Bonjour,
Je reprend cette discussion un peu tard. Je vais essayer d'apporter un peu d'informations sur le sujet à propos du SSL.
En fait ce qu'il faut comprendre, c'est que pour la majorité des gens, SSL = cadenas = sécurisé mais il faut voir bien plus loin que ça.
Le certificat SSL a deux fonctions, la première que vous citez tous, c'est le chiffrement des données entre le client (navigateur) et le serveur pour éviter que celles-ci soient interceptées par une personne mal intentionnée.
Sur ce point, vous pouvez être d'accord, presque tous les certificats SSL se valent (à condition d'utiliser des tailles de clés et des algorithme de hash qui ne sont pas encore vulnérables).
Pour cela, la démocratisation des certificats restent une très bonne chose si cela permet de sensibiliser les néophytes sur l'utilisation du HTTPS et des certificats.
Il m'est arrivé plus d'une fois qu'un un amis me demande "tiens au fait, là depuis un mois je vais sur facebook mais il m'affiche toujours cette erreur de certificat, j'ai beau accepter, ça reviens toujours".
Oui, malgré le fait que le navigateur l'avertisse qu'il accède à un site non sécurisé, la possibilité d'usurpation, ect... ça ne l'a pas empêché d'accepter l'exception et de se connecter par identifiant/mot de passe sur son compte facebook (heureusement pour lui, juste un problème d'horloge et de mauvaise date qui rendait donc le certificat non valide). Ceci n'est qu'un cas parmi tant d'autres. Cela montre que les utilisateurs non sensibilisés, n'ont pas consciences des risques et des "dangers" qui pullulent sur le net.
La seconde fonction du certificat, c'est aussi d'apporter des informations sur le propriétaire du domaine. C'est sur cette deuxième fonction, je trouve que les navigateurs (où tous les magasins de certificats de confiance) tendent trop vers la simplicité.
Aujourd’hui il existe de nombreuses autorités de certifications (AC), qui délivrent différents types de certificats avec des fonctions de vérifications manuelles/automatique qui permettent d'apporter un degré plus ou moins élevé de confiance aux certificats que ces AC délivrent.
Sans rentrer dans les détails vous pouvez retrouver les niveaux suivants pour les certificats SSL Serveur (du plus light au plus "confiant" :
- Certificat délivré sans aucune vérification (certificat à la volé)
- Certificat délivré en vérifiant que vous avez accès au domaine (certificat DV : Domain validated; on vérifie que vous avez le "pouvoir" de placer un fichier sur votre serveur web)
- Certificat délivré en vérifiant le propriétaire du domaine (certificat OV : Organization validated; on vérifie que la personne physique/morale qui demande le certificat est bien le propriétaire du domaine. Cela passe par exemple par la fourniture de document d'identité, document d'inscription au registre du commerce et des société, ect ...)
- Certificat délivré en vérifiant encore plus le propriétaire du domaine (Certificat EV : Extended validation; OV + vérification de l'adresse physique, du ou des numéros de téléphone entre autre).
Aujourd’hui, à part les certificat EV, la fameuse "barre verte", rien ne permet de distinguer les autres types de certificats entre eux, et pourtant un certificat OV apporte plus de confiance pour l'internaute qu'un simple certificat à la volé ou DV.
je pense que c'est sur ce point que les acteurs du marché devraient travailler, c'est à dire pouvoir informer l'internaute du degré de fiabilité qu'il devrait accorder aux sites qu'il visite. Cela permettra alors de vraiment s'assurer que le web devienne un espace de confiance.
Pour aider nos chère navigateurs à faire cela, il y a déjà quelques briques de posées. Reprenons l'exemple des autorités de certification.
Pour être intégré dans un magasin de certificat, une autorité de certification doit en général montrer "patte blanche" et doit pouvoir attester que les certificats qu'elle délivre sont soumis à un certain nombre de contrôles (permettant d'éviter par exemple que n'importe qui puisse demander à intégrer son propre certificat comme certificat de confiance).
De cette manière, l'autorité de certification est automatiquement reconnue comme organisme de confiance, le navigateur peut donc de manière transparente lui faire confiance et se dire que les certificats qu'elle délivre sont valides et que l'internaute peut à son tour leur faire confiance (donc tout cela sous entend que l'internaute fait aussi confiance au navigateur qu'il utilise
).
Pour aider tout ce petit monde à se faire confiance, un ensemble de règle à respecter on été définies. Ces règles sont établie sous forme de normes.
En France, nous disposons de la norme RGS (Référentiel Général de Sécurité, version 2.0 qui devrait entrer en vigueur en juillet 2016) définie par le SGMAP et l'ANSSI, pour assurer un espace de confiance en France (Norme qui est elle même basé sur la norme Européenne ETSI).
