Je ne suis pas tout à fait d'accord avec toi Seb.
Car tu peux très bien autosigner un certificat, ou te faire délivrer un certificat par une autorité qui elle prone la liberté d'expression (même si il n'y en a pas encore à ma connaissance).
Et puis rien n'empeche d'ajouter une autorité de certification Tor dans le bundle Tor pour que des sites https via tor puisse utilisé un certificat dérivé.
Par contre ce qui me chagrine le plus c'est que cela soit plus de la poudre au yeux pour que les gens se "croient" en sécurité.
En HTTPS TOUTES les connections partagent le même certificat, ce que je veux dire c'est qu'il "suffit" d'enregistrer les flux chiffrés et de mettre la main (avant ou après) sur la clé privé du serveur. et tu peux TOUT déchiffré.
(sauf pour le forward secrecy je crois mais faut que je vérifie)
Cela ne remplacera pas un échange de clés de chiffrement pour chaque connection, en tout cas ce n'est pas aussi sécurisé....
Bref, laissez faire, la NSA n'aura qu'a se contenter des méta donnés, pour faire le tri dans les enregistrements de flux et cibler les attaques vers les serveurs intéressant pour récupérer la clé.
Tiens, je me demande si il ne serait pas possible de générer une négociation avec un flux d'entrée connu afin de pouvoir faire une analyse statistique du résultat afin d'avoir des infos sur la clé (comme l'entropie utilisée...) ?
J'ai un petit serveur, avec une certificat auto signé.
je voulais faire de la synchro de calendrier en HTTPS avec owncloud sur mon joli smartphone Android 4.X...
MAIS:
- vous pouvez installer le certificat par la carte SD
- ensuite vous êtes obligés de spécifier un schéma ou un code PIN pour déverrouiller votre téléphone.
- et vous avez une alerte à chaque démarrage...
pour palier à cela:
- mettre un schema ou un code pin
- importer votre certificat depuis la carte SD
- lancer un logiciel de fichier root et copier le fichier qui a été créé dans '/data/misc/keychain/certs-added/' vers '/system/etc/security/'
- retourner dans parametres -> sécurité et "effacer tout les identifiants"
- vous pouvez remettre votre sécurité par défaut (par exemple glisser) et vous n'aurez plus de message.
vous pouvez vérifier que votre certificat est bien la en allant dans "certificats de confiance" il est maintenant coté système.
"L’infrastructure de gestion de la confiance de l’administration, dite « IGC/A », est une infrastructure de gestion de clés cryptographiques (IGC) opérée par l’Agence nationale de la sécurité des systèmes d’information, l’autorité de certification racine de l’État français."
Bon va falloir que je bosse un peu ça...
Un article interressant concernant l'installation de certificat sous linux.
cela m'a été très utile pour installer le certificat de github ;)
mkdir -p ~/.cert/github.com
openssl s_client -showcerts -connect github.com:443 2>&1 | sed -e 's/.-----BEGIN CERTIFICATE-----//g' | sed -e 's/-----END CERTIFICATE-----.//g' > ~/.cert/github.com.pem
;)