Lorsque vous achetez un certificat SSL, il n'est pas rare que des garanties, des assurances, soient proposées pour couvrir certains dommages pouvant résulter de mauvais usages. Quels usages ? Est-ce que ces assurances servent vraiment à quelque chose ?

TIens, je ne connaissais pas cette faille.

D'après l'outil de test cité dans l'article, mon site est vulnérable à Poodle. Oups.

J'espère qu'OVH va faire le nécessaire !

Ah, je ne savais pas que le code d'OpenSSL était si terrible que cela oO

Petit compte rendu sur la fameuse faille OpenSSL.

Certes, mais faut-il encore que la faille ait été exploitée !

EDIT : Je n'ai rien dit, la faille a été exploitée au-delà de ce qu'on pouvait penser, allant jusqu'à permettre la récupération des clés privées du serveur : http://links.kevinvuilleumier.net/?wy6O9Q

Pour tester si un site particulier est vulnérable à la faille HeartBleed (faille dans certaines versions d'OpenSSL).

Bien, je constate que ma banque ni mon école ne sont impactés, c'est déjà ça.

OK, je résume : la Suisse, ou plutôt l'Office fédéral de l'informatique et de la télécommunication (OFIT), possède son propre CA (Certificate Authority) pour signer ses certificats. Le problème, c'est qu'il n'est reconnu que par Microsoft et Apple. Soit bien peu de monde...

Il faut savoir que Mozilla refuse de l'accepter dans Firefox depuis... 2008 ! Les raisons d'un tel refus ? Mozilla estime que l'OFIT a une pratique légèrement dangereuse (plus de détails dans l'article). Oups.

Pourtant, aucun des sites signés par la CA ne soulève d'alertes dans le navigateur Firefox ?! Ce miracle est possible parce qu'ils ont décidé de contourner le problème en le faisant valider par un autre organisme. Sans compter le fait que les certificats expirent demain et qu'ils n'auront jamais le temps de tous les changer. Un beau bordel.

Ce site permet de tester la qualité des certificats SSL d'un domaine.

Via : http://sebsauvage.net/links/?0yAWFQ