Apprendre le jargon de la sécurité des mots de passe : TLS

Qu'est-ce que le TLS ?

D'un côté, des nouvelles comme celle-ci peuvent nous faire nous sentir un peu stupides. De l'autre, il est extrêmement valorisant de savoir que nous pouvons toujours garder une longueur d'avance sur les cybercriminels, même si notre seule arme consiste à mettre en place un bon mot de passe.

Comment fonctionne le TLS ?

Le TLS fournit une connexion sécurisée et privée entre un client (par exemple, un navigateur Web) et un serveur (par exemple, ) nordpass.com). En quelques secondes, la communication entre les deux parties est vérifiée, authentifiée, certifiée et chiffrée. Le résultat final du TLS est connu sous le nom de « chiffrement symétrique sécurisé ». Cependant, l'établissement d'une liaison secrète est le meilleur moyen de comprendre le processus.

1. Le client envoie un message « bonjour » au serveur : Le message indique la version TLS prise en charge par le client. Il spécifie également les suites de chiffrement prises en charge ainsi qu'une chaîne de nombres aléatoires connus sous le nom d'octets aléatoires client.

   (Les octets aléatoires garantissent « l'actualisation » de la négociation. Le caractère aléatoire permet d'empêcher les attaquants de simuler une chaîne de sessions numérotées à l'avance tout en choisissant celle qui vous convient. Lors de la phase de vérification, les deux parties produiront une séquence aléatoire. Vous trouverez plus d'informations à ce sujet ci-dessous).

2. Le serveur envoie un message « bonjour » en retour : Le message de réponse contient le certificat TLS/SSL du serveur, la suite de chiffrement choisie et une autre séquence aléatoire de nombres. Le certificat active le protocole HTTPS et un symbole de cadenas apparaît à côté de l'URL.

3. Le client authentifie le serveur : Le client vérifie le certificat TLS/SSL du serveur auprès de l'autorité qui l'a émis. Cela confirme l'identité du serveur et prouve que le client communique avec le propriétaire réel du domaine.

4. Le client crée un « secret pré-maître » : Le client obtient une clé publique à partir du certificat TLS/SSL du serveur. La clé est utilisée pour chiffrer une autre séquence aléatoire de nombres, appelée « secret pré-maître ». Il ne peut être déchiffré qu'avec une clé privée détenue par le serveur.

5. Le serveur utilise sa clé privée pour déchiffrer le secret pré-maître.

6. Une clé de session est créée : Il y a désormais trois ensembles de séquences de nombres aléatoires en jeu (1 : aléatoire du client ; 2 : aléatoire du serveur ; 3 : secret pré-maître). Le client et le serveur utilisent les trois ensembles pour générer une clé de session. Une clé de session est une mesure de protection. Il s'agit d'une clé unique utilisée une seule fois afin de protéger et sécuriser une seule session. Une nouvelle clé de session est créée chaque fois que vous visitez le site.

7. Le client annonce qu'il est prêt : Le client envoie un message « terminé », chiffré avec la clé de session exclusive.

   Le serveur annonce qu'il est prêt : Le serveur fait exactement la même chose.

8. La négociation est terminée : Communication entre le client (par exemple, Safari) et le serveur (par ex nordpass.com) est sécurisé avec un cryptage TLS et protégé contre les attaques.

Le TLS permet-il d'éviter les pirates ?

Le TSL est à la fois sécurisé et fiable : Un « secret partagé » est négocié entre deux parties et protégé à l'aide de plusieurs couches de codes et de clés à usage unique. De cette façon, les espions et les attaquants ne peuvent pas deviner ou consulter vos données.

Le chiffrement multicouche brouille vos données, les transformant ainsi en charabia aléatoire. Même si un attaquant passif interceptait vos données, il ne pourrait pas lire la communication.

Où le TLS est-il utilisé ?

Le TLS est généralement utilisé pour :

La communication sur Internet. : les applications de messagerie électronique, de messagerie instantanée ou de voix sur IP telles que Skype.

Les transactions en ligne : les applications de paiement telles que PayPal ou Western Union et les sites Web de banque en ligne. Le TLS est fréquemment utilisé dans les achats en ligne. Il est représenté par un cadenas vert dans votre navigateur.

Quelle est la différence entre TLS et SSL ?

Le TLS est une version améliorée du SSL.

Le SSL (Secure Sockets Layer ou Couche de sockets sécurisée) est inventé en 1994 afin de chiffrer les données, fournir une authentification client et serveur, et protéger les données transmises sur des réseaux non sécurisés. En un an, il explose et devient le meilleur moyen de sécuriser les données dans les e-mails, les navigateurs Web et la VoIP. Cependant, le SSL contient une faille de sécurité importante.

En 2013, Google exprime une préoccupation majeure concernant la sécurité de SSL 3.0. Étant donné que le SSL utilise un mélange de texte brut et de texte crypté, il permet aux pirates de lire les mots de passe et de révéler les informations de compte des utilisateurs sur les sites Web. Tout site Web qui utilise le SSL est vulnérable à ce type d'attaque, appelé POODLE.

Le TLS a donc été conçu pour corriger les failles du SSL et a naturellement été adopté par les entreprises du monde entier. La meilleure façon pour les entreprises d'éviter les problèmes de sécurité de sites Web est de s'assurer que leur site et son serveur d'hébergement ne prennent en charge que la dernière version de TLS.

Pourquoi avons-nous besoin du TLS ?

HTTP signifie HyperText Transfer Protocol et est la base de tout site web. Sites web commençant par HTTPS utiliser une connexion privée et sécurisée – le S dans HTTPS signifie "sécurisé".

Le TLS ou SSL est la technologie de sécurité sous-jacente à HTTPS.

Le TLS enveloppe les connexions en ligne dans le chiffrement, ce qui rend vos données illisibles par les pirates. Sans le TLS, chaque connexion en ligne pourrait être interceptée. N'importe qui pourrait lire nos messages, les appels en ligne pourraient être interceptés, et les détails de notre carte bancaire seraient à la vue des attaquants. L'avantage d'une protection par TLS ? Vous ne réalisez même pas qu'elle est en place.