juin 2020 - Uwe Gradenegger

Chrome et Safari limitent les certificats SSL à un an de validité

Apple a récemment annoncé que le navigateur Safari n'acceptera désormais plus que les certificats d'une durée de validité de 398 jours, à condition qu'ils aient été émis à partir du 1er septembre 2020.

Mozilla et Google souhaitent implémenter un comportement similaire dans leurs navigateurs. La question se pose donc de savoir si cette modification aura des répercussions sur les autorités de certification internes, c'est-à-dire si, à l'avenir, les certificats SSL internes devront également respecter ces règles, comme c'est le cas par exemple pour l'application du RFC 2818 comme cela a été le cas avec Google.

Continuer la lecture

Bibliographie et autres ressources sur les infrastructures à clé publique et les services de certificats Active Directory

Vous trouverez ci-dessous un aperçu de la littérature disponible sur le marché concernant les infrastructures à clés publiques et les services de certificats Active Directory, ainsi que des ressources en ligne de Microsoft et d'autres spécialistes PKI.

Continuer la lecture

Problèmes de performance lors de l'audit des "Start and stop Active Directory Certificate Services

Lors de la configuration des paramètres d'audit d'une autorité de certification, on est tenté de sélectionner l'option „ Démarrer et arrêter les services de certificats Active Directory “. Cette option peut toutefois poser des problèmes dans certaines circonstances.

Continuer la lecture

Plus qu'un nom commun (Common Name, CN) dans le certificat

De nos jours, cela relève davantage de la curiosité que de la pratique, mais il arrive parfois que l'on reçoive des demandes de certificats contenant plus d'un nom commun (Common Name) dans l'objet (Subject). Même si cela peut paraître étonnant, cela est tout à fait possible et conforme à la norme RFC.

Continuer la lecture

Le module SMTP Exit ne fonctionne pas sur Windows Server Core

Supposons le scénario suivant :

Un service de certification est installé sur Windows Server Core.
Le SMTP fourni avec l'autorité de certification est utilisé. Module de sortie configuré.
Cependant, l'organisme de certification n'envoie pas d'e-mails.
Dans le journal des événements, le Événement n° 46 avec le message d'erreur suivant :

The "Windows default" Exit Module "Initialize" method returned an error. Class not registered The returned status code is 0x80040154 (-2147221164). The Certification Authority was unable to initialize email messaging objects.

Continuer la lecture

Autoriser la demande d'une clé de signature spécifique auprès d'une autorité de certification

L'autorité de certification Microsoft signe toujours les certificats avec la clé associée au certificat d'autorité de certification le plus récent. Le certificat de signature pour une réponse OCSP doit être conforme à RFC 6960 mais être signés par la même clé que le certificat à vérifier :

L'autorité de certification DEVRAIT utiliser la même clé d'émission pour émettre un certificat de délégation que celle utilisée pour signer le certificat dont la révocation est vérifiée.
https://tools.ietf.org/html/rfc6960#section-4.2.2.2

Si le certificat de l'autorité de certification est renouvelé et qu'une nouvelle paire de clés est utilisée, il est toutefois nécessaire que le répondeur en ligne conserve les certificats de signature valides pour les certificats délivrés avec le certificat précédent de l'autorité de certification, car ceux-ci restent valides et doivent être vérifiés pour voir s'ils ont été bloqués.

Continuer la lecture

La demande de certificat échoue avec le message d'erreur „ Le système ne trouve pas le fichier spécifié. 0x80070002 (WIN32 : 2 ERROR_FILE_NOT_FOUND) “.“

Supposons le scénario suivant :

Une demande de certificat est envoyée à une autorité de certification.
La demande de certificat échoue avec le message d'erreur suivant :

Error Parsing Request The system cannot find the file specified. 0x80070002 (WIN32: 2 ERROR_FILE_NOT_FOUND)

Continuer la lecture