Table des matières
Introduction ........................................................................................................................................2
I. Objectifs et historique du protocole SSL/TLS.....................................................................................3
A. Objectifs du protocole SSL/TLS ....................................................................................................3
B. Historique du protocole SSL/TLS ..................................................................................................4
C. Évolution des objectifs au fil du temps.........................................................................................4
II. Fonctionnement du protocole SSL/TLS ............................................................................................5
A. Architecture du protocole SSL/TLS...............................................................................................5
B. Phase de Handshake (négociation) ..............................................................................................6
C. Échange de données chiffrées .....................................................................................................7
D. Fin de session TLS .......................................................................................................................7
Iii. Chiffrement dans le protocole SSL/TLS ............................................................................................8
A. Le chiffrement asymétrique (clé publique/clé privée) ..................................................................8
B. Le chiffrement symétrique (clé de session) ..................................................................................9
C. Fonctions de hachage et HMAC ................................................................................................. 10
D. Évolution vers des suites de chiffrement plus sécurisées ........................................................... 10
iV. Certificat SSL/TLS .......................................................................................................................... 10
1. Définition du certificat SSL/TLS .................................................................................................. 10
2. À quoi sert un certificat SSL/TLS ? .............................................................................................. 10
3. Comment obtenir un certificat SSL/TLS ? ................................................................................... 10
4. Autorités de Certification (CA) ................................................................................................... 11
5. Types de certificats SSL/TLS ....................................................................................................... 11
v. LES AVANTAGES ET INCONVENIENTS SSL /TLS ................................................................................ 12
1. Les avantages des protocoles SSL et TLS................................................................................. 12
2. Les inconvénients des protocoles SSL et TLS .......................................................................... 13
VI. Attaques et Vulnérabilités liées au Protocole SSL/TLS ............................................................. 13
1. Vulnérabilités historiques majeures ........................................................................................... 14
2. Attaques courantes sur les connexions SSL/TLS .......................................................................... 14
VII. UTILISATION, BONNES PRATIQUES ET EVOLUTION ................................................................. 15
1. Utilisation et application du SSL et TLS dans différents contextes ........................................... 15
2. Bonne pratique de sécurité liée à l’utilisation des protocoles SSL et TLS ................................. 16
VIII. CONFIGURATION TLS/SSL ...................................................................................................... 17
1. Configuration du protocole TLS .............................................................................................. 17
2. Configuration SSL .................................................................................................................. 18
Conclusion ........................................................................................................................................ 21
P a g e 1 | 22
Bibliographie..................................................................................................................................... 22
INTRODUCTION
Dans un monde de plus en plus connecté, la sécurité des échanges d’informations sur Internet
est devenue une préoccupation majeure. Chaque jour, des milliards de données sensibles telles
que des mots de passe, des informations bancaires ou des communications privées transitent
sur le réseau mondial. Sans mécanismes de protection adéquats, ces informations peuvent être
interceptées, modifiées ou utilisées à des fins malveillantes. C’est dans ce contexte que les
protocoles de sécurité comme SSL (Secure Sockets Layer) et son successeur TLS (Transport
Layer Security) ont été développés. Ces protocoles assurent la confidentialité, l’intégrité et
l’authenticité des données échangées entre les systèmes informatiques, notamment sur le web.
Utilisés principalement pour sécuriser les connexions HTTPS, ils sont devenus un standard
incontournable dans la sécurité des réseaux. Dans cet exposé, nous allons explorer en détail le
protocole SSL/TLS, depuis son historique et ses objectifs, jusqu’à ses principes de
fonctionnement, ses mécanismes de chiffrement, les certificats numériques, ses forces et
faiblesses, ainsi que les bonnes pratiques à adopter pour son usage optimal.
P a g e 2 | 22
I. OBJECTIFS ET HISTORIQUE DU PROTOCOLE SSL/TLS
A. Objectifs du protocole SSL/TLS
Le protocole SSL/TLS a été conçu pour répondre à plusieurs enjeux cruciaux de la sécurité des
échanges sur les réseaux, en particulier Internet. Son objectif principal est de sécuriser les
communications entre deux entités souvent un client (navigateur web) et un serveur (site web) en
assurant les propriétés suivantes :
Confidentialité des données
Grâce au chiffrement, les données transmises sont rendues illisibles pour toute personne non
autorisée. Cela empêche les attaquants d’intercepter et de comprendre les informations échangées.
Authentification
Le protocole SSL/TLS permet de vérifier l’identité du serveur (et parfois du client), à l’aide de
certificats numériques délivrés par des autorités de certification fiables.
Intégrité des données
P a g e 3 | 22
SSL/TLS garantit que les données n’ont pas été modifiées pendant la transmission grâce à des
hachages cryptographiques.
Établissement d’une confiance numérique
Le protocole SSL/TLS renforce la confiance entre les utilisateurs et les services en ligne, notamment
via l’icône du cadenas dans les navigateurs.
B. Historique du protocole SSL/TLS
L’histoire du protocole SSL/TLS est marquée par une évolution progressive visant à corriger des failles
de sécurité et à améliorer les performances.
SSL 1.0 (1994)
Développé par Netscape, cette première version n’a jamais été rendue publique en raison de failles
majeures de sécurité détectées lors des tests internes.
SSL 2.0 (1995)
Première version publique, mais souffrant de nombreuses vulnérabilités de sécurité.
SSL 3.0 (1996)
Amélioration de SSL 2.0, posant les bases de TLS. Aujourd’hui obsolète en raison de failles comme
POODLE.
TLS 1.0 (1999)
Standard publié par l’IETF, améliore la sécurité et la compatibilité par rapport à SSL 3.0. Devenu
obsolète.
TLS 1.1 (2006)
Améliorations mineures, peu adopté.
TLS 1.2 (2008)
Largement utilisé aujourd’hui, prend en charge des algorithmes de chiffrement robustes (SHA-256,
AES, etc.).
TLS 1.3 (2018)
Version la plus récente. Suppression des anciens algorithmes faibles, réduction de la latence,
chiffrement dès la négociation.
C. Évolution des objectifs au fil du temps
Au fil des versions, les objectifs fondamentaux du protocole SSL/TLS sont restés constants, mais leur
mise en œuvre a évolué :
P a g e 4 | 22
- Plus grande automatisation de la gestion des certificats (ex : Let’s Encrypt).
- Renforcement des exigences cryptographiques (taille des clés, algorithmes autorisés).
- Introduction de mécanismes de forward secrecy pour améliorer la sécurité à long terme.
- Amélioration des performances pour s’adapter aux applications modernes.
Figure 1: schema chronologique du protocole SSL/TLS
II. FONCTIONNEMENT DU PROTOCOLE SSL/TLS
Le protocole SSL/TLS fonctionne selon une architecture en couches qui s’intègre dans la pile TCP/IP. Il
a pour rôle de sécuriser les échanges entre deux parties, généralement un client (navigateur) et un
serveur (site web). Son fonctionnement repose sur plusieurs étapes clés, regroupées principalement
dans ce qu'on appelle la phase de négociation ou Handshake, suivie de la phase de transfert sécurisé
des données.
A. Architecture du protocole SSL/TLS
Le protocole SSL/TLS est situé entre la couche transport (TCP) et la couche application (HTTP, SMTP,
etc.). Il encapsule les données d'application en les chiffrant avant leur envoi à la couche transport.
Les principales sous-couches de SSL/TLS sont :
- Le protocole Handshake : négociation des paramètres de sécurité.
P a g e 5 | 22
- Le protocole ChangeCipherSpec : signalement du début du chiffrement.
- Le protocole Alert : communication d’erreurs ou d’alertes.
- Le protocole Record : encapsulation et protection des données applicatives.
B. Phase de Handshake (négociation)
La phase de Handshake est cruciale car elle permet d’établir les paramètres de sécurité avant le
transfert des données.
Les étapes typiques du Handshake TLS sont :
1. ClientHello
Le client envoie au serveur une requête contenant les versions TLS supportées, une liste de suites
cryptographiques compatibles, et un nombre aléatoire servant à la génération des clés.
2. ServerHello
Le serveur répond avec la version TLS choisie, la suite cryptographique sélectionnée, un nombre
aléatoire, et son certificat.
3. Authentification du serveur
Le client vérifie l’authenticité du certificat SSL/TLS du serveur via l’autorité de certification.
4. Génération de la clé de session
Le client génère une clé de session à l’aide du secret partagé obtenu par RSA, Diffie-Hellman ou
ECDHE.
5. ChangeCipherSpec
Les deux parties indiquent qu’elles vont commencer à chiffrer les messages avec les paramètres
négociés.
6. Finished
Chaque partie envoie un message ‘Finished’ chiffré, confirmant que le Handshake est terminé.
P a g e 6 | 22
Figure 2:schema du processus de handshake
C. Échange de données chiffrées
Une fois le Handshake terminé, le client et le serveur peuvent commencer à échanger des données
sécurisées. Les messages sont chiffrés symétriquement à l’aide de la clé de session, garantissant à la
fois la confidentialité et la rapidité des échanges.
Chaque message est :
- Fragmenté en blocs de données.
- Comprimé (optionnel).
- Intégré avec un code d’authentification (MAC).
- Chiffré et encapsulé dans un enregistrement TLS.
D. Fin de session TLS
Lorsque la communication est terminée, le client ou le serveur peut envoyer un message
‘CloseNotify’ pour indiquer la fin sécurisée de la session. Cela évite les attaques du type ‘truncation
attack’, où un tiers interrompt la communication pour manipuler les données.
P a g e 7 | 22
Figure 3:schéma récapitulatif du principe de fonctionnement du protocole SSL/TLS
III. CHIFFREMENT DANS LE PROTOCOLE SSL/TLS
Le chiffrement est au cœur du protocole SSL/TLS. Il garantit que les données échangées entre deux
parties restent confidentielles et ne puissent être interceptées ou modifiées par des tiers non
autorisés. SSL/TLS utilise deux types de chiffrement : asymétrique pour l’établissement de la
connexion sécurisée et symétrique pour l’échange de données.
A. Le chiffrement asymétrique (clé publique/clé privée)
Le chiffrement asymétrique utilise une paire de clés : une clé publique pour chiffrer les données et
une clé privée pour les déchiffrer. Ce mécanisme est principalement utilisé pendant la phase de
Handshake pour :
- Authentifier le serveur à l’aide d’un certificat numérique ;
- Permettre l’échange sécurisé de la clé de session.
Les algorithmes courants utilisés pour le chiffrement asymétrique sont RSA (Rivest-Shamir-Adleman),
DSA (Digital Signature Algorithm), et plus récemment, ECDSA (Elliptic Curve Digital Signature
Algorithm).
P a g e 8 | 22
Figure 4:chiffrage asymétrique dans le protocole SSL /TLS
B. Le chiffrement symétrique (clé de session)
Après le Handshake, SSL/TLS utilise un chiffrement symétrique pour le reste de la communication.
Cela signifie que la même clé est utilisée pour chiffrer et déchiffrer les données des deux côtés. Le
chiffrement symétrique est beaucoup plus rapide et plus adapté à de grandes quantités de données.
Algorithmes de chiffrement symétrique couramment utilisés :
- AES (Advanced Encryption Standard)
- ChaCha20 (souvent combiné avec Poly1305 pour l’authentification)
- 3DES (ancien, mais encore pris en charge dans certains cas)
Figure 5: schéma du chiffrage symétrique (clés de session) échangés
P a g e 9 | 22
C. Fonctions de hachage et HMAC
En plus du chiffrement, TLS utilise des fonctions de hachage pour garantir l’intégrité des données
transmises. Ces fonctions transforment les messages en une empreinte unique (hash), qui permet de
détecter toute modification.
Les fonctions de hachage populaires dans TLS sont SHA-256, SHA-384, et MD5 (obsolète).
Le protocole utilise aussi HMAC (Hashed Message Authentication Code), qui combine une fonction de
hachage avec une clé secrète pour authentifier les messages échangés. Cela garantit qu’un message
provient bien d’une source fiable et n’a pas été altéré.
