Qu'est-ce qu'un certificat SSL et comment fonctionne-t-il ?

Avant de se plonger dans les nombreux avantages et utilisations des certificatsSSL , il peut être utile de comprendre la technologie sous-jacente. Cet article présente une brève leçon d'histoire sur l'évolution de Secure Socket Layer (SSL) vers Transport Layer Security (TLS ) et une explication simple de la manière dont ils assurent la sécurité des connexions à l'internet public et à l'intranet de l'entreprise.

En particulier, l'objectif est de vous donner une vue d'ensemble du protocole Secure Socket Layer (SSL) et des certificats afin de vous aider à prendre les meilleures décisions concernant la gestion des certificats pour votre entreprise.

Qu'est-ce que SSL?

SSL is the original name of the cryptographic protocol for authenticating and encrypting communications over a network. Officially, SSL was replaced by an updated protocol called TLS some time ago. 

SSL à TLS Chronologie

The following is a timeline of how SSL has changed over time: 

1. SSL is a security protocol developed by Netscape in the 90s for encrypting and securing communications over the internet. SSL v1.0 was never released due to security issues. 
2. In 1995, Netscape released SSL v2.0, but it still had many flaws. 
3. SSL v3.0 released in 1996 and addressed the problems of SSL v2.0. This version offered incredible improvements and forever changed the way the internet works. However, as of 2015, SSL 3.0 and prior versions have been deprecated. 
4. TLS  was developed by the Internet Engineering Task Force (IETF) as an improvement on SSL; TLS v1.0 released in 1999 and based on SSL v3.0, with minor security improvements still significant enough that SSL v3.0 and TLS v1.0 did not interoperate. 
5. TLS v1.1 came out seven years later in 2006 and was replaced by TLS v1.2 shortly afterward, in 2008. That hurt TLS v1.1 adoption as many websites upgraded from TLS v1.0 directly to TLS v1.2. 11 years later, we are now at TLS v1.3. 
6. TLS v1.3 finalized in 2018 and after nearly 30 IETF drafts. TLS v1.3 makes significant improvements over its predecessors. Microsoft, Apple, Google, Mozilla, Cloudflare, and Cisco all have deprecated TLS v1.0 and TLS v1.1 as of March 2020. TLS v1.2 and TLS v1.3 are now the only SSL protocols still available.  

So, in reality, TLS is simply a newer version of SSL. However, most people still say SSL instead of TLS. SSL and TLS serve the same purpose, protecting sensitive information during transmission, but under the hood, the cryptography has changed a lot from the original SSL to the latest TLS v1.3.  

Les certificats numériques sont au cœur du protocole SSL ; ils initient les connexions sécurisées entre les serveurs (sites web, intranets ou VPN) et les clients (navigateurs web, applications ou clients de messagerie).

SSL offrent une protection adéquate contre l'hameçonnage et l'écoute des transmissions, ainsi que l'authentification automatique d'un serveur, tel que le domaine d'un site web. Si un site web demande des informations sensibles aux utilisateurs, il doit disposer d'un certificat SSL pour les crypter pendant la transmission. S'il n'y a pas de certificat SSL , il ne faut pas faire confiance à cette connexion pour obtenir des informations privées.

Comment cela fonctionne-t-il ?

The primary purpose of SSL is to provide a secure transport-layer connection between two endpoints, the server and the client. This connection is typically between a website server and the client’s browser, or a mail server and the client’s email application, such as Outlook. 

SSL comprises two separate protocols: 

1. The Handshake protocol authenticates the server (and optionally the client), negotiates crypto suites, and generates the shared key. 
2. The Record protocol isolates each connection and uses the shared key to secure communications for the remainder of the session. 

Le protocole de la poignée de main

The SSL handshake is an asymmetric cryptography process for establishing a secure channel for server and client to communicate — HTTPS connections always begins with the SSL handshake.  

A successful handshake takes place behind the client’s browser or application, instantly and automatically — without disturbing the client user experience. However, A failed handshake triggers the termination of the connection, usually preceded by an alert message in the client’s browser. 

