Euh, ne mélangeons pas tout.

Let's Encrypt est une initiative supportée par Mozilla mais qui n'est pas encore en mesure de signer des certificats.

StartSSL n'a rien de spécial en terme de support par Mozilla... en tout cas rien de plus que les autres CA.
tiramiseb a écritEuh, ne mélangeons pas tout.

Let's Encrypt est une initiative supportée par Mozilla mais qui n'est pas encore en mesure de signer des certificats.

StartSSL n'a rien de spécial en terme de support par Mozilla... en tout cas rien de plus que les autres CA.
Mmmh ok du coup je vais attendre qu'ils fournissent les certificats avant de tester.
Le problème de ton certificat, c'est qu'il est autosigné.

Le but de SSL n'est pas que de chiffrer les communications, c'est aussi de valider à qui on est en train de parler. Avec un certificat autosigné, "n'importe qui" peut faire une attaque MITM.
Si quelqu'un peut se mettre en écoute pour lire le contenu d'une transmission en clair, il peut bien souvent faire un MITM sur une connexion SSL avec un certificat autosigné.

L'alerte jaune fait peur, oui. Et quand des éléments d'une page proviennent d'un autre domaine qui a un certificat invalide (expiré ou autosigné), alors il y a des horreurs d'affichage, oui.
C'est pour ça qu'il va y avoir Let's Encrypt : une autorité de certification pour avoir des certificats SSL gratuits => plus aucune excuse pour avoir un certificat autosigné.

Il est également envisagé de mettre une alerte pour les sites en clair, car oui c'est quand même moins glop qu'un certificat autosigné. Mais ça ne peut pas être fait du jour au lendemain.

---------------------

Concernant ton histoire de "spyware" (vocabulaire particulièrement mal choisi, car il n'y a ici aucun spyware, aucun « logiciel dont le but est d'espionner »), les requêtes GET envoyées à google par exemple ne me semblent pas excessives en terme d'informations envoyées... Qu'est-ce qui te chose à ce niveau-là ?


Pour une recherche sur la chaîne "tititi", ça donne :

Requête :
https://www.google.fr/search?client=ubuntu&channel=fs&q=tititi&ie=utf-8&oe=utf-8&gfe_rd=cr&ei=ozlLVbrlI4aF1AXRroGoDQ

En-têtes :
Host=www.google.fr
User-Agent=Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:37.0) Gecko/20100101 Firefox/37.0
Accept=text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language=fr,fr-FR;q=0.5
Accept-Encoding=gzip, deflate
Cookie=[...]
Connection=keep-alive
le problème est que je voudrais répartir les ressources (images) sur plusieurs server utilisant plusieurs connexions et que je ne peux pas car si non firefox fou tout en l'air comme sur ubuntu-fr
Ben si, tu peux : avec des certificats corrects.
vouloir forcer les webmaster a baser leur sécurité sur des sociétés louches ça dégoute un peu
Techniquement, un certificat signé par quelqu'un de louche n'est pas pire qu'un certificat autosigné.
Le certificat autosigné, il n'y a aucun moyen de lui faire confiance, aucun moyen de valider qu'il est ce qu'il dit être.
Le certificat signé, tant que ton visiteur fait confiance au signataire tout va bien. Et si on peut pas faire confiance au signataire, alors c'est comme un autosigné (mais sans alerte).
Comment je fais pour générer un nouveau certificat signé [...] sans donner des informations personnels
Impossible. Un certificat qui est signé, ça veut dire que le signataire a vérifié l'identité de celui qui utilise le certificat.
Je ne suis pas sûr qu'ils osent faire ça
https://www.chromium.org/Home/chromium-security/marking-http-as-non-secure
Vu le déroulement du topic, j'ai plus l'impression que Voxdemonix est fort dérangé par l'absence de contrôle sur les certificats s'il doit faire intervenir une autorité tierce.

Voxdemonix, à mon avis, tu as une exigence d'anonymat qui pète le plafond. Va falloir trouver d'autres moyens pour passer full ghost 😃
Du moins sur le Web. Après il y a d'autres réseaux sur internet qui permettent un anonymat complet.
Là le truc est assez simple : SSL et anonymat sont incompatibles.
Le but de SSL est de valider l'identité de l'entité avec qui on communique.
Bien évidemment, si l'entité veut être anonyme, elle ne peut pas faire valider son identité.
impossible de monter son petit site a l'ancienne sans demander rien a personne comme avant
"comme avant" ? Quand il n'y avait pas SSL tu veux dire ?
Oui c'est normal. Si tu veux faire "comme avant" tu n'utilises pas SSL.
Tu peux utiliser Tor Hidden Service qui garanti de façon efficace que tu communiques avec la bonne personne
Oui mais :
https://www.torproject.org/docs/hidden-services.html.en a écritAlthough it might seem impractical to use an automatically-generated service name, it serves an important goal: Everyone – including the introduction points, the distributed hash table directory, and of course the clients – can verify that they are talking to the right hidden service
... l'« identité » du service est assurée par autre chose : son nom qui est immuable et que tu ne peux pas choisir.
Tu as twitter? (pour pouvoir papoter en "privé")
Oui, avec le même pseudo. Mais je vois pas ce que ça apportera de plus.
PS: il faut aussi savoir que la sécurité numérique est une de mes passions
Moi c'est mon boulot. Entre autres.
Salut............. 🙂
voxdemonix a écrit
Bob49 a écritSalut
Il faut arrêter de raconter des conneries aussi énormes !! Si Firefox doit être prit sur sur un site officiel de chez mozilla où il ne contient aucun sywares, de préférence !
Les spyware dont je parle sont visible dans les variables GET des moteurs de recherches installé par défaut sur le firefox installé par défaut sur Ubuntu. Après tu peux parler sans vérifier, surement fais-tu partie des 99% de gens qui ne savent pas se qu'est une variable GET.
Tant fait pas pour moi, je sais ce que sais. Mais ce n'est pas pour cela que tous les navigateurs sont concernés. 😉

voxdemonix a écrit
Bob49 a écrit Et ne me répond pas que ça vient de Firefox, vu que cette adresse ne s'ouvrira pas avec d'autres navigateurs (Midori, Chromium, Chrome, Opera, etc...), car le certificat est périmé depuis le 20 février !! Donc entièrement normal que l'on puisse pas avoir accès à ce site. 😉

Bref, revois ta copie pour la prochaine fois. 😃
Débute le : 23/02/15
Expire le : 20/02/25
Si tu ne sais pas lire une date, je ne saurais rien faire pour toi
Dommage que j'ai pas enregistré les captures que je voulais faire hier soir !! :rolleyes: Mais bon passons sur cette histoire de date.......... de toute façon, l'accès à l'adresse est vraiment impossible à partir des navigateurs que j'ai cité hier, donc ne dit pas que le problème vient d'un navigateur, alors que c'est un problème de certificat, c'est tout. 😉
voxdemonix a écritTiramiseb, tu es le seul dans ce topic qui réponds technique (comme d'hab) 🙂
C'est pour cela qu'on le laisse, à chacun son domaine... mais ce n'est pas pour cela que l'on ne peut pas répondre à des énormités... 😃
voxdemonix a écrit...Et je me sens insulté quand j'invite un pote et qu'il reste bloqué sur une page d'alerte alors que mon site a une meilleure note de sécurité que ma banque
Si ton site, c'est la fameuse adresse que tu nous as donné, tous tes potes utilisant n'importe quel navigateur doivent vraiment être emmerdés, vu qu'avec aucun de ceux-ci ça passe (au moins dans les plus réputés) !..
Bob49 a écritSalut............. 🙂