D. Évolution vers des suites de chiffrement plus sécurisées
Les versions récentes de TLS (notamment TLS 1.3) ont abandonné certains algorithmes anciens jugés
vulnérables (comme RC4, MD5 ou SHA-1). TLS 1.3 impose désormais des suites de chiffrement
modernes, robustes et plus rapides. Il supprime aussi certaines étapes du Handshake pour réduire la
latence tout en améliorant la sécurité.
IV. CERTIFICAT SSL/TLS
1. Définition du certificat SSL/TLS
Un certificat SSL/TLS est un fichier de données qui lie une clé cryptographique à des informations sur
une organisation. Lorsqu’il est installé sur un serveur web, il active le cadenas et le protocole HTTPS,
garantissant ainsi des connexions sécurisées entre le serveur et les navigateurs. Il contient des
informations telles que : le nom de domaine, la société propriétaire du certificat, l’autorité de
certification (CA), et la période de validité.
2. À quoi sert un certificat SSL/TLS ?
Le certificat SSL/TLS permet de :
• - Sécuriser les échanges de données en les chiffrant
• - Garantir l’identité du site web via une vérification par une autorité de certification
• - Renforcer la confiance des utilisateurs et améliorer le référencement SEO
3. Comment obtenir un certificat SSL/TLS ?
Pour obtenir un certificat SSL/TLS, les étapes suivantes sont requises :
P a g e 10 | 22
1. Choisir le type de certificat : Décidez du type de certificat SSL/TLS dont vous avez besoin en
fonction de vos besoins de sécurité et de validation (DV, OV, EV).
2. Générer une demande de signature de certificat (CSR) : Vous devez générer un CSR à partir
de votre serveur web. Ce CSR contient les détails de votre site web et sera utilisé pour créer
votre certificat.
3. Choisir un fournisseur de certificat SSL/TLS : Vous pouvez obtenir un certificat SSL/TLS
auprès de nombreuses autorités de certification réputées. Comparez les prix, les
fonctionnalités et les niveaux de support pour choisir le fournisseur qui vous convient.
4. Acheter le certificat : Suivez les instructions du fournisseur pour acheter le certificat
SSL/TLS de votre choix. Vous devrez fournir des informations sur votre site web lors de
l’achat.
5. Validation de votre identité : Selon le type de certificat, vous devrez peut-être passer par
un processus de validation pour prouver votre identité et la légitimité de votre site web.
6. Installation du certificat : Une fois que vous avez reçu votre certificat SSL/TLS, vous devez
l’installer sur votre serveur web. Suivez les instructions fournies par votre fournisseur ou
votre administrateur système pour effectuer cette étape.
4. Autorités de Certification (CA)
Une autorité de certification est une organisation de confiance qui émet des certificats numériques.
Elle garantit l’authenticité du certificat et de l’entité détentrice. Exemples de CA :
• - Let's Encrypt (gratuite)
• - GlobalSign
• - DigiCert
5. Types de certificats SSL/TLS
Il existe principalement trois types de certificats SSL/TLS, en fonction du niveau de validation
requis et de l’étendue de la couverture :
1. Certificats SSL/TLS à validation de domaine (DV – Domain Validation) : Ces certificats
vérifient uniquement la propriété du domaine pour lequel le certificat est demandé. La
validation se fait généralement par email ou par enregistrement DNS. Ils sont simples à
obtenir et sont souvent utilisés pour les sites web personnels ou les petites entreprises. 2.
Certificats SSL/TLS à validation d’organisation (OV – Organization Validation) : Ces
certificats valident à la fois le domaine et l’organisation qui le détient. Une vérification
plus approfondie est effectuée pour s’assurer de l’existence légale de l’entité. Ils offrent
un niveau de confiance supérieur et sont adaptés aux entreprises et aux organisations qui
cherchent à afficher leur légitimité.
3. Certificats SSL/TLS à validation étendue (EV – Extended Validation) : Ces certificats offrent
le niveau de validation le plus élevé. Ils impliquent une vérification approfondie de
l’identité de l’organisation demandant le certificat. Les sites web avec un certificat EV
affichent généralement une barre d’adresse verte dans les navigateurs, ce qui renforce la
confiance des visiteurs.
