Protocole TLS

Autres Fiches Conceptuelles

Posez une Question

(+)

Votre Publicité sur le Réseau

Traduction

Sécurité des couches de transport (Français) / Transport Layer Security (Anglais) / أمن طبقة النقل (Arabe)

(+)

Traductions

Définition

Domaine, Discipline, Thématique

Informatique / Réseaux / Internet / Couche réseau / Sécurité / Protocole / ....... / ....... / ....... / .......

Définition écrite

• Transport Layer Security (TLS), et son prédécesseur Secure Sockets Layer (SSL), sont des protocoles de sécurisation des échanges sur Internet. Le protocole SSL a été développé à l'origine par Netscape. L'IETF, en a poursuivi le développement en le rebaptisant Transport Layer Security (TLS). On parle parfois de SSL/TLS pour désigner indifféremment SSL ou TLS.
• TLS (ou SSL) fonctionne suivant un mode client-serveur. Il permet de satisfaire aux objectifs de sécurité suivants :

l'authentification du serveur ;
la confidentialité des données échangées (ou session chiffrée) ;
l'intégrité des données échangées ;

(+)

Au fur et à mesure qu'Internet se développait, de plus en plus de sociétés commerciales se mirent à proposer des achats en ligne pour les particuliers. L'offre se mit à croître régulièrement, mais le chiffre d'affaires dégagé par le commerce électronique restait modeste tant que les clients n'avaient pas une confiance suffisante dans le paiement par carte bancaire. Une des façons de sécuriser ce paiement fut d'utiliser des protocoles d'authentification et de chiffrement tels que SSL. La session chiffrée est utilisée pour empêcher un tiers d'intercepter des données sensibles transitant par le réseau : numéro de carte lors d'un paiement par carte bancaire, mot de passe lorsque l'utilisateur s'identifie sur un site… Avec un système SSL, la sécurité a été sensiblement améliorée et les risques pour le client grandement réduits, comparés à l'époque où le paiement par internet était encore une technologie émergente. Bien que, comme tout système de chiffrement, le SSL/TLS ne pourra jamais être totalement infaillible, le grand nombre de banques et de sites de commerce électronique l'utilisant pour protéger les transactions de leurs clients peut être considéré comme un gage de sa résistance aux attaques malveillantes. En 2009, TLS est utilisé par la plupart des navigateurs Web. L'internaute peut reconnaître qu'une transaction est chiffrée à plusieurs signes : l'URL dans la barre d'adresse commence par https et non http (https://...) ; affichage d'une clé ou d'un cadenas, dont l'emplacement varie selon le navigateur : généralement à gauche de la barre d'adresse mais aussi dans la barre inférieure de la fenêtre ; les navigateurs peuvent ajouter d'autres signes, comme le passage en jaune de la barre d'adresse (cas de Firefox sur d'anciennes versions).

Protocole TLS - Historique (+)

Définition graphique

• 

  Titre de Votre Image 1

• 

  Titre de Votre Image 2

• 

  Titre de Votre Image 3

{{{AutresMedias}}}

Concepts ou notions associés

Mot-Clé 1 / Internet / Protocole SSL / client-serveur / authentification / confidentialité / intégrité

Exemples, applications, utilisations

Le navigateur du client envoie au serveur une demande de mise en place de connexion sécurisée par TLS. Le serveur envoie au client son certificat (voir l'article concerné pour plus de détails) : celui-ci contient sa clé publique, ses informations (nom de la société, adresse postale, pays, e-mail de contact...) ainsi qu'une signature numérique sous forme de texte chiffré. Le navigateur du client tente de déchiffrer la signature numérique du certificat du serveur en utilisant les clés publiques contenues dans les certificats des autorités de certifications (AC) intégrés par défaut dans le navigateur. 1.Si l'une d'entre elles fonctionne, le navigateur web en déduit le nom de l'autorité de certification qui a signé le certificat envoyé par le serveur. Il vérifie que celui-ci n'est pas expiré puis envoie une demande OCSP à cette autorité pour vérifier que le certificat du serveur n'a pas été révoqué. 2.Si aucune d'entre elles ne fonctionne, le navigateur web tente de déchiffrer la signature numérique du certificat du serveur à l'aide de la clé publique contenue dans celui-ci. En cas de réussite, cela signifie que le serveur web a lui-même signé son certificat. Un message d'avertissement s'affiche alors sur le navigateur web, prévenant l'utilisateur que l'identité du serveur n'a pas été vérifiée par une autorité de certification et qu'il peut donc s'agir potentiellement d'un site frauduleux. En cas d'échec, le certificat est invalide, la connexion ne peut pas aboutir. Le navigateur du client génère une clé de chiffrement symétrique (à la différence des clés privés et publiques utilisés par les certificats qui sont asymétriques), appelée clé de session, qu'il chiffre à l'aide de la clé publique contenue dans le certificat du serveur puis transmet cette clé de session au serveur. Le serveur déchiffre la clé de session envoyée par le client grâce à sa clé privée. Le client et le serveur commencent à s'échanger des données en chiffrant celles-ci avec la clé de session qu'ils ont en commun. On considère à partir de ce moment que la connexion TLS est alors établie entre le client et le serveur. Une fois la connexion terminée (déconnexion volontaire de l'utilisateur ou si durée d’inactivité trop élevée), le serveur révoque la clé de session. (+)

Erreurs ou confusions éventuelles

• Confusion entre protocole TLS et protocole SSLv3
• Confusion entre HTTP et HTTPS
• Erreur fréquente: on fait jamais attention au message d'avertissement du navigateur web s'affichant si le certificat envoyé par le serveur est auto-signé.

(+)

Questions possibles

• .................. ?
• .................. ?
• .................. ?

(+)

Liaisons enseignements et programmes

Education: Liens, sites et portails

• URL :

• ..................
• ..................
• ..................

Difficultés liées à son enseignement

• ............
• ............
• ............

Aides et astuces

• ............
• ............
• ............