Auteur Sujet: Le certificat TLS https://boutique.orange.fr/ révoqué ! (Lu 1489 fois)

alain_p · « **Réponse #12 le:** **Aujourd'hui** à 12:55:20 »

Je remarque d'ailleurs que le certificat du site institutionnel d'Orange est un certificat Lestencrypt, et a été émis le 13 Septembre...

Power · « **Réponse #13 le:** **Aujourd'hui** à 13:01:30 »

Depuis le 13 septembre 2025 à 00h00, Orange France, Orange Maroc, et d'autres entités du groupe ont commencé à renouveler les certificats SSL de leurs noms de domaine.

Ce 14 septembre à 00h00, les certificats des sous-domaines, comme boutique.orange.fr, ont également été mis à jour.
Si un utilisateur rencontre un problème lié à un certificat révoqué encore présent dans le cache de Firefox, il s'agit d'un souci local à l'utilisateur et non d’un dysfonctionnement du côté d’Orange
Il n'ya aucun débat là dessus.

alain_p · « **Réponse #14 le:** **Aujourd'hui** à 13:06:45 »

Et donc pourquoi ont-ils tous été renouvelés en avance hier, après révocation ? Parce qu'il y avait une crainte de compromission des certificats ?

Cela ne me parait au contraire pas du tout normal... Et un certificat letsencrypt sur un site institutionnel d'un gros opérateur comme Orange, cela parait tout à fait inhabituel. Il n'est pas OV (Organization Validation).
Cela me parait un changement en urgence, avec donc des effets de cache dans les navigateurs qui vérifient la révocation.

JeannotPlanche · « **Réponse #15 le:** **Aujourd'hui** à 13:11:37 »

Citation de: Power le Aujourd'hui à 13:01:30

Si un utilisateur rencontre un problème lié à un certificat révoqué encore présent dans le cache de Firefox, il s'agit d'un souci local à l'utilisateur et non d’un dysfonctionnement du côté d’Orange
Il n'ya aucun débat là dessus.

Le fil date d'aujourd'hui 9h, et vers 11h30 j'ai fait un check avec curl qui m'a donné ce certificat :

Code: [Sélectionner]

Et c'est bien l'ancien.

Code: [Sélectionner]

%  openssl ocsp -issuer DigiCert\ Global\ G2\ TLS\ RSA\ SHA256\ 2020\ CA1.pem -cert old.pem -text -url http://ocsp.digicert.com
OCSP Request Data:
    Version: 1 (0x0)
    Requestor List:
        Certificate ID:
          Hash Algorithm: sha1
          Issuer Name Hash: A7C4B8B3DC5BB5581EA7D7F13AC569F56F48D789
          Issuer Key Hash: 748580C066C7DF37DECFBD2937AA031DBEEDCD17
          Serial Number: 0AFB084E3173C6BBD7B137FE361B1CAF
    Request Extensions:
        OCSP Nonce:
            0410DA8B59DFC0026179522EF921372CAFB9
OCSP Response Data:
    OCSP Response Status: successful (0x0)
    Response Type: Basic OCSP Response
    Version: 1 (0x0)
    Responder Id: 748580C066C7DF37DECFBD2937AA031DBEEDCD17
    Produced At: Sep 13 15:56:26 2025 GMT
    Responses:
    Certificate ID:
      Hash Algorithm: sha1
      Issuer Name Hash: A7C4B8B3DC5BB5581EA7D7F13AC569F56F48D789
      Issuer Key Hash: 748580C066C7DF37DECFBD2937AA031DBEEDCD17
      Serial Number: 0AFB084E3173C6BBD7B137FE361B1CAF
    Cert Status: revoked
    Revocation Time: Sep 13 00:16:04 2025 GMT
    This Update: Sep 13 15:39:10 2025 GMT
    Next Update: Sep 20 14:39:10 2025 GMT

