Utilisateurs de Linux/Debian/Ubuntu, lisez ce qui suit (faille de sécurité annoncée par Debian)
Debian a annoncé le 13 mai dernier un bug sur la génération de clés SSL/SSH occasionnant des créations de clés insuffisamment aléatoires.
Aussi, si vous avez généré des clés via OpenSSL et OpenSSHsur une distribution Debian (ou dérivée de Debian, Ubuntu par ex.) de Linux depuis 2006, nous vous conseillons fortement de faire rapidement la mise à jour de votre serveur, puis de regénérer les clés que vous auriez pu créer entretemps.
Ceci peut constituer une importante faille de sécurité sur vos applications sécurisées.
En ce qui concerne vos certificats SERVEUR signés par l'Autorité de Certification CertiNomis : (Cet avis concerne uniquement nos clients qui ont généré des clés depuis des serveurs utilisant les applications pré-citées. )
Si vous avez généré un certificat serveur, puis que vous l’avez fait signer par CertiNomis (certificats Mercatis ou SSL) depuis OpenSSL sur une distribution Debian, il vous faudra respecter la procédure suivante : 1. mettre à jour votre serveur avec le correctif proposé par votre fournisseur 2. recréer des clés puis générer une nouvelle CSR (requête de signature de certificat), 3. refaire une demande de signature de certificat serveur depuis notre site Internet. Bien entendu, il vous faut faire également une demande de révocation du certificat ainsi remplacé, et dont les clés sont compromises.
Notre opérateur de services de certification nous a confirmé que cette faille n’impactait pas la signature par l’Autorité de Certification CertiNomis. Toutes les clés des utilisateurs de nos certificats sont générées en local, c'est donc localement que la faille peut exister. Les certificats de personne physique (SociéPoste, Sociétis, Person@Poste, Personae, Corporate) ne sont pas concernés pas concernés par cet avis, ceci n'est pas une faille Windows.
Notre service commercial se tient à votre disposition pour tout renseignement complémentaire sur les demandes de certificats serveur.
