Qu'est-ce qu'un certificat SSL ?

SSL (Secure Sockets Layer) est un protocole de sécurité pour transmettre des données privées sur une connexion Internet sécurisée. Il utilise des certificats entre un serveur et un client (serveur web/navigateur, serveur email/client email) pour protéger les données échangées.

Fonctionnement de SSL

Comme une clé verrouille/déverrouille une porte, SSL fournit des clés qui verrouillent/déverrouillent l'accès aux données. Sans la bonne clé, les données (ou la porte) restent inaccessibles.

Exemple : vous achetez en ligne et devez transmettre votre numéro de carte, téléphone, etc. Vous voulez : confidentialité (données secrètes), intégrité (inaltérables), authenticité (site légitime).

L'opérateur du site souscrit auprès d'une autorité de certification (CA) pour un certificat SSL. Ce certificat prouve que le serveur/site est fiable et contient les clés de chiffrement/déchiffrement.

Quand votre navigateur se connecte au site certifié, une « poignée de main SSL » s'établit. La connexion sécurisée en place, le serveur transmet les infos chiffrées.

Chiffrement SSL

SSL chiffre les données pour les rendre illisibles en cas d'écoute. Avec les clés publique/privée du client et du serveur, seuls l'expéditeur et le destinataire peuvent lire.

SSL utilise l'infrastructure à clé publique (PKI). Chaque extrémité a deux clés : publique (partagée) et privée (secrète, dérivée de la publique). L'expéditeur chiffre avec la clé publique du destinataire, qui déchiffre avec sa clé privée. Sans clé privée, l'interception est inutile.

Longueurs de clés

Trois tailles standards : 40, 128, 256 bits. Les certificats supportent une ou plusieurs. Le choix dépend de l'OS, du navigateur, des capacités des sites. 128 bits est le standard actuel. Navigateurs récents supportent aussi 256 bits.

TLS vs SSL

TLS (Transport Layer Security) a largement remplacé SSL pour les communications applications/serveurs. SSL 3.0 est devenu TLS 1.0 ; version actuelle : TLS 1.2 (à la publication).