Faculté des Sciences de Gabès Année Universitaire : 2019/2020
Enseigné par : Mohamed ABID
Module:Ben
Pr. Cryptographie
Hassine et Sécurité
Ines Réseaux
TP N 3: SSL/TLS & S-Mime
I Test de SSL/TLS
1) Pour lister les types de chiffrement disponibles pour SSL/TLS, essayez« openssl
ciphers v », prenez le temps de parcourir cette liste et de voir les champs Kx, Auth,
Enc, Mac.
on 11, travaillez sous Windows 7
2) Lancez Wireshark
3) Ouvrez le site www.ccpnet.poste.tn avec Firefox puis cliquez sur ouvrir les services, si
vous avez une exception, ajouter la. Quelle est la valeur de l
?
SEC_ERROR_UNKNOWN_ISSUER
4) Cliquez sur le cadenas en haut à gauche, tapez sur la flèche juste à droite de
www.ccpnet.poste.tn, puis tapez sur « » en bas
5) Visualisez la nouvelle fenêtre, quel est le cipher-suite utilisé par TLS dans ce site. ?
Quel est la version de TLS ?
TLS-RSA-with-AES-128_CBC_SHA
TLSv1.0
6) Ecrire cette cipher-
AES-128-CBC-SHA
7) Visualisez le certificat du server ccpnet.poste.tn,
a. Quel sont les usages possibles de ce certificat ?
Signature, Chiffrement de la clé
b. ?
PKCS #1 SHA-256 avec chiffrement RSA
c. Est- ? donnez 2 preuves ;
auto-signé et dans le champ « contrainte de base du
certificat
d. Qui est son CA ? Le CA est COMODO CA Limited
e. Donnez le lien URL du certificat CA qui se trouve dans le champ « accès aux
»
http://crt.comodoca.com/COMODORSADomainValidationSecureServerCA.crt
Vous voulez voir le certificat du CA. Allez sous
outil>options>avancé>certificat>afficher les certific « Autorités »,
n, sinon installez le. (utilisez le lien URL du certificat CA
de la question 7-e). Aussi, vous pouvez voir le certificat du CA dans
«c:\windows\system32\certmgr »
8) Le site www.ccpnet.poste.tn
certificat, allez dans le cadre puis
cliquez sur valider, puis cliquez une autre fois sur vali ?
SSL_ERROR_HANDSHAKE_FAILURE_ALERT
envoyé un message certificate vide avec une alerte « no certificate
fatale.
9) Supprimer le CA que vous avez ajouté avant de passer à la section suivante.
10) Stoppez la capture Wireshark, et cherchez les messages TLS, repondez à ces
questions :
a. Combien de cipher-suites envoyées dans client-hello ? pourquoi il y a des
paramètres des courbes elliptiques ?
Il y a 15, car il y a des ciphersuites qui utilisent ECDH et ECDSA
b. ?
11 ???
c. Quelle est la cipher-suite choisie dans server hello, verifiez que
retrouvée dans la question 5.
d. Vérifiez que les messages envoyés dans le Handshake protocol sont correct
relativement à la cipher-suite
envoie pas le message « server key exchange »
II Test de Smime
Dans cette partie, nous retournons à travailler sous le système LUbuntu Clone. Aroua va
envoyer un mail signé vers Bilel, et il va le vérifier. Aussi, Aroua va envoyer un mail chiffré à
Bilel et ce dernier va le déchiffrer. On va générer les certificats de Aroua et Bilel on utilisant
la contribution SSL-CA du TP2
1) Que veut dire PKCS7 ?
Public Key Cryptographic Standard 7
Standard de syntaxe de message cryptographique, Utilisé pour signer et/ou
chiffrer des messages dans le cadre d'une infrastructure à clés publiques.
2) Créer un fichier mail.txt (Ecrivez dedans « mail de Aroua à Bilel »)
3) Aroua va signer son mail, le résultat sera enregistré dans le fichier mail.signe.
openssl smime -sign -in mail.txt -text -signer aroua.crt -inkey aroua.key -from
[email protected] -to [email protected] -subject "mail signé" -out mail.signe CAfile ca.crt
4) De quoi est constitué la partie codée en base 64 du fichier mail.signe? Visualisez et
donnez la valeur des champs : content type, Protocol et micalg
La partie signature contient le
contenire le certificat du CA. Dans notre cas, comme le CA est le meme pour Aroua
Le mail contient 2 parties : le message et sa signature avec appendice, dans la
signature il y a les champs content type : application/x-pkcs7-signature et micalg =
sha1
5) Aidez Bilel à vérifier la signature en tapant cette commande
openssl smime -verify -in mail.signe -signer aroua.crt -CAfile ca.crt
6) Aroua va envoyer un mail signé opaque, Tapez cette commande, le résultat sera
enregistré dans le fichier mail.signeop nodetach pour signature opaque)
openssl smime -sign -in mail.txt -text nodetach -signer aroua.crt -inkey aroua.key -from
[email protected] -to [email protected] -subject "mail signé opaque" -out mail.signeop CAfile
ca.crt
7) De quoi est constitué la partie codée du fichier mail.signeop? Visualisez et donnez la
valeur les champs content type, et smime-type
Le mail contient une seule partie le message en claire et sa signature codé en base 64,
dans la signature il y a les champs content type : application/x-pkcs7-mie et smime-type
= signed data
8) Aidez Bilel à vérifier la signature en tapant cette commande
openssl smime -verify -in mail.signeop -nodetach -signer aroua.crt -CAfile ca.crt
9) Aroua va envoyer un mail chiffré, avec DES3 par exemple, à Bilel, tapez la
commande, nous allons enregistrer le résultat dans le fichier mail.chiffre
openssl smime -encrypt -in mail.txt -text -from [email protected] -to [email protected] -subject
"mail chiffré" des3 certfile aroua.crt -out mail.chiffre aroua.crt
10) De quoi est constitué la partie codée base 64 du fichier mail.chiffre? Visualisez et
donnez la valeur les champs content type et smime-type
Il contient la clé symétrique chiffrée avec la publique de Bilel, le mail chiffré avec
la clé DES3, les identifiants des algorithmes et le certificat contenant la clé
publque de Aroua (option)
Content type : application/x-pkcs7-mime
Smime-type : envelopped-data
11) Aidez Bilel à déchiffrer le message reçu en tapant cette commande
openssl smime -decrypt des3 -in mail.chiffre -recip bilel.crt -inkey bilel.key -CAfile
ca.crt
