Re: HTTPS : Ne dormez pas tranquilles (open-ssl advisory dsa-1571)
Petite erreur d'aiguillage, j'ai répondu en privé à Sylvain. Toutes mes
excuses.
Re,
Sylvain Sauvage a écrit :
> > Jean Baptiste FAVRE, jeudi 15 mai 2008, 23:56:44 CEST
>> >> Bonsoir,
> >
> > ’jour,
> >
>> >> Pour être vraiment complet (!), HTTPS n'est pas le seul
>> >> protocole concerné. Dès que vous utilisez TLS ou SSL, vous
>> >> êtes concernés (FTPS, SMTPS, ...)
> >
> > Rappelons que, pour ces protocoles, le problème ne se pose que
> > pour les _serveurs_ (se sont eux qui génèrent le certificat).
> > Donc si vous avez un .pem pour un de ses services : regénérer
> > (cf. tous les liens déjà donnés : des instructions sont données
> > pour chaque programme).
> >
Pas d'accord: les certificats clients sont également impactés à partir
du moment où ils ont été générés sur un serveur avec une mauvaise
version d'OpenSSL (cf. les impôts ci-dessous).
En conclusion, pour moi: ya pas à chercher midi à 14 heures. Remplacez
toutes vos clefs et certificats et vous dormirez tranquilles :-)
Bon évidemment, c'est ma solution parce que je n'ai que 10 clefs SSH à
gérer et 5 certificats. J'imagine que des structures plus importantes
vont peut-être chercher à optimiser la chose, mais pour information: les
tentatives de connexions sur le port 22 de mon serveur ont explosée
depuis 2 jours. Je reste serein puisqu'il est protégé par du
port-knocking mais tout le monde n'est pas dans mon cas ;-)
>> >> En ce qui conerne les impôts, le mieux est de leur poser la
>> >> question. Je ne sais pas personnellement ce qu'ils utilisent
>> >> pour générer leurs certificats (mais je pencherais pour un
>> >> dispositif matériel vu la quantité de certificats gérés)
> >
> > Autrement dit : le certificat est généré par les Impôts, donc
> > le fait que vous ayez utilisé ce certificat sur une Debian ne
> > devrait poser aucun problème. (Il ne pourrait y avoir de
> > problème que si les Impôts ont utilisé une Debian touchée pour
> > ce faire, ce qui est fort peu probable.)
> >
Plus généralement, si votre certificat est signé par une CA "officielle"
(Verisign and co), le mieux est de prendre contact avec eux.
Si vous avez généré votre certificate request sous Debian ou si leur CA
l'a été, vous avez gagné !
Bon week-end,
JB
Reply to: