> Tech > Le protocole SSL

Le protocole SSL

Tech - Par iTPro - Publié le 24 juin 2010
email

L'établissement de la communication SSL , ou " Handshake " se fait au moyen des mécanismes d'authentification cités plus haut. Le serveur et le client négocient auparavant l'algorithme de cryptage et choisissent l'algorithme le plus puissant qu'ils aient en commun.
Authentification du serveur. L'authentification du serveur est systématique et fonctionne

Le protocole SSL

comme cité précédemment, avec de légères variantes selon les algorithmes
utilisés.

Authentification du client. L’authentification du client est optionnelle
mais peut-être exigée par le serveur dans les cas sensibles (opérations boursières,…)
et fonctionne comme cité précédemment, avec de légères variantes selon les algorithmes
utilisés.

Connexion SSL cryptée. Juste après l’authentification le serveur peut,
s’il est interfacé avec un serveur LDAP (Lightweight Directory Access Protocol,
servant précisément à  authentifier et valider les accès clients sur un serveur)
vérifier les droits d’accès du client. Ceci peut-être complémentaire à  une authentification
client en mode digest, ou la remplacer. Vient ensuite l’échange de clé secrète
(générée par le client) et la communication s’établit.

Développement d’applications SSL 2.0, 3.0 et TLS 1.0. SSL 3.0 date de
mars 1996 et est un sur-ensemble de SSL 2.0. Certains algorithmes ont évolués,
de nouveaux sont apparus, et les mécanismes d’authentification sont devenus
encore plus rigoureux (notamment le protocole MD5 qui, sans changer de nom,
à  fortement évolué en SSL 3.0 afin de corriger certaines failles dans l’algorithme
de hash). Mais fondamentalement, il n’y a pas eu de remise en cause profonde
entre SSL 2.0 et 3.0, à  la différence de ce qui s’est passé avec TLS. TLS 1.0,
qui est amené à  remplacer SSL à  court ou moyen terme, est basé sur SSL 3.0 mais
apporte des changements sérieux dans les protocoles de communication, et ajoute
de nouveaux algorithmes de cryptage. Faut-il connaître ces différents protocoles
et les subtilités entre SSL 2.0, SSL 3.0 et TLS 1.0 pour pouvoir développer
une application les supportant tous ? Heureusement non. il faut simplement comprendre
les principes utilisés dans les algorithmes de cryptage. Ces différences n’ont
aucune conséquences sur les développements : les APIs de communication sécurisée
disponibles aussi bien en C qu’en Java, supportent indifféremment SSL 2.0, 3.0
et TLS 1.0 sans que le développeur n’ai besoin de préciser le protocole à  employer
: la sélection du protocole et l’utilisation des algorithmes de cryptage est
interne et cachée par l’API.

Téléchargez gratuitement cette ressource

Guide de facturation électronique, voie royale pour le DAF et la digitalisation de la fonction finance

Guide de facturation électronique, voie royale pour le DAF et la digitalisation de la fonction finance

Ce livre blanc expose les problématiques auxquelles sont confrontés les DAF modernes et souligne les bénéfices de la facturation électronique pour la trésorerie. Il dévoile également le processus de déploiement de ce projet de transformation digitale que la réglementation rendra bientôt obligatoire.

Tech - Par iTPro - Publié le 24 juin 2010