L'idée derrière, c'est de limiter l'impact de la compromission d'un serveur, du vol de la partie privée du certificat (la clé), et l'usurpation d'identité du site qui s'ensuit. Le vol d'une telle clé pour un certificat valable 10 ans permet au voleur de se faire passer pour le site pendant 10 ans. Pour un certificat valable pendant 10 jours, le voleur n'aura que 10 jours.
Ça permet aussi aux sites ou autres services abandonnés d'être repérés plus vite.
Voilà pour la théorie.
En pratique, les attaquants vont sans doute s'adapter, et mettront en place un bidule technique qui permettra de recevoir la nouvelle version du certificat à chaque renouvellement. Ce genre d'attaque dans laquelle le voleur reste en place sans se faire repérer est plus complexe à mettre en œuvre. Ça ne changera rien pour les structures mal sécurisées, qui se feront piquer leurs certifs encore et encore sans s'en rendre compte.
Au final, ça relève la barre pour les attaquants, ce qui est bien, mais ça relève aussi un peu la barre pour les attaqués, ce qui est moins sympa.
Ça va aussi sans doute pousser à déployer DNSSEC pour authentifier les réponses DNS, car le protocole ACME repose en partie sur le DNS.
Mon cœur est arc-en-ciel sur le sujet, je ne sais pas si je trouve ça bien ou pas ;)
[^] # Re: Des explications ?
Posté par cg . En réponse au lien Réduction de la durée maximale de validité des certificats de 398 à 47 jours approuvée. Évalué à 6.
L'idée derrière, c'est de limiter l'impact de la compromission d'un serveur, du vol de la partie privée du certificat (la clé), et l'usurpation d'identité du site qui s'ensuit. Le vol d'une telle clé pour un certificat valable 10 ans permet au voleur de se faire passer pour le site pendant 10 ans. Pour un certificat valable pendant 10 jours, le voleur n'aura que 10 jours.
Ça permet aussi aux sites ou autres services abandonnés d'être repérés plus vite.
Voilà pour la théorie.
En pratique, les attaquants vont sans doute s'adapter, et mettront en place un bidule technique qui permettra de recevoir la nouvelle version du certificat à chaque renouvellement. Ce genre d'attaque dans laquelle le voleur reste en place sans se faire repérer est plus complexe à mettre en œuvre. Ça ne changera rien pour les structures mal sécurisées, qui se feront piquer leurs certifs encore et encore sans s'en rendre compte.
Au final, ça relève la barre pour les attaquants, ce qui est bien, mais ça relève aussi un peu la barre pour les attaqués, ce qui est moins sympa.
Ça va aussi sans doute pousser à déployer DNSSEC pour authentifier les réponses DNS, car le protocole ACME repose en partie sur le DNS.
Mon cœur est arc-en-ciel sur le sujet, je ne sais pas si je trouve ça bien ou pas ;)