Qu'est-ce que TLS?

 · Temps de lecture: 2 mins

En quoi consiste TLS?

TLS, initialement connu sous le nom de Secure Sockets Layer (SSL), est un sigle pour Transport Layer Security. Il s’agit d’un protocole de chiffrage des communications au sein d’un réseau permettant :

  • l’authentification du serveur;
  • la confidentialité des données échangées (ou session chiffrée);
  • et l’intégrité des données échangées

Par exemple, ce protocole est souvent utilisé pour des sites de paiement en ligne afin qu’un tiers n’intercepte pas des données sensibles transitant par le réseau (numéro de carte bancaire et mot de passes). Vous pouvez vous assurer que les communications effectuées entre votre machine et un serveur web sont cryptées en :

  • vérifiant que l’URL de la barre d’addresse commence par https:// et non http;
  • vérifiant la présence d’une clé ou d’un cadenas généralement à gauche de la barre d’adresse ou dans la barre inférieure de la fenêtre;
  • tapant l’URL du site web que vous voulez visiter dans la barre de recherche de cet outil

Pourquoi installer TLS?

Le processus semble compliqué, mais tout cela se fait en une fraction de seconde!

Il y a un grand nombre d’avantages à l’installation de TLS:

  • Page sécurisée, intégrité des données
  • La page est visiblement protégée (présence d’un cadenas)
  • Boost SEO chez Google > amélioration de la position donc plus de visiteurs
  • La gratuité de TLS grâce aux autorités comme Let’s Encrypt, Encryption Everywhere, cPanel ou Buypass (WoSign et StartCom n’offrent plus des certificats gratuits pour le handshake.)
  • Le support de TLS 1.1 et 1.2 par énormément de naviguateurs :
    • Apple Safari 7 et suivants;
    • Google Chrome et Chromium 30 et suivants ;
    • Microsoft Internet Explorer 11 et suivants ;
    • Mozilla Firefox 27 et suivants ;
    • Opera 17 et suivants ;
    • Microsoft Edge.
  • La possibilité de protéger plusieurs sites en même temps.

Mais aussi quelques difficultés qui peuvent survenir:

  • Le temps nécessaire pour la validation dans le cas des certificats SSL/TLS qui affichent le nom de la compagnie titulaire peut être considérable
  • Seulement une protection des transmissions mais pas du serveur
  • Le prix peut être un facteur pour les certificats durant plus de 90 jours.
  • Dans des environnements ne supportant pas SNI (un moyen de dire quel nom d’hôte protéger donc dire au serveur quel certificat envoyer en particulier), il est compliqué d’avoir 1 seul certificat pour des centaines de domaines.

L’amélioration de TLS

Plusieurs concepts rendent TLS plus sécuritaire:

  • HSTS (HTTP Strict Transport Security), protocole qui force le navigateur web à se mettre sur HTTPS sur un site web qui envoie cet en-tête
  • HPKP (HTTP Public Key Pinning), protocole obligeant le navigateur à procéder au handshake uniquement avec un certificat SSL/TLS particulier. Très avantageux pour les certificats SSL à long terme, mais mauvais pour les certificats SSL à court terme.
  • CAA (Certification Authority Authorization), record DNS qui permet de limiter la création de certificats SSL pour un nom de domaine à un service particulier.

Conclusion

SSL/TLS est un moyen de sécuriser efficacement et rapidement des communications entre plusieurs machines, qui s’implémente très facilement et évite bien des ennuis!