Il existe un monde où la probabilité que Trump pète une durite et soumette l’Europe à des pressions diverses et variées. Parmi tout le panel d’actions à sa disposition, nous empêcher d’utiliser un service critique lié à la sécurité des communications pourrait être une piste. Peut-être pas en l’interdisant directement, mais ce pourrait être la simple application d’une taxe d’un montant qui pourrait être dérisoire par exemple.
Nombre de sites web sont “sécurisés” via un certificat Let’s Encrypt, et c’est notammet le cas des sites hébergés par des Yunohost.
Mais de ce fait, on fait quoi ?
Pas d’alternative européenne crédible ?
Je ne comprends pas bien la différence entre une autorité de certification et un serveur avec OpenSSL … mis à part que l’autorité de certification, elle a sa clé publique dans les navigateurs et les OS du monde entier.
L’idée, c’est de fournir un certificat (clé publique et clé privée) à une organisation (un individu, ou une association, ou une entreprise), et de “valider” ces clés avec notre propre clé privée ?
Perso, j’ai testé Actalis sur une stack non Yunohost, et il fait totalement le taff et sa mise en place n’est pas beaucoup plus compliqué que n’importe quel autres autorité ('mise en place ACME). Pour ce qui est de Yunohost, il faudra voir comment cela pourrait être intégré.
C’est le point en effet le plus “génant”. Disons que d’une côté pour LE on a l’équivalent d’une fondation/consortium mais qui est soumis aux loi/sanction “folles” US et de l’autre Aruba IT, entreprise européenne (très seule à faire du SSL) qui est au moins soumis aux loi EU (et en vrai entreprise qui mise dans la qualité de ce que je sais).
Le seul point négatif à avoir une entreprise est le fait qu’ils pourraient à tout moment retirer leur offre gratuite, ce qui demanderait un peu plus de temps dans le cas de LE.
Je dirais aussi que moi perso, quand LE est sorti (avec l’aide de grandes entreprises, il faut pas se mentir), mon idée est qu’au moins on avait une Autorité qui était plus proche de l’idée de liberté et de sécurité que les autres. Mais aujourd’hui, perso, si LE ne migre pas dans un autre pays pour outrepasser/éviter les lois et sanctions US, je trouve que l’autorité ne remplit plus son contrat.
D’accord, Actalis, c’est une entreprise.
Let’s Encrypt, c’est une association issue d’une fondation.
Et on n’a pas d’alternative associative en Europe.
Donc il faut monter une alternative européenne.
Qu’est-ce qu’il faut pour monter cette alternative ?
Qu’est-ce qui fait que Let’s Encrypt est aussi répandue ? La gratuité ne fait pas tout, le fait que tout soit intégré me semble un énorme plus. Est-ce que vous voyez d’autres choses ?
Alors Let’s Encrypt est un projet d’une “association” (ISRG) qui a dans son CA des membre de l’EFF, Mozilla, Amazon, OVH… donc une association fortement soutenu par des entreprises privées. C’est un mythe de penser que “Association à but non lucrative” ici signifie “indépendante/dans son coin”…
Une autorité de certificat reconnue est très compliqué à mettre en place. En soit une autorité de certification tu peux en avoir une chez toi, cependant les personnes à l’extérieur devront ajouter la clef publique de leur certification dans leur navigateur et dans leur OS le plus souvent.
Donc quand on dit “Autorité reconnue”, c’est une autorité reconnue par ses pairs (cad d’autres autorité) et qui possèdent une méthode pour délivrer les certificats qui soit normalisée et très sécurisée (car une autorité ça possède une clef privé qui quand elle piratée permet de publier des certificats pirates). Pour prendre un exemple, il y a mtn quelques années, Symantec, grande entreprise qui produit l’antivirus Norton Security, s’est vu retiré la confiance en son autorité de certification, l’empêchant de publier ses certificats aux grand public et l’obligeant à révoquer tous ses certificats.
Reconnue veut dire que le consortium rassemblant entreprises/fondations du web (Google, EFF, W3C, Mozilla, Amazon, AliBaba…) et autorités (Digicert, LE, Sectigo…) a validé l’autorité de certification (et lui fait confiance).
Faudrait-il faire du lobbying auprès de OVH, Scaleway, Infomaniak (insérer ici d’autres structures) pour espérer qu’une de celles-ci estiment voir un intérêt de se lancer dans l’aventure ? Ou même elles seraient trop “petites” et indignes de confiance ?
(petit focus sur infomaniak, qui est passé sous le statut de fondation, un peu à mi-chemin entre l’associatif et l’entreprise commerciale capitaliste)
Oui, je ne dis pas le contraire.
Je demande juste quels sont les mécanismes actuels de Let’s Encrypt qu’il faut absolument reprendre et quelles pourraient être les idées “en plus” à ajouter par rapport à Let’s Encrypt, pour permettre d’embarquer les personnes, les entreprises et les structures qui sont déjà dans le monde des “Autorités de certification” pour qu’elles rentrent dans la logique de cette alternative européenne.
Si cette autorité européenne ne fait que faire une simple copie de Let’s Encrypt, personne n’ira, car ça sera plus simple de rester sur Let’s Encrypt.
Liste non exhaustive …
Mais oui, l’idée, ça serait d’embarquer ces acteurs européens dans la logique. Mais on pourrait aussi penser à Nextcloud ou à d’autres solutions aux dimensions européennes (ou non européenne, mais non américaine).
Oui complètement. Cela pourrait être une idée. Mais il faut bien comprendre que pour certaines entreprises (comme OVH Cloud qui est par ailleurs membre au CA de l’ISRG), il s’agira de ne pas “fâcher les américain”, “éviter les sanctions”… Pour certaines comme OVH Cloud et Scaleway, ils ont des datacenters aux US… donc un peu compliqué. Sinon, oui, à part ça… seul des géants comme ça peuvent tenter de créer un certificat CA racine, et le proposer à validation à Mozilla ou Google.
Alors de toute façon… ce sera motivé par des valeurs, une idéologie militante. Et déjà, arriver au niveau de Lets Encrypt au niveau européen, comme je l’ai dit, ce serait énorme déjà.
On pourrait. Il y en a pas tant que ça, et Nextcloud ne sera pas à même de faire changer les choses.
Oui, j’en suis conscient. Mais pour l’instant, avant de se dire que ça va être compliqué, il faudrait déjà savoir ce qu’il y a à faire.
J’oserais dire que la partie lobbying auprès des personnes à même de pousser l’idée, c’est dans les dernières étapes, juste après avoir listé ces personnes et après avoir poussé une version fonctionnelle en prod.
