• [^] # Re: Let’s Encrypt

    Posté par (site web personnel) . En réponse au journal L'avenir de la sécurité de nos sites oueb : DNSSEC / HPKP / DANE TLSA / CSP. Évalué à 4.

    Par exemple sur mon site, je te garantie que tu obtiendras du TLSv1.2 + ECDHE + AES (donc fiable), même si ton navigateur est blindé de RC4 ou 3DES.

    comprend pas.
    Si la navigateur ne supporte que TLSv1.2 + ECDHE + AES (donc fiable), la connexion serait aussi fiable, même si le serveur est blindé de RC4 ou 3DES (un downgrade ferait échouer le navigateur qui devra refuser la connexion downgradée).

    donc ex-aequo : les deux sont fautifs.

    Cf la démo juste au-dessus, si les serveurs faisaient le taff, non seulement sur leurs connexions ils mettraient leurs clients à l’abri, mais en plus ça permettrait aux clients de désactiver les suites pourries non utilisées et donc de protéger au passage les connexions des autres serveurs même mal configuré

    Si les navigateurs faisaient leur taf (supporter les nouveaux formats assez vite) et/ou se mettaient à jour, ça ferait longtemps que les serveurs pourraient virer le non PFS et RC4 et 3DES et même SHA1 des serveurs.

    Ca me semble donc aussi ex-aequo.

    Dit autrement :
    - Les serveurs proposent 3DES car des vieux navigateurs sont dans la nature
    - Les navigateurs proposent 3DES car des vieux serveurs sont dans la nature
    symétrique.

    Qu'est-ce que j'ai manqué?