Au cours des derni\u00e8res ann\u00e9es, le chiffrement des donn\u00e9es s’est impos\u00e9 comme une mesure de s\u00e9curit\u00e9 essentielle pour les sites web. Cette protection exige d’appliquer un protocole comme SSL ou TLS pour permettre le d\u00e9chiffrement des donn\u00e9es par les internautes l\u00e9gitimes. <\/p>\n\n\n\n
Comme vous le savez, Ex2 vous propose une gamme tr\u00e8s compl\u00e8te d’h\u00e9bergements web s\u00e9curis\u00e9s par des certificats SSL gratuits<\/a>. Certains sites peuvent toutefois avoir int\u00e9r\u00eat \u00e0 choisir d’utiliser le protocole TLS plut\u00f4t que le SSL classique. <\/p>\n\n\n\n Dans cet article, nous aborderons donc tout d’abord ce qu\u2019est le protocole TLS. Nous verrons ensuite pourquoi il est important pour votre entreprise et comment il a \u00e9volu\u00e9 au fil des ann\u00e9es.<\/p>\n\n\n\n TLS (Transport Layer Security) est un protocole de s\u00e9curit\u00e9 qui crypte la connexion entre le navigateur d\u2019un visiteur et votre site web. <\/p>\n\n\n\n Tout ce qui est envoy\u00e9 via cette connexion est chiffr\u00e9 lors du transit afin que personne au milieu ne puisse le lire. Cela inclut notamment les identifiants de connexion, les num\u00e9ros de carte de cr\u00e9dit, les soumissions de formulaires de contact et les d\u00e9tails du compte. Il permet donc de prot\u00e9ger des donn\u00e9es essentielles.<\/p>\n\n\n\n Pour un propri\u00e9taire d\u2019entreprise, TLS fait trois choses pratiques :<\/p>\n\n\n\n Il faut noter que ce dernier point est plus important que beaucoup de propri\u00e9taires ne le pensent. Le RGPD, la norme PCI DSS et la loi HIPAA exigent tous des \u00ab\u00a0mesures techniques appropri\u00e9es\u00a0\u00bb pour prot\u00e9ger les donn\u00e9es personnelles. <\/p>\n\n\n\n Le chiffrement TLS est ainsi l\u2019une des mesures de base attendues par les r\u00e9gulateurs. Un site web n’ayant pas un certificat SSL ou TLS valide est donc trait\u00e9 comme ne r\u00e9pondant pas aux exigences.<\/p>\n\n\n\n La perception des clients est aussi un enjeu important. Les navigateurs modernes marquent tout site sans chiffrement SSL ou TLS comme \u00e9tant \u00ab\u00a0Non s\u00e9curis\u00e9\u00a0\u00bb. <\/p>\n\n\n\n C’est suffisant pour faire fuir la plupart des acheteurs potentiels avant m\u00eame qu\u2019ils ne voient vos offres. Vous avez donc tout int\u00e9r\u00eat \u00e0 vous assure d’avoir un certificat \u00e0 jour!<\/p>\n\n\n\n L\u2019histoire du cryptage web est la raison pour laquelle la plupart des gens utilisent encore le terme \u00ab\u00a0SSL\u00a0\u00bb, m\u00eame quand ils parlent en fait de \u00ab\u00a0TLS\u00a0\u00bb. Comprendre la diff\u00e9rence peut toutefois vous aider \u00e0 comprendre pourquoi le Transport Layer Security<\/em> s’est graduellement impos\u00e9. <\/p>\n\n\n\n Secure Sockets Layer (SSL) a \u00e9t\u00e9 d\u00e9velopp\u00e9 par Netscape en 1994 pour rendre possible le commerce \u00e9lectronique. La version SSL 1.0 n\u2019a jamais \u00e9t\u00e9 rendu disponible au grand public, car peu fonctionnelle. SSL 2.0 avait aussi de graves d\u00e9fauts et s’est av\u00e9r\u00e9 d’un impact limit\u00e9.