Le chiffrement à clé publique constitue l’épine dorsale de la sécurité Web moderne. Au centre de ce système se trouve le Secure Sockets Layer (SSL). Netscape a créé ce protocole pour aider les navigateurs et les serveurs Web à communiquer en toute sécurité. Il n’a jamais été prévu qu’il reste seul pour toujours.
Aujourd’hui, SSL n’est qu’un terme hérité. La norme actuellement utilisée est Transport Layer Security (TLS).
Vous n’avez pas besoin d’être codeur pour faire la différence dans votre navigation quotidienne. C’est juste là, dans la barre d’adresse. Recherchez le « s » dans https.
Avant, vous aviez vu http. Maintenant, vous voyez https.
Il y a généralement une petite icône de cadenas à proximité. Parfois, c’est dans la barre d’état en bas de la fenêtre. Parfois, il flotte dans le champ URL. Le sens est le même. Vos données sont cryptées. Si vous vous connectez à un compte bancaire ou utilisez PayPal, vous souhaitez voir ce verrou. Vos informations de paiement ne doivent pas figurer en texte brut sur le fil.
“TLS et SSL s’appuient fortement sur les autorités de certification pour vérifier l’identité.”
Mais comment le navigateur sait-il réellement que le site est sûr ? Ce n’est pas magique. Il s’agit d’une poignée de main avec une autorité de certification (CA).
Lorsque vous demandez une page sécurisée, le processus démarre. Le navigateur ajoute le « s » à « http ». Ensuite, il vérifie trois choses spécifiques avant de charger la page :
- Confiance : le certificat provient-il d’une partie à laquelle le navigateur fait confiance ?
- Validité : Le certificat est-il actuellement actif et n’a-t-il pas expiré ?
- Match : Le certificat appartient-il réellement au site que vous visitez ?
Si l’une de ces vérifications échoue, le navigateur émettra un avertissement. Cela ne vous permettra pas de procéder aveuglément. Ce système est la raison pour laquelle vous pouvez être sûr que vos informations sensibles transitent en toute sécurité. Le protocole a évolué, mais le cœur du travail reste le même. Gardez vos données hors de portée des oreilles indiscrètes.
La poignée de main qui protège vos données
C’est là que se produit la véritable sécurité.
Le navigateur prend la clé publique que vous venez de recevoir et l’utilise pour chiffrer une clé symétrique générée aléatoirement. Assez simple.
Mais voici le piège. Le cryptage à clé publique est lourd. Cela nécessite une puissance de calcul importante. Le faire pour chaque paquet de données arrêterait votre navigateur. Donc, les systèmes ne font pas ça.
Au lieu de cela, ils utilisent une approche hybride.
Considérez-le comme un tunnel sécurisé. La clé publique n’est qu’une sonnette. Il laisse passer le message initial. Une fois à l’intérieur, vous passez au cryptage à clé symétrique pour le reste de la conversation. C’est plus rapide. C’est plus léger. Il s’agit de la norme permettant à deux ordinateurs d’initier une session sécurisée.
Un ordinateur crée la clé symétrique. Il l’enveloppe à l’aide d’un cryptage à clé publique. Il l’envoie de l’autre côté. L’autre côté le déverrouille. Désormais, les deux parties ont le même code secret.
Ils communiquent désormais en utilisant un cryptage à clé symétrique.
Et voici la partie qui manque à la plupart des utilisateurs. La clé ne dure pas.
A la fin de la session, la clé est détruite. Il est jeté. Disparu.
Si vous démarrez une nouvelle session, une nouvelle clé symétrique est créée. L’ensemble du processus se répète.
“Une fois la session terminée, chaque ordinateur supprime la clé symétrique utilisée pour cette session.”
C’est ce qu’on appelle le secret ultérieur. Ou du moins, une version de base. Cela signifie que même si un pirate informatique vole une clé, elle ne sert à rien d’autre. Chaque séance est isolée. Chaque session possède son propre verrou unique.
Pourquoi est-ce important ?
Parce que ça limite les dégâts. Si votre connexion HTTPS est interceptée, l’attaquant n’obtient que les données de cette session. Ils n’obtiennent pas l’historique de vos mots de passe. Ils ne reçoivent pas vos anciens e-mails. Ils n’obtiennent pas la clé du royaume.
La clé est temporaire. La séance est éphémère. La sécurité est continue.
C’est une danse de création et de destruction. Les clés sont nées. Flux de données. Les clés meurent.
Et on ne le voit même jamais.
