Aller au contenu
CultureCultureParad IT-ORAInfrastructure Informatique

TLS / SSL

TLS (Transport Layer Security) est le successeur de SSL (Secure Sockets Layer, obsolète et non sécurisé depuis longtemps) — mais le terme “SSL” reste utilisé par habitude pour désigner TLS. Il chiffre et authentifie une connexion entre deux parties au-dessus de TCP.

La poignée de main (handshake)

Section intitulée « La poignée de main (handshake) »

Avant tout échange de données applicatives, client et serveur négocient :

  1. La version de TLS et les algorithmes de chiffrement supportés (cipher suites).
  2. Le serveur présente son certificat X.509, qui contient sa clé publique et est signé par une autorité de certification (CA).
  3. Le client vérifie le certificat (chaîne de confiance jusqu’à une CA racine reconnue, validité, nom de domaine correspondant).
  4. Un secret partagé est établi (via échange Diffie-Hellman en TLS 1.3), à partir duquel des clés de chiffrement symétrique sont dérivées pour la suite de la session.

TLS 1.3 (2018) a simplifié et sécurisé ce processus : handshake en un seul aller-retour (contre deux en TLS 1.2), suppression des algorithmes obsolètes, et forward secrecy systématique (une clé compromise plus tard ne permet pas de déchiffrer du trafic passé enregistré).

Certificats

Section intitulée « Certificats »
  • DV (Domain Validated) : prouve seulement le contrôle du nom de domaine — le plus courant, souvent gratuit (Let’s Encrypt).
  • OV / EV (Organization / Extended Validated) : vérifient l’identité légale de l’organisation, processus plus lourd.
  • Let’s Encrypt a démocratisé HTTPS avec des certificats DV gratuits, automatisables via le protocole ACME (voir l’outil certbot).

Ce que TLS ne protège pas

Section intitulée « Ce que TLS ne protège pas »
  • Le nom de domaine demandé (SNI) circule en clair lors du handshake dans la plupart des déploiements — un observateur réseau voit quel site est contacté, même s’il ne voit pas le contenu (ECH/Encrypted Client Hello vise à corriger cela).
  • TLS protège le tuyau, pas ce qu’il y a aux extrémités : un certificat valide ne garantit ni que le site n’est pas malveillant, ni que le serveur applicatif est sécurisé.