Let's Encrypt annonce la disponibilité des certificats génériques en janvier 2018
Pour faciliter la gestion des sous-domaines avec un seul certificat

Le , par Olivier Famien, Chroniqueur Actualités
Avec le nombre élevé d’attaques informatiques ciblant les sites web sur la toile, il n’est nul besoin de rappeler que l’un des moyens essentiels de prévention contre ces piratages demeure l’adoption des mesures de sécurité comme le chiffrement des sites web.

Let’s Encrypt, l’autorité de certification qui a lancé ses services publics en 2015, offre des outils dans ce sens avec la mise à disposition de moyens automatisés pour l’installation et le renouvellement de certificats gratuits pour le protocole de chiffrement TLS. Avec ces services, Let’s Encrypt souhaite offrir un web à 100 % sécurisé en permettant aux entités qui disposent de peu de ressources financières et techniques d’utiliser ses services pour sécuriser leurs sites web.

Selon les statistiques fournies par Let’s Encrypt, avant le lancement public de ses services en 2015, le pourcentage des pages chargées sur la toile était estimé à 40 %. Depuis cette date, le taux de sites web sécurisés HTTPS est passé à 58 %. Il faut rappeler néanmoins que d’autres entreprises comme Amazon offrent également des certificats gratuits à ses clients utilisant AWS. À la fin du mois dernier, Let’s Encrypt fêtait ses 100 millions de certificats délivrés. Et actuellement, elle déclare qu’elle sécurise 47 millions de domaines sur le web.

Pour faciliter le déploiement de ses outils et booster encore plus l’adoption de ses services de sécurité web, Let’s Encrypt annonce qu’elle offrira des « wildcard certificates » (certificats génériques) à partir de janvier 2018. Selon l’autorité, ces certificats génériques ont pour but de sécuriser n’importe quel nombre de sous-domaines d’un domaine de base. En d’autres termes, avec ces certificats génériques, les administrateurs pourront utiliser une seule paire de certificat et clé pour un domaine et tous ses sous-domaines, et ne plus enregistrer individuellement un certificat pour chaque adresse web comme c’est le cas présentement. Selon Josh Aas, directeur exécutif de ISRG, cela facilitera considérablement le déploiement et par-delà, l’adoption du HTTPS sur le web. En effet, avoir une paire unique de clé de chiffrement et un certificat pour un domaine et ses sous-domaines est de loin nettement plus facile à gérer que d’avoir plusieurs certificats pour différents domaines et sous-domaines.


Comme les autres certificats, ces certificats génériques seront offerts gratuitement à travers la version 2 du protocole ACME (Automated Certificate Management Environment). Ce protocole est la pièce maîtresse du service offert par Let’s Encrypt. C’est l’élément avec lequel Let’s Encrypt interagit avec ses abonnés « afin qu’ils puissent obtenir et gérer les certificats ». Il permet à Let’s Encrypt de s’assurer que les méthodes de validation, de délivrance et de gestion sont entièrement automatisées, sécurisées et conformes à ses attentes. Avec la version 2, ACME pourra être facilement utilisé par les autres autorités de certification et deviendra une norme de IETF avec des améliorations techniques. Par ailleurs, l’API de la version 2 de ce protocole existera aux côtés de la version 1 en attendant la fin du cycle de vie de cette première version du protocole.

Pour utiliser donc ces certificats génériques, les utilisateurs de ces solutions devront mettre à niveau la version 1 du protocole ACME et passer à la version 2 de l’API permettant de déployer les clés de certificats sur les serveurs.

Après cette annonce, plusieurs personnes ont admis que l’absence de ces certificats génériques était la dernière raison pour laquelle plusieurs ne se tournaient pas vers Let’s Encrypt. Avec la disponibilité de ce service, ces personnes n’auront plus d’excuses pour justifier l’absence de chiffrement ou soutenir des arguments pour ne pas utiliser les services de Let’s Encrypt, affirment ces derniers. Toutefois, pour d’autres, l’expiration de 90 jours après la délivrance serait un frein à l’adoption de Let’s Encrypt et préfèrent acheter des certificats de longue durée (plusieurs années). Mais, à cet argument, certains avancent que vu que les certificats Let’s Encrypt sont renouvelables automatiquement, cela ne devrait pas poser de problème. Et pour ceux qui achètent des certificats de longue durée, s’il survenait des failles favorisant des fuites de certificats, cela exposerait ces derniers aux attaques de type homme du milieu, affirment les défenseurs de Let’s Encrypt. D’autres ajoutent comme inconvénient à l’utilisation des services Let’s Encrypt qu’il faut attendre encore un peu plus de 5 mois avant la sortie de ces certificats génériques. Mais à la sortie des certificats génériques, ces assertions n’auront plus de sens, concluent certains utilisateurs de Let’s Encrypt.

