Guide d'initiation aux. certificats SSL. Faire le bon choix parmi les options qui s'offrent à vous en matière de sécurité en ligne. Document technique

Transcription

1 Document technique : Guide d'initiation aux certificats ssl Document technique Guide d'initiation aux certificats SSL Faire le bon choix parmi les options qui s'offrent à vous en matière de sécurité en ligne

2 Guide d'initiation aux certificats SSL Faire le bon choix parmi les options qui s'offrent à vous en matière de sécurité en ligne Sommaire Introduction 3 Qu'est-ce qu'un certificat SSL? 3 Comment fonctionne le chiffrement SSL? 3 Comment savoir si un site possède un certificat SSL valide? 4 A quels niveaux dois-je utiliser un certificat SSL? 5 Différents types de certificat SSL 5 Le vocabulaire technique à la portée de tous 6 Conclusion 7 2

3 Introduction Que vous soyez un particulier ou une entreprise, vous devez envisager la sécurité des communications en ligne de la même manière que la sécurité physique de votre domicile ou de vos locaux. Non seulement vous vous sentirez plus en sécurité, mais vous protégerez les personnes qui visitent votre domicile, vos locaux, ou votre site Web. Il est essentiel que vous compreniez bien les risques potentiels, puis que vous vous assuriez que vous êtes intégralement protégé contre ceux-ci. Dans le monde en évolution rapide des technologies informatiques, il n'est pas toujours facile de se tenir au courant des toutes dernières avancées. Pour cette raison, il peut être sage de s'associer à une société de solutions de sécurité Internet possédant une solide réputation. Ce guide vise à démystifier les technologies impliquées et à vous fournir les informations dont vous avez besoin pour faire le bon choix parmi les options qui s'offrent à vous en matière de sécurité en ligne. Pour un glossaire des termes utilisés, consultez la section "Le vocabulaire technique à la portée de tous" à la fin de ce document. Qu'est-ce qu'un certificat SSL? Un certificat SSL est un fichier informatique numérique (ou un petit morceau de code) qui possède deux fonctions spécifiques : 1 Authentification et vérification : le certificat SSL contient des informations concernant l'authenticité de certains détails associés à l'identité d'une personne, d'une société ou d'un site Web, qu'il affiche aux visiteurs de votre site Web lorsque ceux-ci cliquent sur le symbole de cadenas ou la marque de confiance figurant dans le navigateur (par exemple le sceau Norton Secured). Les critères imposés par les autorités de certification pour déterminer si un certificat SSL doit être émis sont plus rigoureux dans le cas des certificats SSL EV (Extended Validation), qui sont ainsi les certificats SSL les plus fiables du marché. SSL signifie "Secure Sockets Layer" (couche de sockets sécurisés). Cette technologie permet d'établir une liaison de session sécurisée entre le navigateur Web du visiteur et votre site Web, de manière à ce que toutes les communications transmises par le biais de cette liaison soient chiffrées et, par conséquent, sécurisées. SSL est également utilisé pour transmettre des messages électroniques sécurisés, des fichiers sécurisés et d'autres formes d'informations. Est-ce que vous enverriez vos informations personnelles ou bancaires à quelqu'un en les inscrivant au dos d'une carte postale? SSL crée un canal privé et sécurisé pour vos communications. 2 Chiffrement des données : le certificat SSL permet également d'utiliser le chiffrement, ce qui signifie que les informations sensibles échangées par le biais du site Web ne peuvent pas être interceptées ni lues par qui que ce soit d'autre que leur destinataire légitime. De la même manière qu'une carte d'identité ou un passeport ne peut être émis que par les organismes officiels d'un pays, la fiabilité d'un certificat SSL n'est optimale que s'il est émis par une autorité de certification de confiance. L'autorité de certification doit adopter une ligne de conduite et des règles strictes pour déterminer qui doit se voir remettre un certificat SSL. Lorsque vous disposez d'un certificat SSL émis par une autorité de certification de confiance, vous bénéficiez d'un degré de confiance accru de la part de vos clients et partenaires. Comment fonctionne le chiffrement SSL? De la même manière que vous verrouillez et déverrouillez une porte en utilisant une clé, le chiffrement utilise des clés pour verrouiller et déverrouiller vos informations. Si vous ne possédez pas la bonne clé, vous ne pouvez pas "ouvrir" les informations. Chaque session SSL utilise deux clés : La clé publique sert à chiffrer (brouiller) les informations. La clé privée sert à déchiffrer les informations afin de les remettre dans leur format d'origine pour qu'elles puissent être lues. 3