<\/p>\n\n\n\n C’est plut\u00f4t SSL 3.0, sorti en 1996, qui s’est impos\u00e9 et est devenu la base sur laquelle tout le reste a \u00e9t\u00e9 construit.<\/p>\n\n\n\n L\u2019Internet Engineering Task Force<\/em> a repris ce protocole en 1999 et publi\u00e9 TLS 1.0. Celui-ci \u00e9tait destin\u00e9 \u00e0 devenir le successeur direct de SSL 3.0. <\/p>\n\n\n\n TLS est techniquement un protocole diff\u00e9rent plut\u00f4t diff\u00e9rent, mais il partage les id\u00e9es et l’usage de base de SSL. Cette grande similitude explique pourquoi les deux noms sont souvent utilis\u00e9s de mani\u00e8re interchangeable.<\/p>\n\n\n\n Cette confusion de marque fait que de nombreux fournisseurs vendent encore des \u00ab\u00a0certificats SSL\u00a0\u00bb, m\u00eame si ces certificats s\u00e9curisent les connexions \u00e0 l\u2019aide du protocole TLS. C’est notamment d\u00fb au fait que les internautes eux-m\u00eames utilisent ce m\u00eame lexique.<\/p>\n\n\n\n TLS est plus s\u00e9curis\u00e9 que SSL \u00e0 plusieurs \u00e9gards. Il utilise des algorithmes cryptographiques modernes, des fonctions de hachage plus puissantes pour v\u00e9rifier l\u2019int\u00e9grit\u00e9 des donn\u00e9es. <\/p>\n\n\n\n Il offre aussi une meilleure protection contre les attaques qui tentent de forcer la connexion vers une version plus faible. SSL 3.0 en particulier est vuln\u00e9rable aux attaques connues telles que POODLE.<\/p>\n\n\n\n Ce que vous devez retenir\u00a0est que chaque navigateur et serveur en production utilise aujourd\u2019hui le protocole TLS. Et ce, m\u00eame lorsque le marketing indique \u00ab\u00a0SSL\u00a0\u00bb. Si vous achetez un certificat, vous achetez TLS, quel que soit le nom de la page produit.<\/p>\n\n\n\n Il n\u2019est pas n\u00e9cessaire d\u2019\u00eatre cryptographe pour comprendre le TLS. Avoir une petite id\u00e9e du fonctionnement vous aide toutefois lorsque vous lisez des rapports de s\u00e9curit\u00e9 ou que vous parlez \u00e0 votre h\u00e9bergeur.<\/p>\n\n\n\n Pensez au TLS comme \u00e0 une enveloppe scell\u00e9e avec une signature inviolable. Avant que l\u2019enveloppe ne soit scell\u00e9e, le navigateur et le serveur effectuent un rituel de v\u00e9rification rapide pour confirmer qu\u2019ils sont bien qui ils disent \u00eatre. Ce rituel s\u2019appelle la poign\u00e9e de main, et il joue un r\u00f4le cl\u00e9. Nous aborderons un peu plus en d\u00e9tails ce processus important. <\/p>\n\n\n\n La poign\u00e9e de main se produit automatiquement d\u00e8s qu\u2019un navigateur charge une page s\u00e9curis\u00e9e. Voici ce qui se passe alors en coulisses\u00a0:<\/p>\n\n\n\n L\u2019ensemble du processus ne prend qu’une fraction de seconde. Une fois termin\u00e9, le transfert de donn\u00e9es r\u00e9el commence et tout ce qui est envoy\u00e9 dans l\u2019une ou l\u2019autre direction est crypt\u00e9. Vos \u00e9changes sont alors prot\u00e9g\u00e9s sans que vous ayez eu \u00e0 attendre.