20121108 : TBS Internet suspend la vente des produits GlobalSign

TBS INTERNET a suspendu ce soir la vente des certificats serveur GlobalSign.

Une communication plus détaillée interviendra ultérieurement.

Edit 16/11/2012

Le 8 novembre 2012, nous avons découvert que certains certificats GlobalSign annoncés compatible SGC, c'est à dire ayant un chiffrement minimum garanti de 128-bit, ont été fabriqués sans cette extension SGC depuis le 25 juin 2011.

Nous avons immédiatement réagi en suspendant la vente de ces produits et informé nos clients possédant un certificat en cours de validité ainsi que ceux ayant une demande en cours. En parallèle, nous avons actualisé nos sites internet afin de clairement spécifier que les produits Globalsign sont garantis 40-bit (compatible jusqu'à 256-bit).

GlobalSign a tardé à communiquer sur ce changement puisque ses sites web et documents commerciaux proposaient encore le SGC gratuitement il y a quelques semaines. GlobalSign a omis d'avertir TBS internet (tout comme ses autres revendeurs) de ce changement de caractéristique technique avant le 6 novembre 2012.

De notre côté, nous n'avons pas immédiatement communiqué publiquement afin de laisser un temps raisonnable à GlobalSign pour s'exprimer sur cet incident et son origine. Désormais, après une semaine, nous estimons pouvoir communiquer.

Aujourd'hui Henry Krumins, Directeur Commercial de GlobalSign Ltd, nous annonce :

"Nous avons profité du renouvellement de notre certificat racine l’année dernière afin de rectifier un problème inhérent au SSL. La mise à jour de l’intégralité de nos documents marketing mettant en avant ce changement positif a exigé un certain délai (en d’autres termes, un défaut de nos certificats avait été corrigé, mais ce changement n’avait pas été indiqué dans nos fiches techniques etc…)."

Il précise que :

"Les certificats SGC sont dangereux par nature, et GlobalSign travaille assidument à l’amélioration de l’industrie du SSL. Concernant ce point particulier, nous mettons en avant le fait que les certificats sans SGC sont plus sécurisés que les certificats avec SGC. En retirant cet élément, nous visons à protéger nos utilisateurs et leurs clients face à des attaques de fraude potentielles et autres menaces de sécurité, réduisant ainsi les risques."

Et GlobalSign publie une note technique explicative :
http://globalsign.tbs-certificats.com/SGC_and_its_Limited_Value.pdf

Les conséquences pour les détenteurs de ce type de produits

Cela n'altère en rien le bon fonctionnement du certificat installé. Techniquement cela devrait n'avoir que peu d'incidence sur les services ainsi sécurisés: en effet les navigateurs d'aujourd'hui privilégient par défaut une négociation avec un chiffrement maximum, et établissent le plus souvent une connexion chiffrés à 128 ou 256 bits. De plus, la plupart des serveurs mis à jour sont pré-configurés pour définir déjà un chiffrement de 128 bits minimum.

Que faut-il prévoir pour les demandes à venir ?

GlobalSign ne fournira plus de certificat avec garantie 128-bit par défaut, cependant le SGC sera toujours disponible gratuitement sous forme d'option. Les modalités précises d'obtention restent cependant encore floues.

Rappel concernant les détenteurs d'un certificat GlobalSign en cours de validité

Quels sont les produits concernés ?
Tous les certificats SSL serveur GlobalSign émis après le 25 juin 2011.

Configuration serveur
Nous rappelons qu'il est possible de configurer votre serveur pour forcer par défaut le chiffrement 128-bit jusqu'à 256-bit. Voir notre documentation en ligne :

• Configurer Apache pour ne fonctionner qu'en 128-bit
• Configurer Microsoft pour ne fonctionner qu'en 128-bit

Refabrication
GlobalSign indique, même s'il ne le recommande pas, qu'il est possible de passer par une refabrication pour obtenir la version avec SGC de vos certificats en cours de validité.

Pour ce faire, contactez notre support technique.

Quels navigateurs ont un comportement différent ?
La différence de comportement entre un certificat GlobalSign avec SGC 128 bits et 40 bits peut être remarquée sur les rares navigateurs suivants (ayant plus de 10 ans, plus ou peu utilisés aujourd'hui ) :

• Internet Explorer export version 5.01 (Date de sortie, 18/12/2001)
• Netscape version export version 4.51 à 4.72 (Date de sortie Mars 1999)
• les systèmes sous Windows 2000 livrés avant Mars 2001 qui n'ont pas téléchargé le Microsoft High Encryption Pack ou le Service Pack 2 et qui utilisent Internet Explorer

Les navigateurs plus récents que ceux-ci sont nativement en 128-bit ou 256-bit, et fonctionnent donc de la même façon avec ou sans SGC.

TBS internet présente ses excuses à ses clients pour cet incident regrettable, dont la responsabilité repose entièrement sur GlobalSign.

TBS internet est à vos cotés depuis 1996 pour vous apporter le meilleur conseil et service en matière de certification électronique.

Notre role, en tant que leader Français, est de vous proposer les meilleurs produits du marché et nous travaillons avec les autorités de certification pour les améliorer.

Sachez que nous prenons la sécurité très au sérieux.

Nous restons à votre disposition pour répondre à toutes vos préoccupations.