Chiffrement TLS
En 2021, la sécurité d’une application en client riche ou web est prioritaire dès les développements. Les guerres actuelles sont numériques car les enjeux économiques sont colossaux. La protection des flux est primordiale.
Dans cet article, la sécurité des flux web est le thème. Transport Layer Security est un protocole de chiffrement de la couche de transport. Très connu grâce au protocole HTTPS.
La petite histoire
Il y a quelque semaine, OVHCloud a annoncé à ses clients l’arrêt du TLSv1.0 et TLSv1.1 de leurs hébergements. Il était temps ! En effet, la version 1.0 est née en 1999 et 2006 pour son homologue en 1.1. Le TLSv1.2 est sorti rapidement en 2008 pour corriger les failles de son prédécesseur. Pour finir, la version 1.3 est arrivée en 2018 donc 10ans plus tard.
Suivre les évolutions rapidement
L’objet n’est pas d’argumenter sur les failles de chacune des versions du protocole. La désactivation des anciens protocoles est importante. Dans certains cas, elle est impérative ! Certaines failles peuvent permettre à des hackers malveillants d’obtenir des éléments qui vous seront préjudiciables par la suite. La récupération de vos identifiants et mots de passes à l’insu de l’utilisateur notamment.
Ce type de protocole évolue rarement car ils ont une sécurité accrue. Cependant, lorsqu’une version est officiellement disponible. Il faut planifier l’optimisation sur des plateformes dans un délais raisonnable. Cela signifie que les failles de son grand frère sont connues de tous. Il en résulte que la sécurité du logiciel est fragilisée. Dans le cas présent, OVHCloud procède un parc de solution web conséquent. De fait, ils ne peuvent pas éradiquer les vieux protocoles du jour au lendemain. Lorsqu’on se base sur le nombre de version plutôt que les années, ils auront mis 3 ans à supprimer les vieilles versions. C’est acceptable au regard de la dimension de leurs architectures.
SSL ou TLS ?
En termes de langage, il est fort possible d’entendre parler de SSL. C’est un abus de langage car celui-ci est déprécié depuis 1996. La dernière version était SSLv3. Inutile de dire que l’utilisation du SSL, quel qu’en soit la raison, est dangereuse. Globalement, il n’existe plus en 2021. En revanche, il est vivement recommandé de le désactiver. Si ce chiffrement est encore présent dans un réseau interne ou externe d’une entreprise.
Recommandations
Conseil, les moteurs web doivent autoriser uniquement le TLSv1.2 et TLSv1.3. Les navigateurs à jour sont parfaitement à même de dialoguer avec ces dernières versions. Bien sûr, biens d’autres paramètres doivent être optimisés pour une configuration optimale. Par exemple, la CipherSuite et bien d’autre … De plus, la mise à jour régulière des moteurs web sont fortement préconisé, à savoir IIS, Apache2, Node ou même Tomcat.
La règle à retenir pour le protocole TLS :
– La dernière version et uniquement la précédente sont à autoriser. Toutes les autres sont à bannir. Bien sûr, ce n’est pas toujours très simple pour des environnements en production. Néanmoins, ces évolutions sont à intégrer dans des projets de sécurisation du système d’information en utilisant les méthodes du DevSecOps par exemple.
– Dans le but d’avoir une sécurité résiliente, la gestion des certificats doit être gérées manuellement. Les solutions du Letsencrypt sont à éviter dans la mesure du possible.
Voici une partie des recommandations généralistes pour le chiffrement d’un moteur web
