J'utilise l'extension firefox DNSSEC DAne Validator (malheureusement, elle n'est plus disponible sur le site d'extension mozilla). Qui permet d'avertir ou de bloquer l'utilisateur si le certificat n'est pas émis par la CA qui est identifiée dans l'enregistrement dédié du DNS (avec DNSSEC).
Ça marche bien (testé sur des réseaux équipés du MitM Zscaler par exemple).
Malheureusement, aucun des navigateurs ne semble vouloir intégrer cette fonctionnalité par défaut.
# DANE fonctionne pas mal
Posté par -mat . En réponse au journal Predator files : surveillez les logs Certificate transparency sur vos domaines. Évalué à 3.
J'utilise l'extension firefox DNSSEC DAne Validator (malheureusement, elle n'est plus disponible sur le site d'extension mozilla). Qui permet d'avertir ou de bloquer l'utilisateur si le certificat n'est pas émis par la CA qui est identifiée dans l'enregistrement dédié du DNS (avec DNSSEC).
Ça marche bien (testé sur des réseaux équipés du MitM Zscaler par exemple).
Malheureusement, aucun des navigateurs ne semble vouloir intégrer cette fonctionnalité par défaut.