je ne pense pas ...
mais je comprends bien qu'il faudrait le faire pour être exhaustif.
Si tu ne vérifies pas la CRL, ça sert à rien de faire la moindre vérification (à part consommer du temps processeur).
Sinon c'est pour le reste, si j'ai bien compris :
- Tu prends le certificat du site disons example.com
- Quand tu trouves un réseau wifi tu te connectes et tu récupères le certificat du serveur
- Tu compares les deux certificats.
Si c'est ça, autant rien faire. Le principe de X.509 c'est une autorité qui signe des certificats. Tu dois vérifier si le certificat est signé par une autorité (et en fait toute la chaîne jusqu'au certificat racine (parce qu'un autorité peut avoir signé une autorité qui elle signe une autre autorité qui elle signe un certificat) et si le nom donné par le certificat correspond au nom du serveur.
Ensuite tu vérifies la CRL de l'autorité (parce que si le type est un méchant qui a obtenu un certificat qui a ensuite été révoqué, c'est bien de le savoir).
Il faut aussi vérifier les contraintes du certificat.
Si le but est de vérifier un truc (bidon) pour dire qu'on a vérifié un truc, c'est inutile, autant ne rien vérifier.
[^] # Re: FreeWIFI : sécurité ?
Posté par Etienne Bagnoud . En réponse au journal [ubuntu inside] Quickly superbe ... et annonce : freetp et autowifi. Évalué à 2.
mais je comprends bien qu'il faudrait le faire pour être exhaustif.
Si tu ne vérifies pas la CRL, ça sert à rien de faire la moindre vérification (à part consommer du temps processeur).
Sinon c'est pour le reste, si j'ai bien compris :
- Tu prends le certificat du site disons example.com
- Quand tu trouves un réseau wifi tu te connectes et tu récupères le certificat du serveur
- Tu compares les deux certificats.
Si c'est ça, autant rien faire. Le principe de X.509 c'est une autorité qui signe des certificats. Tu dois vérifier si le certificat est signé par une autorité (et en fait toute la chaîne jusqu'au certificat racine (parce qu'un autorité peut avoir signé une autorité qui elle signe une autre autorité qui elle signe un certificat) et si le nom donné par le certificat correspond au nom du serveur.
Ensuite tu vérifies la CRL de l'autorité (parce que si le type est un méchant qui a obtenu un certificat qui a ensuite été révoqué, c'est bien de le savoir).
Il faut aussi vérifier les contraintes du certificat.
Si le but est de vérifier un truc (bidon) pour dire qu'on a vérifié un truc, c'est inutile, autant ne rien vérifier.
Regardes la page 15 à 20 pour te rendre compte de toutes les astuces qu'il existe pour attaquer SSL : http://www.blackhat.com/presentations/bh-dc-09/Marlinspike/B(...)
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell