Défiance envers la PKI Symantec : Action immédiate requise de la part des exploitants de sites web

Mercredi 4 avril 2018

Publié à l’origine sur
Google Security Blog.

Nous
avons annoncé précédemment
des projets visant à supprimer la confiance de Chrome dans l’autorité de certification Symantec (y compris les marques appartenant à Symantec telles que Thawte, VeriSign, Equifax, GeoTrust et RapidSSL). Cet article explique comment les exploitants de sites peuvent déterminer s’ils sont concernés par cette suppression et, le cas échéant, ce qui doit être fait et pour quand. Le fait de ne pas remplacer ces certificats entraînera des dysfonctionnements sur les sites dans les versions futures des principaux navigateurs, y compris Chrome.

Chrome 66

Si votre site utilise un certificat SSL/TLS de Symantec émis avant le 1er juin 2016, il cessera de fonctionner dans Chrome 66, ce qui pourrait déjà avoir un impact sur vos utilisateurs.

Si vous ne savez pas si votre site utilise un tel certificat, vous pouvez prévisualiser ces modifications dans
Chrome Canary pour
voir si votre site est concerné. Si la connexion à votre site affiche une erreur de certificat ou un avertissement dans les DevTools comme indiqué ci-dessous, vous devrez remplacer votre certificat. Vous pouvez obtenir un nouveau certificat auprès de n’importe quelCA de confiance

Le message des DevTools que vous verrez si vous devez remplacer votre certificat avant Chrome 66. Chrome 66 a déjà été publié dans les canaux Canary et Dev, ce qui signifie que les sites concernés ont déjà un impact sur les utilisateurs de ces canaux Chrome. Si les sites concernés ne remplacent pas leurs certificats d’ici le15 mars 2018

, les utilisateurs de Chrome Beta commenceront également à rencontrer des pannes. Il vous est fortement conseillé de remplacer votre certificat dès que possible si votre site affiche actuellement une erreur dans Chrome Canary.

Chrome 70

Le message des DevTools expliquant que vous devez remplacer votre certificat avant Chrome 70. Si vous voyez ce message dans les DevTools, vous voudrez remplacer votre certificat dès que possible. Si les certificats ne sont pas remplacés, les utilisateurs commenceront à voir des erreurs de certificat sur votre site dès le20 juillet 2018

. La première version bêta de Chrome 70 sortira vers le 13 septembre 2018.

Calendrier de sortie prévu pour Chrome

~ 16 octobre 2018
Pour plus d’informations sur le calendrier de sortie d’une version particulière de Chrome, vous pouvez également consulter le
Chromium Development Calendar

qui sera mis à jour si les calendriers de sortie venaient à changer.

Afin de répondre aux besoins de certains utilisateurs professionnels, Chrome implémentera également une politique d’entreprise permettant de désactiver la défiance envers l’ancienne PKI Symantec à partir de Chrome 66. À compter du 1er janvier 2019, cette politique ne sera plus disponible et l’ancienne PKI Symantec ne sera plus digne de confiance pour tous les utilisateurs.

Mention spéciale : Chrome 65
Comme indiqué dans laprécédente annonce

, les certificats SSL/TLS de l’ancienne PKI Symantec émis après le 1er décembre 2017 ne sont plus fiables. Cela ne devrait pas affecter la plupart des exploitants de sites, car cela nécessite de conclure un accord spécial avec DigiCert pour obtenir de tels certificats. L’accès à un site desservant un tel certificat échouera et la requête sera bloquée à partir de Chrome 65. Pour éviter de telles erreurs, assurez-vous que ces certificats ne sont servis qu’aux anciens appareils et non aux navigateurs tels que Chrome.