BROADCASTS.com

Published: May 25, 2015, 7:24 a.m.

Emmanuel et Arnaud discutent avec Tom Delmas d\u2019HTTPS. Comment \xe7a marche, quelles sont les faiblesses et les diverses protections. Mais aussi comment mettre en place concr\xe8tement un certificat sur un site web.

\n

Enregistr\xe9 le 23 mai 2015

\n

T\xe9l\xe9chargement de l\u2019\xe9pisode LesCastCodeurs-Episode\u2013125.mp3

\nInterview\nTa vie ton \u0153uvre\n

@kermiite
Blog de Tom Delmas
ENSIIE
GroupCamp

\nPourquoi HTTPS\n

Protection de la vie priv\xe9e

\n

\n
• FireSheep
\n

\n

Protection contre les m\xe9thodes de certains FAI:

\n

\n
• Ajout de publicit\xe9s
\n
• Ajout de cookies
\n

\n

Obligation l\xe9gale de protection des donn\xe9es personnelles

\n

\n

Des d\xe9tails sur le fait que Chrome et FF vont d\xe9pr\xe9cier des trucs en HTTP. - Hubert SABLONNI\xc8RE Le HTTPS avec HTTP2 ? - Hubert SABLONNI\xc8RE

\n

\n

Des infos sur HTTPS et HTTP/2

\n

\n

Mise en place d interception SSL chez un client est ce l\xe9gal ? Pour surveiller les comme et interdire les posts sur facebook. - R\xe9my Men\xe9trieux

\n

\n

Les recommandations de la CNIL sur l\u2019analyse de flux HTTPS

\nComment marche HTTPS\n

Ca veut dire quoi \xeatre sous HTTPS
SSL v2 v3 TLS 1.0, 1.2 c\u2019est quoi tout ce bazar.
Les diff\xe9rents niveaux de certificats SSL (classes)

\n

\n
• Certificat extended validation
\n

\n

Chrome vs SHA1
Attaque des suites d\u2019export

\n

Les diff\xe9rences entre les certificats SSL:

\n

\n
• simple
\n
• wildcard
\n
• Multiple domaines
\n

\n

Un certificat == 1 IP ou pas avec le SNI
Server Name Indication

\nLes autorit\xe9s de certification\n

Pourquoi mon navigateur a confiance dans le serveur SSL des cast codeurs?

\n

Nos navigateurs autorisent des centaines de CA Une seule suffit \xe0 tout bousiller

\n

CNNIC banni par Google
CNNIC d\xe9nonce l\u2019attitude de Google
ANSSI chop\xe9e par Google

\n

Discussion sur les proxy et les proxy SSL

\n

Google Chrome HTTPS pinning
Mozilla se base sur la liste de chrome
HPKP
DANE
DNSSEC
Key pinning et interceptions
Pas de DANE dans les navigateurs

\n

Les autorit\xe9s de certification gratuites:

\n

\n
• https://www.startssl.com/ (mais r\xe9voquation payante)
\n
• https://www.wosign.com/english/freeSSL.htm
\n
• https://fr.godaddy.com/ssl/ssl-open-source.aspx (pour les projets open source)
\n
• https://letsencrypt.org (futur proche)
\n

\n

\n

Comment les vendeurs de browsers choisissent les CA qu\u2019ils supportent nativement? Proc\xe9dure standard ou jungle? - Jean-Baptiste Nizet

\n

\n

Mozilla a des crit\xe8res
Pas que les navigateurs mais aussi les syst\xe8mes d\u2019exploitation
Forum des CA
CACert

\n

\n

Pourquoi n\u2019existe-t-il pas de CA public. L\u2019Etat n\u2019est-il pas plus habilit\xe9 pour ce service que des bo\xeetes priv\xe9es? - Jean-Baptiste Nizet

\n

\n

Il y en a plein en fait France, US, Chine et autre: Departement de la defense am\xe9ricain, Hong-Kong post office etc

\nLa suite\n

Comment obtenir un certificat.
Comment serrer les boulons.

\nNous contacter\n

Contactez-nous via twitter http://twitter.com/lescastcodeurs
sur le groupe Google http://groups.google.com/group/lescastcodeurs
ou sur le site web http://lescastcodeurs.com/
Flattr-ez nous (dons) sur http://lescastcodeurs.com/
En savoir plus sur le sponsoring? sponsors@lescastcodeurs.com