Hypertext Transfer Protocol Secure

L'Hypertext Transfer Protocol Secure(HTTPS, littéralement «protocolede transferthypertextuelsécurisé ») est la combinaison duHTTPavec une couche dechiffrementTLS.
HTTPS permet au visiteur de vérifier l'identité dusite webauquel il accède, grâce à uncertificatd'authentificationémis par une autorité tierce, réputée fiable (et faisant généralement partie de laliste blanchedesnavigateurs internetet dessystèmes d'exploitation). Il garantit théoriquement laconfidentialitéet l'intégrité des données envoyées par l'utilisateur (notamment des informations entrées dans lesformulaires) et reçues duserveur. Il peut permettre de valider l'identité du visiteur, si celui-ci utilise également un certificat d'authentificationclientémis par une autorité fiable.
HTTPS est aussi utilisé pour la consultation de données privées, comme lescourriers électroniques, par exemple.
En 2016, une campagne de l'Electronic Frontier Foundation, soutenu par les développeurs denavigateurs Web, a aidé à rendre le protocole beaucoup plus populaire. HTTPS est maintenant utilisé plus souvent par les utilisateurs Web que le HTTP non sécurisé d'origine, principalement pour protéger l'authenticité des pages sur tous les types de sites Web, comptes sécurisés, et pour garder les communications des utilisateurs, l'identité et la navigation Web privées.
Depuis le début desannées 2010, le HTTPS s'est également généralisé sur lesréseaux sociaux.
Par défaut, les serveurs HTTPS sont connectés auportTCP443. C'est un port très souvent ouvert derrière les pare-feux.
Enjanvier 2017,Google ChromeetMozilla Firefoxont commencé à identifier et signaler les sites Web qui recueillent des informations sensibles sans utiliser le protocole HTTPS. Ce changement a pour but d'augmenter de manière significative l'utilisation du HTTPS. Enfévrier 2017, le protocole de sécurité HTTPS était utilisé par environ 16,28 % de l'Internet français. Depuis 2020, le protocole est utilisé dans 80% des pages Web chargées.
Netscapecréa le HTTPS en 1994 pour son navigateurNetscape Navigator. HTTPS était initialement utilisé avec le protocole SSL, ce dernier ayant évolué versTLS, HTTPS utilise maintenant TLS. Ceci est spécifié dans laRFC 2818enmai 2000.
Google annonça enfévrier 2018que son navigateur afficherait les sites HTTP comme « non sécurisés » à partir du mois dejuillet 2018. Cela précipita l'adoption d'HTTPS par les sites web afin d'éviter une perte de trafic.
Les certificats HTTPS sont émis par des autorités de certification. Depuis le milieu des années 2000 et les révélations d'Edward Snowden, de nombreuses entités se sont mis à proposer des certificats HTTPS gratuitement pour sécuriser le Web. L'obtention de certificats sont soumis notamment au protocoleACME. Pour obtenir un certificat, il faut créer unCSRcontenant les informations sur le site Internet et la clé générée par le site Internet pour sécuriser la connexion. Après validation de la propriété du site Internet, l'autorité signe le CSR, délivrant un certificat valide, lorsqu'il est associé à la clé privée utilisée dans le CSR. Cette technique empêche l'autorité d'avoir accès à la clé privée (le CSR ne contient pas cette clé) et donc de lire le trafic des sites Internet dont elle a autorité mais permet de prouver que le site Internet demandeur du certificat possède bien la clé privée (preuve de possession).
Un certificat a une durée de vie (entre 90 jours et 1 an) mais qui est très souvent de 3 mois et qui permet le renouvellement automatique de la clé privée et du certificat. Un certificat peut aussi être révoqué par l'autorité de certification si sa clé privée a été compromise.
Description informelle:  Le protocole est identique au protocole web habituelHTTP, mais avec un ingrédient supplémentaire ditTLSqui fonctionne assez simplement ainsi :
En bref : serveur et client se sont reconnus, ont choisi une manière de chiffrer la communication et se sont passés de manière chiffrée un code (clé de chiffrement symétrique) pour dialoguer de manière secrète.
La sécurité des informations transmises par le protocole HTTPS est basée sur l'utilisation d'unalgorithmedechiffrement, et sur la reconnaissance de validité ducertificat d'authentificationdu site visité.
