Si oui, ne serait-il pas plus pertinent d'avoir un ou plusieurs paquets séparés pour les certificats
C’est déjà le cas, au moins sur certaines distributions. Debian a un paquet ca-certificates contenant les certificats racines, de même que Slackware1. Je ne serais pas étonné que d’autres distributions fassent la même chose.
En pratique ce paquet ne contient pour l’instant que les certificats des racines reconnues par Mozilla, mais en théorie il pourrait contenir des certificats provenant d’autres sources (à une époque il contenait par exemple le certificat racine de CAcert).
ça permettrait à l'administrateur d'avoir un contrôle plus aisé de à qui faire confiance
C’est le but du paquet ca-certificates. Il installes les certificats non pas directement dans /etc/ssl/certs, mais dans /usr/share/ca-certificates, et il fournit l’outil update-ca-certificates(8) pour créer des liens symboliques dans /etc/ssl/certs (l’administrateur ayant la possibilité de « désactiver » les racines dont il ne veut pas dans /etc/ca-certificates.conf, et d’ajouter des racines supplémentaires dans /usr/local/share/ca-certificates).
À noter tout de même que ce paquet n’est absolument pas utilisé par Firefox, qui utilise toujours ses propres certificats (directement inclus dans la bibliothèque libnssckbi.so), indépendamment du contenu de /etc/ssl/certs. C’est à ma connaissance une spécificité de la version GNU/Linux de Firefox, les versions Windows et OS X utilisent il me semble le magasin de certificats du système.
On peut forcer Firefox à utiliser les certificats de /etc/ssl/certs en remplaçant sa bibliothèque libnssckbi.so par la bibliothèque libp11-kit.so du projet p11-glue.
1 En fait Slackware ré-utilise directement le paquet de Debian, parce que ouais bon, Debian rules! (mais il ne faut pas le dire trop fort :D ).
[^] # Re: distrib
Posté par gouttegd . En réponse au journal Le retrait des certificats racines de WoSign et StartCom est planifié par Mozilla. Évalué à 10.
C’est déjà le cas, au moins sur certaines distributions. Debian a un paquet
ca-certificatescontenant les certificats racines, de même que Slackware1. Je ne serais pas étonné que d’autres distributions fassent la même chose.En pratique ce paquet ne contient pour l’instant que les certificats des racines reconnues par Mozilla, mais en théorie il pourrait contenir des certificats provenant d’autres sources (à une époque il contenait par exemple le certificat racine de CAcert).
C’est le but du paquet
ca-certificates. Il installes les certificats non pas directement dans/etc/ssl/certs, mais dans/usr/share/ca-certificates, et il fournit l’outil update-ca-certificates(8) pour créer des liens symboliques dans/etc/ssl/certs(l’administrateur ayant la possibilité de « désactiver » les racines dont il ne veut pas dans/etc/ca-certificates.conf, et d’ajouter des racines supplémentaires dans/usr/local/share/ca-certificates).À noter tout de même que ce paquet n’est absolument pas utilisé par Firefox, qui utilise toujours ses propres certificats (directement inclus dans la bibliothèque
libnssckbi.so), indépendamment du contenu de/etc/ssl/certs. C’est à ma connaissance une spécificité de la version GNU/Linux de Firefox, les versions Windows et OS X utilisent il me semble le magasin de certificats du système.On peut forcer Firefox à utiliser les certificats de
/etc/ssl/certsen remplaçant sa bibliothèquelibnssckbi.sopar la bibliothèquelibp11-kit.sodu projet p11-glue.1 En fait Slackware ré-utilise directement le paquet de Debian, parce que ouais bon, Debian rules! (mais il ne faut pas le dire trop fort :D ).