4 Le processus : chaque certificat SSL qui est émis pour une entité validée par une autorité de certification l'est pour un serveur et un domaine spécifiques (l'adresse du site Web). Lorsqu'un utilisateur se sert de son navigateur pour accéder à l'adresse d'un site Web comportant un certificat SSL, une négociation SSL (un échange de salutations) a lieu entre le navigateur et le serveur. Des informations sont demandées au serveur, puis affichées dans la fenêtre du navigateur de l'utilisateur. Vous noterez alors que l'apparence de cette fenêtre change pour indiquer qu'une session sécurisée a débuté, par exemple en affichant une marque de confiance. Si vous cliquez sur cette dernière, vous verrez s'afficher des informations supplémentaires telles que la période de validité du certificat SSL, le domaine qu'il sécurise, son type et l'autorité de certification qui l'a émis. Tout cela signifie qu'une liaison sécurisée a été établie pour cette session, avec une clé de session unique, et que les communications sécurisées peuvent donc débuter. Comment savoir si un site possède un certificat SSL valide? 1. Un site Web standard qui n'offre pas de sécurité SSL affiche " avant son adresse dans la barre d'adresse du navigateur. Le terme HTTP signifie "HyperText Transfer Protocol" et désigne la manière conventionnelle de transmettre des informations sur Internet. En revanche, un site Web sécurisé à l'aide d'un certificat SSL affichera " avant son adresse. Le terme HTTPS signifie "Secure HTTP" (HTTP sécurisé). 2. Vous verrez également s'afficher un symbole de cadenas en haut ou en bas de la fenêtre du navigateur (selon le navigateur utilisé). 3. Souvent, vous remarquerez également qu'une marque de confiance est affichée sur le site Web lui-même. Les clients Symantec utilisent le sceau Norton Secured comme marque de confiance sur leurs sites Web. Lorsque vous cliquez sur le sceau Norton Secured ou sur le symbole de cadenas figurant sur la page, des informations détaillées sur le certificat s'affichent ainsi que toutes les informations relatives à la société qui ont été vérifiées et authentifiées par l'autorité de certification. 4. En cliquant sur le symbole de cadenas fermé dans la fenêtre du navigateur, ou sur certaines marques de confiance SSL telles que le sceau Norton Secured, le visiteur du site Web peut afficher le nom de l'organisation authentifiée. Dans les navigateurs haute sécurité, lorsqu'un certificat SSL Extended Validation (EV) est détecté, le 4

5 nom de l'organisation authentifiée est mis en évidence et la barre d'adresse devient verte. Si les informations ne correspondent pas ou si le certificat a expiré, le navigateur affiche un message d erreur ou un avertissement. A quels niveaux dois-je utiliser un certificat SSL? La réponse courte à cette question est que vous devez utiliser un certificat SSL dans tous les cas où vous voulez transmettre des informations de manière sécurisée. Voici quelques exemples : Pour sécuriser les communications entre votre site Web et le navigateur de vos clients. Pour sécuriser les communications internes au sein de l'intranet de l'entreprise. Pour sécuriser les communications par courrier électronique en provenance et à destination de votre réseau (ou de votre adresse électronique personnelle). Pour sécuriser les échanges d'informations entre serveurs (à la fois internes et externes). Pour sécuriser les informations envoyées et reçues par le biais d'appareils mobiles. Différents types de certificat SSL Un certain nombre de certificats SSL différents sont disponibles sur le marché à l'heure actuelle. Premier type de certificat SSL : le certificat auto-signé. Comme son nom l'indique, il s'agit d'un certificat qui est généré pour un usage interne, et qui n'est pas émis par une autorité de certification. Du fait que le propriétaire du site Web génère son propre certificat, celui-ci n'a pas la même valeur qu'un certificat SSL émis par une autorité de certification, qui est intégralement authentifié et vérifié. Un certificat avec validation du domaine (Domain Validated - DV) est considéré comme un certificat SSL d'entrée de gamme et peut être émis rapidement. La seule opération de vérification qui est effectuée est de s'assurer que le demandeur possède bien le domaine (l'adresse du site Web) sur lequel il prévoit d'utiliser le certificat. Aucun autre contrôle n'est effectué pour vérifier que le propriétaire du domaine est une entité commerciale légitime. Un certificat SSL intégralement authentifié constitue la première étape pour garantir une réelle sécurité en ligne et instaurer la confiance. Le délai d'émission de ces certificats est légèrement plus long, car ils ne sont délivrés qu'après plusieurs contrôles et validations de l'organisation, visant à confirmer qu'elle existe, qu'elle est détentrice du domaine et que l'utilisateur est habilité à demander le certificat. Tous les certificats SSL Symantec sont intégralement authentifiés. Même si un certificat SSL est en mesure d assurer un chiffrement 128 ou 256 bits, certains navigateurs et systèmes d exploitation plus anciens ne peuvent pas se connecter à ce niveau de sécurité. Les certificats SSL dotés de la technologie SGC (Server-Gated Cryptography) permettent d'utiliser le chiffrement 128 ou 256 bits avec 99,9 % des visiteurs d'un site Web. Si un certificat SGC n'est pas installé sur le serveur Web, les navigateurs et systèmes d'exploitation qui ne prennent pas en charge le chiffrement fort 128 bits bénéficieront seulement d'un chiffrement 40 ou 56 bits. Les utilisateurs possédant certains navigateurs et systèmes d exploitation anciens passeront temporairement au chiffrement SSL 128 bits s ils visitent un site Web muni d un certificat SSL compatible SGC. Pour plus d'informations sur la technologie SGC, visitez la page suivante : 5