Bonjour 🙂
Bob49 a écrit
voxdemonix a écrit
Bob49 a écritSalut
Il faut arrêter de raconter des conneries aussi énormes !! Si Firefox doit être prit sur sur un site officiel de chez mozilla où il ne contient aucun sywares, de préférence !
Les spyware dont je parle sont visible dans les variables GET des moteurs de recherches installé par défaut sur le firefox installé par défaut sur Ubuntu. Après tu peux parler sans vérifier, surement fais-tu partie des 99% de gens qui ne savent pas se qu'est une variable GET.
Tant fait pas pour moi, je sais ce que sais. Mais ce n'est pas pour cela que tous les navigateurs sont concernés. 😉
voxdemonix a écrit (sur linuxfr on m'a fait remarqué que firefox sur Debian ne possède pas ses mouchards)
https://forum.ubuntu-fr.org/viewtopic.php?id=1833301&p=1#p19765231


Bob49 a écrit
voxdemonix a écrit ...Et je me sens insulté quand j'invite un pote et qu'il reste bloqué sur une page d'alerte alors que mon site a une meilleure note de sécurité que ma banque
Si ton site, c'est la fameuse adresse que tu nous as donné, tous les potes utilisant n'importe quel navigateur doivent vraiment être emmerdés, vu qu'avec aucun de ceux-ci ça passe (au moins dans les plus réputés) !..
on en conclut donc que tu utilise ubuntu-fr.org en version non https. Si non, lors de ta première visite en https, tu aurais dû accepter exactement la même alerte de sécurité que sur le dit site que tu insultes(enfaite en pire vu qu'il faut accepter 2 certif pour ubuntu-fr). Tu as la même alertes de sécurité sur le site de tiramiseb soit dit en passant (j'ai visité tout a l'heure).

Pour ton histoire de screenshot bidule, si la date indiquée était autre, alors tu as croisé une boite Noire car la date de création du certif est indiqué dedans. (voir precedent)
tiramiseb a écrit
Tu as twitter? (pour pouvoir papoter en "privé")
Oui, avec le même pseudo. Mais je vois pas ce que ça apportera de plus.
Je parlais a morgiver, j'ai déjà ton twitter si tu te rappel ^^
Salut
voxdemonix a écrit on en conclut donc que tu utilise ubuntu-fr.org en version non https. Si non, lors de ta première visite en https, tu aurais dû accepter exactement la même alerte de sécurité que sur le dit site que tu insultes(enfaite en pire vu qu'il faut accepter 2 certif pour ubuntu-fr). Tu as la même alertes de sécurité sur le site de tiramiseb soit dit en passant (j'ai visité tout a l'heure).

Pour ton histoire de screenshot bidule, si la date indiquée était autre, alors tu as croisé une boite Noire car la date de création du certif est indiqué dedans. (voir précèdent)
Soit tu as une configuration à la con, soit tu fais toi même le con (sans vouloir de vexer 🙂) !

En configuration de monsieur "tout le monde"...et oui, il faut être généraliste quand on fait de l’entraide, sinon avec les petits cas particuliers ou les bidouilles de certains, on en fini pas !..

Par défaut, le forum de ubuntu-fr.org est en Http et seulement quelques fois (parfois dans des résultats de recherches), il arrive d'avoir des pages en Https. Mais là, il suffit d'enlever le S de Https pour avoir accès à la page(et problème pas lié aux navigateurs, mais au site) , donc là il n'y à pas un problème de sécurité.
D'ailleurs vis-à-vis du forum, il y à les messages d'erreurs appraraissent de temps à autres avec n'importe quel navigateur.

Pour l'adresse du site de tiramiseb, quand je cliques sur l'adresse du son site depuis sa signature (adresse non Https) et je l'ai déjà fait depuis longtemps, par curiosité bien sur 🙂, je n'ai jamais eu de message d'erreur. Quelque soit le navigateur utilisé (ceux cités plus haut) et vérifier encore ce matin au moins une vingtaine de fois, après supprimés historique et vidé tout les caches entre chaque connexions y compris celui du système. 😉

La différence entre l'adresse du site de tiramiseb que tu donnes, les problèmes liés aux quelques problèmes du forum.... et ton adresse (https://nebuleuse0rion.ddns.net/forum4/viewtopic.php?f=14&t=130), c'est que sur cette dernière, il y à un véritable blocage de sécurité et vouloir enlever le S ne donnera pas accès à celle-ci... Alors que les autres sites sont accéssibles et c'est le principale. 😉

Un p'tit plus... lors que l'on tombe sur une pseudo page du forum en HttpS, l'erreur n'est pas liée à un certificat auto-signé, donc il ne faut pas comparrer ses problèmes avec le tient.
Bob49: attention, voxdemonix évoque des aspects très techniques et toi tu ne parles que du ressenti utilisateur, aucunement technique.

