Et donc soit on auto-certifie son propre certificat, soit on passe par une autorité de certification (ou une chaîne d'autorités).
En sachant que ce n'est pas exclusif : on peut tout à fait auto-certifier son propre certificat racine, et donc bénéficier de certains des avantages d'une autorité de certification. Le principe est généralement de produire un certificat racine à longue durée de vie (10 ans?), de stocker très précieusement sa clé privée, et de s'en servir à intervalles réguliers pour re-générer de nouveaux certificats.
L'avantage étant qu'on peut faire tourner régulièrement les certificats des serveurs, rajouter des certificats sur de nouveaux serveurs, sans pour autant avoir à modifier les clients (une fois qu'ils ont le certificat racine installé, et tant qu'il est valide).
Par rapport à un pur auto-signé, ça a un inconvénient de taille : ça demande une plus grande confiance de la part des utilisateurs. En effet, si on ajoute une exception pour un certificat "final", on ne peut - en cas de problème - être trompé que pour un site que ce certificat signait. En revanche, si on accepte une nouvelle racine, on s'expose à ce qu'un usage délictueux de la racine signe des choses pour Google ou Facebook. Sauf s'il existe un moyen de spécifier qu'une racine n'est valide que pour un certain nombre de (sous-)domaines, mais je n'ai jamais rien trouvé en ce sens.
# Le meilleur des deux mondes?
Posté par Larry Cow . En réponse à la dépêche Certificat SSL/TLS pour serveur web, HTTPS et problèmes associés. Évalué à 3.
En sachant que ce n'est pas exclusif : on peut tout à fait auto-certifier son propre certificat racine, et donc bénéficier de certains des avantages d'une autorité de certification. Le principe est généralement de produire un certificat racine à longue durée de vie (10 ans?), de stocker très précieusement sa clé privée, et de s'en servir à intervalles réguliers pour re-générer de nouveaux certificats.
L'avantage étant qu'on peut faire tourner régulièrement les certificats des serveurs, rajouter des certificats sur de nouveaux serveurs, sans pour autant avoir à modifier les clients (une fois qu'ils ont le certificat racine installé, et tant qu'il est valide).
Par rapport à un pur auto-signé, ça a un inconvénient de taille : ça demande une plus grande confiance de la part des utilisateurs. En effet, si on ajoute une exception pour un certificat "final", on ne peut - en cas de problème - être trompé que pour un site que ce certificat signait. En revanche, si on accepte une nouvelle racine, on s'expose à ce qu'un usage délictueux de la racine signe des choses pour Google ou Facebook. Sauf s'il existe un moyen de spécifier qu'une racine n'est valide que pour un certain nombre de (sous-)domaines, mais je n'ai jamais rien trouvé en ce sens.