La chaîne de confiance dans la validation des certificats SSL/TLS repose sur les Autorités de
Certification (CA – Certificate Authorities). Voici comment cela fonctionne :
P a g e 11 | 22
1. Émission du certificat : Lorsqu’une entité demande un certificat SSL/TLS, l’Autorité de
Certification vérifie son identité en fonction du type de certificat demandé (DV, OV, EV).
2. Signature du certificat : Une fois que l’identité est validée, l’Autorité de Certification signe
numériquement le certificat avec sa propre clé privée, créant ainsi une preuve de
confiance.
3. Chaîne de confiance : Les navigateurs web intègrent une liste de CA de confiance.
Lorsqu’un navigateur visite un site web sécurisé, il vérifie la validité du
Figure 6 :Exemple de certificat ssl/tls
V. LES AVANTAGES ET INCONVENIENTS SSL /TLS
1. Les avantages des protocoles SSL et TLS
Les avantages des protocoles SSL et TLS sont :
1. Confidentialité des données : SSL/TLS chiffre les données en transit, ce qui garantit que les
informations sensibles ne sont pas accessibles aux tiers lorsqu'elles sont transférées entre un client
et un serveur.
2. Intégrité des données : Ces protocoles utilisent des mécanismes de hachage et de
signature numérique pour s'assurer que les données ne sont pas modifiées ou altérées pendant la
transmission.
P a g e 12 | 22
3. Authentification : SSL/TLS permet l'authentification des serveurs, ce qui permet aux clients
de vérifier l'identité du serveur auquel ils se connectent, aidant à prévenir les attaques de type
"homme du milieu".
4. Large adoption : SSL/TLS sont largement pris en charge par les navigateurs Web et de
nombreux autres logiciels, ce qui en fait une norme de facto pour sécuriser les communications en
ligne.
2. Les inconvénients des protocoles SSL et TLS
Les inconvénients des protocoles SSL et TLS sont entre autres :
Vulnérabilités : Malgré leurs avantages, SSL/TLS ont été sujets à diverses vulnérabilités au fil du
temps, ce qui nécessite des mises à jour régulières et une gestion attentive pour maintenir un
niveau de sécurité élevé.
1. Surcharge de traitement : Le chiffrement et la vérification des certificats SSL/TLS peuvent
entraîner une surcharge de traitement sur les serveurs, ce qui peut ralentir les performances, en
particulier pour les sites à fort trafic.
2. Complexité : La configuration et la gestion correctes des certificats SSL/TLS exigent des
compétences techniques, ce qui peut être un défi pour les utilisateurs novices ou pour les petites
entreprises sans ressources informatiques dédiées.
3. Coût : Bien que de nombreux certificats SSL/TLS de base soient disponibles gratuitement,
les certificats plus avancés avec une assurance étendue peuvent être coûteux, ce qui peut être un
facteur limitant pour certaines organisations.
VI. ATTAQUES ET VULNERABILITES LIEES AU
PROTOCOLE SSL/TLS
Bien que SSL/TLS renforce considérablement la sécurité des communications sur internet, il n’est pas
exempt de failles. Ces vulnérabilités ont été exploitées au fil du temps par des cyberattaquants, et
certaines versions anciennes du protocole sont aujourd’hui obsolètes à cause de ces failles. Voici les
principales attaques et vulnérabilités connues :
P a g e 13 | 22
1. Vulnérabilités historiques majeures
a. POODLE (Padding Oracle On Downgraded Legacy Encryption)
• Découverte : En 2014
• Impact : Affecte SSL 3.0 et certains modes de compatibilité TLS.
• Principe : Cette attaque tire parti d’une faille dans le remplissage des blocs de chiffrement
pour extraire des données sensibles.
• Solution : Désactiver SSL 3.0 et ne plus utiliser le mode CBC dans TLS 1.0.
b. BEAST (Browser Exploit Against SSL/TLS)
• Découverte : En 2011
• Impact : Affecte TLS 1.0
• Principe : Une attaque par injection de blocs permet de décrypter les cookies de session.