La différence entre mon site et le site de voxdemonix, c'est que mon certificat est signé par une autorité de certification, c'est pourquoi il n'y a pas d'erreur, mon certificat n'est pas autosigné.

Toi ce que tu dis, c'et que sur Ubuntu-fr on peut passer sur une connexion non chiffrée pour ne plus avoir l'erreur. Ok, il n'y a plus cette erreur, mais du coup il n'y a plus aucun chiffrement.
Si voxdemonix ne veut pas que son site soit accessible sans chiffrement, je le comprends tout à fait.

Devoir "enlever le s" n'est pas du tout une solution : c'est un contournement qui revient à faire transiter des infos en clair.
C'est comme si un Mexicain disait « pour entrer aux USA, la clôture est trop haute, alors je passe par la douane ». Bah non, le Mexicain s'il veut escalader la clôture c'est qu'il ne veut pas que les douaniers le voient...


Par ailleurs, mon serveur web est moins bien noté que voxdemonix à ce niveau-là car il accepte des connexions moins sécurisées (anciennes versions de SSL). Faudrait que je m'y penche, c'est pas grand chose, j'ai juste eu la flemme jusqu'ici. Purement en terme de chiffrement, le serveur de voxdemonix est mieux configuré que le mien. Par contre le mien a un certificat correctement signé.

M'enfin je ne vois toujours pas ce qui gêne voxdemonix dans le fait de faire signer des certificats par une autorité.
D'ailleurs je ne suis même pas sûr qu'il soit nécessaire de donner une vraie identité, car le plus important dans la vérification c'est de prouver qu'on est bien admin du site visé : en général l'autorité de certification demande de placer un fichier bien précis dans l'arborescence web ou alors une config DNS, ou un truc dans le genre, pour valider qu'on est bien propriétaire du domaine visé. Mais la vérification de l'identité (avec pièce d'identité, etc) n'est pas systématique pour les validations de "premier niveau".
tiramiseb a écrit La différence entre mon site et le site de voxdemonix, c'est que mon certificat est signé par une autorité de certification, c'est pourquoi il n'y a pas d'erreur, mon certificat n'est pas autosigné.
Justement, voxdemonix évoque tout de même un blocage avec ton site ! Les sujets du fil est tout de même lié aux auto-signés.
tiramiseb a écritBob49: attention, voxdemonix évoque des aspects très techniques et toi tu ne parles que du ressenti utilisateur, aucunement technique.
J'en suis pleinement conscient. Quoi que l'évocation de sa part vis-à-vis de ses accès aux adresses qu'il donne, c'est un ressenti d'utilisateur aussi et vu aussi qu'il dit être bloqué pour ton site (là j'aurais tendance à penser problème lié à la configuration du navigateur..)!... Alors que je n'arrive pas à avoir un seul blocage, ce qui me parait entièrement normal ! 😉

Bref, qu'il y est quelques problèmes avec le forum, ce qui n'empêche pas l'accès... avec son site, il y à un véritable problème... Bon j'arrête là pour le moment, car je me répètes. 🙂
voxdemonix évoque tout de même un blocage avec ton site
Attention, il a donné le lien vers mon site professionnel en HTTPS.
Mon site professionnel n'a pas encore été configuré en HTTPS, il y a un certificat auto-signé. Comme chez lui.

