URL: https://linuxfr.org/users/ife/journaux/il-est-temps-que-vous-ayez-un-meilleur-https Title: Il est temps que vous ayez un meilleur HTTPS Authors: Ife Date: 2014年11月21日T06:18:13+01:00 License: CC By-SA Tags: français, sécurité, fedora, autorité, certification, tutoriel et debian Score: 35 Ça y est (article en anglais désolé) [le gouvernement français fait de la surveillance sur ses propres employés](http://www.theregister.co.uk/2013/12/10/french_gov_dodgy_ssl_cert_reprimand/?mt=1416530525330) en créant un certificat "google.com" et en le signant avec sa propre autorité de certification (oui, si vous n'étiez pas au courant, l'ANSSI a sa propre autorité de certification.) Moi qu'était fier que mon pays aie une autorité de certification, me voilà déçu par un hiérarchie qui fait de la merde avec. Bref... Il est temps de faire le ménage dans vos autorités de certifications et retirer toutes les merdes. Dans mon viseur? L'[ANSSI](http://www.ssi.gouv.fr/) qui a signé un certificat google.com, [Turktrust](http://www.turktrust.com.tr/tr/) qui a signé un certificat google.com et enfin le [CNNIC](http://www1.cnnic.cn/index.htm) car je n'ai pas trop confiance en les autorité du gouvernement chinois. Peut être qu'il y en a d'autres dont je ne suis pas au courant, n'hésitez pas à les lister en commentaires. Si vous utilisez Debian, [Debian ne fait plus confiance au certificat de Turktrust.](https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=697366) Pour ceux qui commencent à avoir peur: non les services publiques (en tout cas impots.gouv.fr) utilisent GeoTrust ou Verisign. Ne plus faire confiance à l'ANSSI ne vous empêchera pas d'accéder aux services publiques. Comment faire? Premièrement, ce mini-tutorial est pour Fedora, c'est très similaire sous Debian, mais peut être que ça ne marchera pas du premier coup (il faudra peut être bidouiller un peu). Si quelqu'un sous Debian peut copier et modifier mon mini-tutorial dans un commentaire pour Debian ce serait génial ;) . Premièrement, pour accéder à Linuxfr, je fais confiance à CACert.org (facultatif): ```bash # Télécharge cacert.org/root.crt et le met dans /etc/pki/ca-trust/source/anchors curl http://www.cacert.org/certs/root.crt | sudo tee /etc/pki/ca-trust/source/anchors/cacert-class-1.crt # Télécharge cacert.org/class3.crt et le met dans /etc/pki/ca-trust/source/anchors curl http://www.cacert.org/certs/class3.crt | sudo tee /etc/pki/ca-trust/source/anchors/cacert-class-3.crt ``` Ensuite, je ne fais plus confiance aux autorités de merde: ```bash # Ajoutons les certificats à la liste noire: cd /etc/pki/ca-trust/source/blacklist/ # "openssl x509 -inform DER" sert à convertir les certificats en un format lisible # Gouvernement Français # Trouvé dans les pièces jointes du bug https://bugzilla.mozilla.org/show_bug.cgi?id=477147 curl -L "https://bugzilla.mozilla.org/attachment.cgi?id=369066" | openssl x509 -inform DER -text | sudo tee dcssi-french-gov.crt # Autorité turque qui a signé des certificats google.com # Trouvé dans les pièces jointes au bug https://bugzilla.mozilla.org/show_bug.cgi?id=380635 # et au bug https://bugzilla.mozilla.org/show_bug.cgi?id=433845 curl -L "https://bugzilla.mozilla.org/attachment.cgi?id=264741" | openssl x509 -inform DER -text | sudo tee turktrust-root-1.crt curl -L "https://bugzilla.mozilla.org/attachment.cgi?id=264742" | openssl x509 -inform DER -text | sudo turktrust-root-2.crt curl -L "https://bugzilla.mozilla.org/attachment.cgi?id=321914" | openssl x509 -inform DER -text | sudo tee turktrust-root-3.crt # Gouvernement chinois curl http://www1.cnnic.cn/IS/fwqzs/fwqzsxzzx/201208/W020120615437405690652.cer | sudo tee cnnic-root.crt ``` Vous pouvez survoler la [liste des CA de mozilla](https://docs.google.com/spreadsheet/pub?key=0Ah-tHXMAwqU3dGx0cGFObG9QM192NFM4UWNBMlBaekE&single=true&gid=1&output=html) vous même. Un fois que vous avez ajouté vos propres autorité de certification et mis les mauvaises autorités de certification sur liste noire, il ne vous reste plus qu'à lancer: `sudo update-ca-trust` et redémarrer firefox. Et vous voilà parti!

AltStyle によって変換されたページ (->オリジナル) /