• Solution : Utiliser TLS 1.2+ et activer le mode de chiffrement AEAD (comme GCM).
c. Heartbleed
• Découverte : En 2014
• Impact : Affecte certaines versions d’OpenSSL
• Principe : Exploite une mauvaise gestion de la fonction “heartbeat” pour lire jusqu’à 64 ko de
mémoire du serveur.
• Solution : Mettre à jour OpenSSL avec une version corrigée.
d. DROWN (Decrypting RSA with Obsolete and Weakened eNcryption)
• Découverte : 2016
• Impact : Affecte les serveurs utilisant SSLv2
• Principe : Permet de casser une connexion TLS en exploitant les vulnérabilités de SSLv2 s’il est
activé sur le serveur.
• Solution : Désactiver SSLv2 et SSLv3.
2. Attaques courantes sur les connexions SSL/TLS
a. Attaque Man-in-the-Middle (MITM)
• Principe : L’attaquant intercepte la communication entre le client et le serveur et peut lire ou
modifier les données si la connexion n’est pas correctement sécurisée.
• Prévention : Utilisation d’un certificat valide, vérification du certificat côté client, activation
du HSTS.
b. Attaque de renégociation TLS
• Principe : Exploite un bug dans la négociation SSL/TLS pour insérer du contenu malveillant
dans une session active.
• Solution : Mise à jour du serveur TLS avec la version corrigée.
P a g e 14 | 22
c. Downgrade Attack
• Principe : Forcer une connexion à utiliser une version plus ancienne et vulnérable du
protocole.
• Solution : Implémenter les extensions TLS comme SCSV (Signaling Cipher Suite Value) pour
empêcher les rétrogradations.
d. Attaque par falsification de certificat (fake CA)
• Principe : Un attaquant émet un faux certificat signé par une autorité de certification
compromise ou mal configurée.
• Solution : Mise en œuvre de la transparence des certificats (Certificate Transparency),
contrôle strict des CA.
VII. UTILISATION, BONNES PRATIQUES ET
EVOLUTION
1. Utilisation et application du SSL et TLS dans différents contextes
Le SSL (Secure Sockets Layer) est largement utilisé pour sécuriser les communications sur
Internet. Voici quelques-uns de ses principaux cas d'utilisation :
-Sites Web sécurisés (HTTPS) : SSL est utilisé pour crypter les données entre un navigateur web et
un serveur, garantissant ainsi que les informations telles que les mots de passe, les informations
de carte de crédit et les données personnelles sont sécurisées.
-Messagerie sécurisée : SSL est utilisé dans les protocoles de messagerie tels que SMTP, POP et
IMAP pour chiffrer les emails et les rendre plus sûrs contre l'interception.
-Applications mobiles: Les applications mobiles qui nécessitent des communications sécurisées
utilisent souvent SSL pour protéger les données sensibles transmises entre l'application et le
serveur.
-Connexions VPN : SSL est utilisé dans certains types de VPN (Virtual Private Networks) pour créer
des connexions sécurisées entre les clients et les serveurs VPN, garantissant ainsi la
confidentialité et l'intégrité des données.
-Échanges de fichiers sécurisés : SSL est utilisé dans les protocoles tels que FTPS (FTP sécurisé) et
SFTP (SSH File Transfer Protocol) pour sécuriser les transferts de fichiers sur Internet.
-Services Cloud : De nombreux services Cloud utilisent SSL pour sécuriser les données lorsqu'elles
sont transférées entre l'utilisateur et le service Cloud, ainsi que lorsqu'elles sont stockées sur les
serveurs Cloud.
Dans tous ces contextes, SSL garantit la confidentialité, l'intégrité et l'authenticité des données
échangées entre les parties, ce qui est essentiel pour assurer la sécurité des communications sur
Internet.
P a g e 15 | 22
Le TLS (Transport Layer Security) est largement utilisé pour sécuriser les communications sur
Internet. Voici quelques-uns de ses principaux contextes d'application :
-Sites Web sécurisés (HTTPS) : tout comme le SSL, le TLS est utilisé pour chiffrer les données
échangées entre les navigateurs Web et les serveurs, assurant ainsi la confidentialité et l'intégrité
des informations.
