Ssl0.ovh.net : impossible de vérifier l'identité serveur

Autor

Bonjour, j'ai le même souci en voulant accéder au site ovh avec Safari sous os x. Je suis actuellement connecté avec Chrome et cela fonctionne. Par contre j'ai un message de "discordance de nom d'hôte" dans ma messagerie mail sous mac os x, sur mes trois domaines hébergés chez ovh. Impossible donc de relever mes boîtes mail depuis l'application mail. Toute information à ce sujet est la bienvenue. Merci.

Hilfreich (0)

Autor

Sectigo est une "nouvelle" boite.
Anciennement COMODO. Du coup, changement de nom, clé RSA non valide et c'est normal sinon bonjour les attaques de type MITM (Man In The Middle)

Hilfreich (0)

```text ```text
nmap -p 443 --script ssl-cert ssl0.ovh.net
Subject: ssl0.ovh.net
Issuer: COMODO RSA Domain Validation Secure Server CA
start: 2018-05-21T00:00:00
end: 2019-05-21T23:59:59
Subject Alternative Name:
ssl0.ovh.net
www.ssl0.ovh.net
``` ```

Hilfreich (0)

> From January 14 2019, Sectigo certificates are issued from a different root certificate and new intermediate certificates. In order to make a full transition to the new Sectigo brand, the Comodo Root CA will be replaced by the USERTrust Root CA. This root has been around since 2010, and because it is cross signed by the current AddTrust Root has a browser support similar to that of the Comodo Root CA.

> The RSA USERTrust CA is not supported by certain old systems, like MacOS 10.11 devices and lower, and some older Android devices. In this case an error will be shown to website visitors. How can you fix this? The easiest and best way is updating your systems. Next to this, there is a temporary solution that works until early 2020: using a cross signed intermediate certificate

je ne sais pas pourquoi on ne voit pas les mêmes certificats, mais c'est encore comodo
d'ici lundi il sera affiché sectigo, mais le root, **le même depuis 2010**, n'est pas sensé changer

https://www.xolphin.com/support/FAQ/Transition_from_Comodo_CA_to_Sectigo

Hilfreich (0)

Bonjour Même soucis depuis hier sur l'iPad, qui n'arrête pas de me faire des alertes au point qu'il en devient inutilisable vu trois comptes mail OVH actifs... Je songe à désactiver ces comptes sur l'iPad.
Sur l'iPhone et le Mac, pas ce problème !?! A part parfois que Mail sur le Mac me demande le mot de passe, qui par la suite est refusé, mais très rarement...
Il doit y avoir des "absences" côté serveur, j'imagine.
N.B.
- Au lieu des références OVH, sur l'iPhone et l'iPad, j'ai pop3.monnomdedomaine (auquel est relié la boîte mail). Mais jusqu'ici, ça marchait.
- Hier, j'ai tenté d'activer ssl via l'interface, sur un nom de domaine. Mais cela m'a donné une erreur et n'a donc pas fonctionné. Je me demandais si ça pouvait avoir un rapport, mais ça m'étonnerait que tout le monde ait eu l'idée en même temps que moi, même si c'est suite à une mise à jour de Wordpress où ils conseillaient de le faire...

Hilfreich (0)

DenisB15

Bonjour, idem pour moi sur Iphone, le même message " verification serveur impossible "
sur l'ordi j'ai accepté et ça remarche, mais je ne sais pas comment le faire sur l'Iphone.
Pb depuis vendredi midi environ. SVP OVH aidez-nous !

Hilfreich (0)

Jean-CharlesA1

Bonjour, même problème, qui devient vraiment ennuyeux: le message rend impossible l'utilisation de mail sur Iphone/Ipad tant il s'affiche souvent. Ovh, pourriez-vous réagir rapidement ? nous sommes manifestement nombreux dans ce cas...

Hilfreich (0)

MaximeL27

Bonjour ! J'ai exactement le même problème et ça commence à sérieusement m'agacer... Merci de faire quelque chose, c'est pas possible que ce problème traine sans correctif de la part d'OVH, je suis sûr qu'Octave a le même problème sur son iPhone.

Hilfreich (0)

ArthasMenethil

Avec le serveur ssl0.ovh.net, tu as le même problème ?

