Après être passé en connexion chiffrée avec SSL/TLS sur mon serveur perso dovecot de distribution de mail, ainsi que sur mon serveur sendmail de récupération et d’envoi de mail, il me restait à m’occuper de mon serveur d’authentification basé sur OpenLDAP et de mon serveur web Apache local.

C’est chose faite à présent. Pour OpenLDAP ça se fait en deux étapes, il faut d’abord créer un certificat pour le serveur et activer les connexions chiffrées (voir par là). Ensuite pour l’authentification utilisateur, il faudra sur les clients modifier la configuration du serveur nslcd pour forcer la connexion chiffrée (voir par ici). Pour le serveur web Apache, il faut également créer un certificat et modifier la configuration d’Apache pour activer la possibilité de se connecter via SSL/TLS, à voir par là.

Inconvénient de la méthode, en théorie un certificat doit être certifié par une autorité qualifiée de certification (en anglais CA pour Certificate Authority en anglais). Le CA est un tiers de confiance qui d’authentifier l’identité des correspondants, ça évite ainsi de tomber  dans un chausse trappe et de protéger l’échange de ses données. Or c’est une démarche qui n’est pas gratuite, de fait en créant dans son coin son infrastructure à clés publiques (Public Key Infrastructure PKI en anglais) et en générant un certificat,  en l’auto signant, il ne vaut pas grand chose sur internet et il faudra l’accepter ensuite comme une exception de sécurité.

Ça peut le faire sur un réseau privé car on maîtrise ce que l’on fait, mais c’est plus gênant si le service concerné est accessible d’internet. Il existe néanmoins des autorités qui délivrent gratuitement des services, pour un serveur web il existe Let’s Encrypt. La création du certificat se fait de manière simple en lançant un script dans un shell. Let’s encrypt ne gère pour l’instant que les certificats de serveur web. Sinon il existe selso.com et startssl.com. Pour le premier, je suis un peu dubitatif, le site a l’air vieillot, limite abandonné et quand on va sur une page sécurisée, le certificat n’est plus valide et il faut accepter une exception de sécurité ! Ça fait pas très sérieux, le deuxième a l’air plus convainquant.