Et concrètement, comment fait-on pour ne pas accepter les certificats "à l'aveugle" ? On décroche son téléphone pour appeler le gérant du site et lui demander si c'est bien son certificat ? Mais comment fait-on pour être sûr d'avoir la bonne personne au bout du fil ? On le rencontre physiquement ? Mais est-il bien celui qu'il prétend être ? C'est un problème sans fin, fatalement tu devras faire confiance à un tiers qui te confirmera que c'est bien lui.
Je trouve le raisonnement un peu bancal. C'est comme si tu disais que tu aurais moins confiance en l'identité d'une personne qui te présente son passeport (fait par un tiers : l'état en question) qu'en une autre personne qui s'est contentée d'écrire son nom à la main sur un bout de carton...
Après oui, c'est vrai, certains autorités de certification se sont mal comportées par le passé, et pas forcément très loin de chez nous... Moi, je fais confiance aux personnes qui gèrent ma distrib et mon navigateur (et qui s'y connaissent sûrement bien mieux que moi) pour dégager les certificats douteux. Est-ce que je devrais leur faire confiance ? De toute manière, je leur fais déjà confiance (et toi aussi) : ce sont eux qui compilent tous les paquets installés sur mon PC...
[^] # Re: What's the point ?
Posté par FreeFax . En réponse au journal À propos des certificats. Évalué à 10.
Et concrètement, comment fait-on pour ne pas accepter les certificats "à l'aveugle" ? On décroche son téléphone pour appeler le gérant du site et lui demander si c'est bien son certificat ? Mais comment fait-on pour être sûr d'avoir la bonne personne au bout du fil ? On le rencontre physiquement ? Mais est-il bien celui qu'il prétend être ? C'est un problème sans fin, fatalement tu devras faire confiance à un tiers qui te confirmera que c'est bien lui.
Je trouve le raisonnement un peu bancal. C'est comme si tu disais que tu aurais moins confiance en l'identité d'une personne qui te présente son passeport (fait par un tiers : l'état en question) qu'en une autre personne qui s'est contentée d'écrire son nom à la main sur un bout de carton...
Après oui, c'est vrai, certains autorités de certification se sont mal comportées par le passé, et pas forcément très loin de chez nous... Moi, je fais confiance aux personnes qui gèrent ma distrib et mon navigateur (et qui s'y connaissent sûrement bien mieux que moi) pour dégager les certificats douteux. Est-ce que je devrais leur faire confiance ? De toute manière, je leur fais déjà confiance (et toi aussi) : ce sont eux qui compilent tous les paquets installés sur mon PC...