[Debian-Facile] Changement de certificat SSL

captnfab · 01-02-2015 19:52:02

Bonjour à tous,

Le certificat GlobalSign que nous utilisions ayant expiré, nous revenons vers un certificat CACert.

Les certificats CACert n'étant pas acceptés par défaut, il faut soit les ajouter à la main, soit ajouter simplement une exception permanente pour Debian-Facile (sans quoi vous recevrez un avertissement de sécurité à chaque connexion au site en https).

Pour ajouter les certificats CACert à votre navigateur, il suffit de les récupérer ici : https://www.cacert.org/index.php?id=3 (cliquer sur Certificat racine pem, et si nécessaire, sur Certificat intermédiaire pem)

Les sommes de contrôles du certificat DF sont les suivantes :

SHA256: D1:82:98:2C:7F:2E:75:C0:A8:C9:2D:58:A3:43:8A:16:CA:4F:5A:50:39:5C:E1:92:1D:0A:83:B2:4F:D4:B2:C9
SHA1: EB:AE:95:AD:F6:9A:71:C7:9E:04:A8:5A:12:59:9F:61:42:4F:AA:B6

anonyme · 01-02-2015 21:19:11

a https j ai enlevé le s , ça pose probleme ?
je n ai plus de message de sécurité et je peus me logger
et je ne suis plus en connection securisé .................

captnfab · 01-02-2015 22:06:49

Au moment de l'authentification, lorsque tu donnes ton nom d'utilisateur et ton mot de passe, si tu es en HTTP, tu envoies tout ça en clair. C'est un peu dommage.

En HTTPS, si tu ne configures pas ton navigateur pour que le certificat soit reconnu, alors, bien que tes informations soient chiffrées, tu ne peux être sûr que personne n'est en train de les intercepter. C'est un peu dommage.

C'est pour ça que vérifier le certificat me semble être la meilleure démarche à suivre

sogal · 01-02-2015 22:52:20

Dans Iceweasel v.35.0 (backports mozilla), les crt. que tu mentionnes sont déjà en place. Rien à faire donc pour utiliser le https et pas d'avertissement.

anonyme · 01-02-2015 23:05:35

sur windows firefox 5.01 ça ne fonctionne pas , manque cerificat

j'ai une alerte aussi sur le lien que tu a donné pour récupérer les certificats.

Dernière modification par anonyme (01-02-2015 23:11:56)

captnfab · 01-02-2015 23:10:56

@anonyme: tu as visité le lien que j'ai donné, et tu as cliqué sur les certificats pour les ajouter aux certificats de confiance ?

anonyme · 01-02-2015 23:13:34

captnfab a écrit :

@anonyme: tu as visité le lien que j'ai donné, et tu as cliqué sur les certificats pour les ajouter aux certificats de confiance ?

non firefox me dit que c est un fake sur mon linux et sur win .......... /mode bourrin ........ /fin mode

captnfab · 01-02-2015 23:15:19

Ce n'en est pas un.

anonyme · 01-02-2015 23:17:08

voila fait sur win , je le ferai sur mes machines linux

plus de soucis

Dernière modification par anonyme (01-02-2015 23:17:26)

Anonyme-8 · 02-02-2015 17:48:45

c'est pas un peu gênant d'avoir ce pb pour le personnes qui viennent uniquement consulté DF ?
Je pense que peu de gens savent ce qu'est un certificat et à quoi il sert. Certains liens redirige vers du https et d'autres non (notamment sur la page d'accueil).
L'idéal serait de pouvoir consulté normalement et basculé vers une connexion sécurisé quand on s'identifie ou on force le https.

J'imagine qu'il n'existe pas beaucoup d'alternatives, du moins abordables. Je vous fait confiance pour gérer tout ça.

vv222 · 02-02-2015 17:57:30

Anonyme-8 :
Dans tous les cas le client devra accepter un certificat, certificat qui sera renouvelé (et donc devra de nouveau être accepté) une ou deux fois par an.
C’est l’implémentation des certificats dans nos navigateurs actuels qui est à revoir à mon avis (Iceweasel panique de la même façon devant un certificat auto-signé, un certificat déclaré pour un autre domaine, un certificat périmé… alors que ce sont des situations bien différentes), mais je n’ai pas les connaissances techniques pour me lancer dans ce débat

captnfab · 02-02-2015 18:18:16

Oui, c'est un peu mal fichu tout ça…

Les autorités de certifications sont des entités qui signent des certificats pour des tiers. Pour que la signature d'une autorité de certification soit reconnue, il faut que le navigateur la compte dans sa liste de certificats de confiance.

