Ah oui, et il se passe quoi dans le cas d'un pays ? Parce que par exemple, ta boite qui fait des certifs, elle n'a pas le pouvoir te convoquer ton patron ou fermer tes opérations ou te foutre des amendes. Un état va l'avoir.
Si absolument. Mais si ça se sait, ils se feront dégager des bases de confiance. C'est, je l'espère, une dissuasion suffisante.
Sauf erreur de ma part, Google a sa propre autorité de certification et vérifie ça dans Chrome. Mais supposons un exemple différent, moins dramatique et ancré dans la réalité avec une entité moins bien financé, genre linuxfr.org. Si demain l'état français sort un certificat de sa CA, un navigateur peut utiliser les enregistrements DNS CAA (qui sont un standard depuis 2019) pour voir qu'il y a un souci (bien sur, en supposant qu'il n'y a pas juste un MitM juste avant le serveur et un certif lets encrypt valide, parce que c'est aussi trivial de faire ça, et ça laisse moins de trace, genre, ça laisse pas une trace "c'est l'etat francais qui espionne les moules")
Je n'avais pas suivi ce standard. Cela peut-être une mesure de mitigation effectivement. Pour le certificat let's encrypt, il faut avoir le contrôle du DNS pour la plupart des attaques. Au passage, la centralisation de toute la sécu sur le seul annuaire DNS est un sujet qui me donne des cauchemars, mais c'est un autre sujet.
De plus, ça fait quand même assez longtemps qu'on se tape des CA génériques et il est peut être temps de se pencher la dessus.
Une CA de l’état français soit limité à .gouv.fr, ça me semblerais aller de soi, et tout est techniquement possible. Il faut juste que le CA/forum se bouge et fasse des règles pour ça.
Tout à fait. Et ce serait une mesure avec laquelle tous les acteurs vertueux sortiraient gagnants, je pense.
Néanmoins, ce n'est pas le fonctionnement actuel et il y'a des évolutions protocolaires, infrastructurelles et logicielles à réaliser avant d'y arriver (ex: je ne crois pas qu'il soit faisable actuellement de restreindre la portée des autres certificats * si un certificat plus précis est présent dans la base de confiance).
Et du coup, si des services étatiques se sont pris à Diginotar au lieu de passer par leur CA, qu'est ce qu'on doit en conclure sur la faisabilité d'abuser de sa propre CA ?
Que si ils peuvent le faire en toute impunité, ils n'auront même plus besoin de chercher des intermédiaires pour se manger le couperet ?
Vu que le certificat a été utilisé en Iran, on peut supposer que c'est l'IRG derrière tout ça. Du coup, pourquoi l'IRG se fait chier à aller pirater une boite au lieu d'utiliser sa propre CA ?
Car bon, la CA n'est pas dans le trousseau de mon Firefox (je viens de vérifier), mais j'imagine que pour les iraniens, ça doit être plus ou moins requis pour surfer sans avoir un tonne de warnings.
Je suppose que c'était pour s'en prendre à ceux qui naviguent en contournant les mesures mises en place sur le sous-internet iranien ?
Un équilibre délicat de libertarien, ou la moindre position régulatrice étatique est vu comme un probléme.
Je suis un peu philosophiquement dans cette tendance. Et pourtant, sur plein d'autres choses je suis très favorable à l'intervention voire au monopole de l'État (notamment sur ce qui touche à la sûreté et à l'approvisionnement matériel, energétique et environnemental).
Avoir un petit bout de souveraineté de son pays entre les mains de 4 entreprises US, ça ne me parait pas être "un fragile équilibre", mais un probléme en devenir.
Je ne pense pas que la souveraineté du pays soit en jeu avec cela. Pour exemple, si on suppose que la CIA en a le pouvoir (par pression), elle pourrait émettre des certificats pour delation.gouv.fr par une autre CA, et intercepter du matériel pour faire chanter nos ministres.
Là on parle que impots.gouv.fr soit marqué comme non-sécurisé, ce qui sauterait au nez des contribuables, et provoquerait une réaction soit contre l'administration si elle en est responsable, soit contre l'ingérence étrangère (les USA y seraient très perdants).
On peut voir aussi comment l'EFF se positionne en partie contre le GDPR, et comment, 7 ans après, ses pires craintes ne sont pas vraiment matérialiser. Et comment l'EFF se positionne aussi
L'EFF va aussi dire que le débat sur la vie privée ne doit pas se faire uniquement entre les géantes de la Tech, mais visiblement, faut pas aller plus loin que le débat, car visiblement, la régulation des dites géantes, c'est mal(tm).
Je ne fais ni confiance à ces entreprises, ni aux États. Mes intérêts sont tantôt alignés tantôt opposés aux leurs.
Le rgpd est d'une relative inefficacité de mon point de vue. Comme probablement la plupart des règlements d'ailleurs touchant à l'immatériel. Les gros profitent de base établie pour continuer leurs horreurs, tout en profitant de la complexité accrue pour détruire les petits et empêcher les nouveaux entrants. On peut parler des cohortes chez google.
