IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Let's Encrypt annonce la disponibilité des certificats génériques en janvier 2018
Pour faciliter la gestion des sous-domaines avec un seul certificat

Le , par Olivier Famien

61PARTAGES

14  0 
Avec le nombre élevé d’attaques informatiques ciblant les sites web sur la toile, il n’est nul besoin de rappeler que l’un des moyens essentiels de prévention contre ces piratages demeure l’adoption des mesures de sécurité comme le chiffrement des sites web.

Let’s Encrypt, l’autorité de certification qui a lancé ses services publics en 2015, offre des outils dans ce sens avec la mise à disposition de moyens automatisés pour l’installation et le renouvellement de certificats gratuits pour le protocole de chiffrement TLS. Avec ces services, Let’s Encrypt souhaite offrir un web à 100 % sécurisé en permettant aux entités qui disposent de peu de ressources financières et techniques d’utiliser ses services pour sécuriser leurs sites web.

Selon les statistiques fournies par Let’s Encrypt, avant le lancement public de ses services en 2015, le pourcentage des pages chargées sur la toile était estimé à 40 %. Depuis cette date, le taux de sites web sécurisés HTTPS est passé à 58 %. Il faut rappeler néanmoins que d’autres entreprises comme Amazon offrent également des certificats gratuits à ses clients utilisant AWS. À la fin du mois dernier, Let’s Encrypt fêtait ses 100 millions de certificats délivrés. Et actuellement, elle déclare qu’elle sécurise 47 millions de domaines sur le web.

Pour faciliter le déploiement de ses outils et booster encore plus l’adoption de ses services de sécurité web, Let’s Encrypt annonce qu’elle offrira des « wildcard certificates » (certificats génériques) à partir de janvier 2018. Selon l’autorité, ces certificats génériques ont pour but de sécuriser n’importe quel nombre de sous-domaines d’un domaine de base. En d’autres termes, avec ces certificats génériques, les administrateurs pourront utiliser une seule paire de certificat et clé pour un domaine et tous ses sous-domaines, et ne plus enregistrer individuellement un certificat pour chaque adresse web comme c’est le cas présentement. Selon Josh Aas, directeur exécutif de ISRG, cela facilitera considérablement le déploiement et par-delà, l’adoption du HTTPS sur le web. En effet, avoir une paire unique de clé de chiffrement et un certificat pour un domaine et ses sous-domaines est de loin nettement plus facile à gérer que d’avoir plusieurs certificats pour différents domaines et sous-domaines.


Comme les autres certificats, ces certificats génériques seront offerts gratuitement à travers la version 2 du protocole ACME (Automated Certificate Management Environment). Ce protocole est la pièce maîtresse du service offert par Let’s Encrypt. C’est l’élément avec lequel Let’s Encrypt interagit avec ses abonnés « ;afin qu’ils puissent obtenir et gérer les certificats ;». Il permet à Let’s Encrypt de s’assurer que les méthodes de validation, de délivrance et de gestion sont entièrement automatisées, sécurisées et conformes à ses attentes. Avec la version 2, ACME pourra être facilement utilisé par les autres autorités de certification et deviendra une norme de IETF avec des améliorations techniques. Par ailleurs, l’API de la version 2 de ce protocole existera aux côtés de la version 1 en attendant la fin du cycle de vie de cette première version du protocole.

Pour utiliser donc ces certificats génériques, les utilisateurs de ces solutions devront mettre à niveau la version 1 du protocole ACME et passer à la version 2 de l’API permettant de déployer les clés de certificats sur les serveurs.

Après cette annonce, plusieurs personnes ont admis que l’absence de ces certificats génériques était la dernière raison pour laquelle plusieurs ne se tournaient pas vers Let’s Encrypt. Avec la disponibilité de ce service, ces personnes n’auront plus d’excuses pour justifier l’absence de chiffrement ou soutenir des arguments pour ne pas utiliser les services de Let’s Encrypt, affirment ces derniers. Toutefois, pour d’autres, l’expiration de 90 jours après la délivrance serait un frein à l’adoption de Let’s Encrypt et préfèrent acheter des certificats de longue durée (plusieurs années). Mais, à cet argument, certains avancent que vu que les certificats Let’s Encrypt sont renouvelables automatiquement, cela ne devrait pas poser de problème. Et pour ceux qui achètent des certificats de longue durée, s’il survenait des failles favorisant des fuites de certificats, cela exposerait ces derniers aux attaques de type homme du milieu, affirment les défenseurs de Let’s Encrypt. D’autres ajoutent comme inconvénient à l’utilisation des services Let’s Encrypt qu’il faut attendre encore un peu plus de 5 mois avant la sortie de ces certificats génériques. Mais à la sortie des certificats génériques, ces assertions n’auront plus de sens, concluent certains utilisateurs de Let’s Encrypt.