Provided the SSL is valid and correct, the handshake offers the following security benefits: 

• Authentication: The server is always authenticated for as long as the connection is valid. 
• Confidentiality: Data sent via SSL is encrypted and only visible to the server and client. 
• Integrity: Digital Certificate Signatures ensure the data has not been modified during the transfer. 

En résumé, les certificats SSL fonctionnent fondamentalement en utilisant un mélange de cryptographie asymétrique et de cryptographie symétrique pour les communications sur l'internet. Il existe également d'autres infrastructures impliquées dans la réalisation de la communication SSL dans les entreprises, connues sous le nom d'infrastructures à clé publique.

Comment fonctionnent les certificats SSL ?

Lorsque vous recevez le certificat SSL , vous l'installez sur votre serveur. Vous pouvez installer un certificat intermédiaire qui établit la crédibilité de votre certificat SSL en l'associant au certificat racine de votre autorité de certification.

Les certificats racine sont auto-signés et constituent la base d'une infrastructure à clé publique basée sur X.509 (PKI). Le site PKI , qui prend en charge le protocole HTTPS pour la navigation sécurisée sur le web et les systèmes de signature électronique, dépend des certificats racine. Dans d'autres applications des certificats X.509, une hiérarchie de certificats certifie la validité de l'émission d'un certificat. Cette hiérarchie est appelée "chaîne de confiance".

Chaîne de confiance

La chaîne de confiance fait référence à votre certificat SSL et à son lien avec une autorité de certification de confiance. Pour qu'un certificat SSL soit fiable, il doit remonter à une autorité de certification racine de confiance. Une chaîne de confiance garantit la confidentialité, la confiance et la sécurité pour toutes les parties concernées.

Au cœur de chaque site PKI se trouve l'autorité de certification racine, qui sert de source d'intégrité fiable pour l'ensemble du système. L'autorité de certification racine signe un certificat SSL , démarrant ainsi la chaîne de confiance. Si l'autorité de certification racine jouit d'une confiance publique, tous les principaux navigateurs et systèmes d'exploitation Internet font confiance à tout certificat d'autorité de certification valide qui lui est associé.

Comment une chaîne de confiance est-elle vérifiée ?

Le client ou le navigateur connaît intrinsèquement les clés publiques d'une poignée d'autorités de certification de confiance et utilise ces clés pour vérifier le certificat SSL du serveur. Le client répète le processus de vérification de manière récursive avec chaque certificat de la chaîne de confiance jusqu'à ce qu'il remonte au début, c'est-à-dire à l'autorité de certification racine.

À quoi sert un certificat SSL ?

Dans les connexions HTTP non sécurisées, les pirates peuvent facilement intercepter les messages entre le client et le serveur et les lire en texte clair. Les connexions cryptées brouillent les communications jusqu'à ce que le client puisse les décrypter avec l'autre clé de session.

Lorsqu'ils sont installés sur un serveur web, les certificats SSL utilisent un système de paires de clés publiques/privées pour lancer le protocole HTTPS et permettre aux utilisateurs et aux clients de se connecter en toute sécurité.

Pour l'internet : Que font les certificats SSL pour les sites web ?

Lorsqu'un certificat SSL signé sécurise un site web, il prouve que l'organisation a vérifié et authentifié son identité auprès du tiers de confiance ; puisque le navigateur fait confiance à l'autorité de certification, il fait également confiance à l'identité de cette organisation.

Le moyen le plus simple de vérifier si le site web dispose d'un certificat SSL est de regarder dans votre navigateur ; voyez si l'URL du site web commence par "HTTPS :", car cela indique qu'un certificat SSL est installé sur le serveur. Si c'est le cas, cliquez sur l'icône du cadenas dans la barre d'adresse pour afficher les informations relatives au certificat.

Historiquement, les navigateurs web utilisent le protocole de transfert d'hypertexte (HTTP) pour se connecter aux serveurs web qui écoutent sur le port TCP 80 par défaut. HTTP est un protocole en texte clair, ce qui signifie qu'il est relativement facile pour un pirate d'intercepter et de lire les données en transit. En raison de la prolifération du phishing, le navigateur Chrome de Google, entre autres, redirige désormais vers HTTPS par défaut.

SSL utilise le port 443, crypte les données échangées entre le navigateur et le serveur et authentifie l'utilisateur. Par conséquent, lorsque les communications entre le navigateur web et le serveur doivent être sécurisées, le navigateur passe automatiquement à SSL - c'est-à-dire tant que le serveur dispose d'un certificat SSL .

L'établissement d'une connexion avec un serveur doté d'un certificat signé par une autorité de certification de confiance se fait sans difficulté supplémentaire pour l'utilisateur. Lorsqu'un internaute visite un site web sécurisé SSL, il est plus enclin à communiquer ses coordonnées ou à effectuer des achats avec sa carte de crédit. En outre, la présence d'un certificat SSL sur votre site web améliore votre position dans le classement, ce qui permet aux utilisateurs et aux clients de trouver plus facilement votre site.

SSL atteste de la fiabilité d'un site web, mais avec des certificats plus avancés, toute l'entreprise peut être certifiée SSL .

Pour les intranets : Que font les certificats SSL pour les applications dans un environnement d'entreprise ?

Bien que SSLait été conçu à l'origine pour le World Wide Web, les entreprises utilisent les certificats SSL pour sécuriser un large éventail de connexions internes et externes. Les cas d'utilisation les plus courants des certificats d'entreprise SSL sont les suivants :

• Contrôles d'accès au réseau (NAC)
• Réseaux privés virtuels (VPN)
• Signature unique (SSO)
• Internet des objets (IoT)

Si elles sont correctement configurées, toutes ces applications fonctionnent sur le protocole SSL . Nous examinerons ces exemples de plus près dans la section suivante :

Accès au réseau

Les employés qui connectent des appareils sans fil au réseau de l'entreprise ont besoin d'un accès facile, alors que le réseau doit empêcher l'accès non autorisé aux ressources de l'entreprise. Les employés peuvent utiliser les certificats SSL pour accéder aux fichiers et les crypter à partir de leurs appareils, des serveurs de l'entreprise ou même des serveurs en nuage pour les personnes autorisées.

Évitez d'avoir à vous souvenir ou à réinitialiser des mots de passe longs et difficiles à retenir, qui changent tous les 90 jours, en les remplaçant par une identité numérique. Placez une identité numérique dans le bureau Windows ou Mac, le serveur ou les points d'accès WiFi, afin que seuls les appareils autorisés puissent se connecter à votre réseau d'entreprise.

Signature unique

Aujourd'hui, les employés des entreprises ont accès à une grande variété de services d'identité ou de produits de fédération. Les entreprises utilisent souvent un produit d'authentification unique Web pour accéder à toutes leurs ressources dans le portail de l'entreprise ou les services en nuage.

Internet des objets

Une identité numérique peut être installée dans votre appareilIoT et dans l'appareil ou l'application de l'utilisateur afin de garantir que seuls les appareils IoT de confiance puissent se connecter à votre réseau. L'appareil IoT reçoit des instructions ou envoie des données à des applications autorisées, et les utilisateurs possèdent une identité numérique.

SSL VPN

Un réseau privé virtuel Secure Sockets Layer (SSL VPN) est un réseau privé virtuel (VPN) créé à l'aide du protocole Secure Sockets Layer (SSL). Les services informatiques peuvent faire évoluer à la fois la solution et les services d'infrastructure requis. SSL Le VPN permet un contrôle granulaire de l'accès géré aux applications web de l'entreprise. Les avantages les plus significatifs de SSL VPN proviennent peut-être de l'efficacité et de la productivité accrues de la libération des ressources informatiques en permettant l'accès à distance à tous les certificats numériques.

Signature de codes, de documents et de courriels

Beaucoup de gens ne réalisent pas que les certificats de signature de code, de documents et de courriels ne sont pas des certificats SSL . Même s'ils sont tous facilités par les certificats x.509 de PKI , la fonction d'utilisation des clés fait toute la différence. Lisez "Différence entre la signature de code et le certificat SSL " ou "Différence entre le certificat numérique et la signature numérique" pour en savoir plus sur le sujet.