Partant du principe que lesinternautesprécisent rarement le type de protocole dans lesURL(le protocole HTTP étant historiquement sélectionné par défaut) et se contentent de suivre des liens, un chercheur ensécurité informatique, connu sous le pseudonyme deMoxie Marlinspike, a développé une attaque du typeAttaque de l'homme du milieu(« Man in the middle »en anglais), afin de contourner le chiffrement de HTTPS. Lepiratese positionne entre leclientet le serveur et change leslienshttps:enhttp:, ainsi le client envoie ses informations en clair via le protocoleHTTPet non HTTPS.
Ce type d'attaque a été présenté par Marlinspike à laBlackhat Conference 2009. Durant cette conférence, Marlinspike a non seulement présenté le fonctionnement de l'attaque, mais également quelques statistiques d'utilisation. Il a réussi à récupérer plusieurs centaines d'identifiants, informations personnelles etnuméros de cartes bancairesen 24 heures, aucune personne ne se doutant de l'attaque en cours.
Une autre attaque de typeMan in the middlea pu être mise en œuvre enjuillet 2011, par l'obtention frauduleuse de certificats valides auprès de l'ancienneautorité de certificationDigiNotar, piratée. Cette attaque fut utilisée pour mettre en place de faux sitesGoogle(certificat frauduleux pour les domaines*.google.com) et ainsi espionner la consultation de plusieurs comptesGmaild'utilisateursiraniens.
Enseptembre 2011, Duong et Rizzo, deux chercheurs en sécurité informatique, ont présenté à laEkoparty Security Conferenceun nouveau type d'attaque, basé cette fois sur ledécryptagedespaquetstransmis sur le réseau. Cette attaque utilise unevulnérabilitéduchiffrementCipher Block Chainingdu protocoleTLS1.0, connue de longue date. Pour exploiter cette vulnérabilité, il s'agit d'insérer dans lapageconsultée uncode Javascriptcommuniquant la valeur ducookiede session à unanalyseur de paquetsréseau, afin de l'utiliser pour décrypter le reste de la communication.
Seuls les sites supportant la version de chiffrement TLS 1.0 sont affectés par cette vulnérabilité ; cependant à la date deseptembre 2011, cela concerne l'immense majorité des sites du fait de la réticence des sites et navigateurs à mettre en application les versions TLS 1.1 et 1.2.
Enseptembre 2013, plusieurs journaux révèlent, grâce aux documents fournis parEdward Snowden, que laNSA, via son programmeBullrun, cherche à casser ou affaiblir le protocole HTTPS ou ses mises en œuvre par les constructeurs de matériel et de logiciel, rendant accessible en clair aux services américains de nombreuses communications pourtant chiffrées.
Début 2014, une vulnérabilité visant tous les appareilsApplesous iOS 6 / 7 et Mac OS X 10.9, permettant à ceux qui ont eu le moyen de l'exploiter, de corrompre le chiffrement HTTPS (ou plus particulièrement les technologiesTLS/SSL), a été corrigée par la firme. Certaines rumeurs laissent entendre que cette vulnérabilité aurait été utilisée par la NSA, voire que c'est l'organisation gouvernementale qui a sollicité l'aide d'Apple pour créer cette faille (ce que l'entreprise dément).
HTTPStrict Transport Security(HSTS) est un mécanisme depolitique de sécuritéproposé, permettant à unserveur webde déclarer à un agent utilisateur (comme unnavigateur web) compatible, qu'il doit interagir avec lui en utilisant une connexion sécurisée (comme HTTPS). La politique est donc communiquée à l'agent utilisateur par le serveur, via la réponse HTTP, dans le champ d'entête nommé «Strict-Transport-Security». La politique spécifie une période de temps durant laquelle l'agent utilisateur doit accéder au serveur uniquement de façon sécurisée.
Le HTTPS du fait qu'il est chiffré ne permet pas à un serveur intermédiaire d'avoir une mémoire cache qui mémorise l'information. De ce fait, le navigateur ne peut pas afficher l'information sans la demander directement au serveur.
Pour cette raison, certains serveurs intermédiaires commeCloudflareémettent des certificats pour les sites qu'ils gèrent avec leur clé privée ce qui leur permet d'obtenir le trafic en clair et de le contrôler.