Les certificats émis par DigiNotar ont été mis sur liste noire aujourd'hui par Mozilla. L'affichage de sites Web avec des certificats émis par DigiNotar avec une version nocturne de Firefox affichera des avertissements.
Au lieu d'attendre une mise à jour, pour que les certificats soient révoqués sur mon propre système, j'ai supprimé les certificats racine de mon trousseau, mais Chrome valide toujours les certificats du site Web et Safari ne lance aucun avertissement.
Suis-je en train de manquer quelque chose?
Certificats supprimés:
- DigiNotar Root CA
- Staat der Nederlanden Root CA
- Staat der Nederlanden Root CA - G2
Site Web testé: https://as.digid.nl/
Voici un autre site de test qui montre le problème dans Chrome 13.0.782.218: http://auth.pass.nl
J'ai supprimé l'autorité de certification racine DigiNotar de mon trousseau. Chrome a été redémarré. Mais Chrome dit toujours que ce site est valide et répertorie l'autorité de certification racine DigiNotar en tant qu'autorité sur le SSL pour le site.
Réponses:
Chaque site que je vérifie que j'ai défini manuellement comme non approuvé affiche un avertissement. Peut-être que les choses changent sur les serveurs si rapidement, différentes personnes faisant les mêmes actions voient des résultats différents.
Mettons de côté le concept de mise sur liste noire en général et la révocation de certificats comme (CRL) ou la vérification en ligne comme OCSP et choisissons simplement le mécanisme des certificats SSL dans le navigateur. Je mettrai de côté Chrome / Firefox / autres navigateurs et me concentrerai uniquement sur Safari et le trousseau Mac, car cela pose suffisamment de problèmes pour ce message.
La réponse courte est que le site que vous listez ne dépend pas du seul certificat qui a été utilisé d'une manière qui a amené la presse à exécuter toutes les histoires de la liste noire.
Il a été utilisé pour signer des certificats qui correspondaient à tout ce qui se terminait par google.com et ils ont été repérés en cours d'utilisation sur des sites qui n'étaient certainement pas google. C'est un équivalent technologique pour quelqu'un qui construit des tunnels dans un coffre de banque. Il ne s'agit pas de creuser un tunnel - mais d'un véritable tunnel fonctionnel autour d'une barrière, tout le monde s'attend à ce qu'il soit solide.
Maintenant, comment savoir pourquoi Safari n'a pas signalé le site que vous avez répertorié comme "mauvais".
Je n'ai supprimé aucun certificat du mac sur lequel je suis et j'ai simplement lancé l'assistant de trousseau pour utiliser l'assistant de certificat (sous le menu Accès au trousseau -> Assistant de certification -> Ouvrir ...
Dans la petite fenêtre de l'autorité de certification, sélectionnez continuer, puis afficher et évaluer, puis afficher et évaluer les certificats, puis continuer.
Comme vous pouvez maintenant le voir, https://as.digid.nl/ propose quatre certificats dans la chaîne de confiance:
Dans votre question, vous avez déclaré que vous avez supprimé la clé racine - si c'est le cas, votre safari met en cache les anciennes valeurs ou lorsque vous avez regardé, ce site avait un certificat SSL différent de celui que j'ai vu faire cette réponse. Vous devrez reproduire les étapes que je viens de suivre pour voir quel était le cas.
Dans mon cas, je n'avais qu'à marquer le certificat racine de Staat der Nederlanden Root CA comme non fiable pour que Safari se dérobe et afficher ce message lorsque vous chargez le site.
Étant donné que toute la presse précise que seule l' AC racine DigiNotar est mauvaise, je vais annuler ma modification pour ne pas faire confiance à l' AC racine Staat der Nederlanden .
Je vais marquer l' AC DigiNotar Root comme jamais fiable et attendre et voir ce que fait Apple. Si vous êtes intéressé par ce genre de chose, surveillez la page de sécurité Apple .
la source
Il semble que ce soit un bug grave dans OS X.
Source: http://www.computerworld.com
la source
Le site n'utilise pas le CA DigiNotar certificat racine . Dans le cas de as.digid.nl, le certificat racine provient de la «Staat der Nederlanden root CA» - qui est sûr (vraisemblablement). Certes, il existe un certificat DigiNotar dans la chaîne de certificats du site Web, mais ce n'est pas le certificat racine - il s'agit simplement d'un lien dans la chaîne et d'un certificat différent .
la source
Il est possible que les certificats que vous voyez soient signés par plusieurs autorités de certification (ou que les certificats d'autorité de certification intermédiaires soient signés par plusieurs entités). Vous devez identifier et supprimer toutes les CA signataires impliquées.
la source
Pour autant que je sache, certains navigateurs (comme Firefox) n'utilisent pas les certificats de votre trousseau. Chrome est basé sur Webkit, donc je suppose qu'il utilise le trousseau.
Le redémarrage de Safari n'était pas nécessaire pour moi; marquer le certificat racine comme «non approuvé» et recharger la page était suffisant.
Vous ne pouvez pas uniquement marquer la racine (Staat der Nederlanden Root CA) comme non fiable; les autres certificats ne sont pas dans votre trousseau, mais plutôt transmis depuis l'hôte chaque fois que vous démarrez une session SSL.
Pourriez-vous publier une capture d'écran de la fenêtre de certification lorsque vous chargez as.digid.nl? Peut-être que cela peut éclairer la question ...
la source