Clés, signatures et certificats : comprendre HTTPS

Questions pour vérifier la compréhension

Transcription de l’animation

1. Le chiffrement symétrique

Chiffrement symétrique : Alice et Bob partagent une même clé, qui sert à chiffrer et à déchiffrer. C’est rapide : AES, par exemple. Mais comment se transmettre cette clé au départ, sans que quelqu’un sur le réseau la récupère ?

2. Une paire de clés

Le chiffrement asymétrique utilise deux clés liées mathématiquement : une clé publique et une clé privée. Bob diffuse sa clé publique à qui veut : elle n’a rien de secret. Il garde sa clé privée pour lui seul. Ce que l’une chiffre, seule l’autre peut le déchiffrer.

3. Chiffrer pour Bob

Alice veut écrire à Bob en toute confidentialité : elle chiffre son message avec la clé publique de Bob. Un tiers peut intercepter le message, mais sans la clé privée de Bob, il ne lit qu’une suite illisible. Seul Bob, avec sa clé privée, peut le déchiffrer. La confidentialité est assurée.

4. Signer un message

Les clés servent aussi dans l’autre sens. Bob calcule l’empreinte de son message, puis la signe avec sa clé privée : c’est la signature. Alice vérifie la signature avec la clé publique de Bob et la compare à l’empreinte du message reçu. Elles concordent : le message vient bien de Bob et n’a pas été modifié. Si un seul caractère change en route, les empreintes ne concordent plus : la signature est refusée.

5. Le certificat

Reste une question : comment Alice sait-elle que la clé publique reçue appartient vraiment à Bob, ou au site qu’elle visite ? C’est le rôle du certificat : un document qui associe une identité à une clé publique, pour une durée donnée. Il est signé par une autorité de certification (AC), un tiers de confiance qui a vérifié cette identité.

6. La chaîne de confiance

Le certificat du site est signé par une AC intermédiaire, elle-même signée par une AC racine. Le navigateur vérifie chaque signature en remontant la chaîne, ainsi que le nom et les dates… …jusqu’à une AC racine déjà présente dans son magasin de certificats, installé avec le système ou le navigateur. Si tout concorde, le cadenas s’affiche.

7. Les deux ensemble

En pratique, HTTPS combine les deux. Le chiffrement asymétrique, plus lent, sert au début : vérifier le certificat et convenir d’une clé de session. Ensuite, tous les échanges sont chiffrés en symétrique avec cette clé, beaucoup plus rapide. C’est la poignée de main TLS vue dans « Quand je tape une URL ».

8. Vigilance sécurité

Vigilance : toute la sécurité repose sur la clé privée et sur la confiance accordée aux certificats. La clé privée d’un serveur se protège comme un mot de passe d’administrateur : droits restreints, jamais copiée ni envoyée. Les certificats expirent : on automatise leur renouvellement, par exemple avec Let’s Encrypt et le protocole ACME. Une alerte de certificat signale un vrai problème d’identité : on ne la force jamais. Et on suit les recommandations de l’ANSSI sur les algorithmes, les tailles de clés et les versions de TLS.

9. À retenir

En résumé : la clé publique chiffre et vérifie, la clé privée déchiffre et signe. Le certificat relie une clé à une identité. Et toute la confiance repose sur la protection des clés privées.