Cette norme définie un certain nombre de règles que les Autorités de certification doivent respecter pour se voir obtenir la qualification (à savoir que l'obtention de la norme à une durée effective d'un an, donc chaque année, l'AC doit à nouveau être examinée pour garantir qu'elle respecte toujours ses engagements initiaux, mais également, en cas de mise à jour des normes, qu'elle respecte aussi les nouvelles recommandations/obligations).
La norme RGS est elle même ensuite découpé en trois niveaux : RGS *(une étoile), RGS** et RGS***.
Plus vous montez en niveau, plus le certificat est qualifié. pour cela un exemple simple
- Un certificat SSL RGS* peut être délivré en ligne. Pour cela l'AC vérifiera que c'est bien le propriétaire du domaine qui effectue la demande de certificat, elle vérifiera également l'identité du demandeur. Le certificat pourra alors être simplement délivré sous forme d'un fichier logiciel par exemple (type PKCS12).
- Un certificat SSL RGS** disposera des même prérequis de vérification que le SSL RGS*, plus :
- L'obligation de stocker la clé privé sur un boitier cryptographique qualifié
- L'obligation de remettre le certificat en face à face au demandeur (permet de valider de visu l'identité du demandeur).
Nb : Pour les certificats de serveurs, le norme de définie pas de niveau trois étoiles qui est par contre appliqué pour les certificats à destinations des personnes physiques (signature électronique, chiffrement, authentification).
Nb2 : J'ai volontairement pris l'exemple du certificat SSL, même si en pratique, le SSL RGS** n'est quasiment pas commercialisés par les autorités de certifications au vu des difficulté et des coûts relatifs à la délivrance de ce type de certificat.
Donc, théoriquement, un site équipé d'un certificat RGS** devrait obtenir un degré de confiance plus élevé qu'un site équipé d'un SSL RGS*. Pourtant au niveau du navigateur, il n'y aura aucune différence.
Pour revenir au sujet principal de ce sujet, ajoutez à cela qu'il existe encore bien d'autres normes (chaque pays ayant un peu ses normes nationales), qui ont chacune leurs critères de "confiance", ça peut vite devenir un beau bordel pour gérer les magasins de certificats.
Imaginez en plus que chaque éditeur est libre de faire son propre magasin de certificat avec ces propre critères d'intégration. C'est comme cela par exemple que vous pouvez retrouver des site équipé d'un certificat SSL reconnu sur Firefox, et pas sur Internet Explorer ou Chrome (Mozilla utilise son propre magasin de certificat, Microsoft utilise son propre magasin, Adobe dispose de son propre magasin, ...).
Bon je commence à m’étaler sur le sujet alors que ce n'était pas mon envie initiale (on dérape vite quand on se lance à parler de chose qui nous intéressent ^^), je vais donc essayer de conclure simplement et rapidement.
Pour moi l'idée de letsencrypt est très bonne, dans le sens où cela va permettre de sensibiliser les éditeurs web dans la sécurisation de leurs données mais, également les internautes qui seront un peu plus souvent confrontés aux sites utilisant des certificats SSL.
Par contre, le point faible dans tout ça reste la gestions des listes de confiances, c'est à dire, pouvoir savoir à qui je peux faire confiance, qui peut m'assurer que le propriétaire du site est bien celui qu'il prétend être ?
je suis certain que ce problème pourrait être résolu en passant par un système de magasin globale qui définirait une seule liste d'autorité de confiance que toutes les plateformes, navigateurs, pourraient utiliser plutôt que de chacun faire sa propre tambouille dans son coin. Je ne dit pas que c'est simple (qui s'en chargerait, comment homogénéiser les critères d'acceptation, ...).
bref en quelques mots, "A qui puis-je faire confiance ?"
Ps : Pardonnez mes erreurs de frappes, il se fait tard et j'espère que tout ceci, une fois envoyé ne sera pas trop brouillon
------------
Lecture complémentaires pour ceux que ça intéresse (et les plus courageux ^^):
- Le RGS :
http://www.ssi.gouv.fr/entreprise/re...-securite-rgs/
- Les normes européennes avec la parution "récente" du réglement EiDas piur harmoniser la confiance entre les pays européen : http://eur-lex.europa.eu/legal-conte...LEX:32014R0910 (remplacera les normes ETSI TS 102 042 et ETSI TS 101 456)
- Cabinet d'audit accrédité pour auditer les autorité de certification souhaitant obtenir les qualifications RGS :
http://www.lsti-certification.fr/ind...ation-rgs.html
avec une liste de nombreuses AC qualifiée :
http://www.lsti-certification.fr/ima...ste%20PSCe.pdf
2 |
0 |
Le protocole HTTPS (HyperText Transfer Protocol Secure) offre une meilleure sécurité des informations transmises sur le Web grâce au chiffrement des données. Si les sites de gestion de transactions financières, les réseaux sociaux ou encore les messageries électroniques utilisent largement le protocole, son adoption sur le Web tarde à se généraliser.
Qu'en pensez-vous ? Belle initiative pour un Web sécurisé ? 
Envoyé par Farnsworse
