littleblackbox publie des "clés privées" accessibles sur des firmwares publiquement disponibles. Debian appelle ces certificats "huile de serpent". La plupart de ces routeurs sécurisent leurs certificats HTTPS avec ceux-ci, et comme j'y réfléchis, je n'ai jamais vu un de ces sites Web d'administration interne avec des certificats sans signature.
Avec un serveur Web sur IP 192.168.1.1, comment le sécuriser au point que Firefox ne propose pas d’avertissements (et est toujours sécurisé)?
Réponses:
La réponse dépend entièrement du produit que vous utilisez. Si cela vous permet d'installer votre propre certificat SSL, installez-en un à partir d'une autorité de certification approuvée par votre navigateur (éventuellement votre propre autorité de certification).
Si vous ne pouvez pas remplacer le certificat auto-signé sur le routeur, vous utilisez principalement SOL.
Je ne suis pas sûr qu'il y ait beaucoup de risque réel ici. Le profil d'attaque est plutôt petit. Une personne qui détecte le réseau au bon moment peut obtenir le mot de passe administratif de votre routeur, mais les chances que cela se produise semblent plutôt minimes, à moins que vous vous authentifiiez fréquemment auprès de votre routeur.
Je suppose que Firefox se plaint parce que le certificat est auto-signé, ce qui est généralement le cas.
Pour ce faire, vous pouvez soit ajouter une exception dans FireFox, soit obtenir un certificat valide. La dernière fois que j'ai vérifié, ils ont couru environ 700 $. Et en passant, obtenir un certificat valide pour "192.168.1.1" est impossible car il s’agit d’une adresse IP locale.
Ajouter simplement une exception firefox devrait être une bonne chose, même si… les choses seront toujours cryptées, vous ne serez tout simplement pas à l'abri d'attaques de type "man-in-the-middle".