Skip to main content
Teksolvr
Retour au blog
Sécurité informatique6 juillet 202615 min read

Quel est réellement garanti par l'icône de verrou de votre navigateur ?

Rudra Chauhan, Senior Systems Architect

Quel est réellement garanti par l'icône de verrou de votre navigateur ?

1. Qu'est-ce que l'icône de verrou ?

L'icône de verrou, généralement affichée dans la barre d'adresse d'un navigateur, est un indicateur visuel qui indique que la connexion sécurisée a été établie entre le client (généralement un navigateur web) et le serveur hébergeant le site web. Cette icône est souvent accompagnée des lettres "HTTPS" (Hypertext Transfer Protocol Secure) dans la barre d'adresse, ce qui signifie que la communication entre le client et le serveur est chiffrée.

L'icône de verrou est le résultat de la négociation réussie d'une connexion sécurisée à l'aide du protocole Transport Layer Security (TLS), tel que spécifié dans RFC IETF 8446. TLS est une évolution du protocole Secure Sockets Layer (SSL), qui était utilisé pour sécuriser les communications en ligne dans le passé. Lorsqu'un client demande une connexion sécurisée à un serveur, le serveur répond avec son certificat numérique, qui contient sa clé publique et des informations d'identité. Le client vérifie ensuite le certificat en vérifiant sa validité, en s'assurant qu'il n'est pas expiré et en confirmant qu'il a été émis par une Autorité de Certification (CA) fiable.

Si le certificat est considéré comme valide, le client et le serveur s'engagent dans un échange de clés TLS, où ils négocient les paramètres de chiffrement, y compris le jeu de ciphers et les clés. Une fois l'échange de clés terminé, le client et le serveur peuvent échanger des données chiffrées, garantissant que les données transmises entre eux restent confidentielles et intouchables. L'icône de verrou est affichée dans la barre d'adresse pour indiquer que cette connexion sécurisée a été établie.

Il est essentiel de noter que l'icône de verrou ne garantit pas l'authenticité ou la fiabilité du site web lui-même, mais plutôt la sécurité de la connexion entre le client et le serveur. En d'autres termes, l'icône de verrou indique que les données échangées entre le client et le serveur sont chiffrées, mais elle ne vérifie pas l'identité ou la réputation du site web.

Pour vérifier les détails d'installation du certificat SSL/TLS, les dates d'expiration et les chaînes de confiance d'un site web, vous pouvez utiliser notre outil de vérification de certificat SSL.

2. Comment fonctionne HTTPS ?

HTTPS (Hypertext Transfer Protocol Secure) est une extension du protocole HTTP qui ajoute une couche supplémentaire de sécurité en chiffrant les données en transit. Le processus de chiffrement est facilité par le protocole TLS (Transport Layer Security), qui garantit que les données échangées entre le client et le serveur restent confidentielles et intouchables.

Lorsqu'un client demande une connexion sécurisée à un serveur, le serveur répond avec son certificat numérique, qui contient sa clé publique et des informations d'identité. Le client vérifie ensuite le certificat en vérifiant sa validité, en s'assurant qu'il n'est pas expiré et en confirmant qu'il a été émis par une Autorité de Certification (CA) fiable.

Le processus d'échange de clés TLS implique plusieurs étapes :

  1. Bonjour du client : Le client initie l'échange de clés TLS en envoyant un message "Bonjour du client" au serveur, qui inclut les jeux de ciphers supportés par le client et un ID de session aléatoire.
  2. Bonjour du serveur : Le serveur répond avec un message "Bonjour du serveur", qui inclut le jeu de ciphers choisi par le serveur, un ID de session aléatoire et son certificat numérique.
  3. Vérification du certificat : Le client vérifie le certificat du serveur en vérifiant sa validité, en s'assurant qu'il n'est pas expiré et en confirmant qu'il a été émis par une Autorité de Certification (CA) fiable.
  4. Échange de clés : Le client et le serveur s'engagent dans un échange de clés, où ils négocient les paramètres de chiffrement, y compris le jeu de ciphers et les clés.
  5. Modification de la spécification de chiffrement : Le client et le serveur envoient des messages "Modification de la spécification de chiffrement" l'un à l'autre, qui indiquent qu'ils commenceront à utiliser les paramètres de chiffrement négociés.
  6. Terminé : Le client et le serveur envoient des messages "Terminé" l'un à l'autre, qui confirment que l'échange de clés est terminé.

Une fois l'échange de clés terminé, le client et le serveur peuvent échanger des données chiffrées. Le processus de chiffrement implique l'utilisation de la cryptographie à clé symétrique, où la même clé est utilisée pour la chiffrer et la déchiffrer.

