Complément de cours HTTPS.
Dans ce complément nous prendrons l’exemple d’un client muni de son navigateur Web qui veut
accéder à un site sécurisé en ligne. Les étapes de la communication sont simplifiées.
Le client accède au site en ligne sécurisé en tapant une URL dans son navigateur.
L’URL précise le protocole HTTPS au lieu de HTTP et est de la forme suivante :
HTTPS://[Link]
Le navigateur initie donc une connexion SSL qui servira à transporter par la suite les messages http.
On parle donc de HTTPS ou encore http over SSL car le protocole http est encapsulé à l’intérieur du
protocole SSL. Ce dernier se charge de la partie sécurisation. La connexion initiée par le navigateur a
comme destination le port 443 du serveur (au lieu du 80) par défaut.
SSL (TCP port 443)
Client Serveur Web HTTPS
Le serveur est muni d’une paire de clef : une clef privée et une clef publique.
Le serveur transmet sa clef publique située à l’intérieur d’un certificat au client.
Client Serveur Web HTTPS
Le client vérifie la validité du certificat, quelques uns des critères de validité :
Le certificat doit provenir d’une autorité de certification reconnu par le navigateur.
Le certificat doit être encore valide (date de validité) et ne pas être dans les listes de
révocation.
Le certificat doit être intègre (non modifié).
L’attribut COMMON NAME (CN) du certificat doit correspondre au nom du site.
ETC…
Le critère du CN est le suivant :
Le certificat possède un attribut CN que l’on peut voir par exemple ici :
Votre navigateur compare donc le nom que vous avez entré dans votre navigateur au nom pour
lequel a été délivré le certificat. En cas d’erreur, une alerte est levée par votre navigateur.
Ces vérifications permettent de s’assurer que l’on initie une connexion sécurisée vers le bon serveur.
Le client récupère la clef publique du serveur à l’intérieur du certificat.
Le client génère une clef aléatoire appelée clef de session.
Le client crypte cette clef de session avec la clef publique du serveur. Il envoie la clef de session
cryptée au serveur.
(Clef de session) cryptée avec clef
publique
Client Serveur Web HTTPS
Le serveur est en mesure de récupérer la clef de session car celui-ci détient la clef privée qui permet
de décrypter les messages cryptés avec sa clef publique.
Le client et le serveur ont maintenant connaissance de la clef de session.
Le client et le serveur continu avec un cryptage symétrique des communications en utilisant la clef de
session.
La communication http peut commencer à l’intérieur de la session SSL.
