L'histoire du certificat SSL

Temps de lecture : 3 minutes

Les Secure Sockets Layer Le protocole (SSL) a été adopté par Netscape en 1994 en réponse à l'inquiétude croissante concernant la sécurité Internet. L'objectif de Netscape était de créer un chemin de données chiffré entre un client et un serveur indépendant de la plate-forme ou du système d'exploitation. Netscape a également adopté SSL pour tirer parti de nouveaux schémas de chiffrement tels que l'adoption récente de la norme de chiffrement avancé (AES), considérée comme plus sûre que la norme de chiffrement de données (DES). En effet, en juin 2003, le gouvernement américain jugeait AES suffisamment sûr pour être utilisé pour des informations classifiées:

«La conception et la force de toutes les longueurs de clé de l'algorithme AES (c'est-à-dire 128, 192 et 256) sont suffisantes pour protéger les informations classifiées jusqu'au niveau SECRET. La mise en œuvre de l'AES dans les produits destinés à protéger les systèmes de sécurité nationaux est certifiée par la NSA…. » (Source: Wikipedia, définition AES)

Des mises à jour ont été publiées, de sorte qu'aujourd'hui la version 3.0 a gagné en popularité et est devenue une norme. De plus, SSL 3.0 est la version prise en charge par la plupart des serveurs Web aujourd'hui.

Quel type de confiance les certificats SSL offrent-ils?

Depuis sa création, le rôle principal de SSL est d'assurer la sécurité du trafic Web, y compris la confidentialité, l'intégrité des messages, la non-répudiation et l'authentification. SSL réalise ces éléments de sécurité grâce à l'utilisation de la cryptographie et de certificats numériques correctement authentifiés.

Les certificats SSL sont donc essentiels pour que l'utilisateur fasse confiance à un site Web fonctionnant à partir d'un serveur avant d'envoyer des informations privées au serveur. Mais le chiffrement n'est qu'une partie de «l'équation de confiance» fournie par SSL. Les certificats SSL émis selon la norme X.509 doivent fournir des informations sur l'identité de l'entité puisque les certificats agissent comme des «documents numériques» qui vérifient qu'une clé publique spécifique appartient en fait à l'entité spécifiée. Cette vérification d'identité aide l'utilisateur à faire la distinction entre les sites Web authentifiés et frauduleux.

Les certificats SSL à faible assurance créent un vide dans la confiance en ligne

Les autorités de certification jouent un rôle clé dans l'établissement de la confiance dans les identités en ligne. Puisqu'un certificat numérique est une déclaration de l'identité de l'entité ou de l'individu qui souhaite être authentifié, un tiers de confiance est nécessaire pour valider l'identité attachée au certificat. Ce tiers est l'autorité de certification dont la responsabilité est de fournir une assurance de confiance d'identité authentifiée pour les entités en ligne.

Malheureusement, toutes les autorités de certification n'adhèrent pas à des normes similaires en matière d'assurance de l'identité. En fait, certaines autorités de certification émettent des certificats sans aucun processus pour authentifier et vérifier l'identité de l'entreprise demandant le certificat. Pire encore, ces certificats non contrôlés affichent le même cadenas jaune que les certificats SSL à identité garantie. Ces certificats de validation «faibles» reposent uniquement sur les détails du registraire de noms de domaine pour valider la propriété, ce qui ne fournit pratiquement aucune assurance d'identité.

Regardons l'exemple suivant. Est-ce que www.ABCompany.com ou www.ABC-company.com est la vraie page Web de la société ABC, ou l'une des URL appartient-elle à un fraudeur ou à un imposteur? Pour déterminer si vous êtes sur le site légitime, il faudrait une validation supplémentaire. Si un site Web ne dispose pas d'authentification d'identité, tout fraudeur peut se procurer l'icône jaune de confiance pour lancer des attaques de phishing ou de pharming à partir d'un site Web frauduleux, car les utilisateurs ne peuvent pas facilement faire la distinction entre les certificats d'assurance faible et les certificats d'assurance élevée validant l'identité.

Conclusion

Voilà pourquoi Certificats SSL EV ont été introduits pour combler ce fossé de confiance.

Lorsqu'un certificat EV sécurise un site, l'utilisateur de Microsoft Internet Explorer, Opera ou Mozilla Firefox verra immédiatement la barre d'adresse devenir verte lorsqu'il visitera le site Web. Un affichage à côté de l'URL bascule entre le nom de l'organisation et le certificat et l'autorité de certification qui a émis le Certificat SSL. La barre verte signifie qu'un tiers a authentifié l'identité de l'entreprise. D'autres fournisseurs de navigateurs fourniront également un affichage similaire

SSL est vital pour Sécurité Web. Il fournit aux utilisateurs un sens aigu de la confidentialité, de l'intégrité des messages et de l'authentification de l'identité. L'activité de commerce électronique est étroitement liée à la confiance des consommateurs dans l'aspect assurance de l'identité des certificats SSL sur le net.

En conséquence, à l'avenir, les certificats SSL évolueront pour offrir plus de sécurité et d'assurance de l'identité. Le cryptage des longueurs de clé, les suites de chiffrement et les nouvelles directives pour les certificats SSL évolueront également pour garantir un niveau cohérent de vérification d'identité lors des transactions en ligne. De cette façon, le commerce électronique pourra continuer à se développer à mesure que les utilisateurs deviendront plus confiants dans les achats et les opérations bancaires en ligne.

COMMENCER L'ESSAI GRATUIT OBTENEZ GRATUITEMENT VOTRE SCORECARD DE SÉCURITÉ INSTANTANÉE