Enfin, au-delà des défenseurs et des détracteurs de Let’s Encrypt, d’autres se posent la question de savoir si les fournisseurs de certificats SSL vont disparaître.

Source : Let’s Encrypt

Et vous ?

Les petites entreprises et les individus se tourneront-ils davantage vers Let’s Encrypt avec cette solution ;?

Selon vous, qu’est-ce qui pourrait freiner encore l’adoption des services Let’s Encrypt avec l’arrivée prochaine de ces certificats génériques ;?

Voir aussi

Les certificats SSL/TSL de Let’s Encrypt sont supportés par la majorité des navigateurs, l’autorité avance dans son projet de sécuriser le web

L’EFF et Mozilla lancent une nouvelle autorité de certification pour chiffrer le Web « ;Let’s Encrypt ;» délivrera gratuitement des certificats TLS/SSL

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de earhater
Membre éprouvé https://www.developpez.com
Le 14/03/2018 à 12:00
Très bonne nouvelle pour le web Après petite note sur la sécurité : il faut bien préciser que let's encrypt permet de sécuriser le protocole HTTP mais en aucun cas de valider l'identité de celui qui a créé le certificat, contrairement aux solutions payantes.
2  0 
Avatar de tlt
Membre averti https://www.developpez.com
Le 10/07/2017 à 8:15
Hâte de l'utiliser.
Actuellement, j'utilise sslforfree.com avec qui je dois renouveler les certificats tout les 3 mois. Et avec beaucoup de sous domaines, ça en fait des certificats à gérer
1  0 
Avatar de Chuck_Norris
Membre émérite https://www.developpez.com
Le 14/07/2017 à 14:08
Citation Envoyé par Lcf.vs Voir le message
J'ajouterais même que si l'on ne peut faire confiance au serveur demandeur, pour des sous-domaines, pourquoi pourrait-on le faire, pour un domaine, tout court? Rien ne permet davantage de savoir si la demande de certificat d'un domaine n'émane pas, aussi, d'un serveur corrompu.
De toute façon avec un système de vérification automatisé qui ne fonctionne qu'à la demande et une fois tous les 2 mois par la suite, on pourrait très bien "gruger" le système, en validant le sous-domaine, puis en le faisant pointer sur autre chose juste après la validation. Même si je ne vois pas l'intérêt de la manoeuvre, techniquement, cela reste possible.

Il faut savoir aussi que si SSL a été fait à l'origine dans le double but de chiffrer le transfert et authentifier le site visité, tous les sites ne cherchent pas forcément à avoir les deux sécurités. Beaucoup souhaitent du SSL pour le référencement, et pour rassurer les utilisateurs qui n'ont pas envie que leurs mots de passes circulent en clair sur les réseaux (en particulier s'ils sont par exemple sur du Wifi public). Ce n'est pas pour rien que les fournisseurs classiques du SSL ont plusieurs gammes, qui vont de la simple validation semi-automatisée du domaine jusqu'à l'authentification de visu des personnes derrière la société possédant le nom de domaine, ce dernier type de certificat étant bien entendu plus coûteux. Autant pour des sites de E-commerce et pour des banques, ce type de super SSL se justifie, autant pour les sites qui ont des besoins simples et ne font pas de commerce électronique, un SSL tout simple conviendra parfaitement.
1  0 
Avatar de alexetgus
Membre averti https://www.developpez.com
Le 27/03/2018 à 14:08
J'ai patienté un moment avant de pouvoir profiter du Wildcard LetsEncrypt, ils accusaient un "léger retard".
Mais comment leur en vouloir pour ce retard qui va changer la vie de pas mal d'internautes ?

D'abord les certificats "staging" pour se faire la main et, enfin, la sortie officielle de ACMEv2 le 13 mars !
Dès que le protocole ACMEv2 a été mis en circulation, j'adoptais un certificat Wildcard dans la foulée !
Pour info, j'avais créé une cron qui surveillait et testait la disponibilité du sous domaine acme-v02.api.letsencrypt.org pour être des premiers à sauter dessus comme des fadas un jour de solde.

@PBernard18
Tu devrais te tourner vers acme.sh qui propose une quarantaine d'API DNS pour pouvoir créer et renouveler un certificat automatiquement, ce qui est quand même le but du jeu.
Il suffit d'éditer l'API correspondante et d'y entrer les renseignements adéquats. (ces renseignement figurent aussi dans l'API en plus de Github)
Pour le tuto, c'est sur le feu, patience, ça ne va pas tarder. Si tu en as encore besoin dans quelques jours, je repasserai te donner le lien.

