Je pense que oui, c’est abusé car :

1. cela ne veut pas dire que les Etats vont utiliser ce certificat de manière généralisée


2. il faudrait que les certificats soit des certificats sans restriction (on peut imaginer un certificat racine valable uniquement pour les .gouv.fr par exemple)


3. il faut intercepter le trafic à un moment ou à un autre (par exemple, chez les FAI, comme il y a déjà des boites noires chez eux)

Maintenant, c’est pas totalement abusé, car cela faciliterait GRANDEMENT la chose. Là dessus, on est d’accord.

Apparté sinon, concernant les navigateurs eux-mêmes :

• Firefox : est directement impacté, puisqu’inclue son propre magasin de certificat


• Chrome (et ses dérivés) : pas certains, car ils utilisent les certificats présents sur la machine (il me semble que Google voulait mettre en place une solution similaire à Firefox mais je ne sais pas du tout si c’est toujours au programme et où cela peut en être).

Firefox étant open-source, il sera plus ou moins facile de dégager le certificat s’il venait à être imposé à Mozilla.

Pour Chrome, si le navigateur n’inclue pas de base de magasin de certificat, cela voudrait dire que Google devra en ajouter un. Et comme pour Firefox, les versions open-source de Chromium risque vite d’avoir des patchs pour se débarrasser de ces certificats coté client (et là, je ne vois pas trop ce que peuvent faire les Etats à ce niveau)

Il existe bien un enregistrement DNS pour ça (CAA). Il permet de définir l’autorité de certification qui est sensé avoir délivré le certificat.

Et on peut rajouter aussi : pourquoi vouloir imposer directement, sans même avoir essayer de les faire inclure par la voie normale ? Cela ne peut qu’attiser les soupçons sur le procéder.

fofo9012 a dit:

Malheureusement Firefox utilise aussi par défaut les certificats windows, donc une simple mise à jour windows et la majorité des navigateurs par défaut feront confiance à ce certificat.

Sauf s’il y a eu un changement et que je suis passé à côté, Firefox utilise son propre magasin, pas celui de l’OS (par défaut, je suppose qu’il y a une option pour changer ça pour les contextes d’entreprise notamment).

Ce n’est pas si simple que virer l’instance de certification : Premièrement, l’article explique clairement que le but premier est d’avoir une certification d’état typiquement pour signer des documents officiels (par exemple avec un notaire) ou faire des démarches en ligne. Si tu dégages le certificat racine tu ne pourras plus faire des signatures en ligne d’état. Secondo, tel que l’article est rédigé, j’ai plutôt l’impression que l’intention n’est pas de faire du man in the middle à tout va, ça a plus l’air d’un choix technique erroné. (En effet tu l’expliques bien ça permettrait possiblement de faire un man-in-the-middle)

Le souci, c’est que la solution, telle que présentée, ouvre une porte ouverte à ce type de menace. Quand on voit la “jirouette” politique que peut être un changement de gouvernement, qui peut savoir ce que l’on aura d’ici ne serait-ce que 5 ou 10 ans au pouvoir ?

Si cette “solution” technique passait (j’en doute), il suffirait que le navigateur détecte le certificat racine de la chaine de certification, si il tombe sur celui-là on pourrait afficher un logo européen à la place du cadenas TLS par exemple.

C’est une solution oui.

Maintenant, si le but est de signer les documents officiels, etc. alors le certificat racine devrait inclure des contraintes limitant son usage (la norme le permet), par exemple, sur un ensemble de domaines bien défini (au hasard, pour la France *.gouv.fr).

fred42 a dit:

Ils ont essayé de le faire inclure par la voie normale, mais, il y a eu un amendement supprimant ce point. C’est toute la problématique du trilogue de l’UE !

Merci pour la précision. J’avais compris que les inquiétudes des experts avaient été supprimées, pas qu’il y avait eu une tentative de soumission de certificats aux navigateurs de manière “classiques” (=en gros, un ticket pour inclusion).

fred42 a dit:

Le besoin est quand même d’être autorité pour les certificats de signature numérique, de ce que je comprends.

On peut être autorité avec des droits restreints. Ce qui gêne ici, c’est qu’a priori, ils souhaitent pouvoir inclure des certificats racines sans aucune restrictions, ce qui permettrait de détourner le trafic et de faire des attaques de l’homme du mileu (on l’imagine aisément, pour espionnage/surveillance au sein d’un état).

Avoir un certificat racine, avec restriction d’usage (par ex. signature) et/ou de porté (à un domaine spécifique) résoudrait quand même bien des soucis…

C’est une vision erronée que tu as je pense. Ce n’est pas Let’s encrypt qui a tué cela. Ce sont les choix des navigateurs en matière d’affichage des navigateurs. A une époque, certains certificats étaient affichés directement dans le navigateur, en vert, à gauche de l’URL. Je ne comprenais pas trop, à l’époque, pourquoi certains était ainsi alors que pour d’autres, c’était juste un cadenas vert.

Aujourd’hui, avec le recul, je pense que c’est tout simplement les notions de certificats DV/O/EV qui joue (notion que je ne connaissais pas à l’époque, parce que non sensibilisé).

Aujourd’hui, les navigateurs ont fait disparaitre ces distinctions (pour des problèmes de “simplification” de l’interface utilisateur, et surtout parce que certains c’était mis à penser qu’un site affichant un cadenas vert mais SANS le nom du certificat était un site non sécurisé.

Let’s encrypt a permis de démocratiser les certificats DV, en les rendant gratuits et très rapide à obtenir. Mais Let’s encrypt n’est pas le seul certificat DV. Loin de là.

Cette démocratisation a permis aussi la sécurisation des accès aux sites internet, notamment la connexion aux sites, en évitant que le mot de passe ne transite en clair. Avant Let’s encrypt, beaucoup de petits sites, de blog, etc. était uniquement en HTTP, le prix d’un certificat étant “exorbitant” à l’époque (plusieurs centaines, voire millier d’euro en fonction de l’autorité).

Ce qui me gêne c’est que pour tout un chacun, le certificat let’s encrypt est affiché de la même façon par le navigateur qu’un certificat avec validation de l’identité.

Je suis d’accord avec toi. Mais le problème, pour le coup, relève plus de l’affichage par les navigateurs que de l’entité de certification elle-même.