Comment peut-on protéger ses données avec le protocole HTTPS?

HTTPS utilise le protocole SSL/TLS pour assurer une connexion sécurisée entre le client et le serveur. Cela est réalisé grâce à trois mécanismes principaux :

1. Chiffrement : Toutes les données transmises sont chiffrées, ce qui les rend illisibles pour les attaquants interceptant le trafic. Des algorithmes de chiffrement symétrique et asymétrique sont utilisés.
2. Intégrité des données : HTTPS garantit que les données n'ont pas été modifiées pendant la transmission. Pour cela, des fonctions de hachage sont utilisées. Si les données ont été modifiées, la somme de contrôle à la réception ne correspondra pas à celle de l'expéditeur.
3. Authentification : Le client vérifie l'authenticité du serveur à l'aide d'un certificat numérique délivré par une autorité de certification de confiance (CA). Cela empêche les attaques de type Man-in-the-Middle.

Lors de l'établissement d'une connexion HTTPS, une poignée de main (handshake) a lieu :

• Le client et le serveur conviennent de la version SSL/TLS et des suites de chiffrement.
• Le serveur envoie son certificat numérique au client.
• Le client vérifie le certificat (authenticité de la CA, validité, correspondance avec le nom de domaine).
• Le client génère une clé de session, la chiffre avec la clé publique du serveur (du certificat) et l'envoie au serveur.
• Le serveur déchiffre la clé de session avec sa clé privée.
• Ensuite, tout le trafic entre le client et le serveur est chiffré en utilisant cette clé de session.

Exemple d'utilisation de HTTPS dans Ruby on Rails :

En environnement de production, Rails redirige automatiquement les requêtes HTTP vers HTTPS lorsque la configuration du serveur web (Nginx, Apache) est correcte :

# config/environments/production.rb
# Forcer tout l'accès à l'application via SSL, utiliser Strict-Transport-Security et des cookies sécurisés.
config.force_ssl = true

Au niveau du serveur web :

# Exemple pour Nginx
server {
    listen 80;
    server_name myapp.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name myapp.com;

    ssl_certificate /path/to/myapp.com.crt;
    ssl_certificate_key /path/to/myapp.com.key;

    # Autres configurations SSL/TLS
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # ... autres configurations du serveur (root, location, etc.)
}