    Signature Algorithm: sha256WithRSAEncryption
    Signature Value:
        9f:3b:52:2b:e3:99:87:d3:e7:32:a0:30:37:e5:9b:6d:06:e4:
        c5:6f:fe:3f:8b:84:5c:47:12:9a:97:7a:de:ec:dd:67:ec:d0:
        cb:21:fb:f4:d8:78:6f:c6:11:93:af:f8:d1:35:74:43:e6:b8:
        3e:7f:b7:da:09:a4:3b:7e:d3:7d:6c:a7:17:8d:da:67:d2:40:
        1f:9d:b7:8f:b4:40:70:c2:92:34:bb:fe:a4:81:a0:90:bd:f9:
        fe:15:29:60:ec:3b:d0:d2:7c:97:86:59:9b:08:1a:86:08:d9:
        ea:e8:1a:e8:ff:56:7a:07:c6:48:3d:45:e5:51:db:43:04:3e:
        48:5b:62:c4:08:bf:e8:97:75:b6:bc:1e:1d:99:20:07:dc:68:
        9b:8c:d3:fd:e9:20:cc:60:2e:5e:43:0c:ca:38:10:aa:be:d0:
        9c:9a:f8:da:55:31:13:f7:60:14:11:49:89:58:dc:5d:a0:c1:
        27:34:3d:aa:0f:f5:82:2e:54:14:70:74:7e:0e:7c:a4:11:61:
        71:ef:1f:8e:8b:c8:29:e0:59:04:9a:f2:c2:fb:80:fe:e8:0e:
        30:51:0c:4d:79:66:87:3d:41:c7:de:00:e3:d3:bc:fd:03:fb:
        3c:9b:b8:e6:66:c0:75:fe:10:3d:df:fc:06:ec:25:cc:00:e1:
        39:89:9e:15
WARNING: no nonce in response
Response verify OK
old.pem: revoked
	This Update: Sep 13 15:39:10 2025 GMT
	Next Update: Sep 20 14:39:10 2025 GMT
	Revocation Time: Sep 13 00:16:04 2025 GMT

Donc, à moins de dire que je mens, je ne vois pas trop comment curl aurait pu obtenir de manière mystérieuse l'ancien certificat. N'est-ce pas ?
Le nouveau certificat a bien été obtenu mais les Load Balancers avaient l'ancien ou que sais-je.
Ça peut arriver.

Qualys voyait aussi l'ancien.

JeannotPlanche · « **Réponse #16 le:** **Aujourd'hui** à 13:19:16 »

Le nouveau :

Code: [Sélectionner]

*   Trying [2a01:cb09:2841:4045::500a:b845]:443...
* Server certificate:
*  subject: C=FR; L=ISSY LES MOULINEAUX; O=Orange SA; CN=boutique.orange.fr
*  start date: Sep 14 00:00:00 2025 GMT
*  expire date: Jun  8 23:59:59 2026 GMT

L'ancien :

Code: [Sélectionner]

Revocation Time: Sep 13 00:16:04 2025 GMTDonc, bon, il n'y a pas que nos Firefox pas à jour qui déconnent...

Power · « **Réponse #17 le:** **Aujourd'hui** à 14:10:12 »

« Un certificat SSL qui ne dure pas un an ?!

»

Eh oui, surprenant… sauf quand on sait ce que fait Orange.
Ici, on n’est pas chez Madame Soleil avec un site de voyance auto-signé

.
Orange utilise un système de renouvellement automatique avec chevauchement, autrement dit : ils émettent un nouveau certificat avant même que l’ancien n’expire.

Résultat ?
Le certificat a une durée tronquée volontairement, histoire de ne pas dépasser la durée cumulée autorisée par les autorités de certification.
Mais pourquoi faire simple quand on peut faire (plus) sûr ?
Orange (comme beaucoup d’autres grandes entreprises sérieuses) applique une politique de rotation courte des certificats. En gros :
Ils n’attendent pas 12 mois pour renouveler,
Ils préfèrent faire ça tous les 6 à 9 mois,
Et ils le font automatiquement, sans stress ni alarmes de dernier moment.
Pourquoi ? Parce que : Mieux vaut une clé qui ne traîne pas trop longtemps.

