Les certificats dits "de confiance" sont intégrés localement dans ton ordi, en général installé avec ton navigateur (parfois certaines distributions Linux remanient la liste des autorité qu'elles considèrent de confiance). Ces certificats d'autorité ne sont donc pas récupérés "sur internet" (enfin si le jour où t'as téléchargé ton navigateur, mais pas au cas par cas quand tu visites un site). Voir par exemple la liste des certificats de CA inclus dans Firefox.
Les seules choses qui sont régulièrement vérifiées (et mises en cache, je doute que ce soit très efficace de télécharger à chaque appel) sont les listes de révocation de certificats.
Certains certificats d'autorités intermédiaires sont eux-même intégrées dans les navigateur (donc considérées de confiance au même titre que les autorités parentes qui ont signé leurs certificats), d'autres non.
En tant qu'hébergeur de site web (ou autre application utilisant ces certificats), c'est donc à toi de savoir cela et d'inclure dans ton certificat l'ensemble de la chaîne de certification jusqu'au premier certificat dont l'autorité est de confiance (car le navigateur ne pourra pas deviner qui a signé leur certificat!).
Ainsi si cette CA intermédiaire est inclus dans les navigateurs, juste fournir ton propre cert est suffisant. Sinon, inclus aussi le leur à la suite (et ainsi de suite si nécessaire).
En tant que développeur d'une application cliente qui doit vérifier des certificats, c'est à toi de décider qui est de confiance ou non (en ayant tes propres procédures, ou peut-être en choisissant de faire confiance à Mozilla ou un autre, et d'utiliser la même liste qu'eux) et d'intégrer les certificats comme données locales à côté de ton code.
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]
# Les certificats d'autorité sont installés dans l'OS/navigateurs
Posté par Jehan (site web personnel, Mastodon) . En réponse au message Validation d'une chaine de confiance d'un certificat. Évalué à 4.
Salut,
Les certificats dits "de confiance" sont intégrés localement dans ton ordi, en général installé avec ton navigateur (parfois certaines distributions Linux remanient la liste des autorité qu'elles considèrent de confiance). Ces certificats d'autorité ne sont donc pas récupérés "sur internet" (enfin si le jour où t'as téléchargé ton navigateur, mais pas au cas par cas quand tu visites un site). Voir par exemple la liste des certificats de CA inclus dans Firefox.
Les seules choses qui sont régulièrement vérifiées (et mises en cache, je doute que ce soit très efficace de télécharger à chaque appel) sont les listes de révocation de certificats.
Certains certificats d'autorités intermédiaires sont eux-même intégrées dans les navigateur (donc considérées de confiance au même titre que les autorités parentes qui ont signé leurs certificats), d'autres non.
En tant qu'hébergeur de site web (ou autre application utilisant ces certificats), c'est donc à toi de savoir cela et d'inclure dans ton certificat l'ensemble de la chaîne de certification jusqu'au premier certificat dont l'autorité est de confiance (car le navigateur ne pourra pas deviner qui a signé leur certificat!).
Ainsi si cette CA intermédiaire est inclus dans les navigateurs, juste fournir ton propre cert est suffisant. Sinon, inclus aussi le leur à la suite (et ainsi de suite si nécessaire).
En tant que développeur d'une application cliente qui doit vérifier des certificats, c'est à toi de décider qui est de confiance ou non (en ayant tes propres procédures, ou peut-être en choisissant de faire confiance à Mozilla ou un autre, et d'utiliser la même liste qu'eux) et d'intégrer les certificats comme données locales à côté de ton code.
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]