Le plus souvent utilisé algorithme de cryptographie à clé symétrique est AES (Advanced Encryption Standard), qui est un bloc-cipher qui chiffre les données en blocs fixes.

En plus du chiffrement, HTTPS fournit également l'authentification et la vérification d'intégrité. Le processus d'authentification implique l'utilisation de certificats numériques, qui garantissent que le client est en communication avec le serveur ciblé. Le processus de vérification d'intégrité implique l'utilisation de codes d'autorisation de message (MAC), qui garantissent que les données échangées entre le client et le serveur n'ont pas été modifiées.

Pour garantir la sécurité de votre site web, il est essentiel de configurer votre serveur pour utiliser un protocole sécurisé, tel que TLS 1.2 ou TLS 1.3, et d'utiliser un jeu de ciphers sécurisé, tel que AES-256-GCM. Vous pouvez utiliser notre outil de vérification de certificat SSL pour vérifier les détails d'installation du certificat SSL/TLS, les dates d'expiration et les chaînes de confiance de votre site web.

3. Qu'est-ce que l'icône de verrou garantit ?

L'icône de verrou dans la barre d'adresse d'un navigateur garantit que la connexion sécurisée a été établie entre le client et le serveur à l'aide du protocole Transport Layer Security (TLS). Cette connexion sécurisée garantit que les données échangées entre le client et le serveur sont chiffrées, ce qui rend difficile pour les parties non autorisées d'intercepter et de lire les données.

Lorsqu'un client demande une connexion sécurisée à un serveur, le serveur répond avec son certificat numérique, qui contient sa clé publique et des informations d'identité. Le client vérifie ensuite le certificat en vérifiant sa validité, en s'assurant qu'il n'est pas expiré et en confirmant qu'il a été émis par une Autorité de Certification (CA) fiable. Si le certificat est considéré comme valide, le client et le serveur s'engagent dans un échange de clés TLS, où ils négocient les paramètres de chiffrement, y compris le jeu de ciphers et les clés.

L'icône de verrou garantit que les caractéristiques de sécurité suivantes sont en place :

  • Chiffrement : Les données échangées entre le client et le serveur sont chiffrées à l'aide d'un algorithme de cryptographie à clé symétrique, tel que AES (Advanced Encryption Standard). Cela garantit que les données transmises entre le client et le serveur restent confidentielles et intouchables.
  • Authentification : Le certificat numérique présenté par le serveur garantit que le client est en communication avec le serveur ciblé. Cela empêche les attaques par un tiers (MITM), où un attaquant intercepte la communication et prétend être le serveur.
  • Vérification d'intégrité : Le protocole TLS inclut des codes d'autorisation de message (MAC), qui garantissent que les données échangées entre le client et le serveur n'ont pas été modifiées.

Cependant, l'icône de verrou ne garantit pas les éléments suivants :

  • Authenticité du site web : L'icône de verrou ne vérifie pas l'authenticité ou la fiabilité du site web lui-même. Elle ne garantit que la sécurité de la connexion entre le client et le serveur.
  • Sécurité des données : L'icône de verrou ne garantit pas la sécurité des données stockées sur le serveur ou la sécurité du serveur lui-même. Elle ne garantit que la sécurité des données en transit.

Pour garantir la sécurité de votre site web, il est essentiel de configurer votre serveur pour utiliser un protocole sécurisé, tel que TLS 1.2 ou TLS 1.3, et d'utiliser un jeu de ciphers sécurisé, tel que AES-256-GCM. Vous pouvez utiliser notre outil de vérification de certificat SSL pour vérifier les détails d'installation du certificat SSL/TLS, les dates d'expiration et les chaînes de confiance de votre site web.

4. Limites de l'icône de verrou

Bien que l'icône de verrou fournit un indicateur visuel d'une connexion sécurisée, elle a plusieurs limites que les utilisateurs devraient être conscients. Voici quelques-unes des principales limites de l'icône de verrou :

1. Les sites web de phishing peuvent également avoir une icône de verrou

Les sites web de phishing peuvent également obtenir un certificat SSL/TLS et afficher l'icône de verrou dans la barre d'adresse. C'est parce que l'icône de verrou ne garantit que la connexion est sécurisée, et non que le site web est légitime ou fiable. Les attaquants peuvent obtenir un certificat SSL/TLS gratuit d'une Autorité de Certification (CA) et l'utiliser pour créer un site web de phishing qui semble sécurisé.

2. L'icône de verrou ne garantit pas la sécurité du serveur

L'icône de verrou ne garantit que la sécurité de la connexion entre le client et le serveur. Elle ne garantit pas la sécurité du serveur lui-même. Si le serveur est compromis ou a des vulnérabilités, un attaquant peut toujours accéder à des données sensibles même si la connexion est sécurisée.