Parce que, en dehors du certificat qui expire bientôt, l'identité du serveur est bonne à priori, c'est plutôt Apple qui semble s'exciter pour pas grand chose.

Hilfreich (0)

BorisM

```
POPs
nmap -p 995 --script ssl-cert ssl0.ovh.net
| Not valid after: 2020-05-13T23:59:59

IMAPs
nmap -p 993 --script ssl-cert ssl0.ovh.net
| Not valid after: 2020-05-13T23:59:59

SMTPs
nmap -p 465 --script ssl-cert ssl0.ovh.net
| Not valid after: 2019-09-20T23:59:59

IMAP
nmap -p 143 --script ssl-cert ssl0.ovh.net
| Not valid after: 2020-05-13T23:59:59
```
Apparemment tous les certificats sont OK, mais il y a peut être besoin de relancer les serveurs mail car certains viennent juste d'être renouvelés

Hilfreich (0)

Perso, en attendant d'avoir le temps de chipoter, j'ai désactivé SSL, ce qui a au moins rendu l'iPad réutilisable (les alertes s'affichant sans fin au milieu de l'écran même quand Mail n'est pas actif...).

Hilfreich (0)

Dans les Réglages/Mots de passes et comptes, choisir le compte mail qui pose problème.
Ensuite, cliquer sur la case qui comporte l'adresse mail.
Dans la fenêtre suivante, en bas, cliquer sur "avancé".
Dans les réglages de réception, en bas de la fenêtre suivante, cliquer sur le curseur en face de "utiliser ssl".

N.B.( _pour tout le monde. Il semblerait que ce soient les dernières mises à jour de iOS (12.3) et peut-être bien de macOS (10.14.5), sorties cette semaine, qui auraient des problèmes avec les certificats, ou du moins, qui serait plus pointilleuses à leur sujet, course à la sécurité oblige..._)
Conclusion hâtive de ma part mises à jour faites ce soir sur l'iPhone et le Mac et plus de problèmes après avoir indiqué comme hôte: ssl0.ovh.net au lieu des "Nicnames" correspondant à mes noms de domaines.

Je n'ai en effet pas de problème avec l'iPhone et le Mac pas encore mis à jour...

Hilfreich (0)

Autor

Bonjour à tous,
Je suis sur Yosemite avec un macbook pro de 2011 et je rencontre les problèmes quand même.
Je ne suis pas très au clair avec ces notions de certificats, il est tentant de cliquer sur "se fier" pour que tout rentre dans l'ordre, mais si je le fais je ne vois pas l'intérêt d'avoir un certificat sensé protéger d'un accès non autorisé.

Je lis que OVH doit renouveler ses certificats, ou bien que Apple fait de la course à la sécurité. Concrètement, je fais quoi de mon côté du circuit ??

Merci pour vos réponses,

Hilfreich (0)

> Je lis que OVH doit renouveler ses certificats, ou bien que Apple fait de la course à la sécurité.

ni l'un, ni l'autre
Ovh a ses certificats à jour
Apple se fout de la sécurité s'il ne met pas à jour les autorités de certification (mais on me dit qu'il faut racheter régulièrement chez Apple?)
donc ne pas se fier au produits Apple, utiliser des logiciels indépendants aptes à gérer correctement les certificats?

Hilfreich (0)

Racheter des certificats? Jamais entendu parler de ça en 25 ans de Mac.

Si c'est côté machines, je viens de voir l'iMac de 2009 d'un cousin toujours impeccable (le Mac en tout cas ;-) , qui a tourné avec la dernière version de l'OS...
Il y a toujours eu beaucoup de légendes qui ont circulé sur Apple par des gens qui ne connaissent pas leurs produits.

Hilfreich (0)

je ne vois pas écrit "acheter des certificats"?

c'est à ton fournisseur de soft/système de mettre à jour les autorités de confiance
certains fournisseurs ne le font pas, car ils préfèrent que tu rachètes du matériel neuf
mais je ne fais que répéter ce qui se dit; je n'ai pas les moyens d'acheter tous les X années du Apple

Hilfreich (0)

**Résolution finale (pour moi et j'espère pour tous):**
Bon, maintenant que j'ai pu y regarder un peu plus longtemps, résolution du problème chez moi: j'aurais dû appliquer directement la **solution suggérée par la question de ArthasMenethil:** (merci à lui)
En remplaçant, pour le nom de l'hôte, les pop3.mon nom de domaine et autres par: ssl0.ovh.net après avoir réactivé "utiliser SSL", tout roule.

