alors un attaquant peut forcer TOUS tes utilisateurs à utiliser 3DES au lieu de AES.
Reference needed (avec une démo de préférence).
Ce que j'ai compris est que les downgrades ne sont pas possible avec TLS (un avantage par rapport à SSLv3?), du coup j'ai énormément de mal à croire ce commentaire sur parole.
(autant pour 3DES que pour SHA1)
SSLLabs file un A+ pour des serveurs proposant 3DES malgré le fait que 3DES est 112 bits et que A+ est donné pour du 128 bits ou plus (si j'ai bien suivi).
Et SSLLabs dit "This server supports TLS_FALLBACK_SCSV to prevent protocol downgrade attacks."
[^] # Re: Let’s Encrypt
Posté par Zenitram (site web personnel) . En réponse au journal L'avenir de la sécurité de nos sites oueb : DNSSEC / HPKP / DANE TLSA / CSP. Évalué à 1. Dernière modification le 05 janvier 2016 à 11:48.
Reference needed (avec une démo de préférence).
Ce que j'ai compris est que les downgrades ne sont pas possible avec TLS (un avantage par rapport à SSLv3?), du coup j'ai énormément de mal à croire ce commentaire sur parole.
(autant pour 3DES que pour SHA1)
SSLLabs file un A+ pour des serveurs proposant 3DES malgré le fait que 3DES est 112 bits et que A+ est donné pour du 128 bits ou plus (si j'ai bien suivi).
Et SSLLabs dit "This server supports TLS_FALLBACK_SCSV to prevent protocol downgrade attacks."