Auteur Sujet: Le certificat TLS https://boutique.orange.fr/ révoqué ! (Lu 2914 fois)

timpera · « **Réponse #48 le:** **Aujourd'hui** à 15:32:26 »

Citation de: vivien le Hier à 20:46:31

Autre oubli d'Orange : créditer OpenStreetMap sur la carte https://reseaux.orange.fr/nos-reseaux/modernisation-des-reseaux/evolution-de-la-telephonie-fixe-et-internet

La honte

edit: ils s'en sont rendus compte, c'est réparé https://github.com/openstreetmap/tile-attribution/issues/141

nicox11 · « **Réponse #49 le:** **Aujourd'hui** à 17:00:27 »

Le certificat "Let's Encrypt" du site vitrine "orange.com" a bien été remplacé par un Digicert.
Le certificat "Let's Encrypt" a bien été revoqué (et donc utilisé moins d'un jour).

Je pense qu'avec tous les messages il n'est plus possible d'affirmer que rien ne s'est passé et qu'il n'y a eu aucun problème.

alain_p · « **Réponse #50 le:** **Aujourd'hui** à 17:20:18 »

Bon après, chez les autres, j'ai remarqué que le site institutionnel Iliad utilisait un certificat Letsencrypt, comme celui de Bouygues.com...

Je pense que c'est surtout sur ceux où l'on vend, où l'on gère ses comptes, qu'un certificat OV est nécessaire...

nicox11 · « **Réponse #51 le:** **Aujourd'hui** à 20:18:03 »

C'est pas tant utiliser let's encrypt le "problème". C'est étrange qu'il y ait eu une journée seulement avec + le soucis de certificat révoqué.

C'est pas anodin quoi, c'est ce que tout le monde remonte.

alain_p · « **Réponse #52 le:** **Aujourd'hui** à 20:26:01 »

Oui, il est très symptomatique d'installer dans l'urgence semble-t-il un certificat Leysencrypt, puis de le révoquer un jour après pour installer un nouveau certificat Digicert.

Il semble que tous les certificats Orange aient été révoqués d'un coup samedi 13, puis renouvelés dans le week-end environ 12h après. Il s'est passé quelque chose de louche.

Mais ce que je soulignais c'est que letsencrypt est à ma surprise utilisé sur des sites institutionnels de grand groupes. Je n'aurais pas cru.

thenico · « **Réponse #53 le:** **Aujourd'hui** à 21:13:01 »

Au mieux, c’était "juste" un incident devops (aka quelqu'un a fait une mauvaise manipulation)
Au pire, Orange a subis une intrusion et on aura la notification CNIL une fois que l'ANSSI aura donné le go.