Le post de référence est celui de Blount qui parle de faire le distinguo entre certification et chiffrement - et je répond à Groumly qui dit
Le chiffrement ne sert strictement a rien si tu ne sais pas a qui appartient la cle avec laquelle tu chiffre.
en disant que la certification par tiers de confiance n'est ni la seule méthode, ni la panacée quand il s'agit de connaitre le propriétaire légitime d'une clef publique. En fait toutes les personnes qui possèdent un CA ont nécessairement utilisé une de ces nombreuses méthodes alternatives pour faire valider ce CA par le tiers de confiance.
En ce qui concerne la transmission de fingerprint, la méthode que j'utilise personnellement est archive chiffrée par mail/envoi physique + mot de passe de l'archive par téléphone. Quand on a "que" quelques centaines de clients, c'est très largement gérable par une équipe de 3 personnes.
Les tiers de confiance ne devraient intervenir que dans le cas ou quelqu'un que je ne connais pas cherche à se connecter chez moi et s'assurant qu'il est bien chez la bonne personne. Là effectivement pas d'autre solutions que de passer par une personne qui nous connait tous les deux.
Pour finir le système de CA est plutôt déficient - de l'avis même de ceux qui opèrent ce genre de système. C'est pour ça qu'on a des certifications "extended validation" et en banque des certificats doublement voire triplement contre-signés - le tout sur des lignes dédiées.
Très honnêtement madame Michu connait beaucoup mieux son agence et son chargé de compte que la société Verisign ou DigiCert. La faire passer par un CA tiers quand elle veut se connecter pour lire ses comptes en ligne ne fait pas sens du point de vue de la sécurité. Donc même en HTTPx sur des utilisations ultra classiques, la certification directe sans tiers de confiance devrait avori son rôle à jouer.
Après reste le problème du coût de mise en place et de l'adoption par les utilisateurs - qui est un problème réel - mais de là à jeter aux orties toute certification directe ou auto-certification...
[^] # Re: Mélange
Posté par Kaane . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 7.
Le post de référence est celui de Blount qui parle de faire le distinguo entre certification et chiffrement - et je répond à Groumly qui dit
en disant que la certification par tiers de confiance n'est ni la seule méthode, ni la panacée quand il s'agit de connaitre le propriétaire légitime d'une clef publique. En fait toutes les personnes qui possèdent un CA ont nécessairement utilisé une de ces nombreuses méthodes alternatives pour faire valider ce CA par le tiers de confiance.
En ce qui concerne la transmission de fingerprint, la méthode que j'utilise personnellement est archive chiffrée par mail/envoi physique + mot de passe de l'archive par téléphone. Quand on a "que" quelques centaines de clients, c'est très largement gérable par une équipe de 3 personnes.
Les tiers de confiance ne devraient intervenir que dans le cas ou quelqu'un que je ne connais pas cherche à se connecter chez moi et s'assurant qu'il est bien chez la bonne personne. Là effectivement pas d'autre solutions que de passer par une personne qui nous connait tous les deux.
Pour finir le système de CA est plutôt déficient - de l'avis même de ceux qui opèrent ce genre de système. C'est pour ça qu'on a des certifications "extended validation" et en banque des certificats doublement voire triplement contre-signés - le tout sur des lignes dédiées.
Très honnêtement madame Michu connait beaucoup mieux son agence et son chargé de compte que la société Verisign ou DigiCert. La faire passer par un CA tiers quand elle veut se connecter pour lire ses comptes en ligne ne fait pas sens du point de vue de la sécurité. Donc même en HTTPx sur des utilisations ultra classiques, la certification directe sans tiers de confiance devrait avori son rôle à jouer.
Après reste le problème du coût de mise en place et de l'adoption par les utilisateurs - qui est un problème réel - mais de là à jeter aux orties toute certification directe ou auto-certification...