Bonnes Pratiques Web & Cloud

Getting a certificate for a lower environment could be difficult due to the costing factors, but there is a way by which you can get a wildcard certificate and configure it with your website.

You can implement a PKI solution by using the AD CS Windows Server role. 

PKI (Public Key Infrastructure) is the combination of software, encryption technologies, processes, and services that enables an organization to secure its data, communications, and business transactions. PKI relies on the exchange of digital certificates between authenticated users and trusted resources. You use certificates to secure data and to manage identification credentials from users and computers both within and outside of your organization.

AD CS Windows Server role enables scenarios such as secure wireless network, virtual private network, internet protocol security, network access protection, and encrypting file system.

Today we are going to see how to generate a wildcard certificate. There are two ways: one way is to generate it by using IIS with Internal CA, and another way is to create a wildcard certificate by using MMC with internal CA.  

Vous vous souvenez de mon merveilleux article sans nul égal au sujet de la mise en place d’un certificat SSL Let’s Encrypt à l’aide d’un formidable utilitaire baptisé Certbot ?

Oui, je suis sûr que vous le relisez religieusement au moins une fois par semaine. Et bien bonne nouvelle, l’EFF (Electronic Frontier Foundation) qui est à l’origine de cet outil vient de publier à l’instant la version 1.0 de Certbot.

Sorti initialement en 2015, cet outil libre et open source permet de déployer et mettre à jour les certificats des sites web très facilement. Plus de prise de chou, même pour le néophyte avec cet outil qui permet d’automatiser tout ça.

Looking at a dataset of 350 million ssl connections inspires some initial questions:

L'autorité de certification Let's Encrypt annonce que le très populaire server HTTP Apache supportera bientôt le protocole ACME.

A comprehensive free SSL test for your public web servers.

Comme le certificat « Let’s encrypt » est installé par défaut, votre site web hébergé chez OVH existe désormais en http mais aussi en HTTPS.
Pourquoi ces deux versions de votre site posent-elles un problème ?

Les moteurs de recherche associent le fait d’avoir le même contenu sur plusieurs URL distinctes à une volonté d’améliorer son référencement naturel. La duplication de contenu, ou duplicate content est de ce fait pénalisée par les moteurs de recherche.
Vos efforts pour bien positionner votre site web sur Google risquent de ne plus payer !
Votre site en HTTP ne s’affiche pas correctement. Vous avez peut-être un problème de mixed content. Certains de vos éléments sont encore sur une url en http et de ce fait les navigateurs comme Google Chrome ou Mozilla Firefox ne les chargent pas.

Since March 2016, numerous credit cards and other details have been stolen during payment from dozens of online shops worldwide. Malicious JavaScript code acting as a form grabber or a simple “cloud based” keylogger was injected into breached shops. As buyers filled in their payment details, the data was captured and sent in real time to the attacker.

This means that the information got stolen even if the seller worked according to PCI standards and did not keep credit card details in a database after purchase completion. This method is different than other ways of stealing payment details, such as infecting the buyer’s computer, implanting malware in Point of Sale terminals, or dumping entire databases from breached online shops.

In this post we analyze the malicious code and other parts of the campaign. RiskIQ, who we collaborated with on the investigation, dubbed this campaign Magecart. In parallel to this post, they are publishing a report reviewing other parts of the malicious infrastructure and compromised websites.

Security company Sucuri revealed parts of this campaign back in July 30. Since, the attackers kept registering new domains and used them to host malicious JavaScript files, later injecting them into breached online shops.

Si vous mettez un peu les mains dans le cambouis au niveau de serveurs web et que vous galérez un peu avec la configuration SSL / TLS de ces derniers, voici de quoi vous aider. Tout d’abord, je vous invite à essayer l’outil proposé par Mozilla qui vous permet de générer des fichiers de conf…

Explications sur la disparition des autoritées de certifications controlées par Symantec

Si vous voulez creuser un peu la config SSL d'un site, voici SSLScan, un outil capable de détecter les versions SSL et Cipher (dont TLS) d'un serveur, et remonte les dates de créations et de péremption des certificats. SSLScan peut être compilé sous Linux, Windows et MacOS et en plus de remonter toute la config, permet > Lire la suite