Safari 4.0.4, chaine de certification et racine resignées

Nous avons constaté que Safari 4.0.4 (et probablement les versions antérieures voir supérieures) font une comparaison trop stricte des chaines de certification qui contiennent la racine.

Au lieu de vérifier si la racine est de confiance, Safari vérifie en plus si la racine présentée est identique à la racine de confiance en stock. Hors ceci pose souci avec les certificats racines resignées (par exemple de MD2 à SHA1, voir VeriSign Class 3 Public Primary Certification Authority v2009 ).

La solution de contournement consiste à retirer la racine de la chaine de certification sur le serveur. Ainsi Safari se contente de vérifier que la racine est de confiance, et ne fait pas de comparaison brute.