voxdemonix: en parlant de mon site, on parle du site perso, https://www.maccagnoni.eu.
Regarde dans ma signature, le lien vers le site pro est en HTTP, pas en HTTPS.
Mon site perso n'a pas de problème de certificat.
Bref, qu'il y est quelques problèmes avec le forum, ce qui n'empêche pas l'accès... avec son site, il y à un véritable problème...
Je suis d'accord avec toi sur un point : le site de voxdemonix ne permet pas d'accès sans avoir à accepter un certificat autosigné dont on ne peut pas vérifier la validité. Sauf que mon raisonnement va dans l'autre sens : enlever le "S" n'est pas une solution acceptable, par contre voxdemonix devrait utiliser un certificat correctement signé.
tiramiseb a écrit
voxdemonix évoque tout de même un blocage avec ton site
Attention, il a donné le lien vers mon site professionnel en HTTPS.
Mon site professionnel n'a pas encore été configuré en HTTPS, il y a un certificat auto-signé. Comme chez lui.

voxdemonix: en parlant de mon site, on parle du site perso, https://www.maccagnoni.eu.
Regarde dans ma signature, le lien vers le site pro est en HTTP, pas en HTTPS.
Mon site perso n'a pas de problème de certificat.
Ah non, il donne l'adresse https://www.smm-informatique.fr/ , quand il s'adresse à moi dans son dernier message ! 😉

Pour tes sites (et donc aussi ta signature), tu as loupé un passage de mon 1er message de ce matin... je connais tes sites les avoir visité à plusieurs reprises et depuis un bon bout de temps. Et je n'ai aucun message d'erreur avec les 2. 🙂
tiramiseb a écritSauf que mon raisonnement va dans l'autre sens : enlever le "S" n'est pas une solution acceptable, par contre voxdemonix devrait utiliser un certificat correctement signé.
De tout façon comme je l'ai évoqué plus haut, enlever le S à l'adresse de son site ne donne rien, d'où mon évocation d'un véritable problème...
Ah non, il donne l'adresse https://www.smm-informatique.fr/ quand il s'adresse à moi
Oui, c'est ce que je voulais dire, la 2me partie s'adressant à voxdemonix, pour lui dire que toi et moi on parle de mon site perso, alors que lui a testé mon site pro, pour lequel je n'ai pas encore mis de certificat SSL correct (et pour lequel je n'ai jamais diffusé d'adresse en HTTPS ; il est le premier internaute à poster un lien vers mon site pro en HTTPS).
(en plus, à une époque en HTTPS j'avais mis mon interface d'administration, on ne tombait pas du tout sur mon site pro, mais bon c'était vraiment pas propre, justement dans les cas où quelqu'un "par hasard" voudrait aller voir mon site en HTTPS)
Bob49 a écrit De tout façon comme je l'ai évoqué plus haut, enlever le S à l'adresse de son site ne donne rien, d'où mon évocation d'un véritable problème...
Ce n'est pas un problème, j'ai consciemment désactivé http (via "RewriteEngine On" et "RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}") afin qu'on ne puisse visiter QUE en HTTPS. (et a la base le site n'était accessible que via Tor, le DNS n'est ouvert que pour rendre service a des personnes âgées pour qui Tor est un dieu nordique ^^)
Par contre, dans un de tes messages, tu déconseils d'utiliser httpS (se qui est stupide sur tout site utilisant un mécanisme d'inscription, tes login/pass se promènent en clair sur le réseau BoiteNoirien ^^) et tu as loupé la discution entre tiramiseb et moi où l'on mentionne que Mozzila va probablement généraliser l'alerte de sécurité a TOUT les sites en non-https
tiramiseb a écrit par contre voxdemonix devrait utiliser un certificat correctement signé.
donner des infos privé, beurk beurk beurk. Puis c'est un site privé, mon pauvre Raspberry Pi ne saurait jamais tenir le coups face a une invasion de français en quête d'anonymat ^^ Par conter si se que tu dis a propos de simplement placer un fichier a la racine, alors là c'est faisable, je n'aurais pas cette impression d'avoir encore offert mes infos perso 🙂
tiramiseb a écrit
voxdemonix évoque tout de même un blocage avec ton site
Attention, il a donné le lien vers mon site professionnel en HTTPS.
une alerte de sécurité n'est pas un blocage. Blocage sous entends que tu ne peux pas cliquer sur "Ajouter une exception permanente"
tiramiseb a écrit Par ailleurs, mon serveur web est moins bien noté que voxdemonix à ce niveau-là car il accepte des connexions moins sécurisées (anciennes versions de SSL). Faudrait que je m'y penche, c'est pas grand chose, j'ai juste eu la flemme jusqu'ici. Purement en terme de chiffrement, le serveur de voxdemonix est mieux configuré que le mien. Par contre le mien a un certificat correctement signé.
Voici les infos qui m'ont permis de config le serveur sous apache2.2 ICI, j'aimerais rendre compatible le tutoriel avec apache2.4, si tu veux aider 🙂 @localhost si tu veux aider a rendre le tuto encore plus efficace (atteindre le A+) je suis preneur ^^
tiramiseb a écritM'enfin je ne vois toujours pas ce qui gêne voxdemonix dans le fait de faire signer des certificats par une autorité.
Je n'ai rien contre ça, j'ai contre le fait que mozzila et co casse le web en ne chargeant pas le contenu sous prétexte qu'il utilise un certificat autosigné (comme pour https://forum.ubuntu-fr.org ). Je trouve tout a fait logique pour un site officiel de faire signer son certificat, mais pas pour l'auto-hébergement/internet des objets/cloud personnel/etc.
Bob49 a écritSoit tu as une configuration à la con, soit tu fais toi même le con (sans vouloir de vexer 🙂) !
Je ne suis point vexé 🙂 (je vous aime tous ! 😃 )
Localhost: oui, c'est exactement ce que j'ai dit.

