phhsnews.com


phhsnews.com / Comment les navigateurs vérifient les identités des sites Web et se protègent contre les imposteurs

Comment les navigateurs vérifient les identités des sites Web et se protègent contre les imposteurs


Avez-vous déjà remarqué que votre navigateur affichait parfois le nom de l'organisation d'un site Web sur un site Web crypté? Ceci est un signe que le site Web a un certificat de validation étendu, indiquant que l'identité du site a été vérifiée.

Les certificats EV ne fournissent aucune force de chiffrement supplémentaire - à la place, un certificat EV indique qu'une vérification approfondie de l'identité du site a eu lieu. Les certificats SSL standard fournissent très peu de vérification de l'identité d'un site Web

Comment les navigateurs affichent des certificats de validation étendus

Sur un site Web crypté n'utilisant pas de certificat de validation étendu, Firefox dit que le site est géré par (inconnu) "

Chrome n'affiche rien d'autre et indique que l'identité du site a été vérifiée par l'autorité de certification qui a délivré le certificat du site.

Lorsque vous êtes connecté à un site Web qui utilise un certificat de validation étendu, Firefox dit vous c'est géré par une organisation spécifique. Selon cette boîte de dialogue, VeriSign a vérifié que nous sommes connectés au site PayPal réel, qui est géré par PayPal, Inc.

Lorsque vous êtes connecté à un site utilisant un certificat EV dans Chrome, le nom de l'organisation apparaît dans votre barre d'adresse. La boîte de dialogue d'information nous indique que l'identité de PayPal a été vérifiée par VeriSign en utilisant un certificat de validation étendu.

Le problème avec les certificats SSL

Il y a plusieurs années, les autorités de certification vérifiaient l'identité d'un site avant de délivrer un certificat. L'autorité de certification vérifiait que l'entreprise demandant le certificat était enregistrée, appelait le numéro de téléphone et vérifiait que l'entreprise était une opération légitime qui correspondait au site Web.

Finalement, les autorités de certification ont commencé à offrir des certificats «domaine uniquement». Celles-ci étaient moins chères, car l'autorité de certification avait moins de travail pour vérifier rapidement que le demandeur possédait un domaine spécifique (site Web).

Les phishers ont finalement commencé à en profiter. Un phisher pourrait enregistrer le domaine paypall.com et acheter un certificat de domaine uniquement. Lorsqu'un utilisateur est connecté à paypall.com, le navigateur de l'utilisateur affiche l'icône de verrouillage standard, ce qui donne une fausse impression de sécurité. Les navigateurs ne montraient pas la différence entre un certificat de domaine uniquement et un certificat qui impliquait une vérification plus approfondie de l'identité du site.

La confiance du public envers les autorités de certification pour la vérification des sites Web a chuté - ce n'est qu'un exemple faire leur diligence raisonnable. En 2011, l'Electronic Frontier Foundation a constaté que les autorités de certification avaient délivré plus de 2 000 certificats pour «localhost» - un nom qui fait toujours référence à votre ordinateur actuel. (Source) Entre de mauvaises mains, un tel certificat pourrait faciliter les attaques de type man-in-the-middle

Comment les certificats de validation étendue sont différents

Un certificat EV indique qu'une autorité de certification a vérifié que le site Web est exécuté par une organisation spécifique. Par exemple, si un phisher essayait d'obtenir un certificat EV pour paypall.com, la demande serait refusée.

Contrairement aux certificats SSL standard, seules les autorités de certification qui réussissent un audit indépendant sont autorisées à émettre des certificats EV. Le forum Autorité de certification / navigateur (CA / Browser Forum), une organisation volontaire d'autorités de certification et de fournisseurs de navigateurs tels que Mozilla, Google, Apple et Microsoft, publie des directives strictes à suivre par toutes les autorités de certification émettrices de certificats de validation étendus. Cela empêche idéalement les autorités de certification de s'engager dans une autre «course vers le bas», où elles utilisent des pratiques de vérification laxistes pour offrir des certificats moins chers.

En résumé, les directives exigent que les autorités de certification vérifient qu'il possède le domaine en question et que la personne demandant le certificat agit au nom de l'organisation. Cela implique de vérifier les enregistrements gouvernementaux, de contacter le propriétaire du domaine et de contacter l'organisation pour vérifier que la personne qui demande le certificat travaille pour l'organisation.

En revanche, une vérification de certificat de domaine uniquement peut impliquer seulement un coup d'œil sur les enregistrements WHOIS du domaine pour vérifier que le registrant utilise la même information. L'émission de certificats pour des domaines comme "localhost" implique que certaines autorités de certification ne font même pas beaucoup de vérifications. Les certificats EV sont, fondamentalement, une tentative de restaurer la confiance du public dans les autorités de certification et de restaurer leur rôle de gardiens contre les imposteurs.


Comment savoir exactement quand il pleuvra et quand il s'arrêtera

Comment savoir exactement quand il pleuvra et quand il s'arrêtera

Savoir quand et où il va pleuvoir est l'une des principales raisons pour lesquelles les gens s'embarrassent des applications météo. Au lieu de «il va pleuvoir quelque part aujourd'hui», pourquoi ne pas obtenir des prévisions météorologiques comme «de fortes pluies qui commencent dans cinq minutes et qui durent 45 minutes?

(how-to)

Tout ce que vous devez savoir sur la prise en main du Raspberry Pi

Tout ce que vous devez savoir sur la prise en main du Raspberry Pi

Depuis plus de quatre ans, le Raspberry Pi, un ordinateur de la taille d'une carte de crédit bon marché, a pris le virage informatique orage. Continuez à lire pendant que nous vous guidons à travers tout, de l'achat à l'alimentation de la petite dynamo. Qu'est-ce que le Raspberry Pi? Le Raspberry Pi est un ordinateur de taille carte de crédit conçu et fabriqué par la Raspberry Pi Foundation.

(how-to)