Chiffrement SSL/TLS, Certificats, HTTPS, Cryptographie symétrique/assymetrique quelles différences ?
HTTPS
Lorsque vous vous connecter sur le site de votre banque la connexion se fait toujours en https pour des raisons de sécurité et si ce n’est pas le cas changez de banque !
Si la communication se faisait en http toutes les informations échangées transiteraient, une personne malveillante pourrait intercepter les échanges d’informations.
Le https est une connexion http dans un tunnel chiffré SSL/TLS et ce tunnel va sécuriser les échanges. Si une personne malveillante intercepte ces échanges les informations seront chiffrées et donc incompréhensibles.
SSL et TLS
SSL pour Secure Socket Layer et TLS pour Transport Layer Security sont des protocoles de sécurisation des échanges sur internet. On utilise aujourd’hui TLS, SSL étant désormais obsolète.
Le chiffrement consiste à transformer vos données afin de les rendre illisibles grâce à un algorithme de chiffrement et une clé de chiffrement.
La clé de chiffrement est utilisée par l’algorithme pour chiffrer et déchiffrer des données utiles, c’est une suite de bits que l’on peut voir comme un mot de passe.
Un algorithme de chiffrement est simplement une méthode de chiffrement : une façon de rendre inintelligible vos données.
Pour pouvoir lire ces données de nouveau il est nécessaire de connaître l’algorithme et la clé de chiffrement pour les déchiffrer.
Cryptographie symétrique
Ici Alice et Bob ont la même clé secrète, Alice va envoyer un message à Bob et elle veut que personne d’autre que Bob ne puisse lire ce message. Elle va donc prendre sa clé secrète pour chiffrer son message et envoyer ce message chiffré à bob.
Lorsque Bob reçoit le message d’Alice il est chiffré, donc incompréhensible pour lui.
Il faut d’abord qu’il le déchiffre avec la même clé secrète et c’est seulement là qu’il pourra comprendre le message.
Si Bob veut répondre à Alice de façon sécurisée il peut aussi utiliser cette même clé secrète pour chiffrer sa réponse et ensuite l’envoyer à Alice. Il y a donc une seule paire de clé pour chiffrer et déchiffrer un message.
Le gros problème de la cryptographie symétrique et l’échangent de ses clés, en effet le fait que les deux personnes doivent utiliser la même clé impose d’avoir un canal sécurisé pour les changes de la clé car si quelqu’un d’autre arrive à s’emparer de la clé il sera capable de lire les messages.
Cryptographie assymetrique
Le principe du chiffrement asymétrique repose sur l’utilisation de deux clés, une clé privée et une clé publique. Quand l’utilisateur chiffre avec la première clé il peut déchiffrer avec la deuxième clé, à l’inverse quand l’utilisateur chiffres avec la deuxième clé il peut déchiffrer avec la première clé.
Peu importe l’ordre des clés utilisé, ces deux clés sont liés mathématiquement .
Alice a maintenant une clé privée et une clé publique.
- Sa clé privée n’est jamais transmises à personne d’où son nom.
- Sa clé publique peut être diffusée à n’importe qui.
Ici Bob et Alice se sont transmis leurs clés publiques et ont chacun garder leurs clés privées. Bob va envoyer un message à Alice et veut que seul Alice puisse lire le message, il chiffre donc son message avec la clé publique d’Alice.
Alice va déchiffrer le message avec sa clé privée qu’elle est la seule à posséder, ce qui veut dire qu’Alice est la seule à pouvoir déchiffrer les messages qui lui sont adressés puisqu’ils sont chiffré avec sa clé publique. (Rappel : Ces deux clés sont liés mathématiquement via algorithme de chiffrement).
De façon similaire si Alice veut répondre à Bob, elle utilisera la clé publique de Bob pour chiffrer le message et Bob utilisera sa propre clé privée qu’il est le seul à posséder pour déchiffrer le message. Bob est sûr que seul Alice peut lire son message puisque bob a utilisé la clé publique d’Alice pour chiffrer son message.
Ce procédé assure la confidentialité de l’ échange c’est à dire être sûr que alice et bob sont les seuls à échanger.
