Re: Faille de sécurité Freak

[Vincent Lefevre <vincent@vinc17.net>]

On 2015-03-06 12:57:50 +0100, andre_debian@numericable.fr wrote:
> On Thursday 05 March 2015 20:06:35 Vincent Lefevre wrote:
> > On 2015-03-05 19:16:29 +0100, andre_debian@numericable.fr wrote:
> > > Le seul message alarmant est que mon certificat officiel SSL,
> > > non autosigné, serait "weak" (faible).
> > > Il s'agit d'un certificat gratuit StartSSL.
> > > (sa gratuité en serait la  cause ?)
> >
> > Non, c'est le cas de tous les anciens certificats.
> 
> Mais il date de 9 mois...
> (c'est pas si ancien)

Si. :-) La véritable transition de SHA-1 vers SHA-2 semble avoir
débuté en septembre 2014, donc il y a 6 mois:

  http://googleonlinesecurity.blogspot.fr/2014/09/gradually-sunsetting-sha-1.html
  https://community.qualys.com/blogs/securitylabs/2014/09/09/sha1-deprecation-what-you-need-to-know

Note que certains navigateurs web pouvaient avoir des problèmes avec
certains sites utilisant des certificats SHA-2:

  https://www.gandi.net/news/en/2014-10-21/2460-sha-2_certificates_are_now_available/

-- 
Vincent Lefèvre <vincent@vinc17.net> - Web: <https://www.vinc17.net/>
100% accessible validated (X)HTML - Blog: <https://www.vinc17.net/blog/>
Work: CR INRIA - computer arithmetic / AriC project (LIP, ENS-Lyon)