-Messagerie électronique sécurisée : TLS est utilisé pour sécuriser les connexions SMTP (Simple
Mail Transfer Protocol) entre les serveurs de messagerie, assurant ainsi la confidentialité des e-
mails en transit.
-Accès à distance sécurisé : TLS est utilisé dans les protocoles VPN (Virtual Private Network) pour
sécuriser les connexions entre les clients et les serveurs, offrant ainsi un accès distant sécurisé
aux réseaux d'entreprise.
-Applications mobiles : TLS est utilisé pour sécuriser les communications entre les applications
mobiles et les serveurs, garantissant ainsi la confidentialité des données échangées.
-Services de Cloud computing : TLS est utilisé pour sécuriser les connexions entre les clients et les
services de Cloud computing, garantissant ainsi la confidentialité des données stockées et
échangées dans le Cloud.
Dans l'ensemble, TLS est essentiel pour assurer la confidentialité, l'intégrité et l'authenticité des
communications sur Internet, quel que soit le contexte d'application.
2. Bonne pratique de sécurité liée à l’utilisation des protocoles SSL et TLS
• Toujours utiliser les versions récentes et sécurisées (TLS 1.2 ou 1.3).
• Désactiver les versions obsolètes comme SSL 2.0, SSL 3.0 et TLS 1.0.
• Configurer correctement les suites de chiffrement et privilégier les modes AEAD
(comme AES-GCM).
• Mettre à jour régulièrement les bibliothèques SSL (ex. : OpenSSL).
• Utiliser des certificats valides et signés par des autorités reconnues.
• Activer le HSTS pour forcer la navigation en HTTPS.
P a g e 16 | 22
VIII. CONFIGURATION TLS/SSL
1. Configuration du protocole TLS
La configuration du protocole TLS sous UBUNTU peut varier en fonction de l’application
ou du service que vous souhaitez sécuriser. Cependant voici quelques étapes pour configurer le
protocole TLS:
Installation des paquets
Assurez-vous d’avoir installée les paquets nécessaires pour prendre en charge le protocole TLS en
utilisant la commande:
$ sudo apt update && sudo apt upgrade
Cette étape permet de s’assurer que tous les logiciels sont à jour, y compris Apache et OpenSSL.
Génération des certificats
Pour sécuriser votre serveur avec SSL/TLS vous devez générer des certificats de ce protocole. Vous
pouvez le faire en utilisant des outils comme openSSL pour générer un certificat en obtenant un
certificat signé par une autorité de certification (CA) reconnue.
Configuration des services
Pour activer le support TLS sur un service spécifique, vous devez modifier la configuration du
service pour spécifier les chemins vers les certificats SSL/TLS et définir les paramètres appropriés
configuration du pare-feu
Assurez-vous que votre pare-feu autorise le trafic TLS sur les ports appropriés. Par défaut, le trafic
HTTPS utilise le port 443, mais d’autres services peuvent utiliser des ports différents.
Test de connexion sécurisé
Une fois que la configuration effectuée, vous pouvez tester la connexion sécurisée en accédant à
votre service via HTTPS. Assurez-vous le cadenas de sécurité est affiché dans la barre d’adresse
pour confirmer que la connexion est sécurisée
Surveillance et maintenance
Assurez-vous de surveiller régulièrement la sécurité de votre configuration TLS, de mettre à jour
les certificats expirés et de suivre les bonnes pratiques de sécurité pour maintenir un niveau élevé
de sécurité
P a g e 17 | 22
2. Configuration SSL
Voici les étapes clés pour configurer le protocole SSL sur un serveur web :
1-Obtenez un certificat SSL approprié délivré par une autorité de certification
Vous pouvez utiliser un certificat auto-signé mais les navigateurs afficheront des avertissements
2-Configurez une liaison HTTPS sur votre site web dans IIS en spécifiant le certificat SSL. Assurez-
vous que la configuration SSL est stockée à deux endroits : dans [Link] et dans la
configuration [Link].