Enfin, au-delà des défenseurs et des détracteurs de Let’s Encrypt, d’autres se posent la question de savoir si les fournisseurs de certificats SSL vont disparaître.

Source : Let’s Encrypt

Et vous ?

Les petites entreprises et les individus se tourneront-ils davantage vers Let’s Encrypt avec cette solution ?

Selon vous, qu’est-ce qui pourrait freiner encore l’adoption des services Let’s Encrypt avec l’arrivée prochaine de ces certificats génériques ?

Voir aussi

Les certificats SSL/TSL de Let’s Encrypt sont supportés par la majorité des navigateurs, l’autorité avance dans son projet de sécuriser le web

L’EFF et Mozilla lancent une nouvelle autorité de certification pour chiffrer le Web « Let’s Encrypt » délivrera gratuitement des certificats TLS/SSL


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de tlt tlt - Membre habitué https://www.developpez.com
le 10/07/2017 à 8:15
Hâte de l'utiliser.
Actuellement, j'utilise sslforfree.com avec qui je dois renouveler les certificats tout les 3 mois. Et avec beaucoup de sous domaines, ça en fait des certificats à gérer
Avatar de Mimoza Mimoza - Membre habitué https://www.developpez.com
le 10/07/2017 à 9:45
Plus pratique surement, mais moins sécurisé ! Du coup je ne donne pas chère de la peau de la limite des 90 jours …
Le but de ne pas délivrer des certificat générique était d'éviter qu'un serveur compromis puisse avoir des sous domaines non contrôlés certifiés. Donc ils ont relaché un peu de sécurité pour faire plaisir. L'argument de la «complexité» de gestion ne tient pas, tu ne créé pas tous les 4 matin un sous domaine, donc une fois automatisé c'est totalement transparent.
Avatar de Lcf.vs Lcf.vs - Membre éprouvé https://www.developpez.com
le 10/07/2017 à 11:51
Hâte qu'ils arrivent aussi, j'utilise Let's Encrypt depuis un moment mais, oui, avoir un averto sur son domaine à cause d'imports d'images provenant de sous-domaines non-https, ça gave vraiment, juste parce qu'il n'y a pas de wildcards...
Avatar de Lcf.vs Lcf.vs - Membre éprouvé https://www.developpez.com
le 10/07/2017 à 12:42
Citation Envoyé par Mimoza Voir le message
L'argument de la «complexité» de gestion ne tient pas, tu ne créé pas tous les 4 matin un sous domaine, donc une fois automatisé c'est totalement transparent.
Et que fais-tu des sites, comme dans mon cas, qui créent un sous-domaine par utilisateur, dans une logique, par exemple, de référencement de professionnels?

Actuellement, outre la complexité d'automatisation pour créer un certificat par sous-domaine, à la volée, t'as un nombre limité de certificats, ce qui n'est donc pas une solution viable pour un site ayant des milliers de sous-domaines.
Avatar de Chuck_Norris Chuck_Norris - Membre émérite https://www.developpez.com
le 14/07/2017 à 13:25
Citation Envoyé par Mimoza Voir le message
Plus pratique surement, mais moins sécurisé ! Du coup je ne donne pas chère de la peau de la limite des 90 jours …
Le but de ne pas délivrer des certificat générique était d'éviter qu'un serveur compromis puisse avoir des sous domaines non contrôlés certifiés.
Je suis d'accord sur ce point.

