Il faut donc les renouveler régulièrement, ce qui implique des coûts d'exploitation, soit pour le renouvellement manuel, soit pour l'exploitation du script d'automatisation.
Un des objectifs de Let’s Encrypt est clairement de pousser à l’automatisation. En fait, c’est leur deuxième key principle :
Automatic: Software running on a web server can interact with Let’s Encrypt to painlessly obtain a certificate, securely configure it for use, and automatically take care of renewal.
Des avis ?
Je suis pour ma part à fond pour l’automatisation. Avec ou sans Let’s Encrypt d’ailleurs (avant de passer à Let’s Encrypt, j’utilisais des certificats signés par ma propre autorité de certification, et l’une des raisons était justement de pouvoir créer/renouveller/remplacer des certificats en une seule commande sans aucune étape manuelle).
Le souci avec les certificats à longue durée de vie (outre le fait que la révocation dans le monde HTTPS ne fonctionne pas en pratique), c’est que si tu n’installes un nouveau certificat qu’une fois tous les trois ans, c’est une opération trop rare pour que tu sois bien familiarisée avec.
On a vu le résultat lors de la faille Heartbleed : des dizaines de messages d’administrateurs en herbe sur divers forums, demandant « on me dit que mon certificat actuel est compromis, comment je fais pour le remplacer ? » Et tous ceux qui ne faisaient pas la différence entre renouveller un certificat (en gardant la même clef privée, ce qu’il ne fallait pas faire dans le cas d’Heartbleed) et générer un certificat avec une nouvelle clef.
L’installation d’un certificat devrait être une opération de routine qu’un administrateur doit pouvoir faire immédiatement sans avoir à se replonger dans ses notes d’il y a trois ans (dans l’hypothèse heureuse où il avait pris des notes). Idéalement, ce doit être complètement automatisé ; a minima, l’administrateur doit avoir une procédure écrite à laquelle il n’a qu’à se référer.
Des certificats valides pendant trois ans n’incitent pas les administrateurs à mettre en place une telle procédure.
Personnellement, j’utilise le test suivant : supposons que j’apprenne à l’instant que je dois remplacer mon certificat (cas d’une faille Heartbleed-like), combien de temps me faut-il pour le faire1 (en supposant que je suis devant mon ordinateur lorsque j’apprends la nouvelle) ? Si la réponse est « plus de deux minutes », c’est que la procédure n’est pas assez automatique.
1 Sans casser les épingles TLSA et/ou HSTS, bien sûr, sinon c’est trop facile.
# L’automatisation, c’est bon, mangez-en
Posté par gouttegd . En réponse au message Let's Encrypt en prod en entreprise. Évalué à 7.
Un des objectifs de Let’s Encrypt est clairement de pousser à l’automatisation. En fait, c’est leur deuxième key principle :
Je suis pour ma part à fond pour l’automatisation. Avec ou sans Let’s Encrypt d’ailleurs (avant de passer à Let’s Encrypt, j’utilisais des certificats signés par ma propre autorité de certification, et l’une des raisons était justement de pouvoir créer/renouveller/remplacer des certificats en une seule commande sans aucune étape manuelle).
Le souci avec les certificats à longue durée de vie (outre le fait que la révocation dans le monde HTTPS ne fonctionne pas en pratique), c’est que si tu n’installes un nouveau certificat qu’une fois tous les trois ans, c’est une opération trop rare pour que tu sois bien familiarisée avec.
On a vu le résultat lors de la faille Heartbleed : des dizaines de messages d’administrateurs en herbe sur divers forums, demandant « on me dit que mon certificat actuel est compromis, comment je fais pour le remplacer ? » Et tous ceux qui ne faisaient pas la différence entre renouveller un certificat (en gardant la même clef privée, ce qu’il ne fallait pas faire dans le cas d’Heartbleed) et générer un certificat avec une nouvelle clef.
L’installation d’un certificat devrait être une opération de routine qu’un administrateur doit pouvoir faire immédiatement sans avoir à se replonger dans ses notes d’il y a trois ans (dans l’hypothèse heureuse où il avait pris des notes). Idéalement, ce doit être complètement automatisé ; a minima, l’administrateur doit avoir une procédure écrite à laquelle il n’a qu’à se référer.
Des certificats valides pendant trois ans n’incitent pas les administrateurs à mettre en place une telle procédure.
Personnellement, j’utilise le test suivant : supposons que j’apprenne à l’instant que je dois remplacer mon certificat (cas d’une faille Heartbleed-like), combien de temps me faut-il pour le faire1 (en supposant que je suis devant mon ordinateur lorsque j’apprends la nouvelle) ? Si la réponse est « plus de deux minutes », c’est que la procédure n’est pas assez automatique.
1 Sans casser les épingles TLSA et/ou HSTS, bien sûr, sinon c’est trop facile.