3-Testez la configuration en effectuant une requête HTTPS sur votre site. Vérifiez que le certificat
est correctement configuré.
4-Si nécessaire, configurez les options SSL comme l'exigence SSL
5-Sécurisez les ressources externes chargées via HTTP (images, scripts, etc.), modifiez leurs URL
pour qu'elles utilisent HTTPS afin d'éviter les avertissements de sécurité dans le navigateur
6-Activez SSL pour votre site web en configurant le protocole sur HTTPS seulement dans la
configuration d'ArcGIS Server par exemple
7-Accédez désormais à votre site web en utilisant l'URL HTTPS pour bénéficier du chiffrement SSL
Ensuite nous passons à l’Installation d’Apache Elle se fait en utilisant la commande :
sudo apt install apache2
Apres nous passons à la vérification d’apache en utilisant la commande :
P a g e 18 | 22
sudo systemctl status apache2
Ce qui permet de vérifier que le serveur web est actif.
Ensuite nous créons le dossier qui va contenir tous nos certificats et la vérification de la version de
openssl en utilisant les commande :
sudo mkdir /etc/apache2/ssl
openssl version
P a g e 19 | 22
Puis nous terminons par la génération d’un certificat auto-signé et l’activation du module SSL
d’Apache
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/apache2/ssl/mon_site.key \
-out /etc/apache2/ssl/mon_site.crt
sudo a2enmod ssl
P a g e 20 | 22
CONCLUSION
Le protocole SSL/TLS constitue aujourd’hui l’un des piliers de la sécurité sur internet. Il
permet d’assurer la confidentialité, l’authenticité et l’intégrité des données échangées entre
les utilisateurs et les serveurs, notamment via le protocole HTTPS. Depuis sa première
version (SSL 1.0, jamais publiée) jusqu’à TLS 1.3, ce protocole a constamment évolué pour
corriger ses failles, améliorer ses performances et s’adapter aux nouveaux défis en
cybersécurité. À travers cet exposé, nous avons compris l’importance du chiffrement, la
structure du protocole SSL/TLS, le rôle des certificats numériques ainsi que celui des
autorités de certification. Nous avons également mis en lumière les principales attaques
ayant affecté SSL/TLS, et les bonnes pratiques recommandées pour minimiser les risques.
Cependant, malgré sa robustesse, aucun système n’est totalement invulnérable. La sécurité
dépend également de la configuration correcte des serveurs, de la mise à jour régulière des
composants logiciels et de la vigilance des utilisateurs. En somme, SSL/TLS reste une
technologie incontournable pour bâtir la confiance numérique dans un monde de plus en
plus interconnecté. Son bon usage est essentiel pour garantir des communications sûres,
notamment dans les domaines sensibles comme la banque en ligne, le commerce
électronique et les systèmes d’information des entreprises.
P a g e 21 | 22
BIBLIOGRAPHIE
1. Dierks, T., & Rescorla, E. (2008). The Transport Layer Security (TLS) Protocol
Version 1.2 (RFC 5246). Internet Engineering Task Force. [Link]
[Link]/rfc/rfc5246
2. Rescorla, E. (2018). The Transport Layer Security (TLS) Protocol Version 1.3 (RFC
8446). Internet Engineering Task Force. [Link]
3. Rescorla, E. (2001). SSL and TLS: Designing and Building Secure Systems. Addison-
Wesley.
4. Oppliger, R. (2009). SSL and TLS: Theory and Practice. Artech House.
5. Mozilla Developer Network. (n.d.). SSL/TLS and HTTPS.
[Link]
6. OpenSSL Project. (n.d.). OpenSSL Documentation. [Link]
7. Cloudflare. (n.d.). What is SSL/TLS? Cloudflare Learning Center.
[Link]
8. Qualys SSL Labs. (n.d.). SSL/TLS Deployment Best Practices.
[Link]
9. OWASP Foundation. (n.d.). Transport Layer Protection Cheat Sheet.
[Link]
[Link]
10. COMODO CA. (n.d.). SSL Certificate Guide.
[Link]
P a g e 22 | 22
