L'ANSSI fait des recommandations dans des cas d'usage bien précis.
La recommandation est 3072.
Faut m'expliquer en quoi 2048 est une recommandation, c'est écrit "minimum 2048 et on recommande 3072".
Oui, la c'est un problème de français en fait : minimum contre recommandé, je comprend que tu dis que minimum = recommandé, mais tu ne dis pas comment tu traduis "recommandé" du coup.
Si tu as des données que tu veux préserver jusqu'en 2030 (plein de données sont périssables et pourraient être dévoilées dans 15 ans sans préjudice aucun), tu peux utiliser des clefs de 2 048 bits. Si tu es du genre "ceinture et bretelles" et que tu as de l'argent à mettre dans ton CPU (oui, le SSL a un coût), c'est encore mieux de mettre du 3 072 bits, bien évidemment.
Je traduis par "ma recommandation est 3072, mais dans certains cas et si tu es un radin, OK 2048 est tolérable".
On a vraiment un problème de français, car tu traduis "recommandé" par "ceinture et bretelles" et j'avoue ne pas te suivre du tout dans ce français.
J'attends plus de démonstration sur la partie "traduction du français", je ne suis pas convaincu : perso, je prend le mot "recommandation" comme une recommandation.
Essaie de faire les deux (2 048 et 4 096 bits), tu remarqueras une vraie différence sur le nombre de connexions qu'encaisse ton apache (j'avais fait le test il y a quelques années, c'était non négligeable même si je ne me souviens plus des chiffres).
Exemple.
6x plus lent si c'est dédié au handshake.
M'en fout, mon VPS tourne à 2-3% du CPU (pas le choix, les VPS "pas cher" ne filent pas de CPU moins puissant pour moins cher, les offres moins chère n'ont pas assez de RAM ou SSD), et c'est sur le handshake le x6, le matos fait aussi d'autres choses.
Mon serveur est en 4096 et je ne vois pas de différence en pratique.
Le jour où j'aurai 1000x plus de monde, je me poserai peut-être la question, mais je regarderai aussi toute la chaine (les gens ne font pas que le handshake, ils font mouliner du PHP, du MySQL... Et donc si ça me rajoute 1% de machines en plus, faudra se poser la question radinerie contre recommandation. Je ne note quand même que les "gros" on pour le moment choisi 2048, reste à savoir si c'est de la radinerie ou si ça a vraiment un impact sur l'ensemble de leurs machines)
[^] # Re: Let’s Encrypt
Posté par Zenitram (site web personnel) . En réponse au journal L'avenir de la sécurité de nos sites oueb : DNSSEC / HPKP / DANE TLSA / CSP. Évalué à -1.
La recommandation est 3072.
Faut m'expliquer en quoi 2048 est une recommandation, c'est écrit "minimum 2048 et on recommande 3072".
Oui, la c'est un problème de français en fait : minimum contre recommandé, je comprend que tu dis que minimum = recommandé, mais tu ne dis pas comment tu traduis "recommandé" du coup.
Je traduis par "ma recommandation est 3072, mais dans certains cas et si tu es un radin, OK 2048 est tolérable".
On a vraiment un problème de français, car tu traduis "recommandé" par "ceinture et bretelles" et j'avoue ne pas te suivre du tout dans ce français.
J'attends plus de démonstration sur la partie "traduction du français", je ne suis pas convaincu : perso, je prend le mot "recommandation" comme une recommandation.
Exemple.
6x plus lent si c'est dédié au handshake.
M'en fout, mon VPS tourne à 2-3% du CPU (pas le choix, les VPS "pas cher" ne filent pas de CPU moins puissant pour moins cher, les offres moins chère n'ont pas assez de RAM ou SSD), et c'est sur le handshake le x6, le matos fait aussi d'autres choses.
Mon serveur est en 4096 et je ne vois pas de différence en pratique.
Le jour où j'aurai 1000x plus de monde, je me poserai peut-être la question, mais je regarderai aussi toute la chaine (les gens ne font pas que le handshake, ils font mouliner du PHP, du MySQL... Et donc si ça me rajoute 1% de machines en plus, faudra se poser la question radinerie contre recommandation. Je ne note quand même que les "gros" on pour le moment choisi 2048, reste à savoir si c'est de la radinerie ou si ça a vraiment un impact sur l'ensemble de leurs machines)