Ayant un peu de temps à perdre, juste pour voir j'ai imprimé qques documents, captures d'écrans, ... et suis allé à mon agence. J'ai essayé de ne pas trop attaquer la pauvre guichetière à coup de PCI-DSS3.2, mais je ne suis pas du tout arrivé à mes fins : le conseiller venu en renfort en a conclu d'un air péremptoire que le problème est dans Firefox, l'absence de TLS1.2 et leur propre conseil de désactiver autre chose n'a pas eu l'air de le heurter (la guichetière montrait sur son visage que si) ; le fait que le support de TLS1.0 disparaisse des navigateurs en 2020 "laisse encore un an" et il semblait ne plus jamais avoir entendu parler de PCI-DSS quand j'ai évoqué de la fin de TLS1.0 en juin dernier. Problème réglé, ça c'est un mec efficace !
Bon blague à part je ne m'attendais pas non plus à un miracle (il ne faudrait pas en attendre moins de leur part semble-t-il), mais juste un début de reconnaissance d'un problème de leur côté m'aurait semblé convenable.
Pour bien rigoler : LCL vous invite à désactiver TLS 1.0 dans votre navigateur, ce qui rend impossible l’accès à leur site.
=> https://telecharger-releves.secure.lcl.fr/testssl/LCL/tls1.0_details.html
Sérieusement, ils ont testé leurs conseils, ou ils ont recopiés les recommandation du Conseil des normes de sécurité PCI sans voir que cela bloquait l’accès au site ?
Extrait du site de LCL :
Pourquoi arrêter la prise en charge de ce protocole ?
Nous procédons à la désactivation du protocole TLS 1.0 afin de :
Conserver un niveau de sécurité respectant l’état de l’art sur notre plate-forme d'hébergement.
Maintenir des normes de sécurité les plus élevées pour renforcer la protection de vos données.
A ce jour, l'Agence Nationale de la Sécurité des Système d'Information (ANSSI) recommande fortement de ne plus autoriser le protocole TLS 1.0 pour la protection et le chiffrement des flux réseau, ce protocole de chiffrement étant devenu trop faible.
Oui ce coup là est mon préféré, de loin ! Je vais adorer les embêter avec "mais j'ai suivi vos recommandation, pourquoi ne les respectez-pas vous-même"