MITM (Man In The Middle)
Il existe cependant un problème, au niveau de la transmission de la clé publique. Une personne malveillante peut se positionner entre Alice et Bob et se faire passer pour l’un d’eux. Elle pourra ensuite transmettre sa clé publique à la place. Cette attaque est appelée Man In The Middle.
Cette personne tierce va diffuser sa clé publique à Bob en se faisant passer pour Alice. Bob croit alors que c’est la clé publique d’Alice et inversement.
Alice et Bob ont tous les deux la clé publique du MITM en pensant avoir celles de leurs interlocuteurs. MITM a donc intercepté et modifié les échanges des clés entre Alice et Bob.
Maintenant quand Alice va envoyer un message à Bob elle va l’envoyer en chiffrant avec la clé publique supposée appartenir à Bob, MITM va intercepter le message et va le déchiffrer avec sa clé privée et le lire. Ensuite pour pallier les soupçons il va chiffrer ce message avec la clé publique de Bob et envoyer le message à Bob, Bob pourra déchiffrer avec sa clé privée le message. MITM est donc capable de lire les conversations entre les deux et de récupérer les informations importantes.
Inversement, quand Bob voudra échanger avec Alice, il va utiliser la clé publique du MITM pour chiffrer son message. MITM va intercepter ce message, l’ouvrir, le lire, le chiffrer avec la clé publique d’Alice et l’envoyer.
Pour éviter le problème du Man InThe Midle il faudrait pouvoir certifier l’identité du porteur de cette clé et ça c’est le rôle du certificat
Certificat
Un certificat et un fichier avec un ensemble de données contenant une clé publique au minimum des informations pouvant identifier la personne comme son nom son email sa localisation et des informations liées aux certificats, notamment sa date de validité et une signature électronique d’une autorité de certification.
La signature électronique est la preuve que le certificat a bien été vérifié par l’autorité de certification puisqu’il y a sa signature. Elle et donc garante de son intégrité : la preuve que le document n’a pas subi d’altération entre l’instant où il a été signée par son auteur et celui où il a été consulté.
La signature électronique du certificat est la combinaison entre les informations sur la personne et celle de sa clé publique, le tout chiffré par la clé privée de l’autorité de certification.
Une autorité de certification est l’institution responsable d’émettre ces certificats, son rôle est de garantir que les informations contenues dans les certificats sont correctes.
Dans notre cas si Alice veut créer sont certificat, il faut qu’elles fournissent à l’autorité de certification sa clé publique et des information sur elle (ainsi que des sous parce que c’est pas gratuit), ensuite l’autorité de certification va créer un certificat pour Alice sur lequel il y aura la signature électronique de l’autorité de certification.
Le certificat atteste donc que la clé publique contenue dans le certificat appartient bien à la personne désignée dans le certificat.
Chiffrement SSL/TLS
Vous voulez vous connecter à votre banque, vous tapez l’adresse en https et vous lui envoyez une demande de connexion sécurisée. Votre banque va alors vous envoyer son certificat avec sa clé publique, votre navigateur va alors vérifier la signature du certificat et sa validité (à savoir que le navigateur a déjà un certain nombre de clés publiques d’autorité de certification dans sa base de données).
Le navigateur va chercher dans sa base de données la clé publique de l’autorité de certification qui a certifié le certificat de la banque, il va alors essayer de déchiffrer la signature du certificat. S’il y arrive cela veut dire que le certificat est de confiance car seule l’autorité de certification possède la clé privée associée pour chiffrer le certificat. (Rappel : Ces deux clés sont liés mathématiquement via algorithme de chiffrement).
Si tout est ok le client et le serveur négocient ensemble pour se mettre d’accord sur une clé secrète commune qu’ils vont utiliser pour cette session d’échanges comme dans la cryptographie symétrique, et c’est avec cette clé que vous allez chiffrer et déchiffrer vos échanges avec votre banque et donc communiquer de façon sécurisée.
Documentation
https://www.youtube.com/watch?v=7W7WPMX7arI
Complément d’informations
http://www.ryfe.fr/2011/08/les-mots-crypter-et-cryptage-n%e2%80%99existent-pas
Résumé : —————————————————–