Mozilla défini une certaine liste d'autorités de certifications, et distribue les certificats (dits « racines ») pour ces autorités. Debian en fait de même, en s'alignant en général sur cette liste.

Jusqu'à présent, nous étions chez GlobalSign, qui propose aux projets open-source un certificat gratuit pendant 1 an. Malheureusement, il ne semble pas que cette offre soit renouvelable.
Pour info, la renouveler pour un an nous coûterait 650 USD, soit 575 €

Nous avions donc comme possibilité de générer nous-même notre certificat, ou de faire appel à une autorité de certification comme CACert, qui a un mode de fonctionnement très différent des autres.

@Anonyme-8: oui, nous allons tenter de remettre les liens en http par défaut autant que possible… L'idéal serait qu'ils fonctionnent aussi bien en http qu'en https, mais ce n'est pas évident vu l'implémentation actuelle

Sans être compliqué, ça nécessite du temps

Anonyme-8 · 02-02-2015 19:44:03

Le point que je voulais soulevé est qu'il peut être déroutant de trouver ce type d'avertissement pour les non avertis.

Que l'on puisse accéder à DF en https me parait souhaitable et préférable. Personnellement ça ne me gêne pas et le pb ne semble pas être du coté de DF comme l'a expliqué captnfab mais le pb est pourtant là.

Bon courage à tous ceux qui vont devoir s'y coller.

captnfab · 02-02-2015 20:57:57

Si quelqu'un a des pistes pour une autorité de certification qui propose des tarifs abordables pour les projets de notre envergure et qui soit largement reconnue, nous sommes intéressés

Je regarderai du côté de StartCom dès que j'aurai le temps.

Papadakis · 07-02-2015 11:56:52

Salut !

Je me demande si cela n'est pas un bug mais sur chromium, j'ai beau ajouté le certificat, rien n'y fait, je retombe inexorablement sur la page d'avertissement.
Dans iceweasel, je n'ai pas ce problème.

Coconuts · 08-02-2015 16:20:14

Bonjour à tous,

Attention, avant d'effectuer les manipulations citées ci-dessous [il faut impérativement avoir noté son mot de passe Debian Facile pour accéder au Forum].
Dans le cas contraire les modos vont me haïr.

Information pour les débutants comme moi dans l'espoir que cela pourra éventuellement servir.

J'ai procédé comme suit :

a) En premier installer le certificat comme décrit par captnfab.
b) Ensuite supprimer dans Iceweasel l'historique de navigation [ idem pour Firefox].
c) Puis devant la barre des tâches du navigateur juste devant [debian-facile.org] taper https://
d) Un petit clic sur l'étoile pour mettre notre site préféré dans le marque-page.
e) Fermer le navigateur Firefox ou Iceweasel.

Pour les prochaines connexions, faire un clic sur le lien créé dans le marque-page.
Entrer votre identifiant puis votre MP et voili-voilou si tout c'est bien passé, comme pour moi un petit cadenas nous informe que la page est vérifiée par Root CA : https://debian-facile.org/index-df.php

Pour le forum: https://debian-facile.org/login.php

Testé sous Iceweasel et Firefox.

Cordialement

Dernière modification par Coconuts (08-02-2015 16:25:28)

yoshi · 08-02-2015 17:12:00

C'est curieux, moi avec Qupzilla, je n'ai ien remarqué .....
Pas le moindre problème, ou alors j'ai zappé sans faire attention ...

rasmon · 20-02-2015 20:23:56

Bonjour votre collègue

https://www.debian-fr.org/

on eut un problème de certificat pendant un bon moment
cela semble réglé avec COMODO CA Limited

Bon je dis cela mais je n'y connais pas grand chose sur le sujet
Bonne soirée

smolski · 20-02-2015 21:10:44

merci

Anonyme-8 · 03-04-2015 08:48:47

Juste pour faire remonter l'information: sur DuckDuckGo (l'application sur smartphone) il est impossible d'accéder en https.
C'est comme si le site était inaccessible.

Sur Firefox, le pb est moins présent, il faut simplement accepter le certificat mais impossible d'avoir les information sur le certificat. En gros, on accepte comme un âne tout ce qu'on nous donne.

C'est pénible cette histoire, entre les autorités de certifications et les applications qui n'en font qu'à leur tête on fait tout pour empêcher l'utilisation de connexion sécurisée.

