TLS (Transport Layer Security)

Qu'est-ce que le TLS en termes simples

TLS (Transport Layer Security) est un protocole cryptographique qui chiffre les données transmises entre deux appareils sur un réseau. En termes simples, TLS est un « tunnel sécurisé » par lequel passent vos données lorsque vous visitez un site Web, envoyez un e-mail ou payez un achat en ligne.

Imaginez que vous envoyiez une lettre par la poste. Sans TLS, c'est comme une carte postale ouverte — n'importe quel facteur peut en lire le contenu. Avec TLS, la lettre est placée dans une enveloppe chiffrée que seul le destinataire peut ouvrir. C'est grâce au TLS que l'icône du cadenas dans la barre d'adresse du navigateur garantit que votre trafic est protégé.

TLS est l'évolution du protocole SSL (Secure Sockets Layer) développé par Netscape dans les années 1990. Les versions SSL actuelles (2.0 et 3.0) sont considérées comme non sûres et obsolètes. TLS 1.0 est apparu en 1999 comme une amélioration de SSL 3.0. Aujourd'hui, il est recommandé d'utiliser TLS 1.2 ou TLS 1.3.

Fonctionnement du TLS

Le processus d'établissement d'une connexion TLS s'appelle « handshake » (poignée de main) et comprend plusieurs étapes :

1. Client Hello : le client (navigateur) envoie au serveur une proposition des versions TLS prises en charge, une suite de chiffrements et un nombre aléatoire.
2. Server Hello : le serveur choisit la version TLS et la suite de chiffrements appropriées, envoie son certificat et un nombre aléatoire.
3. Vérification du certificat : le client vérifie le certificat du serveur — s'il a expiré, s'il a été émis par une autorité de certification de confiance, si le domaine correspond.
4. Échange de clés : le client et le serveur génèrent une clé de session commune à l'aide du chiffrement asymétrique (RSA, ECDHE).
5. Chiffrement : toutes les données suivantes sont chiffrées avec un algorithme symétrique (AES, ChaCha20) au moyen de la clé de session.

Versions du TLS

• TLS 1.0 (1999) : obsolète, présente des vulnérabilités (BEAST). Non recommandé.
• TLS 1.1 (2006) : améliorations par rapport à la 1.0, mais également obsolète.
• TLS 1.2 (2008) : standard actuel. Prend en charge les algorithmes modernes (AES-GCM, ECDHE). Recommandé.
• TLS 1.3 (2018) : version la plus rapide et la plus sûre. Handshake simplifié (1-RTT au lieu de 2-RTT), suppression des algorithmes historiques.

TLS et HTTPS

HTTPS est HTTP sur TLS. Lorsque vous visitez un site en HTTPS, votre navigateur établit automatiquement une connexion TLS avec le serveur. Cela assure la confidentialité (personne ne peut lire les données), l'intégrité (les données ne sont pas modifiées) et l'authenticité (vous communiquez avec un vrai serveur, et non avec un fraudeur). Le HTTPS nécessite un certificat numérique émis par une autorité de certification de confiance.