Auteur Sujet: La banque LCL ne supporte pas TLS 1.2 (Lu 33698 fois)

Sendell · « **le:** 17 octobre 2018 à 23:01:58 »

Hola
Pour visualiser la compatibilité des navigateurs et leur utilisation : https://caniuse.com/#feat=tls1-2 et https://caniuse.com/#feat=tls1-3

J'ai eu la surprise de constater que ma banque me limitait à TLS1.0 pour mon espace client ; leurs recommandations sont pourtant de le désactiver dans son navigateur ! Un coup de SSLLabs ne rassure pas... mais je ne me vois pas vraiment aller en parler au guichet

que faut-il en penser ?

Sendell · « **Réponse #1 le:** 23 octobre 2018 à 12:44:50 »

Hola

Citation de: Sendell le 17 octobre 2018 à 23:01:58

J'ai eu la surprise de constater que ma banque me limitait à TLS1.0 pour mon espace client ; leurs recommandations sont pourtant de le désactiver dans son navigateur ! Un coup de SSLLabs ne rassure pas... mais je ne me vois pas vraiment aller en parler au guichet que faut-il en penser ?

J'étais bien innocent : https://imirhil.fr/tls/#Banques%20en%20ligne $:-\$
Aujourd'hui c'est pour une erreur OCSP que je ne peux plus me connecter à ma banque avec Firefox : SSLLabs rapporte une erreur "OCSP response: Certificate unknown".

vivien · « **Réponse #2 le:** 23 octobre 2018 à 13:28:34 »

Le site principal de LCL est aussi inaccessible chez moi avec Firefox ESR 60.
=> https://particuliers.secure.lcl.fr

Ce sont des experts en chiffrement chez LCL !
Pas de support de TLS 1.1, ni de TLS 1.2 ou TLS 1.3.

Pourtant TLS 1.1 date de 2006 et TLS 1.2 de 2008 :

Voici un tweet de septembre 2015 qui leur demande de mettre en place TLS 1.2 : https://x.com/TLSv12/status/638960272749760513

buddy · « **Réponse #3 le:** 23 octobre 2018 à 13:44:59 »

Citation de: Sendell le 17 octobre 2018 à 23:01:58

Un coup de SSLLabs ne rassure pas... mais je ne me vois pas vraiment aller en parler au guichet que faut-il en penser ?

Tenter ici ?
https://particuliers.lcl.fr/assistance-portail-par/

Sinon je ne sais pas si laisser transiter des données bancaires en TLS 1.0 peut être "rapporté" à des instances de l'état comme "faute" ...

vivien · « **Réponse #4 le:** 23 octobre 2018 à 13:55:37 »

Cela ne fonctionne pas mieux. Sinon ce n'est pas la cause de l’impossibilité d'afficher le site sous Firefox : c'est lié à un problème sur l'OCSP Stapling. Firefox ne pouvant plus savoir si certificat a été révoqué, il bloque l’accès au site web.

Capture wireshark avec Firefox 63 sous Ubuntu 18.10 : (cliquer sur la miniature ci-dessous, Wireshark est nécessaire pour lire le fichier)

Ce qu'il s'affiche avec Firefox 63 :

SSL Decoder :

kazyor · « **Réponse #5 le:** 23 octobre 2018 à 13:56:48 »

Erreur OCSP simplement déjà sur le https://www.lcl.fr/ ...

vivien · « **Réponse #6 le:** 23 octobre 2018 à 14:17:34 »

Pour bien rigoler : LCL vous invite à désactiver TLS 1.0 dans votre navigateur, ce qui rend impossible l’accès à leur site.
=> https://telecharger-releves.secure.lcl.fr/testssl/LCL/tls1.0_details.html
Sérieusement, ils ont testé leurs conseils, ou ils ont recopiés les recommandation du Conseil des normes de sécurité PCI sans voir que cela bloquait l’accès au site ?

Extrait du site de LCL :

Pourquoi arrêter la prise en charge de ce protocole ?

Nous procédons à la désactivation du protocole TLS 1.0 afin de :

Conserver un niveau de sécurité respectant l’état de l’art sur notre plate-forme d'hébergement.
Maintenir des normes de sécurité les plus élevées pour renforcer la protection de vos données.
A ce jour, l'Agence Nationale de la Sécurité des Système d'Information (ANSSI) recommande fortement de ne plus autoriser le protocole TLS 1.0 pour la protection et le chiffrement des flux réseau, ce protocole de chiffrement étant devenu trop faible.

Configurer son navigateur

internet Explorer
1. Dans le menu Outils, cliquez sur Options Internet.
2. Sur l'onglet Avancé, sous Sécurité, vérifer :
- SSL 2.0 = décoché
- SSL 3.0 = décoché
- TLS 1.0 = décoché
- TLS 1.1 = coché
- TLS 1.2 = coché
3. Cliquez sur Appliquer, puis sur OK.

Firefox
1. Dans la barre d'adresse de Firefox, saisir about:config
2. Si une fenêtre de sécurité apparait, cliquer sur Je prends le risque
3. Ensuite rechercher security.tls.version.min et modifier la valeur à 2 pour activer TLS 1.1
4. Ensuite rechercher security.tls.version.max et modifier la valeur à 3 pour activer TLS 1.2

Chrome
1. Dans Google Chrome faire ALT + F, ensuite Paramètres
2. Descendre en bas de la fenêtre et cliquer sur Afficher les paramètres avancés ...
3. Dans la zone Réseau, cliquer sur Modifier les paramètres de proxy
4. Sur l'onglet Avancé, sous Sécurité, vérifer :
- SSL 2.0 = décoché
- SSL 3.0 = décoché
- TLS 1.0 = décoché
- TLS 1.1 = coché
- TLS 1.2 = coché
5. Cliquez sur Appliquer, puis sur OK.

Source : LCL

vivien · « **Réponse #7 le:** 23 octobre 2018 à 14:34:07 »

LCL est un banque du Groupe Crédit agricole et d'autres banques du Groupe Crédit agricole sont touchées par le serveur ossp qui ne répond plus : https://www.ca-centrest.fr/ est lui aussi inaccessible avec Firefox.

tomfibre · « **Réponse #8 le:** 23 octobre 2018 à 14:38:35 »

Citation de: vivien le 23 octobre 2018 à 14:34:07

LCL est un banque du Groupe Crédit agricole et d'autres banques du Groupe Crédit agricole sont touchées par le serveur ossp qui ne répond plus : https://www.ca-centrest.fr/ est lui aussi inaccessible avec Firefox.

Non moi ce site marche sous firefox (mais pas lcl)

vivien · « **Réponse #9 le:** 23 octobre 2018 à 14:41:32 »

Cela refonctionne maintenant pour LCL et le Crédit agricole.

Il reste que TLS 1.2 est désactivé, ce n'est pas possible pour une banque.

dukenono · « **Réponse #10 le:** 23 octobre 2018 à 15:41:54 »

Bonjour,

Pour moi ça ne fonctionne toujours pas. Je n'ai pour le moment rien touché à ma configuration sur Firefox 62.0.3 (Ubuntu 18.04).

vivien · « **Réponse #11 le:** 23 octobre 2018 à 15:51:43 »

Cela ne fonctionne plus de nouveau... (pour moi aussi)