Typiquement, les certificats de google sont en dure dans chrome et ne peuvent être changé
Absolument. Ils le sont aussi dans Firefox.
Les deux navigateurs publient la liste des domaines en question. Ça reste une solution pour un tout petit club, les autres n'ayant mieux que TOFU pour solution.
Maintenant certificat en dur dans le browser, pardon téléchargé depuis un site de confiance, ou TOFU, la décision d'appliquer le certificate pinning est la décision du navigateur. Et il se trouve que dans certains cas, ils décident de ne pas l'appliquer.
A part faire de l'espionnage, il n'y a aucune raison de toucher aux certificats des sites des moteurs recherches, des réseaux sociaux, etc...
C'est ton point de vu, et il se défend.
D'autres ont un avis différent et pensent que si tu as accès au private trust store du navigateur, alors tu as la main sur la machine, que tu sois admin ou que tu l'ai déjà compromis, et qu'il n'y a pas de raison de ne pas te laisser faire du MITM si le certificat racine qui est utilisé est celui que tu as inséré. Les cas d'usages vont de la politique d'entreprise de tout inspecter, à l'espionnage en passant par des trucs bizarres comme la mesure d'audience où les gens sont volontaires pour se faire ouvrir leurs connexions.
Pour le moment les navigateurs ont choisi cet autre point de vu et implémentent ce comportement. Si ton admin insère un certificat dans ton private trust store, alors il peut faire du MITM.
De l'autre côté n'importe qui maitrisant ton réseau peut faire du MITM sur tout ce qui repose sur une stratégie TOFU.
[^] # Re: Contribuer à mozilla en utilisant Nightly
Posté par ckyl . En réponse à la dépêche Firefox zone en version 51. Évalué à 4.
Absolument. Ils le sont aussi dans Firefox.
Les deux navigateurs publient la liste des domaines en question. Ça reste une solution pour un tout petit club, les autres n'ayant mieux que TOFU pour solution.
Maintenant certificat en dur dans le browser, pardon téléchargé depuis un site de confiance, ou TOFU, la décision d'appliquer le certificate pinning est la décision du navigateur. Et il se trouve que dans certains cas, ils décident de ne pas l'appliquer.
C'est ton point de vu, et il se défend.
D'autres ont un avis différent et pensent que si tu as accès au private trust store du navigateur, alors tu as la main sur la machine, que tu sois admin ou que tu l'ai déjà compromis, et qu'il n'y a pas de raison de ne pas te laisser faire du MITM si le certificat racine qui est utilisé est celui que tu as inséré. Les cas d'usages vont de la politique d'entreprise de tout inspecter, à l'espionnage en passant par des trucs bizarres comme la mesure d'audience où les gens sont volontaires pour se faire ouvrir leurs connexions.
Pour le moment les navigateurs ont choisi cet autre point de vu et implémentent ce comportement. Si ton admin insère un certificat dans ton private trust store, alors il peut faire du MITM.
De l'autre côté n'importe qui maitrisant ton réseau peut faire du MITM sur tout ce qui repose sur une stratégie TOFU.