Ce wildcard qui coutait si cher jusqu'à présent est désormais gratuit ! Les vendeurs/profiteurs n'ont qu'à bien se tenir !
1  0 
Avatar de Lcf.vs
Membre éclairé https://www.developpez.com
Le 10/07/2017 à 11:51
Hâte qu'ils arrivent aussi, j'utilise Let's Encrypt depuis un moment mais, oui, avoir un averto sur son domaine à cause d'imports d'images provenant de sous-domaines non-https, ça gave vraiment, juste parce qu'il n'y a pas de wildcards...
0  0 
Avatar de Lcf.vs
Membre éclairé https://www.developpez.com
Le 10/07/2017 à 12:42
Citation Envoyé par Mimoza Voir le message
L'argument de la «complexité» de gestion ne tient pas, tu ne créé pas tous les 4 matin un sous domaine, donc une fois automatisé c'est totalement transparent.
Et que fais-tu des sites, comme dans mon cas, qui créent un sous-domaine par utilisateur, dans une logique, par exemple, de référencement de professionnels?

Actuellement, outre la complexité d'automatisation pour créer un certificat par sous-domaine, à la volée, t'as un nombre limité de certificats, ce qui n'est donc pas une solution viable pour un site ayant des milliers de sous-domaines.
0  0 
Avatar de Chuck_Norris
Membre émérite https://www.developpez.com
Le 14/07/2017 à 13:25
Citation Envoyé par Mimoza Voir le message
Plus pratique surement, mais moins sécurisé ! Du coup je ne donne pas chère de la peau de la limite des 90 jours …
Le but de ne pas délivrer des certificat générique était d'éviter qu'un serveur compromis puisse avoir des sous domaines non contrôlés certifiés.
Je suis d'accord sur ce point.

Citation Envoyé par Mimoza Voir le message
L'argument de la «complexité» de gestion ne tient pas, tu ne créé pas tous les 4 matin un sous domaine, donc une fois automatisé c'est totalement transparent.
Pas d'accord du tout. Au contraire, je suis dans un cas où je crée des sous-domaines "tous les 4 matins", ce qui m'oblige à jongler avec des chaînes de certificats, parce qu'un certificat ne peut pas contenir plus de 100 sous-domaines, mais on est également limité en nombre de certificats délivrés par semaine (ce qui empêche une gestion simple de type un sous-domaine = un certificat). Donc quand on a 1500+ sous-domaines à gérer, Let's Encrypt est très mal adapté tel quel. Après, le wildcard est fourni par les autres fournisseurs SSL classiques, mais le coût du wildcard est loin d'être négligeable.
0  0 
Avatar de Lcf.vs
Membre éclairé https://www.developpez.com
Le 14/07/2017 à 13:39
Pour moi (et je pense que c'est la raison de leur choix aussi), pour le problème de sécurité d'un serveur compromis, cela ne rentre pas dans la chaîne de responsabilités d'un fournisseur de certificats, c'est de la responsabilité de la personne qui gère le serveur.

Il me paraît donc logique qu'ils aient choisi d'éviter de priver des utilisateurs de cette fonctionnalité importante, pour des raisons qui dont ils n'ont cette responsabilité.
0  0 
Avatar de Lcf.vs
Membre éclairé https://www.developpez.com
Le 14/07/2017 à 13:44
J'ajouterais même que si l'on ne peut faire confiance au serveur demandeur, pour des sous-domaines, pourquoi pourrait-on le faire, pour un domaine, tout court? Rien ne permet davantage de savoir si la demande de certificat d'un domaine n'émane pas, aussi, d'un serveur corrompu.
0  0 
Avatar de Lcf.vs
Membre éclairé https://www.developpez.com
Le 14/07/2017 à 14:25
Citation Envoyé par Chuck_Norris Voir le message
De toute façon avec un système de vérification automatisé qui ne fonctionne qu'à la demande et une fois tous les 2 mois par la suite, on pourrait très bien "gruger" le système, en validant le sous-domaine, puis en le faisant pointer sur autre chose juste après la validation. Même si je ne vois pas l'intérêt de la manoeuvre, techniquement, cela reste possible.
En effet, mais ce que je voulais dire, c'est que puisqu'il est possible de définir plusieurs domaines sur un même serveur, un attaquant ayant main-mise sur le serveur, pourrait très bien y ajouter un domaine en cyrillique (par exemple), afin de duper l'internaute, à la perfection, et que l'admin peu vigilant pourrait laisser passer.
0  0