<\/p>\n\n\n\n Le protocole TLS combine deux formes de cryptographie. Celles-ci sont compl\u00e9mentaires, car chacune d’entre elles r\u00e9sout un probl\u00e8me diff\u00e9rent.<\/p>\n\n\n\n Le cryptage asym\u00e9trique est tout d’abord utilis\u00e9 lors de la poign\u00e9e de main. Le serveur a une cl\u00e9 publique (partag\u00e9e avec n\u2019importe qui) et une cl\u00e9 priv\u00e9e (qui est gard\u00e9e secr\u00e8te). <\/p>\n\n\n\n Tout le monde peut crypter des donn\u00e9es avec la cl\u00e9 publique. Seul le serveur peut toutefois les d\u00e9crypter. Ce proc\u00e9d\u00e9 permet donc que les deux parties s\u2019accordent en toute s\u00e9curit\u00e9 sur un secret partag\u00e9, sans jamais \u00e9bruiter ce secret.<\/p>\n\n\n\n Le chiffrement sym\u00e9trique prend ensuite le relais, une fois la poign\u00e9e de main effectu\u00e9e. Ces algorithmes sont beaucoup plus rapides que les m\u00e9thodes asym\u00e9triques. Ils sont donc mieux adapt\u00e9s pour g\u00e9rer le flux r\u00e9el de donn\u00e9es une fois la connexion \u00e9tablie.<\/p>\n\n\n\n C\u2019est cette combinaison qui rend le protocole TLS \u00e0 la fois s\u00e9curis\u00e9 et suffisamment rapide pour \u00eatre utilis\u00e9 \u00e0 chaque chargement de page. <\/p>\n\n\n\n Les suites de chiffrement robustes ajoutent une couche de protection suppl\u00e9mentaire. Elles vous garantissent que m\u00eame si la cl\u00e9 priv\u00e9e du serveur est vol\u00e9e dans le futur, les sessions pass\u00e9es restent priv\u00e9es.<\/p>\n\n\n\n L’usage de TLS ne se limite pas aux sites Web. Presque tous les services en ligne s\u00e9curis\u00e9s l\u2019utilisent en arri\u00e8re-plan. On peut notamment mentionner:<\/p>\n\n\n\n Si vous exploitez une entreprise en ligne, vos clients, fournisseurs et employ\u00e9s passent donc constamment par des connexions prot\u00e9g\u00e9es par le protocole TLS. Dans la plupart des cas, ils le font sans s\u2019en rendre compte.<\/p>\n\n\n\n Un certificat SSL\/TLS est le document qui prouve que votre domaine est ce qu\u2019il pr\u00e9tend \u00eatre. Il contient votre nom de domaine, votre cl\u00e9 publique, la signature de l\u2019autorit\u00e9 \u00e9mettrice et une date d\u2019expiration. Tout ces \u00e9l\u00e9ments aident \u00e0 \u00e9tablir la confiance.<\/p>\n\n\n\n Les navigateurs font toutefois confiance au certificat parce qu\u2019ils font confiance \u00e0 l\u2019autorit\u00e9 qui l\u2019a sign\u00e9. Celle-ci doit donc valid\u00e9 les informations dont elle assure la v\u00e9racit\u00e9. <\/p>\n\n\n\n Il existe donc trois types courants\u00a0de certificats, diff\u00e9rant en fonction du niveau de validation:<\/p>\n\n\n\n Les certificats expirent r\u00e9guli\u00e8rement. Il se renouvellent g\u00e9n\u00e9ralement tous les 90 jours pour les certificats gratuits et au moins une fois par an pour les options payantes. <\/p>\n\n\n\n Un certificat expir\u00e9 rend instantan\u00e9ment votre site inaccessible \u00e0 la plupart des visiteurs. Le renouvellement automatique est donc devenu un outil incontournable. <\/p>\n\n\n\n Les outils construits autour du protocole ACME (comme AutoSSL) g\u00e8rent cela sans intervention manuelle. Vous n’avez donc pas \u00e0 vous inqui\u00e9tez que votre certificat puisse \u00eatre expir\u00e9.