Et bien sûr, pour rester dans les clous des normes sérieuses comme :

- ISO 27001 (sécurité de l’information),
- ANSSI (Référentiel Général de Sécurité),

En résumé : Ce n’est pas un bug, ni un oubli. C’est un choix réfléchi pour une gestion plus propre, plus sécurisée, et surtout automatisée.

Citation de: alain_p le Aujourd'hui à 12:43:24

Avec un certificat qui expirait le 19 Février 2026 ? Il est clair qu'il a été révoqué, pour une raison ou une autre (crainte qu'il ait été compromis ?), puis renouvelé.

En général, le renouvellement automatique (ACME), pour un certificat d'un an, c'est 1 mois avant la date d'expiration.

alain_p · « **Réponse #18 le:** **Aujourd'hui** à 14:27:11 »

Et donc le certificat letsencrypt, tu l'expliques comment ? C'est sûr que c'est encore mieux, lui a une validité de trois mois, comme bientôt préconisé par Google ou Apple ! Cela, c'est une politique sérieuse !

En tout cas, il est clair que le certificat disponible ce matin sur le site des boutiques Orange était un certificat révoqué, ce qui met un gros doute sur la politique "sérieuse" de renouvellement des certificats, et l'automatisme.

Hugues · « **Réponse #19 le:** **Aujourd'hui** à 14:41:31 »

Citation de: Power le Aujourd'hui à 14:10:12

En résumé : Ce n’est pas un bug, ni un oubli. C’est un choix réfléchi pour une gestion plus propre, plus sécurisée, et surtout automatisée.

Ok chatgpt.

Power · « **Réponse #20 le:** **Aujourd'hui** à 14:43:50 »

Ton souci venait du cache de ton navigateur firefox qui conservait l'ancien certificat révoqué.

,
Ce n'est pas compliqué à comprendre ?, tu penses vraiment être plus compétent que les équipes informatiques d’Orange ? mdr

Lorsqu'un navigateur comme Firefox se connecte à un site sécurisé (HTTPS), il doit vérifier que le certificat SSL/TLS du site est valide et non révoqué.
Un certificat peut être révoqué à n'importe quel moment, ici c'est à la discrétion d'Orange.
Deux méthodes principales existent pour vérifier la révocation : CRL et OCSP.

Une CRL est une liste publiée par une autorité de certification (CA) qui répertorie les certificats révoqués. Les mises à jour ne sont pas toujours fréquentes, ce qui peut entraîner un décalage dans la détection des révocations.

OCSP est une méthode plus moderne où le navigateur interroge directement un serveur OCSP (géré par la CA) pour vérifier en temps réel si un certificat est révoqué.
Firefox stocke temporairement les réponses OCSP pour éviter des requêtes répétées, améliorant ainsi la performance.

Citation de: alain_p le Aujourd'hui à 14:27:11

En tout cas, il est clair que le certificat disponible ce matin sur le site des boutiques Orange était un certificat révoqué, ce qui met un gros doute sur la politique "sérieuse" de renouvellement des certificats, et l'automatisme.

Optix · « **Réponse #21 le:** **Aujourd'hui** à 14:47:06 »

Citation de: Optix le Aujourd'hui à 12:29:21

Non mais tu crois vraiment que Mme Michu sait gérer son cache de navigateur ?

alain_p · « **Réponse #22 le:** **Aujourd'hui** à 14:57:46 »

Citation de: Power le Aujourd'hui à 14:43:50

Ton souci venait du cache de ton navigateur firefox qui conservait l'ancien certificat révoqué. ,

Et curl, il garde en cache les réponses OCSP pour les certificats SSL ?

Pegasus38 · « **Réponse #23 le:** **Aujourd'hui** à 15:04:30 »

Citation de: Hugues le Aujourd'hui à 14:41:31

Ok chatgpt.

Tu l'as dit avant moi...

Sinon, vous pouvez tous installez Chrome et non vos navigateurs d'un ancien temps, ayant 1% de part de marchés