Hilfreich (0)

Ce qui se dit est bizarre... les certificats, c'est du "soft" et les mises à jour sont souvent disponibles plus longtemps sur Mac et "iDevices" que côté Androïd et Windows, même si vu l'impact plus fort dans la presse quand on parle de Apple on associe souvent obsolescence programmée et Apple.

Hilfreich (0)

> ssl0.ovh.net

c'est une évidence si tu avais des CNAME (bricolage suranné dans les zones Ovh), mais c'est un souci SSL depuis longtemps, ça n'a (aurait) jamais dû fonctionner en SSL

sauf que tu risques d'être déçu: https://community.ovhcloud.com/community/fr/ssl0-ovh-net-impossible-de-verifier-l-identite-serveur?id=community_question&sys_id=e1e33940f51646d02d4c5f7a9ab36128
actuellement il y a plusieurs certificats, qui seront bientôt TOUS au nom de Sectigo, donc il faut que le système ou les logiciels sachent appréhender cette autorité

Hilfreich (0)

ici ça parle d'un souci Apple/serveur Ovh

si tu parles de ton domaine mal configuré, qui ne peut donc pas avoir de SSL, il serait mieux d'ouvrir ton sujet dans hébergement

Hilfreich (0)

BenoitC24

Bonjour à tous, le gros soucis est que quand on bascule sur ovh.net au lieu de notre ancien pop, l'iphone efface tout nos anciens mails! (+ de 6000 pour moi d'effacés !!) et me proposer de m'en renvoyer…. 12000! autant dire que ça fait bcp sur un 32Go... Vraiment ça saoule !!

Hilfreich (0)

Autor

Bonjour,
Pour ma part cela ne résout rien du tout. La seule alternative a été de télécharger un autre client messagerie (je teste polymail) et là cela fonctionne avec ssl0.ovh.net.
Avec Mail et Safari de Yosemite, rien à faire, cela ne fonctionne pas. Je n'ai pas encore osé cliquer sur "se fier au certificat" dans la fenêtre d'alerte.
Je crois que je vais télécharger un navigateur open source...

Si quelqu'un a de nouvelles infos, qu'il les partage !

Merci pour vos collaboration,

Hilfreich (0)

Autor

Oui, par contre Chrome ne veut plus non plus reconnaître le certificat comme valide, ce qu'il faisait jusqu'à hier. J'ai téléchargé un autre navigateur open source et le même problème survient. Donc j'ai été obligé de valider le certificat pour pouvoir me connecter sur cette interface (avec safari cette fois). Ca ne me plaît pas bien, mais c'est le seul choix que j'ai, à moins de faire la mise à jour de l'OS ? Pour rappel, je suis en OS 10.10.5 sur un mac de 2011.

Edit : J'ai essayé plusieurs navigateurs et cela fonctionne avec Firefox, même avec les certificats non valide. Je me pose des questions : comment le fait de changer de logiciel puisse-t-il influencer la validité des certificats ? J'ai bien compris que la plupart des logiciels utilisaient les certificats du système, mais pour ceux qui ne le font pas, où vont-il chercher l'info que la connexion est sécurisée ? Je dois faire confiance à l'hôte (en l'occurence ovh.com) ? Si c'est le cas, pourquoi ne pas simplement valider manuellement de mon côté les certificats système ? Et donc à quoi servent les certificats système ?

Hilfreich (0)

Chrome (et donc 90% des autres navigateurs) s"appuient peut-être sur les autorités définies dans le système?
pour les navigateurs, essayer un de la famille Mozilla?