6 Un nom de domaine est fréquemment utilisé avec plusieurs suffixes d'hôte différents. Pour cette raison, vous pouvez employer un certificat Wildcard qui vous permet de fournir une sécurité SSL complète à tous les hôtes de votre domaine par exemple, hote.votre_domaine.com (où "hote" varie mais le nom de domaine reste le même). Similaire à un certificat Wildcard, mais un peu plus polyvalent, le certificat SSL SAN (Subject Alternative Name) permet d'ajouter plusieurs domaines à un même certificat SSL. Les certificats Code Signing sont spécifiquement conçus pour garantir que le logiciel que vous avez téléchargé n'a pas été altéré en cours de route. De nombreux cybercriminels altèrent des logiciels disponibles sur Internet. Ils peuvent par exemple rattacher un virus (ou tout autre type de logiciel malveillant) à un logiciel inoffensif pendant le téléchargement de celui-ci. Ces certificats offrent une garantie contre ce genre d'éventualité. Les certificats SSL avec validation étendue (Extended Validation - EV) offrent le meilleur niveau d'authentification du marché et garantissent ainsi un degré de confiance maximal de la part des clients. Lorsqu'un consommateur visite un site Web sécurisé à l'aide d'un certificat SSL EV, la barre d'adresse de son navigateur devient verte (dans les navigateurs haute sécurité) et un champ spécial affiche le nom du propriétaire légitime du site Web accompagné du fournisseur qui a émis le certificat. Le nom du détenteur du certificat et de l'autorité de certification émettrice sont également affichés dans la barre d'adresse du navigateur. La présence de cet indicateur visuel rassurant a contribué à accroître la confiance des consommateurs à l'égard de l e-commerce. Le vocabulaire technique à la portée de tous Chiffrement : les informations sont "brouillées" pour les rendre inutilisables par toute personne autre que celle à laquelle elles sont destinées. Déchiffrement : les informations sont "décodées" et remises dans leur format d'origine. Clé : formule mathématique (ou algorithme) utilisée pour chiffrer ou déchiffrer vos informations. De la même manière qu'un cadenas à code est plus difficile à ouvrir lorsqu'il offre un grand nombre de combinaisons possibles, plus la longueur de la clé de chiffrement (mesurée en nombre de bits) est importante, plus le chiffrement sera fort. Navigateur : logiciel servant à accéder à Internet. Exemples : Microsoft Internet Explorer (IE), Mozilla Firefox, Apple Safari, RockMelt et Google Chrome. 6

7 Conclusion Dans l'univers de l e-commerce, c'est le degré de confiance qui fait toute la différence. Investir dans les technologies visant à protéger les clients et à gagner leur confiance est un facteur de réussite essentiel pour toute société qui fait des affaires en ligne ou qui héberge un site Web de e-commerce. Une mise en œuvre efficace des certificats SSL ainsi qu'une utilisation appropriée des marques de confiance constituent des méthodes éprouvées pour susciter la confiance des clients. Pour plus d'informations, visitez notre page Web à l'adresse 7

8 Informations complémentaires Visitez notre site Web Pour en savoir plus Pour plus d informations sur les certificats SSL de Symantec, appelez le ou +41 (0) , ou envoyez un courrier électronique à l adresse talk2us-fr@symantec.com Pour contacter un spécialiste produit Appelez le ou +41 (0) A propos de Symantec Symantec est un leader mondial dans le domaine des solutions de sécurité, de stockage et de gestion des systèmes destinées à aider les particuliers et les entreprises à sécuriser et gérer leur environnement informatique. Nos logiciels et services permettent d'assurer une protection plus complète et plus efficace contre davantage de risques à différents points et d'instaurer ainsi la confiance, quel que soit l'endroit où les informations sont utilisées ou stockées. Symantec Tour Egée 17 avenue de l'arche La Défense Courbevoie Cedex Symantec Corporation. Tous droits réservés. Symantec, le logo Symantec, Norton, le logo en forme de coche et le logo Norton Secured sont des marques commerciales ou des marques déposées de Symantec Corporation ou de ses filiales aux États-Unis et dans d autres pays. Les autres noms cités peuvent être des marques commerciales de leurs détenteurs respectifs.