Qu'est-ce que HTTPS ?
Le protocole de transfert hypertexte sécurisé (HTTPS) permet de sécuriser le web. Lorsque vous naviguez sur le web, toute page web comportant l'icône d'un cadenas dans la barre d'adresse utilise le protocole HTTPS pour communiquer entre l'ordinateur qui demande la page et le serveur où elle est stockée.
HTTP vs HTTPS
HTTPS est une version sécurisée du protocole HTTP de base. Le protocole HTTP est conçu pour permettre la navigation sur le web en définissant la manière dont un ordinateur client et un serveur web doivent dialoguer.
La principale limite du protocole HTTP est qu'il n'est absolument pas sécurisé. Tout le trafic transporté par HTTP est lisible par toute personne qui l'écoute. Le web véhiculant de plus en plus d'informations sensibles (en raison du commerce électronique, des dossiers médicaux en ligne, des médias sociaux, etc.
HTTPS utilise le protocole Transport Layer Security (TLS) - anciennement connu sous le nom de Secure Sockets Layer (SSL) - pour ajouter de la sécurité à HTTP. Avec SSL/TLS, HTTPS est en mesure de vérifier l'identité du serveur web et de crypter tout le trafic entre le client et le serveur.
Comment fonctionne HTTPS ?
HTTPS est mis en œuvre sous la forme de deux protocoles fonctionnant ensemble. SSL/TLS est utilisé pour créer une connexion cryptée entre le client et le serveur. Une fois cette étape franchie, le trafic HTTP est envoyé à travers ce tunnel en le chiffrant et en l'intégrant dans la section des données des paquets SSL/TLS. À destination, l'autre ordinateur décrypte les données et les traite sur la base du protocole HTTP.
Pour que cela soit possible, le client et le serveur doivent disposer d'une clé secrète partagée pour le chiffrement. SSL/TLS crée cela en utilisant un protocole d'échange où le client et le serveur se mettent d'accord sur les paramètres à utiliser pour le chiffrement (algorithme, etc.) et partagent une clé secrète en utilisant la cryptographie asymétrique ou à clé publique pour la protéger contre les écoutes clandestines.
Avantages de SSL/TLS
L'utilisation de SSL/TLS rend HTTPS plus lent et moins efficace que HTTP. Cependant, le protocole offre également plusieurs avantages importants, notamment
- Confidentialité : HTTPS crypte le trafic web de l'utilisateur, garantissant ainsi la confidentialité des données. Avec Perfect Forward Secrecy (PFS), il protège même les messages contre le décryptage en cas de fuite de clés à l'avenir en utilisant des valeurs aléatoires qui sont supprimées après la fin d'une session.
- Intégrité des données : HTTPS utilise des codes d'authentification des messages (MAC) pour garantir que les données n'ont pas été modifiées en cours de route. Cela permet de se prémunir à la fois contre les erreurs de transmission et les modifications malveillantes.
- Authentification : La phase d'échange de SSL/TLS utilise le certificat numérique du serveur web, qui vérifie l'identité du serveur web. HTTPS peut également être configuré pour prouver l'identité du client.
HTTPS n'est pas totalement sûr
HTTPS est conçu pour être une alternative sécurisée à HTTP. Cependant, sa sécurité a ses limites, notamment :
- Vulnérabilité du protocole : Le protocole SSL/TLS fait l'objet d'améliorations constantes. De nombreuses mises à jour du protocole comprennent des correctifs pour des vulnérabilités précédemment découvertes, ce qui rend l'installation de ces mises à jour essentielle pour la sécurité.
- Faux sites web : L'icône du cadenas dans HTTPS garantit uniquement que le serveur web dispose d'un certificat numérique émis pour l'URL. Il ne protège pas contre les sites de hameçonnage qui ont été créés avec une URL dont le nom est similaire à celui d'un domaine de confiance.
