Faire chier les demandeurs avec l'équivalent (voir pire car pas toujours du monde près de chez toi alors que les autres CA font à distance) de ce qu'il faut d'un certificat EV (validation étendue) pour ensuite te filer un certificat DV (de base), ça cloche quelque part
Bof, peut-être, mais ça n'explique pas en quoi CAcert est catastrophique ou en quoi "la porte est blindée et la fenêtre est ouverte" ni pourquoi ils se sont fait virer de Debian et n'ont pas réussi à se faire intégrer dans les CAs de Mozilla/Chromium/... Je jugerais au contraire plutôt ça positivement non ? (et qui peut le plus peut le moins...)
Refuser un audit de sécurité par tes pairs, pour avoir autre chose que "promis on fait de la sécu, ayez confiance", ça ne donne pas confiance (ni aux utilisateurs ni aux navigateurs web)
Il y a vraiment eu refus, ou bien déficit de financement ?
Avoir un certificat signée par une CA pas dans les principaux navigateurs revient à avoir un certificat auto-signé (d'une pourquoi alors se faire chier à faire signer le certificat, et de deux tu peux lire ce que les gens pensent de l'auto-signé dans les commentaires des journaux de l'auteur du journal)
Oui mais en même temps ma question de départ c'était : "pour quelle raison Mozilla (et autres) ont-ils refusé de les intégrer ?" et non "en quoi cacert est-il moins bien que X pour l'utilisateur" ? tu le répètes à plein de reprises "personne dans les navigateur (ni Debian, tu parles d'une honte, être viré de Debian très au fait des libertés, faut le faire quand même dans le niveau de confiance bas...) n'a confiance en eux (...)" mais sans expliquer pourquoi, et encore plus loin à ma question "en quoi Let's Encrypt est-il mieux que cacert ?": tu réponds la même chose "c'est supporté par les navigateurs". OK mais pourquoi cette différence de traitement ? pourquoi est-ce que "personne n'a confiance en eux" ? (Let's Encrypt est supporté par la fondation Mozilla donc évidemment supporté par le navigateur eponyme, mais je ne vois pas ça comme un avantage technique mais comme une conséquence "politique" logique ! Du coup encore une fois ma question concerne plutôt : quels sont les détails techniques/de communication / politiques qui ont entrainé la marginalisation de cacert ?)
Jusque là je n'ai relevé que deux points factuels/techniques
A ma connaissance ils sont super à la bourre techniquement (SHA-256, CT Certificate Transparency etc...)
Refuser un audit de sécurité par tes pairs,(...)
=> est-ce que ça résume toute l'histoire ou est-ce que j'ai loupé des trucs ?
[^] # Re: cacert ?
Posté par karteum59 (site web personnel) . En réponse au journal Pourquoi je suis passé à Let's Encrypt. Évalué à 3.
OK, donc si je résume
OK ça je peux le comprendre...
Bof, peut-être, mais ça n'explique pas en quoi CAcert est catastrophique ou en quoi "la porte est blindée et la fenêtre est ouverte" ni pourquoi ils se sont fait virer de Debian et n'ont pas réussi à se faire intégrer dans les CAs de Mozilla/Chromium/... Je jugerais au contraire plutôt ça positivement non ? (et qui peut le plus peut le moins...)
Il y a vraiment eu refus, ou bien déficit de financement ?
Oui mais en même temps ma question de départ c'était : "pour quelle raison Mozilla (et autres) ont-ils refusé de les intégrer ?" et non "en quoi cacert est-il moins bien que X pour l'utilisateur" ? tu le répètes à plein de reprises "personne dans les navigateur (ni Debian, tu parles d'une honte, être viré de Debian très au fait des libertés, faut le faire quand même dans le niveau de confiance bas...) n'a confiance en eux (...)" mais sans expliquer pourquoi, et encore plus loin à ma question "en quoi Let's Encrypt est-il mieux que cacert ?": tu réponds la même chose "c'est supporté par les navigateurs". OK mais pourquoi cette différence de traitement ? pourquoi est-ce que "personne n'a confiance en eux" ? (Let's Encrypt est supporté par la fondation Mozilla donc évidemment supporté par le navigateur eponyme, mais je ne vois pas ça comme un avantage technique mais comme une conséquence "politique" logique ! Du coup encore une fois ma question concerne plutôt : quels sont les détails techniques/de communication / politiques qui ont entrainé la marginalisation de cacert ?)
Jusque là je n'ai relevé que deux points factuels/techniques
=> est-ce que ça résume toute l'histoire ou est-ce que j'ai loupé des trucs ?