(je ne connais pas le système Mac, je ne parle que de principe)

Hilfreich (0)

Bonjour, la même alerte pour récupérer nos emails dans une de nos applications.
Certificate failure for ssl0.ovh.net: self signed certificate in certificate chain: /C=US/ST=New Jersey/L=Jersey City/O=The USERTRUST Network/CN=USERTrust RSA Certification Authority (errflg=2)
Cela fait maintenant 4Jours... OVH pourrait nous faire un retour sur cette question de certificat et de sécurité.
Merci Patrick

Hilfreich (0)

> OVH pourrait nous faire un retour sur cette question

en même temps cela ne les concerne pas, leurs certificats à ce jours sont valides...

comme dit dans le lien donné message 13:

> In order to make a full transition to the new Sectigo brand, the Comodo Root CA will be replaced by the USERTrust Root CA. This root has been around since 2010

USERTrust RSA est bien l'autorité du certificat que tu vois
pourquoi ne pas appeler Apple pour leur demander de mettre à jour?
depuis 2010, ils pourraient peut-être y penser?
à moins que en 2010 ils ne se soient déjà dits qu'en 2019 les clients n'auront qu'à racheter?

mozilla:

debian:
```text
ls -1 /etc/ssl/certs/USERTrust_*
/etc/ssl/certs/USERTrust_ECC_Certification_Authority.pem
/etc/ssl/certs/USERTrust_RSA_Certification_Authority.pem
```

windows...
je suis prêt à parier une bière que W7 sorti en 2009 je crois a été mis en jour

Hilfreich (0)

> OVH pourrait nous faire un retour sur cette question

en même temps cela ne les concerne pas, leurs certificats à ce jours sont valides...

comme dit dans le lien donné message 13:

> In order to make a full transition to the new Sectigo brand, the Comodo Root CA will be replaced by the USERTrust Root CA. This root has been around since 2010

**USERTrust RSA** est bien la racine de l'autorité du certificat que tu vois
pourquoi ne pas appeler Apple pour leur demander de mettre à jour?
depuis 2010, ils pourraient peut-être y penser?
à moins que en 2010 ils ne se soient déjà dits qu'en 2019 les clients n'auront qu'à racheter?

mozilla:

debian:
```text
ls -1 /etc/ssl/certs/USERTrust_*
/etc/ssl/certs/USERTrust_ECC_Certification_Authority.pem
/etc/ssl/certs/USERTrust_RSA_Certification_Authority.pem
```

windows...
je suis prêt à parier une bière que W7, sorti en 2009, a été mis en jour

Hilfreich (0)

Salut Kyodev, Je ne suis pas sur Apple mais sur une debian et j'utilise ssl0.ovh.net pour recuperer sur ce serveur via une de nos application nos emails. Et depuis vendredi/samedi nous avons ce message d'erreur. Effectivement, je n'ai pas les certifications USERTrust_* dans mon répertoire /certs/
Comment pouvons les obtenir sous debian.
Cdlt,
Patrick

Hilfreich (0)

je suis sous debian...
quelle version as tu ? `cat /etc/debian_version`
as tu le paquet ca-cert? (je ne suis même pas sûr que ça soit le bon)
`dpkg -l ca-cert* | grep ^ii`

Hilfreich (0)

dpkg -l ca-cert* | grep ^ii

~$ dpkg -l ca-cert* | grep ^ii
ii ca-certificates 20090814+nmu3squeeze1 Common CA certificates
ii ca-certificates-java 20100412 Common CA certificates (JKS keystore)

Hilfreich (0)

USERTrust_RSA_Certification_Authority

Pour ceux qui comme moi... ont un serveur historique dont la mise à jour pourrait poser quelques soucis...

on peut passer outre la validation du certificat via
$mbox = imap_open ("{localhost:110/pop3/novalidate-cert}", "user_id", "password");
ou pour ssl
$mbox = imap_open ("{localhost:995/pop3/ssl/novalidate-cert}", "user_id", "password");

Hilfreich (0)

ou en générant sois même son certificat via
https://www.1certificats.com/FAQ/fr/racine-USERTrustRSACertificationAuthority.htmlcertificats.com/FAQ/fr/racine-USERTrustRSACertificationAuthority.html
on recupère le .crt on le transforme en .pem via
openssl x509 -inform der -in certificate.crt -out certificate.pem

Merci kyodev pour ton soutien

Hilfreich (0)