20101112: VeriSign notifie d'un souci de délivrance des certificats SGC

VeriSign nous informe que suite à la migration de racines du 10 octobre dernier, un souci a été découvert dans la chaine de certification fournie. Ce souci affecte les certificats émis via TBS internet entre le 10 octobre 2010 et le 11 novembre 2010:

• VeriSign Secure Site Pro
• VeriSign Secure Site Pro EV
• Thawte SuperCert

Le souci se situe au niveau d'un certificat intermédiaire, qui ne comportait pas toutes les extensions nécessaires pour obtenir le forçage à 128-bit sur les navigateurs Netscape de 4.0.1 à 4.7.

Afin d'obtenir le niveau de chiffrement garanti à 128-bit sur ces navigateurs Netscape, il faut remplacer le certificat intermédiaire incomplet ( VeriSign Class 3 PPCA G5 (cross) v2010-1 ) par le nouveau certificat intermédiaire ( VeriSign Class 3 PPCA G5 (cross) v2010-2 ).

Pour se faire, vous pouvez retourner sur votre page statut ( Aller sur votre page statut ) et re-télécharger votre chaine de certification. Suivant votre logiciel serveur, vous pouvez soit:

• remplacer le fichier de chaine par le nouveau,
• ou spécifiquement remplacer le certificat intermédiaire dénommé subject=/C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc. - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5

VeriSign a publié cette note technique afin d'assister le remplacement sur les plateformes Microsoft IIS.

Bien que ce ne soit pas nécessaire, certains préférerons refabriquer leur certificat pour suivre de nouveau tout le processus d'installation (avec la nouvelle chaine), voir Refabrication .

Comment savoir si je suis impacté ?
Nous avons envoyé un email à chaque client concerné le 12 novembre 2010.

Je suis un client TBS-internet, suis-je vraiment impacté ?
Si vous avez suivi uniquement les instructions d'installation fournies par TBS Internet, vous n'êtes probablement pas impacté. En effet, TBS Internet n'a jamais diffusé à ses clients le certificat incriminé ( VeriSign Class 3 PPCA G5 (cross) v2010-1 ) mais utilisait le VeriSign Class 3 PPCA G5 (cross) v2009 , qui lui fonctionne bien sous Netscape 4.x comme sur les autres plateformes. Vérifiez bien votre chaine de certification en cas de doute.

Que se passe t'il si je ne fais pas la mise à jour ?
Votre certificat continuera à fonctionner normalement, avec le forçage à 128-bit, sauf pour les Netscape 4.0.1 à 4.7, qui resteront dans un niveau de chiffrement inférieur.

Est-ce que VeriSign a publié une information officielle concernant ce problème ?
OUI: Notice VeriSign et Notice Thawte