Comment fonctionne HTTPS?

HTTPS (Hypertext Transfer Protocol Secure) est un protocole qui assure la transmission sécurisée des données entre le client (par exemple, un navigateur) et le serveur. Il est basé sur HTTP, mais utilise le chiffrement pour protéger les informations transmises.

Le fonctionnement de HTTPS repose sur l'utilisation du protocole TLS (Transport Layer Security), qui était auparavant appelé SSL (Secure Sockets Layer). TLS/SSL garantit trois aspects clés de la sécurité :

1. Chiffrement : Les données entre le client et le serveur sont chiffrées, ce qui les rend illisibles pour les observateurs extérieurs.
2. Intégrité des données : Il est vérifié que les données n'ont pas été modifiées pendant la transmission.
3. Authentification : Le serveur confirme son authenticité au client.

Le processus d'établissement d'une connexion HTTPS comprend plusieurs étapes, appelées "TLS/SSL Handshake" :

1. Client Hello : Le client envoie au serveur un "Client Hello" contenant :
   • La version de TLS supportée.
   • La liste des suites de chiffrement supportées.
   • Un nombre aléatoire.
2. Server Hello : Le serveur répond par un "Server Hello", en choisissant parmi les options proposées par le client :
   • La version de TLS.
   • Une suite de chiffrement.
   • Un nombre aléatoire.
   • Le certificat du serveur.
3. Certificate : Le client reçoit et vérifie l'authenticité du certificat du serveur :
   • Vérifie la signature numérique du certificat à l'aide de la clé publique de l'autorité de certification (CA).
   • Vérifie la validité du certificat.
   • Vérifie que le nom de domaine dans le certificat correspond à celui demandé.
4. Client Key Exchange : Le client génère un pré-mot de passe secret, le chiffre avec la clé publique du certificat du serveur et l'envoie au serveur.
5. Change Cipher Spec (Client) : Le client informe le serveur qu'il est prêt à commencer à échanger des données chiffrées.
6. Finished (Client) : Le client envoie un message chiffré avec un hash de tous les messages précédents du Handshake pour vérifier l'intégrité.
7. Change Cipher Spec (Server) : Le serveur déchiffre le pré-mot de passe secret en utilisant sa clé privée et génère des clés symétriques pour chiffrer la session. Ensuite, il informe le client qu'il est prêt à échanger des données chiffrées.
8. Finished (Server) : Le serveur envoie un message chiffré avec un hash de tous les messages précédents du Handshake.
9. Transmission de données chiffrées : Après avoir réussi le Handshake, le client et le serveur utilisent les clés symétriques générées pour chiffrer toutes les données ultérieures.

Ainsi, HTTPS assure un canal de communication sécurisé, rendant la navigation web plus sûre.