Tour d’horizon sur HTTPS et les en-têtes de sécurité - Alsacreations - GuiGui's Show - Oros links - GuiGui's Show
dimanche 2 juin 2019 à 11:21«D'une part, il faudrait se souvenir de l'image associée à chaque site web entre une connexion à Internet non interceptée (chez moi ?) et une connexion trafiquée (le travail)»
J'ai fait un plugin firefox de test et ouai, c'est une idée foireuse. C'est pas pratique, il y a trop de pixel avec un hash sha256.
«D'autre part, au travail, tous les sites web présenteront le même certificat x509, celui du boîtier d'interception, donc la même image. Cela permet d'identifier le boîtier d'interception, mais pas plus qu'un Certificate Patrol ou que le contrat de travail et ses annexes (oui, je suis du genre à lire avec attention ces documents).»
Oui. Le but est simplement de détecter une attaque MITM. Pas de renforcer le chiffrement.
«Le mieux est de chercher une solution humaine : syndicats, représentants du personnel»
Le problème ne concerne pas ma boite. Mais certains clients chez qui j'interviens et où je dois utiliser leurs matériels. Et bien entendu, ils ne fournissent aucune infos sur le fonctionnement de leur réseau (écoute ou non).
Au passage, certains gouvernement aussi (coucou la Chine) génère des certifs maison pour tout un tas de site. Donc détecter que le certificat n'est pas celui d'origine éviterait à certaines personnes d'avoir des ennuis en pensant que la connexion est fiable.
Là, je part sur une autre idée de plugin qui est la suivante :
À la réception d'un header https, firefox note l’empreinte du certif et envoi, dans un conteneur GPG, l'url du site + une clé aléatoire, à un serveur de confiance. (Utilisation de la clé publique du serveur pour GPG)
Ce serveur relève de son côté l’empreinte du certif et la renvoi dans un conteneur aes256 qui utiliserait la clé transmise précédemment. Utilisation de l'aes256 pour éviter d'avoir une clé GPG privé par plugin.
Firefox compare les 2 empreintes. S'il y a différence, alors un logo d'alerte serait visible.
Cela éviterait à pleins de monde de penser que leur connexion est fiable lorsque le cadenas vert est visible dans la barre d'adresse.
J'ai commencé à écrire un Poc pour tester la faisabilité du truc. Ça semble le faire.
— Permalink
J'ai fait un plugin firefox de test et ouai, c'est une idée foireuse. C'est pas pratique, il y a trop de pixel avec un hash sha256.
«D'autre part, au travail, tous les sites web présenteront le même certificat x509, celui du boîtier d'interception, donc la même image. Cela permet d'identifier le boîtier d'interception, mais pas plus qu'un Certificate Patrol ou que le contrat de travail et ses annexes (oui, je suis du genre à lire avec attention ces documents).»
Oui. Le but est simplement de détecter une attaque MITM. Pas de renforcer le chiffrement.
«Le mieux est de chercher une solution humaine : syndicats, représentants du personnel»
Le problème ne concerne pas ma boite. Mais certains clients chez qui j'interviens et où je dois utiliser leurs matériels. Et bien entendu, ils ne fournissent aucune infos sur le fonctionnement de leur réseau (écoute ou non).
Au passage, certains gouvernement aussi (coucou la Chine) génère des certifs maison pour tout un tas de site. Donc détecter que le certificat n'est pas celui d'origine éviterait à certaines personnes d'avoir des ennuis en pensant que la connexion est fiable.
Là, je part sur une autre idée de plugin qui est la suivante :
À la réception d'un header https, firefox note l’empreinte du certif et envoi, dans un conteneur GPG, l'url du site + une clé aléatoire, à un serveur de confiance. (Utilisation de la clé publique du serveur pour GPG)
Ce serveur relève de son côté l’empreinte du certif et la renvoi dans un conteneur aes256 qui utiliserait la clé transmise précédemment. Utilisation de l'aes256 pour éviter d'avoir une clé GPG privé par plugin.
Firefox compare les 2 empreintes. S'il y a différence, alors un logo d'alerte serait visible.
Cela éviterait à pleins de monde de penser que leur connexion est fiable lorsque le cadenas vert est visible dans la barre d'adresse.
J'ai commencé à écrire un Poc pour tester la faisabilité du truc. Ça semble le faire.
— Permalink