l’ordinateur
  1. l’ordinateur
  3. Comment distinguer ces deux situations de certificats?
Intereting Posts
Prendre une capture d'écran à partir de la ligne de commande dans Windows Pourquoi ne pouvons-nous pas créer CON, PRN, dossier Null dans Windows? Cloner tout le disque à l'image en utilisant clonezilla et garder le (s) chargeur (s) de démarrage Erreur système 58 lors de l'accès aux partage sur Windows 7 depuis XP Il y a quelque chose d'étrange avec mon CPU Mémoire 4 Go perçue comme 3 Go dans le BIOS Comment verrouiller le lecteur de CD / DVD vers VirtualBox Guest System? Su Command Prompt Combien une valeur de données de gigaoctets pèse-t-elle physiquement sur un disque dur? Commande MS-DOS pour supprimer tous les fichiers sauf un Puis-je transférer des fichiers vers GoPro 3 sur mon PC sur Wifi? RDP sur OpenVPN dans Windows 8 Pour installer les extensions de Markdown par Python Comment puis-je supprimer le dossier OneDrive de mon arborescence de dossiers File Explorer dans Windows 10? Est-il possible de créer un CD extractible extra (c'est-à-dire 1 piste audio et 1 piste de données amorçables)?

Comment distinguer ces deux situations de certificats?

Situation 1 (coffre-fort):

  • Le site Web était vulnérable au coeur et utilisait un certificat non valide avant 2012-10-21
  • Site mis à niveau vers une version non exhaustive d'OpenSSL
  • Le site Web a repris et a réenregistré leur certificat, avec la même date non valide avant 2012-10-21
  • Aujourd'hui, lorsque je vérifie le site, je trouve qu'il n'est pas vulnérable aux courbures et utilise un certificat avec une date de validité non valide de 2012-10-21

Situation 2 (non sécurisé):

  • Le site Web était vulnérable au coeur et utilisait un certificat non valide avant 2012-10-21
  • Site mis à niveau vers une version non exhaustive d'OpenSSL
  • Aujourd'hui, lorsque je vérifie le site, je trouve qu'il n'est pas vulnérable aux courbures et utilise un certificat avec une date de validité non valide de 2012-10-21

Dans la mesure où je comprends bien, ces deux situations sont indiscernables pour moi en tant qu'utilisateur final qui n'a jamais visité le site en question auparavant. Qu'est-ce qui me manque?

FYI, la situation 1 est apparemment le cas pour * .wikipedia.org. Ils ont dit que c'est juste la façon dont Digicert réédite les certificats.

Zmap.io dispose d'une liste de modifications aux certificats pour les 5 000 sites les plus populaires. Notez que la date indiquée ne dépend pas de la date non valide avant du certificat lui-même et devrait donc représenter une date précise pour le moment où le certificat a été modifié pour la dernière fois. (J'ai utilisé Wikipedia.org pour vérifier cela alors qu'ils obtiennent leurs certificats de DigiCert qui rétrodommagent la date non valide avant lors de la réintroduction des certificats.)

Ils relient les données brutes qu'ils utilisaient, qui couvre vraisemblablement beaucoup plus que les 5 000 sites les plus importants, mais au moment où j'écris ceci, le site ne répond pas.

Un autre projet qui collecte des empreintes de certificats est Convergence . Je n'ai pas encore exploré pour voir si vous pouvez extraire les empreintes digitales et les dates, mais si vous l'utilisiez avant HeartBleed, cela vous avertirait probablement lorsque le certificat d'un site a changé (sauf si une majorité d'autres personnes l'utilisaient déjà Nouveau certificat pour ce site). Ironiquement, aucun avertissement dans cette situation n'indique que vous n'étiez pas en sécurité et qu'un avertissement indiquerait que vous étiez en sécurité.

Vous pouvez rechercher le CRL de l'Autorité de certification (c'est-à-dire http://www.verisign.com/repository/crl.html de VeriSign) et voir s'ils ont récemment révoqué un ancien certificat, mais pour ce faire, vous aurez généralement besoin de l'ancien certificat numéro de série. Vous pourriez également, si vous aviez l'ancien numéro de série, comparez-le à celui-ci.

Le problème, c'est qu'il n'y a pas beaucoup que vous pouvez vraiment faire pour voir s'il s'agit d'un certificat différent qu'avant sans l'ancien numéro de série du certificat.