DF n'est en aucun responsable de ce pb.

deuchdeb · 08-04-2015 18:13:48

Pour Chromium il faut rentrer les lignes suivantes

Copiez/collez les, les unes après les autres (une par une) suivi de Entrée, et tout fonctionne, je viens de le tester.

apt-get install libnss3-tools

wget http://www.cacert.org/certs/root.crt

wget http://www.cacert.org/certs/class3.crt

certutil -d sql:$HOME/.pki/nssdb -A -t "TCu,Cu,Tuw" -n "CACert Class 1 Root Certificate" -i root.crt

certutil -d sql:$HOME/.pki/nssdb -A -t "TCu,Cu,Tuw" -n "CACert Class 3 Root Certificate" -i class3.crt

rm root.crt class3.crt

Fermer Chromium et le réouvrir.

Sources: http://cad.cx/blog/2009/08/11/howto-add … -chromium/

Coconuts · 08-04-2015 19:55:27

Bonsoir à tous,

Merci beaucoup deuchdeb, super cette information, car pour ma part sous Jessie avec Chromium, j'avais un gros problème pour le certificat CACert [ https:// était barré en rouge] et m’obligeais systématiquement à forcer le https: maintenant le petit cadenas est vert cool.

C'est plus joli

A+ Merci

deuchdeb · 09-04-2015 15:00:57

laguespa · 01-05-2015 11:58:09

Bonjour.

Je fais des tests de posts parce que j'ai dés problèmes pour écrire sur le forum suite à des modifications dans about:config de Mozilla.

Désolé et merci de votre compréhension..

Dernière modification par laguespa (01-05-2015 12:00:23)

laguespa · 01-05-2015 12:05:16

J'ai trouvé.

Dans about:config j'avais modifié la valeur network.http.sendRef qui était à 2 pour la mettre à 0.
Ce paramètre masque la dernière page visitée. Du coup plus moyen de poster sur la forum. Ne rien changer donc.

A+

Debian-facile

#1 01-02-2015 19:52:02

[Debian-Facile] Changement de certificat SSL

#2 01-02-2015 21:19:11

Re : [Debian-Facile] Changement de certificat SSL

#3 01-02-2015 22:06:49

Re : [Debian-Facile] Changement de certificat SSL

#4 01-02-2015 22:52:20

Re : [Debian-Facile] Changement de certificat SSL

#5 01-02-2015 23:05:35

Re : [Debian-Facile] Changement de certificat SSL

#6 01-02-2015 23:10:56

Re : [Debian-Facile] Changement de certificat SSL

#7 01-02-2015 23:13:34

Re : [Debian-Facile] Changement de certificat SSL

#8 01-02-2015 23:15:19

Re : [Debian-Facile] Changement de certificat SSL

#9 01-02-2015 23:17:08

Re : [Debian-Facile] Changement de certificat SSL

#10 02-02-2015 17:48:45

Re : [Debian-Facile] Changement de certificat SSL

#11 02-02-2015 17:57:30

Re : [Debian-Facile] Changement de certificat SSL

#12 02-02-2015 18:18:16

Re : [Debian-Facile] Changement de certificat SSL

#13 02-02-2015 19:44:03

Re : [Debian-Facile] Changement de certificat SSL

#14 02-02-2015 20:57:57

Re : [Debian-Facile] Changement de certificat SSL

#15 07-02-2015 11:56:52

Re : [Debian-Facile] Changement de certificat SSL

#16 08-02-2015 16:20:14

Re : [Debian-Facile] Changement de certificat SSL

#17 08-02-2015 17:12:00

Re : [Debian-Facile] Changement de certificat SSL

#18 20-02-2015 20:23:56

Re : [Debian-Facile] Changement de certificat SSL

#19 20-02-2015 21:10:44

Re : [Debian-Facile] Changement de certificat SSL

#20 03-04-2015 08:48:47

Re : [Debian-Facile] Changement de certificat SSL

#21 08-04-2015 18:13:48

Re : [Debian-Facile] Changement de certificat SSL

#22 08-04-2015 19:55:27

Re : [Debian-Facile] Changement de certificat SSL

#23 09-04-2015 15:00:57

Re : [Debian-Facile] Changement de certificat SSL

#24 01-05-2015 11:58:09

Re : [Debian-Facile] Changement de certificat SSL

#25 01-05-2015 12:05:16

Re : [Debian-Facile] Changement de certificat SSL

Pied de page des forums