• [^] # Re: 90 jours, et alors?

    Posté par . En réponse au message Let's Encrypt en prod en entreprise. Évalué à 3.

    DANE-TA/EE n’est encore implémenté nul part malheureusement :'(
    Mais TLSA, si tu pin sur le certificat, permet de s’affranchir des CA moisies, vu que si un faux certificat est émis (y compris par ta CA), il ne validera pas TLSA.

    Faudrait savoir, en quoi TLSA permet de s’affranchir des CA moisies si ce n’est « implémenté nulle part » ?

    (Au passage, c’est faux. Il y a des implémentations de DANE fonctionnelles, même si aucun navigateur ne les intègre par défaut. Et Victor Dukhovni, qui a implémenté DANE dans Postfix, travaillait aux dernières nouvelles à ajouter le support de DANE directement dans OpenSSL, où ça pourra bénéficier à pléthore d’applications.)

    Un pin sur ta clef ne te protège plus d’une compromission de ladite clef

    Un pin sur le certificat ne te protège pas davantage contre ce cas, celui qui a mis la main sur ta clef pourra potentiellement s’en servir tant que la signature de l’enregistrement TLSA n’aura pas expirée.

    Et il est plus facile pour un humain de valider l’empreinte du certificat (dispo nativement et facilement dans les détails du certificat de ton navigateur) que celle de la clef associée (beaucoup plus difficile d’accès).

    Ah ouais quand même. Donc c’est trop dur pour un administrateur système d’invoquer openssl req correctement, par contre tu attends d’un simple utilisateur qu’il compare lui-même, manuellement, l’empreinte du certificat telle que présentée par le navigateur avec celle qu’il sera aller chercher dans le DNS.

    Je te laisse mettre ici la ligne de commande openssl pour générer un CSR multi-domaine avec SAN et extensions X.509 corrects. On va rigoler...

    $ openssl req -config req.cfg -new -key $keydir/mykey.pem -outform DER -out $outdir/req.csr

    Avec dans le fichier req.cfg:

    [req]
prompt = no
distinguished_name = web-dn
req_extensions = web-extensions
digest = sha256
[web-dn]
CN = Incenp.org Web Server
O = Incenp.org
C = FR
[web-extensions]
subjectAltName = DNS:incenp.org, DNS:www.incenp.org, DNS:cloud.incenp.org, \
 DNS:social.incenp.org, DNS:hub.incenp.org
1.3.6.1.5.5.7.1.24 = DER:30:03:02:01:05

    Vas-y, rigole dans ton coin. Moi ça fait déjà quelques messages que tu ne me fais plus rire.