3. L'icône de verrou ne prévient pas les attaques par un tiers (MITM)

Bien que l'icône de verrou indique que la connexion est sécurisée, elle ne prévient pas les attaques par un tiers (MITM). Un attaquant peut toujours intercepter la communication entre le client et le serveur si il a le contrôle du réseau ou du dispositif du client.

4. L'icône de verrou ne garantit pas la sécurité des données stockées sur le serveur

L'icône de verrou ne garantit que la sécurité des données en transit. Elle ne garantit pas la sécurité des données stockées sur le serveur. Si le serveur est compromis ou a des vulnérabilités, un attaquant peut toujours accéder à des données sensibles même si la connexion est sécurisée.

5. L'icône de verrou peut être trompeuse

L'icône de verrou peut être trompeuse si le site web utilise un certificat auto-signé ou un certificat qui n'a pas été émis par une Autorité de Certification (CA) fiable. Dans de tels cas, l'icône de verrou peut toujours être affichée, mais la connexion peut ne pas être sécurisée.

6. L'icône de verrou ne garantit pas la conformité aux réglementations de sécurité

L'icône de verrou ne garantit pas la conformité aux réglementations de sécurité telles que PCI-DSS, HIPAA ou GDPR. La conformité à ces réglementations nécessite un cadre de sécurité global qui va au-delà de la simple présence d'une connexion sécurisée.

Pour garantir la sécurité de votre site web, il est essentiel de aller au-delà de la simple présence d'une icône de verrou. Vous devriez mettre en place un cadre de sécurité global qui inclut des audits de sécurité réguliers, des scans de vulnérabilités et des tests de pénétration. Vous pouvez utiliser notre outil de vérification de certificat SSL pour vérifier les détails d'installation du certificat SSL/TLS, les dates d'expiration et les chaînes de confiance de votre site web.

5. Meilleures pratiques pour les connexions sécurisées

Pour garantir les connexions sécurisées, suivez ces meilleures pratiques :

1. Utilisez un protocole sécurisé

Utilisez un protocole sécurisé, tel que TLS 1.2 ou TLS 1.3, pour chiffrer les données en transit. Vous pouvez configurer votre serveur pour utiliser un protocole sécurisé en éditant le fichier de configuration SSL/TLS. Par exemple, dans Apache, vous pouvez ajouter les lignes suivantes au fichier httpd.conf :

bash
SSLProtocol tout -SSLv2 -SSLv3
SSLHonorCipherOrder sur
SSLSessionCache "shmcb:/var/run/apache2/ssl_scache(512000)"

Dans Nginx, vous pouvez ajouter les lignes suivantes au fichier nginx.conf :

bash
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers sur;
ssl_session_cache partagée:SSL:10m;

2. Utilisez un jeu de ciphers sécurisé

Utilisez un jeu de ciphers sécurisé, tel que AES-256-GCM, pour chiffrer les données en transit. Vous pouvez configurer votre serveur pour utiliser un jeu de ciphers sécurisé en éditant le fichier de configuration SSL/TLS. Par exemple, dans Apache, vous pouvez ajouter les lignes suivantes au fichier httpd.conf :

bash
SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS"

Dans Nginx, vous pouvez ajouter les lignes suivantes au fichier nginx.conf :

bash
ssl_ciphers "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS";

3. Implémentez les en-têtes de sécurité

Implémentez les en-têtes de sécurité, tels que HSTS (HTTP Strict Transport Security) et HPKP (HTTP Public Key Pinning), pour prévenir les attaques par un tiers (MITM) et garantir l'intégrité de la configuration SSL/TLS de votre site web. Vous pouvez configurer votre serveur pour implémenter les en-têtes de sécurité en éditant le fichier de configuration HTTP. Par exemple, dans Apache, vous pouvez ajouter les lignes suivantes au fichier httpd.conf :

bash
Header toujours défini Strict-Transport-Security "max-age=31536000; includeSubDomains"
Header toujours défini Public-Key-Pins "pin-sha256=\"base64+primary==\"; pin-sha256=\"base64+backup==\"; max-age=5184000; includeSubDomains"

Dans Nginx, vous pouvez ajouter les lignes suivantes au fichier nginx.conf :

bash
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
add_header Public-Key-Pins "pin-sha256=\"base64+primary==\"; pin-sha256=\"base64+backup==\"; max-age=5184000; includeSubDomains";

4. **Mettez à jour rég

Ce guide vous a-t-il été utile ?

Vous dépannez ou testez ce guide ?

Teksolvr propose 97 outils gratuits pour inspecter les configurations DNS, valider les certificats DKIM, tester les ports ouverts, vérifier les listes noires de serveurs et effectuer des calculs.

Explorer 97 Outils GratuitsDemander à l'Assistant IA