- Interception SSL/TLS : SSL/TLS vérifie que le certificat numérique d'un site web est signé par une autorité à laquelle le client fait confiance. Si un pirate peut créer un faux certificat de confiance, il peut effectuer une attaque de type Man-in-the-Middle (MitM) pour intercepter et lire/modifier le trafic. Avec cette attaque, l'attaquant crée une connexion SSL/TLS avec le client, décrypte le trafic pour voir le contenu du paquet, puis crypte le paquet vers le serveur web. Les paquets de retour suivent le même processus. Les utilisateurs peuvent ne pas s'en rendre compte, mais il existe des solutions de sécurité pour les postes, les navigateurs et les téléphones portables qui peuvent détecter et prévenir les attaques MitM.
- Contenu malveillant crypté : Le chiffrement offert par HTTPS rend impossible l'inspection du contenu du trafic. logiciel malveillant et site de hameçonnage en profitent pour échapper aux cyberdéfenses d'une organisation.
La nécessité d'une inspection HTTPS
L'utilisation de SSL/TLS dans HTTPS permet de sécuriser le trafic web contenant des informations sensibles. Si cela est utile pour la protection de la vie privée des utilisateurs, cela l'est aussi pour les cybercriminels. logiciel malveillant utilise de plus en plus le protocole HTTPS pour dissimuler ses communications de commandement et de contrôle.
L'inspection SSL/TLS consiste à effectuer une interception de type MitM sur les connexions SSL/TLS entrant ou sortant du réseau d'une organisation. Cela permet à l'organisation d'inspecter le trafic à la recherche de contenu malveillant.
Avantages de l'inspection HTTPS
L'inspection HTTPS offre plusieurs avantages en termes de performances et de sécurité du réseau, notamment
- Amélioration de l'identification des applications : Le décryptage du trafic HTTPS permet à une organisation de mieux identifier l'application qui utilise la connexion et d'appliquer des politiques de sécurité et de routage spécifiques à l'application.
- Application du filtrage des URL : L'inspection du trafic HTTPS permet à une organisation de bloquer le trafic vers des sites web dangereux ou inappropriés.
- Filtrage des contenus malveillants : L'inspection HTTPS permet aux solutions de cybersécurité de rechercher les contenus malveillants dans le trafic HTTPS. Le contenu peut être testé dans un bac à sable et le contenu malveillant peut être supprimé des fichiers à l'aide des technologies de désarmement et de reconstruction du contenu (CDR).
Meilleures pratiques pour l'inspection HTTPS du réseau
L'inspection HTTPS peut améliorer considérablement la sécurité web d'une organisation. Lors de la sélection et du déploiement d'un NGFW pour l'inspection HTTPS, mettez en œuvre les meilleures pratiques suivantes :
- Inspection entrante et inspection sortante : L'inspection entrante examine le trafic en direction du client, tandis que l'inspection sortante surveille le trafic en direction du serveur. L'inspection entrante peut protéger les serveurs web internes en appliquant des protections IPS (Système de prévention des intrusions).
- Respectez les préoccupations légitimes en matière de protection de la vie privée : Certains types de données sont protégés par des réglementations telles que GDPR, PCI DSS et HIPAA. Les règles d'inspection HTTPS doivent être configurées de manière à ignorer le trafic susceptible de contenir ces types de données sensibles (c'est-à-dire vers des institutions financières, des organismes de santé, etc.)
- Liste de contournement recommandée : L'inspection HTTPS augmente la latence du réseau et n'est pas nécessaire pour certains sites de confiance. Un NGFW doit pouvoir utiliser une liste de contournement actualisable pour déterminer quel trafic ne doit pas être inspecté.
- Certificat de passerelle : Importez le certificat de passerelle pour que le navigateur poste fasse confiance au certificat de passerelle de sécurité. C'est essentiel pour éliminer les avertissements du navigateur et créer une expérience utilisateur transparente.
Un NGFW doit prendre en charge ces capacités en plus des autres caractéristiques de base décrites dans ce guide de l'acheteur NGFW, notamment
- Une gestion conviviale
- Prévention des menaces
- INSPECTION ET CONTRÔLE DES APPLICATIONS
- INSPECTION ET CONTRÔLE BASÉS SUR LES IDENTITÉS
- Performance évolutive
Les NGFW de Check Point offrent des capacités d'inspection SSL/TLS très performantes et évolutives. Pour les voir à l'œuvre, nous vous invitons à demander une démonstration gratuite.
Commentaires