Base de Connaissances

Tous les certificats SSL publics émis pour des noms internes et des adresses IP réservées
ont expiré avant le 1er novembre 2015.

En novembre 2011, le CA/Browser Forum (CA/B) a adopté les Baseline Requirements for the Issuance and Management of Publicly-Trusted Certificates, entrées en vigueur le 1er juillet 2012. Ces exigences précisent notamment que:

• Les autorités de certification (CA) doivent informer les demandeurs, avant l’émission d’un certificat, que l’utilisation de certificats dont l’extension Subject Alternative Name (SAN) ou le champ Subject Common Name contient une adresse IP réservée ou un nom de serveur interne est désormais déconseillée par le CA/B.
• Les autorités de certification ne doivent pas émettre de certificat dont la date d’expiration est postérieure au 1er novembre 2015 si son extension SAN ou son champ Subject Common Name contient une adresse IP réservée ou un nom de serveur interne.

Pour plus d’informations, cliquez ici.

Contexte

Le CA/Browser Forum est une initiative collaborative réunissant les autorités de certification (des entreprises comme DigiCert®, qui émettent des certificats publics) et les éditeurs de navigateurs web (des entreprises comme Mozilla ou Microsoft, qui permettent l’établissement de connexions sécurisées).

Les exigences de référence empêchent les autorités de certification d’émettre des certificats pour des noms internes dont la date d’expiration est postérieure au 1er novembre 2015. Après cette date, il est devenu impossible d’obtenir un certificat publiquement reconnu pour un nom d’hôte qui ne peut pas être vérifié publiquement.

Ces exigences imposent également aux autorités de certification (CA) de supprimer progressivement l’émission de certificats SSL destinés aux noms de serveurs internes ou aux adresses IP réservées et de révoquer tous les certificats contenant des noms internes. Le CA/B exigeait que toutes les autorités de certification révoquent ces certificats au plus tard en octobre 2016.

Ces exigences de référence ont également été intégrées aux normes internationales d’audit. Elles ont été incluses dans les référentiels d’audit WebTrust et ETSI applicables aux autorités de certification à compter du 1er janvier 2013. Une fois ces exigences adoptées, les navigateurs exigent qu’une autorité de certification soit auditée et certifiée conforme à ces exigences avant le renouvellement de son certificat racine.
 

Qu’est-ce qu’un nom interne?

Un nom interne est un nom de domaine ou une adresse IP faisant partie d’un réseau privé. Parmi les exemples courants de noms internes figurent:

• Tout nom de serveur utilisant un suffixe de domaine non public, par exemple www.contoso.local ou server1.contoso.internal.
• Les noms NetBIOS ou les noms d’hôte courts, c’est-à-dire tout nom ne comportant pas de domaine public, par exemple Web1, ExchCAS1 ou Frodo.
• Toute adresse IPv4 appartenant à la plage définie par la RFC 1918.
• Toute adresse IPv6 appartenant à la plage définie par la RFC 4193.
   

Quelles sont les conséquences pour vous?

Si vous êtes administrateur de serveurs utilisant des noms internes, vous devez soit reconfigurer ces serveurs afin qu’ils utilisent un nom public, soit utiliser un certificat émis par une autorité de certification interne avant la date limite de 2015. Toutes les connexions internes nécessitant un certificat publiquement reconnu doivent utiliser des noms publics et vérifiables (que ces services soient accessibles publiquement ou non).

Veuillez noter qu’en juin 2011, l’ICANN a approuvé le programme des nouveaux domaines génériques de premier niveau (gTLD), qui permet aux organisations, aux particuliers et aux gouvernements de demander leurs propres extensions de domaine. Cette évolution a eu un impact sur de nombreux certificats SSL utilisant des noms internes avant la date limite fixée pour leur abandon. En savoir plus sur les nouveaux gTLD et leurs conséquences potentielles.

Reconfigurer les applications afin qu’elles n’utilisent plus de noms internes

Selon les applications utilisées dans votre environnement, il peut être possible de les reconfigurer afin qu’elles n’aient plus besoin de noms internes. Étant donné que les noms internes sont principalement utilisés dans les environnements Microsoft Exchange, DigiCert a développé un outil gratuit de gestion des noms internes pour Microsoft Exchange. Cet outil est spécialement conçu pour vous aider à reconfigurer AutoDiscover interne et les points de connexion des services Exchange afin qu’ils utilisent des noms publics. Il n’est pas nécessaire de disposer d’un certificat DigiCert pour utiliser cet outil. Vous pouvez également effectuer cette opération manuellement en suivant les instructions disponibles sur cette page.