Blog de Djan GICQUEL

Informagicien, crypto-convaincu, adorateur des internets 2.0, des chats et des logiciels libres

Pourquoi le certificat est invalide ?

Publié le jeudi 5 février 2015, par Djan

Mis à jour le mardi 29 janvier 2019

Mots clés : refléxion/philosophie, sécurité, vulgarisation - éducation populaire (AI²),

Quand vous visitez un site web avec une adresse débutant par https, vos communications avec le site sont chiffrées avec le serveur afin de vous assurer la confidentialité. Cette méthode n’est pas infaillible d’une part parce que le https ne permet pas d’authentifier le serveur en face et aussi parce que la connexion peut-être plus ou moins sécurisée.

Avant de débuter la communication chiffrée, le site web en question doit présenter un certificat afin de s’identifier et prouver que la connexion est sécurisé. Le certificat aide votre navigateur à déterminer si le site que vous visitez est vraiment celui qu’il prétend être. Si un problème est rencontré avec le certificat, vous verrez une page d’avertissement.

Le fait de voir cette alerte ne signifie pas obligatoirement que le site est une contrefaçon ou qu’il tente de vous duper, mais simplement que le navigateur ne peut pas vérifier l’identité du site web en question. Donc vous devriez être prudent dans de telles circonstances.

Il existe plusieurs raisons pour lesquelles le navigateur peut rejeter un certificat. Certaines de ces raisons sont décrites dans l’aide de Firefox. Cela peut être du à l’horloge de votre périphérique ou à un problème coté serveur.

Mais il peut y avoir d’autres raisons. Notamment le fait que l’auteur du site ne souhaite pas payer de certificat, soit parce qu’il n’en a pas les moyens (oui les certificats vérifiés sont cher) soit parce qu’il ne cautionne pas le système actuel de certification. Ce système fonctionne de manière centralisé (tout l’inverse de l’esprit d’Internet) et il faut généralement payer cher pour certifier son certificat par une autorité compétente et le certificat n’est valable que pour une durée limité. Cela ne protège pas non plus des attaque MITM comme le fait Avast.

J’ai donc pris le parti, avec d’autres libristes de ne pas certifier mon certificat. Cela peut aussi responsabiliser l’internaute. En acceptant mon certificat de façon active il me prouve sa confiance. Cela peut aussi le rebuter car la plupart des internautes ont peurs des certificats non authentifiés. Il faut donc faire un gros travail d’éducation par rapport aux certificats. On peut aussi parler des autorités indépendantes comme StartSSL ou CAcert qui proposent des certificats gratuits mais dont la reconnaissance par le navigateur n’est pas garantie.

Avant d’accepter un certificat il faut donc le lire afin d’en apprendre plus sur le serveur sur lequel on se connecte.

Messages

  • Genma
    12 février 2015, 16:09


    Un billet que j’aurai aimé écrire :-)

  • Pierre Rudloff
    12 février 2015, 18:29


    On peut tout à fait être contre le fonctionnement centralisé de SSL, mais encourager les gens à ajouter des exceptions pour les certificats auto-signés, c’est leur donner une fausse impression de sécurité, puisque ces certificats sont vulnérables à un certain nombre d’attaques MITM que les certificats signés empêchent.
    La solution se trouve plutôt dans des organismes de certification gratuits et ouverts comme https://letsencrypt.org/ qui est en train d’être mis en place par Mozilla et l’EFF.
    En attendant, on peut utiliser des certificats StartSSL qui sont gratuits et compatibles avec tous les navigateurs actuels (contrairement à ce que dit l’article).

    • Djan
      21 février 2015, 10:43


      Bonjour Pierre et merci pour ton commentaire.
      J’ai déjà eu des soucis de reconnaissance du certificat autant avec StartSSL qu’avec CAcert donc à mon avis ce n’est pas une solution si on souhaite que le certificat ne provoque pas de message d’erreur dans le navigateur.

      Cependant comme tu le dis je place beaucoup d’espoir dans Let’s Encrypt et j’espère que cette autorité pourra fournir un certificat réellement valide avec tous les navigateurs et réellement gratuit.

Un message, un commentaire ?

Note : Ce forum n'est pas un espace SAV. Merci de soumettre vos problèmes sur un forum spécialisé en rapport avec votre question. Si la question concerne un script que j'ai écrit merci de me contacter par courriel.

Qui êtes-vous ?
Votre message

Ce formulaire accepte les raccourcis SPIP [->url] {{gras}} {italique} <quote> <code> et le code HTML <q> <del> <ins>. Pour créer des paragraphes, laissez simplement des lignes vides.

Lien hypertexte

(Si votre message se réfère à un article publié sur le Web, ou à une page fournissant plus d’informations, vous pouvez indiquer ci-après le titre de la page et son adresse.)


Dernières brèves

Wikipedia, l’encyclopédie démocratique ? 22 mai

Planter des arbres pour sauver le climat ? 18 mai

Le sénat valide la reconnaissance faciale 15 mai

CAF et dématérialisation ne font pas bon ménage 14 mai

Les 5 arnaques du marché privé de l’électricité EU 9 mai

Une politique numérique de gauche est-elle possible ? 6 mai

application d’identité numérique avec la carte d’identité numérique 30 avril

Mukbang ; ces youtubeurs qui vendent leur vie pour des vues 4 avril

MACRON : 5 ANNÉES D’ATTAQUES CONTRE NOS LIBERTÉS 24 mars

Pôle Emploi : dématérialisation et contrôle social à marche forcée 19 février


Articles populaires

Rechercher

Agenda du libre en Alsace

Vandœuvre-lès-Nancy : Concert Veilleuse, Le vendredi 24 juin 2022 de 18h30 à 19h30.

Nancy : Prochaines réunions, Le vendredi 20 mai 2022 de 20h30 à 23h00.

Vandœuvre-lès-Nancy : Écran dynamique affichant des informations, Le samedi 4 juin 2022 de 10h00 à 12h00.

Vandœuvre-lès-Nancy : Projet cartographie d’intérieurs, Le samedi 14 mai 2022 de 10h00 à 12h00.

Wintzenheim : Réunion du Club Linux, Le samedi 14 mai 2022 de 13h00 à 19h00.


no-gafam-zone
Onestlà!
Web0 manifesto