Sur mon site perso, le certificat est parfait (barre verte). Par contre je n'ai pas peaufiné la configuration (barres jaunes), c'est ce que j'ai dit.
Mon site pro, quant à lui, n'a pas été fait pour être utilisé en SSL, c'est également ce que j'ai dit ; voxdemonix est le premier à avoir posté sur Internet une URL en "https" vers mon site pro.
Tu confirmes donc tout ce que j'ai écrit.
j'ai consciemment désactivé http (via "RewriteEngine On" et "RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}") afin qu'on ne puisse visiter QUE en HTTPS.
Parfaitement d'accord avec toi, c'est la meilleure chose à faire : forcer le TLS.
donner des infos privé, beurk beurk beurk
Encore une fois, je ne suis pas sûr que ce soit nécessaire. Ce qui est indispensable, c'est bien sûr de prouver que tu es propriétaire du site ; mais à mon avis, si tu t'inscris chez StartSSL (par exemple) sous une fausse identité, ça ne les empêchera pas de te signer un certificat.
apache2.2 [...] apache2.4
J'utilise NginX.

Pour Apache 2.4 il faudrait que je me penche sur le truc, et là je n'ai ni le temps ni l'envie (peut-être un jour, qui sait...).
Et quand je n'ai ni le temps ni l'envie, la seule chose qui peut me motiver à le faire c'est le paiement d'une prestation 😛
j'ai contre le fait que mozzila et co casse le web en ne chargeant pas le contenu sous prétexte qu'il utilise un certificat autosigné
Comme tu l'as expliqué, le problème est que le contenu est à une autre adresse. Et quand il charge un contenu, Firefox est pas foutu de mettre la même alerte "jaune" : on n'a cette alerte que si on accède directement au contenu, pas quand il est appelé d'une page déjà ouverte. Je suis d'accord avec toi, ça c'est nul.
Je trouve tout a fait logique pour un site officiel de faire signer son certificat, mais pas pour l'auto-hébergement/internet des objets/cloud personnel/etc.
Alors là je ne suis pas tout à fait d'accord.

Si c'est pour une communication entre toi-même et toi-même (cloud perso, objets, etc), OK de l'autosigné ça me va.
Par contre, si c'est pour communiquer à d'autres (site web autohébergé par exemple), il faut un certificat signé.