Secure Socket Layer (SSL)

Le protocole SSL a été adopté par Netscape en 1994 en réponse aux préoccupations croissantes concernant la sécurité d'Internet. L'objectif est de créer un chemin de données sécurisé entre un client et un serveur. SSL est conçu pour assurer la sécurité du trafic Web, y compris la confidentialité, l'intégrité des messages et l'authentification. Ces services de sécurité sont réalisés grâce à l'utilisation de la cryptographie et d'une signature numérique correctement authentifiée.

Le protocole SSL est un protocole qui peut être placé entre des protocoles de couche réseau orientés connexions fiables (par exemple, TCP/IP) et le protocole de couche application (par exemple, HTTP). Le SSL fournit une communication sécurisée entre le client et le serveur en permettant l'authentification mutuelle, l'utilisation de la signature numérique pour l'intégrité et le cryptage pour la confidentialité. Le protocole est conçu pour prendre en charge une gamme de choix pour des algorithmes spécifiques utilisés pour la cryptographie, les digests et les signatures. Le tableau ci-dessous identifie les mécanismes d'établissement de clé, de confidentialité, de signature numérique et de hachage utilisés dans les protocoles TLS et SSL 3.0. Les certificats SSL sont donc essentiels pour que l'utilisateur fasse confiance à un site Web fonctionnant à partir d'un serveur avant d'envoyer des informations privées au serveur. Mais le cryptage n'est qu'une partie de la question de confiance que SSL pose.

Généralement SSL offre trois niveaux de sécurité :

•  Confidentialité – connexion par cryptage.
•  Authentification d'identité - Identification par certifications.
•  Fiabilité - Maintenance fiable de la connexion au serveur grâce à la vérification de l'intégrité des messages.

Une application courante de SSL avec un système Web est celle d'une boutique en ligne, où les ordinateurs clients envoient des requêtes au serveur d'un commerçant. Étant donné que le protocole SSL est intégré à la plupart des navigateurs Web et que ces navigateurs sont normalement utilisés pour accéder aux applications Web, aucune autre configuration n'est requise du côté client de la connexion SSL.

SSL comporte deux entités différentes, le serveur et le client. Le client est l'entité qui initie la transaction, tandis que le serveur est l'entité qui répond au client et négocie la méthode de chiffrement utilisées pour le cryptage. Dans le protocole SSL, le navigateur Web joue le rôle du client et le serveur du site Web celui du serveur. Trois protocoles font partie du protocole SSL :

•  Protocole de poignée de main (Handshake) : Le client authentifie le serveur pendant le protocole Handshake.
•  Protocole d'enregistrement (Record Protocol) : Lorsque la session est lancée et que la poignée de main est terminée, le transfert de données est crypté pendant la phase du protocole d'enregistrement
•  Protocole d'alerte (Alert Protocol) : S'il y a des alarmes à un moment quelconque de la session, l'alerte est jointe au paquet douteux et traitée conformément au protocole d'alerte.

Le protocole de prise de contact est utilisé pour établir des sessions. Ce protocole permet au client et au serveur de s'authentifier en s'envoyant une série de messages. Le protocole de poignée de main utilise quatre phases pour terminer son cycle.

•  Phase 1 - Créer une compétence de sécurité : Dans la phase 1, le client et le serveur s'envoient des paquets d'accueil. Dans cette session IP, la méthode de chiffrement et la version du protocole sont échangées à des fins de sécurité.
•  Phase 2 - Authentification du serveur : Le serveur envoie son certificat et Server-key-exchange. Le serveur termine la phase 2 en envoyant le paquet Server-hello-end.
•  Phase 3 - Authentification du client : Dans cette phase, le client répond au serveur en envoyant son certificat et sa clé d'échange client.
•  Phase 4 - Terminer l’opération de Handshake : Dans la phase 4, le serveur et le client échangent leur chiffrement et après cela, le protocole Handshake se termine. 

La séquence de poignée de main utilise trois protocoles :

•  Le protocole SSL Handshake : pour effectuer l'établissement de la session SSL client et serveur.
•  Le protocole SSL Change Cipher Spec : pour établir un accord sur la méthode de chiffrement pour la session.
•  Le protocole SSL Alert : pour transmettre les messages d'erreur SSL entre le client et le serveur.

Ces protocoles, ainsi que les données de protocole d'application, sont encapsulés dans le protocole d'enregistrement SSL. Un protocole encapsulé est transféré sous forme de données par le protocole de couche inférieure, qui n'examine pas les données. Le protocole encapsulé n'a aucune connaissance du protocole sous-jacent.

Protocole d'enregistrement SSL : le cryptage de toutes les messageries en SSL est géré dans le protocole d'enregistrement. Il formate l'alerte, Change_Cipher_Spec, le poignée de main et le message de protocole d'application. Ce formatage fournit un en-tête pour chaque message et un hachage généré à partir d'un code d'authentification de message (MAC) à la fin. L'en-tête à cinq octets de la couche d'enregistrement comprend une définition de protocole à 1 octet, une version de protocole à 2 octets et la longueur à 2 octets. Le message qui suit l'en-tête a une longueur de 16 384 octets. Les enregistrements SSL se composent des données encapsulées, de la signature numérique, du type de message, de la version et de la longueur. Les enregistrements SSL ont une longueur de 8 octets. Étant donné que la longueur d'enregistrement est fixe, les messages cryptés incluent parfois un remplissage et une longueur de remplissage dans la trame, comme illustré dans la figure ci-dessous.

Le protocole d'alerte est un composant du protocole de poignée de main qui inclut des messages d'alerte déclenchés par des événements qui peuvent être envoyés par l'une ou l'autre des parties. Il envoie des erreurs, des problèmes ou des avertissements concernant la connexion entre les clients et le serveur.