Il a été démontré en 2008 (http://www.win.tue.nl/hashclash/rogue-ca/) qu'avec relativement peu de moyens (200 playstations, un quadcore), on pouvait générer deux certificats avec le même hash md5 en à peu près une journée.
Dans la démo en question, ils ont fait signer par une AC reconnue un certificat anodin, puis associé cette signature à un autre certificat (ayant le même hash md5) pouvant être utilisé comme autorité intermédiaire. Ce qui signifie au final qu'ils ont pu émettre et signer des certificats reconnus par les navigateurs.
Pour moi, il est clair que md5 et sha-1 ne sont plus fiables.
[^] # Re: HTTPS réputé théoriquement fiable depuis peu?
Posté par mortimer . En réponse à la dépêche GPG - les concepts en clair et pédagogiquement. Évalué à 2.
Il a été démontré en 2008 (http://www.win.tue.nl/hashclash/rogue-ca/) qu'avec relativement peu de moyens (200 playstations, un quadcore), on pouvait générer deux certificats avec le même hash md5 en à peu près une journée.
Dans la démo en question, ils ont fait signer par une AC reconnue un certificat anodin, puis associé cette signature à un autre certificat (ayant le même hash md5) pouvant être utilisé comme autorité intermédiaire. Ce qui signifie au final qu'ils ont pu émettre et signer des certificats reconnus par les navigateurs.
Pour moi, il est clair que md5 et sha-1 ne sont plus fiables.