Si ça devait être un choix, j'aurais largement préféré qu'on impose à tous les fournisseurs d'os de fournir le root (le vrai, celui qui permet de desinstaller IE sur vista) à leurs clients, aux fournisseurs d'enclaves sécurisées de pouvoir installer les clefs qu'ils veulent aux propriétaires du matériel (et désactiver celles de base), etc.
Demain, le/la président-e des USA déclare un embargo sur un pays (comme c'est déjà le cas avec plusieurs pays, comme l'Iran, Cuba, et sans doute la Corée du nord), les 4 boites qui font des navigateurs vont se retrouver à retirer les autorités de certifs de ce pays.
Probablement. Pour autant qu'est-ce qui sera plus visible pour le citoyen du pays sous embargo ? Le message d'alerte sur les sites gouvernementaux ou outlook.com inacessible (que MS ne pourra plus fournir pour cause d'embargo) ?
Je suis pas trop sur de voir ou est l'équilibre à ce niveau. Mais on est en droit en effet de préférer 4 entreprises privées sous la législation d'un même gouvernement étranger qui est passé à 2 doigts d'un coup d'état il y a bientôt 2 ans que de d'avoir nos gouvernements qui demandent un truc à des startups comme Microsoft ou Google.
Je suppose que cela se résume, dans ce cas précis, à savoir si le gain en souveraineté vaut le risque de maltraitance sur les citoyens. La valeur de ce risque dépend bien entendu de la confiance que tu as dans les exécutifs des pays européens (en plus de celui de ton pays). Je pense que c'est la différence de confiance que nous accordons à notre État, qui nous fait aboutir à nos deux positions respectives.
[^] # Re: Rien compris
Posté par colmi . En réponse au lien L'UE impose l'usage de certificats non sécurisés aux navigateurs web. Évalué à 2.
Si absolument. Mais si ça se sait, ils se feront dégager des bases de confiance. C'est, je l'espère, une dissuasion suffisante.
Je n'avais pas suivi ce standard. Cela peut-être une mesure de mitigation effectivement. Pour le certificat let's encrypt, il faut avoir le contrôle du DNS pour la plupart des attaques. Au passage, la centralisation de toute la sécu sur le seul annuaire DNS est un sujet qui me donne des cauchemars, mais c'est un autre sujet.
Tout à fait. Et ce serait une mesure avec laquelle tous les acteurs vertueux sortiraient gagnants, je pense.
Néanmoins, ce n'est pas le fonctionnement actuel et il y'a des évolutions protocolaires, infrastructurelles et logicielles à réaliser avant d'y arriver (ex: je ne crois pas qu'il soit faisable actuellement de restreindre la portée des autres certificats * si un certificat plus précis est présent dans la base de confiance).
Que si ils peuvent le faire en toute impunité, ils n'auront même plus besoin de chercher des intermédiaires pour se manger le couperet ?
Je suppose que c'était pour s'en prendre à ceux qui naviguent en contournant les mesures mises en place sur le sous-internet iranien ?
Je suis un peu philosophiquement dans cette tendance. Et pourtant, sur plein d'autres choses je suis très favorable à l'intervention voire au monopole de l'État (notamment sur ce qui touche à la sûreté et à l'approvisionnement matériel, energétique et environnemental).
Je ne pense pas que la souveraineté du pays soit en jeu avec cela. Pour exemple, si on suppose que la CIA en a le pouvoir (par pression), elle pourrait émettre des certificats pour delation.gouv.fr par une autre CA, et intercepter du matériel pour faire chanter nos ministres.
Là on parle que impots.gouv.fr soit marqué comme non-sécurisé, ce qui sauterait au nez des contribuables, et provoquerait une réaction soit contre l'administration si elle en est responsable, soit contre l'ingérence étrangère (les USA y seraient très perdants).
Je ne fais ni confiance à ces entreprises, ni aux États. Mes intérêts sont tantôt alignés tantôt opposés aux leurs.
Le rgpd est d'une relative inefficacité de mon point de vue. Comme probablement la plupart des règlements d'ailleurs touchant à l'immatériel. Les gros profitent de base établie pour continuer leurs horreurs, tout en profitant de la complexité accrue pour détruire les petits et empêcher les nouveaux entrants. On peut parler des cohortes chez google.
Si ça devait être un choix, j'aurais largement préféré qu'on impose à tous les fournisseurs d'os de fournir le root (le vrai, celui qui permet de desinstaller IE sur vista) à leurs clients, aux fournisseurs d'enclaves sécurisées de pouvoir installer les clefs qu'ils veulent aux propriétaires du matériel (et désactiver celles de base), etc.
Probablement. Pour autant qu'est-ce qui sera plus visible pour le citoyen du pays sous embargo ? Le message d'alerte sur les sites gouvernementaux ou outlook.com inacessible (que MS ne pourra plus fournir pour cause d'embargo) ?
Je suppose que cela se résume, dans ce cas précis, à savoir si le gain en souveraineté vaut le risque de maltraitance sur les citoyens. La valeur de ce risque dépend bien entendu de la confiance que tu as dans les exécutifs des pays européens (en plus de celui de ton pays). Je pense que c'est la différence de confiance que nous accordons à notre État, qui nous fait aboutir à nos deux positions respectives.