20170808 - Des évolutions majeures chez Symantec
Comme annoncé dans différentes communications dernièrement, les certificats émis par les autorités du Groupe Symantec (Symantec, Thawte et Geotrust) seront prochainement soumis à de nouvelles règles en vue de maintenir leur reconnaissance sur les navigateur Google Chrome et Firefox.
FOCUS - Les certificats principalement visés sont ceux ayant été délivrés avant le 1er juin 2016. Ces derniers cesseront d'être reconnus sur les outils Chrome à partir de Mars 2018 (version 66 de Chrome).
Nouvelle plateforme
Il s'agit de la mesure phare des sanctions imposées par Google : la mise en place d'une nouvelle PKI (Public Key Infrastructure) devant remplacer la PKI Symantec dans l'émission de tous les certificats du groupe.
Les certificats en cours de validité devront être ré-émis via cette nouvelle plateforme. Ils devront alors être réinstallés ainsi que la chaîne de certification complète. Cette PKI devrait idéalement être fonctionnelle au 1er décembre 2017.
Nous ne connaissons pas encore les détails concernant les nouvelles chaînes de certification ni même si elles permettront la certification croisée avec les racines Symantec.
Une fois la PKI accessible, tous les certificats émis avant le 1er juin 2016 et expirant après le 13 septembre 2018 devront être ré-émis (idéalement entre décembre 2017 et mi-mars 2018).
Enfin, tous les certificats émis avant décembre 2017 devront être refabriqués entre décembre 2017 et mi-septembre 2018 (avant la sortie de la version 70 de Chrome).
Update 20170913 : Symantec commence à communiquer sur sa nouvelle PKI et confirme qu'elle sera disponible au 1er décembre 2017. Symantec nous apprend que 2 nouvelles racines Symantec seront créées (une RSA, l'autre ECC) et que de nouveaux intermédiaires Symantec, Thawte et Geotrust seront signés par ces racines. Il est prévu des intermédiaires spécifiques aux certificats DV, OV et EV pour chaque marque du Groupe.
Comment savoir si vous êtes concerné ?
Un e-mail sera envoyé pour chaque certificat entrant dans l'une des cases nécessitant une refabrication. Celui-ci vous indiquera les dates à respecter pour la refabrication de vos certificats.
Un listing des certificats à refabriquer apparaîtra également dans vos comptes client (pour les clients possédant un espace de gestion) et une alerte sera affichée sur les pages statut des certificats concernés (dès que le certificat sera en période de refabrication).
Quelles conséquences si vos certificats ne sont pas refabriqués ?
Les certificats émis avant le 1er juin 2016 seront rejetés par Chrome (version 66) à partir de mars 2018 (ils seront signalés aux développeurs utilisant DevTools à partir d'octobre) et par Firefox (version 60) à partir de mai 2018. Quant aux autres certificats, s'ils n'ont pas été émis sur la nouvelle PKI prévue pour décembre 2017, ils ne seront plus reconnus dès la sortie de la version 70 de Chrome prévue fin 2018 ainsi que par la version 63 de Firefox en décembre 2018.
Calendrier
- Certificats émis avant le 01-06-2016
- expiration après le 13-09-2017 : refabrication conseillée entre décembre 2017 et mi-mars 2018
- expiration après le 15-03-2018 : refabrication conseillée dès maintenant - Période à privilégier : avant le 1er décembre 2017
- Certificats émis après le 01-06-2016
- expiration après le 13-09-2017 : refabrication conseillée entre décembre 2017 et mi-septembre 2018 - Période à privilégier : entre le 15 mars 2018 et mi-septembre 2018
- Certificats valides 3 ans émis après le 01-01-2017
- refabrication conseillée entre le 1er décembre 2017 et le 15 février 2018
Vous souhaitez conservez des certificats sur une chaîne Symantec ?
Alors commandez ou renouvelez avant décembre 2017. Dès décembre 2017, il ne sera plus possible d'obtenir de certificat sur une chaîne de certification Symantec. Attention cependant : toute refabrication après décembre 2017 entraînera le rattachement de ces certificats à une nouvelle chaîne.
Rappel : les certificats "ancienne chaine" ne seront pas reconnus sur Chrome et Firefox fin 2018.