cleartext password over http

[ark]

Ceci dit c'est pas garanti même avec un certificat signé par une autorité reconnue (suffit qu'un Etat oblige un CA sur son territoire à leur fournir un certificat signé par le CA pour le(s) site(s) qu'ils veulent MITM et hop, c'est transparent pour l'end user, ou pire qu'un CA se fasse piquer sa clé privée de signature de certificats, un attaquant peut l'utiliser jusqu'à ce que la clé/les certifs signés avec elle soient révoqués, ce qui peut prendre du temps si l'intrusion n'est pas détectée)

Oui, complètement. =) Mais j'ai fais le choix de pas en parler volontairement, parce que ça demande de recourir à des mesures "extrêmes".