Changements récents dans le secteur des certificats SSL

Depuis le début de 2016, de nombreux événements intéressants ont eu lieu dans le secteur des certificats SSL. Vous trouverez dans ce résumé les événements les plus importants, ainsi que des conseils au regard des projets de certaines autorités de certification et entreprises de premier plan.

Nouveaux indicateurs de sécurité dans Google Chrome et Mozilla Firefox 

Au cours des derniers mois, les développeurs de Mozilla ont travaillé activement sur les aspects de l’interface utilisateur du navigateur Firefox liés à la sécurité et à la protection de la vie privée. Ils ont amélioré et modifié l’interface. Les captures d’écran ci-dessous montrent les changements concernant les notifications affichées dans la barre d’adresse du navigateur. 

Le premier changement, qui attire l’attention, unifie l’aspect des icônes des sites protégés par un certificat à validation du domaine (DV) et de ceux protégés par un certificat à validation étendue (EV). Auparavant, dans Mozilla Firefox, la couleur de l’icône du cadenas signalant les sites protégés par un certificat DV était différente de celle des mêmes icônes signalant les sites protégés par un certificat EV, ce qui soulevait de nombreuses questions chez l’utilisateur mal informé. Dans la nouvelle version, toutes les incohérences ont été éliminées : ces icônes sont désormais identiques.

Les changements apportés ont également une incidence sur les sites lors du chargement de contenu mixte. Comme indiqué sur la capture d’écran, l’avis concernant le chargement de contenu mixte a été modifié et il est désormais plus compréhensible.

Grâce à ces améliorations, les utilisateurs sont désormais en mesure de déterminer s’ils peuvent se fier au site ou s’ils doivent l’éviter.

Google Chrome a également été amélioré. Les développeurs du navigateur ont prévu de notifier les utilisateurs lorsque la page d’un site n’est pas sécurisée (http). À l’avenir, Google Chrome marquera d’une croix rouge l’icône du cadenas de tous les sites non chiffrés dans la barre d’adresse.

Google indique clairement que le Web est en phase de transition complète vers le protocole https. De nombreuses grandes entreprises et organisations ont soutenu l’initiative « Encrypt All The Things », qui revient essentiellement à abandonner le protocole HTTP traditionnel moins sécurisé au profit du protocole HTTPS.

Google a annoncé son projet de transition complète vers HTTPS en 2014. À cette époque, l’un des membres de l’équipe de sécurité de Chrome avait suggéré de marquer tous les sites HTTP comme étant « dangereux ».

Ce changement attirera l’attention sur les sites potentiellement dangereux.

À l’heure actuelle, on ignore si le marquage de toutes les pages HTTP sera mis en œuvre par défaut dans Google Chrome. Vous pouvez toutefois le tester. Pour ce faire, saisissez dans le navigateur « chrome: // flags » et sélectionnez « mark non-secure origins as non-secure ». 

Symantec va étendre sa prise en charge de la fonction Certificate Transparency à toute la gamme de certificats DV

Certificate Transparency est une option spéciale qui a été introduite par Symantec pour assurer la transparence optimale des entreprises possédant un certificat SSL. Toutes les informations relatives aux certificats doivent être publiées dans des journaux publics spéciaux, ce qui contribue à protéger la réputation des entreprises. Le propriétaire du site peut toujours consulter les certificats émis pour son domaine.

Initialement disponible pour les certificats EV uniquement, la fonction Certificate Transparency a été étendue par Symantec aux certificats OV le 19 janvier 2016.

Symantec prévoit d’introduire la prise en charge de la fonction Certificate Transparency sur les certificats DV à compter du 29 février 2016. Les visiteurs d’un site pourront ainsi vérifier si le site est fiable. Lorsque l’option Certificate Transparency sera désactivée, les sites dotés d’un certificat DV afficheront une notification indiquant que la ressource est dangereuse. Cette initiative renforcera la lutte contre le phishing avec les certificats DV.

À l’avenir, Symantec prévoit de développer l’infrastructure à l’appui de la fonction Certificate Transparency. 

Le SAN Wildcard sera ajouté à Symantec Secure Site, Symantec Secure Site Pro, Thawte SSL Web Server et GeoTrust True BusinessID 

Il sera bientôt possible d’ajouter des caractères génériques dans le champ SAN d’un nom de domaine. Un certificat peut contenir jusqu’à 100 domaines génériques. Le coût du SAN Wildcard sera proche de celui des produits wildcard individuels. 

Cette innovation est prévue pour mars 2016. 

Autres améliorations

D’autres changements ont lieu dans le secteur des certificats SSL, notamment :

• Annonce par Symantec de l’extension de la prise en charge de l’algorithme SHA2 Full Chain à tous les produits et applications
  
• Application de la technologie ECC hybride à Symantec Secure Site Pro and Secure Site Pro Wildcard pour améliorer la protection, l’efficacité et l’évolutivité
  

Comme en témoignent ces changements, le marché des certificats SSL évolue. Nous prévoyons une transition à grande échelle vers le protocole HTTPS dans un proche avenir. Le statu quo est révolu : bon nombre des sites et ressources de premier plan utilisent déjà des certificats SSL. Ne restez pas à l’écart : obtenez dès aujourd’hui un certificat SSL d’une autorité de certification leader auprès de LeaderTelecom.