Certificats racines SHA1 - cas des serveurs renvoyant la racine

Avec la dépréciation du SHA1 s'est posé le problème des certificats racines signés en SHA1. La signature des certificats racine, contrairement aux certificats intermédiaires et finaux, n'est pas vérifiée, son intégrité étant assurée par les procédures d'audit des navigateurs et des systèmes d'exploitation. Il est donc parfaitement sûr de continuer à les utiliser pour des raisons de compatibilité.

Néanmoins, un cas de figure intéressant se pose : celui des serveurs renvoyant le certificat racine. Ce comportement est non optimal car il augmente la taille des échanges SSL/TLS et renvoyer la racine est en général à éviter. En revanche, il arrive que certains logiciels serveurs aient ce comportement forcé. Dans ce cas, le certificat racine est renvoyé puis vérifié automatiquement par le navigateur.

Un problème se pose lorsque ce certificat est signé en SHA1. Le navigateur va alors émettre une alerte, alors même que ce certificat est présent dans son magasin de certificat racine.

C'est pour cela qu'il convient dans ce cas de commander un certificat signé par une racine SHA2.

Liste non exhaustive de serveurs renvoyant la racine

Voici une liste non exhaustive de serveurs renvoyant la racine, pour lesquels il convient de commander un certificat avec une chaine de certification entièrement en SHA2, racine comprise.

• Blue Coat
• Cegid Web Access Server
• Checkpoint VNP
• Cisco ASA
• Citrix Access Gateway
• Citrix Secure Gateway
• Citrix Netscaler
• Domino
• HAProxy/Aloha
• Zimbra

Liens utiles

• SHA1: Dépréciation de SHA1 prévu pour 2015, 2016, 2017?
• Ce qu'il faut savoir sur SHA256