Le 8 décembre 2008 09:01, Kevin Hinault
<hinault@gmail.com> a écrit :
Le 8 décembre 2008 08:38, Yves Rutschle
<debian.anti-spam@rutschle.net> a écrit :
> AMHA tu te fourres le doigt dans l'oeil: les gens ne
> comprennent globalement *rien* à la PKI, ce qu'est un
> certificat, à quoi ça sert, et encore moins ce qu'est un CA.
>
> Les gens font confiance à ce que leur navigateur leur dit,
> ce qui implique qu'ils font confiance aux CA installés par
> défaut dans leur navigateur (et y'a peut-être des CAs
> "gratuits" là dedans).
>
> Il est absolument certains qu'ils ne choisissent pas les CAs
> sur la base du prix qu'ils font payer pour signer les
> certificats de leurs clients.
>
> Y.
Ca se défend oui.
Il n'y a pas de règle absolue non plus, chacun fait ce qu'il souhaite
et je reste persuadé (au détriment d'une analyse non effectuée) que
même si les utilisateurs X ne connaissent pas les principes des
certificats, ce ne sont de toutes façon pas eux qui sont concernés :)
C'est bel et bien les personnes qui choisissent les certificats pour
les mettre sur leur site qui cherchent à comprendre un peu comment ça
marche. Johan en est un exemple : il cherche à ne pas faire peur à ses
clients.
J'ajoute qu'un certificat à un peu valeur d'identité bien que ce soit
virtuel. Personnellement même si j'achetais une carte d'identité sous
le manteau dans la rue, j'hésiterais avant de me pointer à JFK avec !
Je crois que c'est que les acheteurs de verisign recherche aussi :
l'assurance que leur certificat est "propre" même si ça ne veut pas
dire que celui d'un concurrent gratuit l'est moins.
Kévin.