise A monte un serveur SSH, une entreprise B veut accéder à ce SSH (typiquement pour faire du SFTP) dans 99,9% des cas elles ne passeront pas par une entreprise C.
Après il y a pas mal de méthode pour permettre à la société B de valider le certificat quand même. De la visite des locaux de l'entreprise A à un simple coup de fil.
C'est d'autant plus vrai que dans la majorité des cas (je pense) la société A et la société B sont une seule et même entité.
De toutes les façons SSH ne dispose pas de moyen de valider un certificat tiers dans les implémentations les plus courantes. Il va se contenter de vérifier que la clef publique est connue. Si on veut des mécanismes d'expiration, de renouvellement ou de révocation de clef il faut mettre en place des procédures spécifiques - le plus souvent en dehors de SSH.
Pour le chiffrement des données par un serveur en utilisant ma clef publique, cela ne permet effectivement rien d'autre que la protection des données elles-mêmes. Ni l'expéditeur ni la connexion ne sont protégés, seul le contenu l'est. Ça ne sert effectivement que si tu peux faire le tri entre les données désirées et des données non sollicités. Le bon vieux problème ham/spam qui n'a pas franchement empêché les emails de fonctionner.
[^] # Re: Mélange
Posté par Kaane . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 1.
Pour clarifier, je ne dis pas que la certification SSH est inutile, mais que la certification par tiers SSH est superflue.
Une entreprise A monte un serveur SSH, une entreprise B veut accéder à ce SSH (typiquement pour faire du SFTP) dans 99,9% des cas elles ne passeront pas par une entreprise C.
Après il y a pas mal de méthode pour permettre à la société B de valider le certificat quand même. De la visite des locaux de l'entreprise A à un simple coup de fil.
C'est d'autant plus vrai que dans la majorité des cas (je pense) la société A et la société B sont une seule et même entité.
De toutes les façons SSH ne dispose pas de moyen de valider un certificat tiers dans les implémentations les plus courantes. Il va se contenter de vérifier que la clef publique est connue. Si on veut des mécanismes d'expiration, de renouvellement ou de révocation de clef il faut mettre en place des procédures spécifiques - le plus souvent en dehors de SSH.
Pour le chiffrement des données par un serveur en utilisant ma clef publique, cela ne permet effectivement rien d'autre que la protection des données elles-mêmes. Ni l'expéditeur ni la connexion ne sont protégés, seul le contenu l'est. Ça ne sert effectivement que si tu peux faire le tri entre les données désirées et des données non sollicités. Le bon vieux problème ham/spam qui n'a pas franchement empêché les emails de fonctionner.