Autant j'ai compris avec vos liens et explications qu'un navigateur veuille prioriser AES128 pour les perfs quand il a le choix, autant je ne comprend pourquoi c'est désactivé.
Si demain on trouve une faille dans AES128 et pas dans AES256, on ne peux pas configurer le serveur en enlevant AES128 pour que les navigateurs prennent AES256, on a aucun moyen de dire "coucou ça craint maintenant, on monte", et des navigateurs ça reste plus que la durée de certificats SSL (WinXP est toujours la, heureusement que Microsoft lui a fait un patch pour supporter SHA2 maintenant qu'on se rend compte que SHA1 craint et qu'on migre les certificats vers SHA2).
Bon, restera les navigateurs "à jour" qui activeront AES256, certes, et il ne restera que les "vieux" trucs...
[^] # Re: Et c'est joli au moins?
Posté par Zenitram (site web personnel) . En réponse au journal SSL EV, étendue oui, validation euh.... Évalué à 0.
Autant j'ai compris avec vos liens et explications qu'un navigateur veuille prioriser AES128 pour les perfs quand il a le choix, autant je ne comprend pourquoi c'est désactivé.
Si demain on trouve une faille dans AES128 et pas dans AES256, on ne peux pas configurer le serveur en enlevant AES128 pour que les navigateurs prennent AES256, on a aucun moyen de dire "coucou ça craint maintenant, on monte", et des navigateurs ça reste plus que la durée de certificats SSL (WinXP est toujours la, heureusement que Microsoft lui a fait un patch pour supporter SHA2 maintenant qu'on se rend compte que SHA1 craint et qu'on migre les certificats vers SHA2).
Bon, restera les navigateurs "à jour" qui activeront AES256, certes, et il ne restera que les "vieux" trucs...