<\/p>\n\n\n\n Les suites de chiffrement deviennent obsol\u00e8tes au fil du temps, et de nouvelles versions de protocoles sont publi\u00e9es. Les certificats expirent et les cadres de conformit\u00e9 augmentent leurs exigences minimales. <\/p>\n\n\n\n La personne qui g\u00e8re votre serveur est donc responsable de suivre ces changements et d\u2019appliquer des modifications avant qu’il y ait le moindre probl\u00e8me.<\/p>\n\n\n\n Si vous utilisez un h\u00e9bergement vert ou une solution WordPress d’Ex2, le renouvellement de votre certificat est assur\u00e9 par AutoSSL. Vos sites sont donc prot\u00e9g\u00e9s gratuitement pas des certificats OV \u00e9mis par Let’s Encrypt<\/a>. <\/p>\n\n\n\n Sur un serveur autog\u00e9r\u00e9, cette responsabilit\u00e9 incombe toutefois \u00e0 vous ou \u00e0 votre d\u00e9veloppeur. Vous devez donc surveiller les annonces des fournisseurs de navigateurs, mettre \u00e0 jour les biblioth\u00e8ques OpenSSL, r\u00e9g\u00e9n\u00e9rer les certificats, tester les configurations de chiffrement et v\u00e9rifier que rien ne s\u2019est cass\u00e9 en aval. <\/p>\n\n\n\n Le service d’infog\u00e9rance offert par Ex2 change toutefois la donne. Notre \u00e9quipe peut alors g\u00e9rer vos certificats et divers \u00e9l\u00e9ments essentiels de la s\u00e9curit\u00e9 de votre serveur.<\/p>\n\n\n\n TLS est d\u00e9sormais la norme qui rend les \u00e9changes s\u00e9curis\u00e9s possibles sur Internet. Le protocole a \u00e9volu\u00e9 pour devenir une solution fiable et de plus en plus incontournable.<\/p>\n\n\n\n Vous utilisez d\u00e9j\u00e0 ce protocole tout les jours pour de nombreux usages. Il s\u00e9curise vos e-mails, votre VPN, les API de nombreuses applications et bien plus encore. TLS est m\u00eame d\u00e9sormais utilis\u00e9 pour le commerce en ligne, afin de prot\u00e9ger les donn\u00e9es \u00e9chang\u00e9es.<\/p>\n\n\n\n Nous esp\u00e9rons que cet article vous a plu et vous a \u00e9clair\u00e9 sur le protocole de chiffrement TLS. Si c\u2019est le cas, nous vous invitons maintenant \u00e0 consulter nos autres autres\u00a0articles et tutoriels<\/a>.<\/p>\n\n\n\nQu\u2019est-ce que le protocole TLS et pourquoi est-il important ?<\/h2>\n\n\n\n
\n
Comment le protocole TLS a-t-il \u00e9volu\u00e9 depuis SSL ?<\/h2>\n\n\n\n
Un bref historique de SSL et TLS<\/h3>\n\n\n\n
Principales diff\u00e9rences entre SSL et TLS<\/h3>\n\n\n\n
Comment le protocole TLS fonctionne-t-il ?<\/h2>\n\n\n\n
La poign\u00e9e de main TLS, \u00e9tape par \u00e9tape<\/h3>\n\n\n\n
\n
Pourquoi TLS utilise deux types de chiffrement<\/h2>\n\n\n\n
O\u00f9 est utilis\u00e9 le protocole TLS ?<\/h2>\n\n\n\n
\n
Que sont les certificats TLS et comment en obtenir un ?<\/h2>\n\n\n\n
\n
Qui garde \u00e0 jour votre configuration TLS ?<\/h2>\n\n\n\n
Pour conclure sur le protocole TLS<\/h2>\n\n\n\n