Citation Envoyé par Mimoza Voir le message
L'argument de la «complexité» de gestion ne tient pas, tu ne créé pas tous les 4 matin un sous domaine, donc une fois automatisé c'est totalement transparent.
Pas d'accord du tout. Au contraire, je suis dans un cas où je crée des sous-domaines "tous les 4 matins", ce qui m'oblige à jongler avec des chaînes de certificats, parce qu'un certificat ne peut pas contenir plus de 100 sous-domaines, mais on est également limité en nombre de certificats délivrés par semaine (ce qui empêche une gestion simple de type un sous-domaine = un certificat). Donc quand on a 1500+ sous-domaines à gérer, Let's Encrypt est très mal adapté tel quel. Après, le wildcard est fourni par les autres fournisseurs SSL classiques, mais le coût du wildcard est loin d'être négligeable.
Avatar de Lcf.vs Lcf.vs - Membre éprouvé https://www.developpez.com
le 14/07/2017 à 13:39
Pour moi (et je pense que c'est la raison de leur choix aussi), pour le problème de sécurité d'un serveur compromis, cela ne rentre pas dans la chaîne de responsabilités d'un fournisseur de certificats, c'est de la responsabilité de la personne qui gère le serveur.

Il me paraît donc logique qu'ils aient choisi d'éviter de priver des utilisateurs de cette fonctionnalité importante, pour des raisons qui dont ils n'ont cette responsabilité.
Avatar de Lcf.vs Lcf.vs - Membre éprouvé https://www.developpez.com
le 14/07/2017 à 13:44
J'ajouterais même que si l'on ne peut faire confiance au serveur demandeur, pour des sous-domaines, pourquoi pourrait-on le faire, pour un domaine, tout court? Rien ne permet davantage de savoir si la demande de certificat d'un domaine n'émane pas, aussi, d'un serveur corrompu.
Avatar de Chuck_Norris Chuck_Norris - Membre émérite https://www.developpez.com
le 14/07/2017 à 14:08
Citation Envoyé par Lcf.vs Voir le message
J'ajouterais même que si l'on ne peut faire confiance au serveur demandeur, pour des sous-domaines, pourquoi pourrait-on le faire, pour un domaine, tout court? Rien ne permet davantage de savoir si la demande de certificat d'un domaine n'émane pas, aussi, d'un serveur corrompu.
De toute façon avec un système de vérification automatisé qui ne fonctionne qu'à la demande et une fois tous les 2 mois par la suite, on pourrait très bien "gruger" le système, en validant le sous-domaine, puis en le faisant pointer sur autre chose juste après la validation. Même si je ne vois pas l'intérêt de la manoeuvre, techniquement, cela reste possible.

Il faut savoir aussi que si SSL a été fait à l'origine dans le double but de chiffrer le transfert et authentifier le site visité, tous les sites ne cherchent pas forcément à avoir les deux sécurités. Beaucoup souhaitent du SSL pour le référencement, et pour rassurer les utilisateurs qui n'ont pas envie que leurs mots de passes circulent en clair sur les réseaux (en particulier s'ils sont par exemple sur du Wifi public). Ce n'est pas pour rien que les fournisseurs classiques du SSL ont plusieurs gammes, qui vont de la simple validation semi-automatisée du domaine jusqu'à l'authentification de visu des personnes derrière la société possédant le nom de domaine, ce dernier type de certificat étant bien entendu plus coûteux. Autant pour des sites de E-commerce et pour des banques, ce type de super SSL se justifie, autant pour les sites qui ont des besoins simples et ne font pas de commerce électronique, un SSL tout simple conviendra parfaitement.
Avatar de Lcf.vs Lcf.vs - Membre éprouvé https://www.developpez.com
le 14/07/2017 à 14:25
Citation Envoyé par Chuck_Norris Voir le message
De toute façon avec un système de vérification automatisé qui ne fonctionne qu'à la demande et une fois tous les 2 mois par la suite, on pourrait très bien "gruger" le système, en validant le sous-domaine, puis en le faisant pointer sur autre chose juste après la validation. Même si je ne vois pas l'intérêt de la manoeuvre, techniquement, cela reste possible.
En effet, mais ce que je voulais dire, c'est que puisqu'il est possible de définir plusieurs domaines sur un même serveur, un attaquant ayant main-mise sur le serveur, pourrait très bien y ajouter un domaine en cyrillique (par exemple), afin de duper l'internaute, à la perfection, et que l'admin peu vigilant pourrait laisser passer.
Offres d'emploi IT
Gestionnaire de projet - alm h/f
DEXIA CREDIT LOCAL - Ile de France - Paris (75000)
Cream consulting - Java developer
Cream Consulting - Belgique - Brussels
Développeur php - my sql - editeur H/F.
Adequat Tertiaire - Rhône Alpes - Lyon (69000)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil