293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
fd9abdda70912b99b24e3bf1a38f26fde908a74cnd<html xmlns="http://www.w3.org/1999/xhtml" lang="fr" xml:lang="fr"><head>
fd9abdda70912b99b24e3bf1a38f26fde908a74cnd<meta content="text/html; charset=ISO-8859-1" http-equiv="Content-Type" />
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor This file is generated from xml source: DO NOT EDIT
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
96ad5d81ee4a2cc66a4ae19893efc8aa6d06fae7jailletc<title>Chiffrement SSL/TLS fort : Introduction - Serveur Apache HTTP Version 2.5</title>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<link href="/style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" />
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<link href="/style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" />
d29d9ab4614ff992b0e8de6e2b88d52b6f1f153erbowen<link href="/style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" /><link rel="stylesheet" type="text/css" href="/style/css/prettify.css" />
2e545ce2450a9953665f701bb05350f0d3f26275nd<script src="/style/scripts/prettify.min.js" type="text/javascript">
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<link href="/images/favicon.ico" rel="shortcut icon" /></head>
af33a4994ae2ff15bc67d19ff1a7feb906745bf8rbowen<p class="menu"><a href="/mod/">Modules</a> | <a href="/mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="/glossary.html">Glossaire</a> | <a href="/sitemap.html">Plan du site</a></p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<div class="up"><a href="./"><img title="<-" alt="<-" src="/images/left.gif" /></a></div>
3f08db06526d6901aa08c110b5bc7dde6bc39905nd<a href="http://www.apache.org/">Apache</a> > <a href="http://httpd.apache.org/">Serveur HTTP</a> > <a href="http://httpd.apache.org/docs/">Documentation</a> > <a href="../">Version 2.5</a> > <a href="./">SSL/TLS</a></div><div id="page-content"><div id="preamble"><h1>Chiffrement SSL/TLS fort : Introduction</h1>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p><span>Langues Disponibles: </span><a href="/en/ssl/ssl_intro.html" hreflang="en" rel="alternate" title="English"> en </a> |
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<a href="/fr/ssl/ssl_intro.html" title="Fran�ais"> fr </a> |
f086b4b402fa9a2fefc7dda85de2a3cc1cd0a654rjung<a href="/ja/ssl/ssl_intro.html" hreflang="ja" rel="alternate" title="Japanese"> ja </a></p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Ce chapitre en guise d'introduction est destin� aux lecteurs pour lesquels
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorle Web, HTTP et Apache sont familiers, mais ne sont pas des experts en mati�re
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorde s�curit�. Il n'a pas la pr�tention d'�tre un guide d�taill� sur le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorprotocole SSL, il ne traitera pas non plus des techniques sp�cifiques de gestion
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzordes certificats dans une organisation, ni des importants probl�mes l�gaux de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorbrevets ou des restrictions d'importation ou d'exportation. Il se veut plut�t
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorune base de travail pour les utilisateurs de <code class="module"><a href="/mod/mod_ssl.html">mod_ssl</a></code> en
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorrassemblant diff�rents concepts, d�finitions et exemples comme point de d�part
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorpour une exploration plus d�taill�e.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<div id="quickview"><ul id="toc"><li><img alt="" src="/images/down.gif" /> <a href="#cryptographictech">Techniques de chiffrement</a></li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<li><img alt="" src="/images/down.gif" /> <a href="#certificates">Certificats</a></li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<li><img alt="" src="/images/down.gif" /> <a href="#ssl">Couche Points d'Acc�s S�curis�s - Secure Sockets Layer (SSL)</a></li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<li><img alt="" src="/images/down.gif" /> <a href="#references">R�f�rences</a></li>
30471a4650391f57975f60bbb6e4a90be7b284bfhumbedooh</ul><ul class="seealso"><li><a href="#comments_section">Commentaires</a></li></ul></div>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h2><a name="cryptographictech" id="cryptographictech">Techniques de chiffrement</a></h2>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>La ma�trise de SSL n�cessite la compr�hension des algorithmes de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorchiffrement, des fonctions relatives aux empreintes de messages (comme les
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorfonctions de type hash ou non r�versibles), et des signatures num�riques. Ces
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzortechniques pourraient faire l'objet d'un ouvrage � elles seules (voir par
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorexemple [<a href="#AC96">AC96</a>]) et constituent les bases de la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorconfidentialit�, de l'int�grit� et de l'authentification.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="cryptographicalgo" id="cryptographicalgo">Algorithmes de chiffrement</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Supposons qu'Alice veuille envoyer un message � sa banque pour
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor transf�rer une certaine somme. Alice souhaiterait que le message soit
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor priv�, car il contient des informations comme son num�ro de compte et le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor montant du transfert. Une solution consisterait � utiliser un algorithme de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor chiffrement, technique qui permet de remplacer un message par sa version
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor chiffr�e, illisible jusqu'� ce qu'elle soit d�chiffr�e.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Sous sa forme chiffr�e,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor le message ne peut �tre d�chiffr� qu'en utilisant une cl� secr�te. Sans la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cl�, le message est inutilisable : les bons algorithmes de chiffrement
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor rendent si difficile la restitution du texte original par des intrus que
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor ceux-ci y gaspilleraient leurs efforts.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Il existe deux cat�gories d'algorithmes de chiffrement : conventionnel
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor ou � cl� publique.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <dd>aussi connu sous le nom de chiffrement sym�trique, il n�cessite le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor partage d'une cl� entre l'exp�diteur et le destinataire : une portion
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'information secr�te permettant de chiffrer et d�chiffrer un message.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Tant que cette cl� reste secr�te, personne � part l'exp�diteur et le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor destinataire ne peut lire le message. Si Alice et sa banque partagent une
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cl� secr�te, ils peuvent donc s'envoyer l'un � l'autre des messages priv�s.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Le fait de partager une cl� entre l'exp�diteur et le destinataire avant
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de communiquer, tout en la maintenant secr�te vis � vis des autres, peut
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor toutefois poser des probl�mes.</dd>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <dd>aussi connu sous le nom de chiffrement asym�trique, il r�soud le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor probl�me d'�change de cl� en d�finissant un algorithme qui utilise deux
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cl�s, chacune d'entre elles pouvant �tre utilis�e pour chiffrer un message.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Si une des cl�s a �t� utilis�e pour chiffrer le message, on doit utiliser
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'autre cl� pour le d�chiffrer. Il est ainsi possible de recevoir des
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor messages s�curis�s simplement en rendant publique une des cl�s (la cl�
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor publique), et en gardant l'autre cl� secr�te (la cl� priv�e).</dd>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Tout le monde peut chiffrer un message en utilisant la cl� publique,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor mais seul le propri�taire de la cl� priv�e sera en mesure de le lire. De
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cette fa�on, Alice peut envoyer des messages priv�s au propri�taire d'une
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor paire de cl�s (sa banque), en les chiffrant � l'aide de la cl� publique.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Seule la banque sera en mesure de les d�chiffrer.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="messagedigests" id="messagedigests">Empreinte d'un message</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Bien qu'Alice puisse chiffrer son message pour le rendre priv�, il
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor subsiste toujours le risque que quelqu'un puisse modifier le message
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor original ou le remplacer par un autre, afin d'effectuer le transfert de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor fonds � son profit, par exemple. Une solution pour garantir l'int�grit� du
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor message consisterait pour Alice � cr�er un r�sum� concentr� de son message
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor qu'elle enverrait � sa banque avec ce dernier. A la r�ception du message,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor la banque cr�e son propre r�sum� et le compare avec celui qu'Alice a
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor envoy�. Si les deux r�sum�s sont identiques, le message re�u n'a pas
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor �t� modifi�.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Un r�sum� tel que celui-ci est appel�
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <dfn>empreinte num�rique de message</dfn> (message digest),
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <em>fonction de hashage</em> (hash function). Une empreinte de message
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor constitue une repr�sentation courte et de longueur fixe, d'un message plus
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor long et de longueur variable. Les algorithmes de cr�ation d'empreintes sont
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor con�us pour produire une empreinte unique pour chaque message. Les
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor empreintes de messages sont con�ues pour que la restitution du message
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor � partir de l'empreinte soit d'une difficult� insurmontable, et qu'il soit
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor (en th�orie) impossible de trouver deux messages diff�rents qui produisent
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor la m�me empreinte -- ce qui �limine la possibilit� de remplacer un message
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor par un autre en conservant la m�me empreinte.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Trouver le moyen d'envoyer l'empreinte de mani�re s�curis�e � la banque
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor constitue un autre d�fit auquel Alice doit faire face ; si l'empreinte
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor n'est pas envoy�e de mani�re s�curis�e, son int�grit� peut �tre compromise,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor et avec elle, la possibilit� pour la banque de v�rifier l'int�grit� du
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor message original. L'int�grit� du message ne peut �tre v�rifi�e que si
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'empreinte qui lui est associ�e est envoy�e de mani�re s�curis�e.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Une solution pour envoyer l'empreinte de mani�re s�curis�e consiste �
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'inclure dans une signature num�rique.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="digitalsignatures" id="digitalsignatures">Signatures num�riques</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Quand Alice envoie un message � sa banque, cette derni�re doit s'assurer
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorque le message a bien �t� envoy� par elle, pour �viter qu'un intrus puisse
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzoreffectuer une transaction sur son compte. Une <em>signature num�rique</em>,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorcr��e par Alice et incluse dans le message, permet d'atteindre cet
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorobjectif.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Les signatures num�riques peuvent �tre cr��es en chiffrant une empreinte de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzormessage, ainsi que d'autres informations (comme un num�ro d'ordre) avec la cl�
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorpriv�e de l'exp�diteur. Bien que tout le monde puisse <em>d�chiffrer</em> la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorsignature � l'aide de la cl� publique, seul l'exp�diteur connait la cl� priv�e.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorCe qui implique que seul l'exp�diteur peut avoir sign� le message. Inclure
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorl'empreinte dans la signature entra�ne que cette derni�re n'est valable que
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorpour ce message ; ceci assure aussi l'int�grit� du message car personne ne
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorpeut modifier l'empreinte et ensuite signer le message.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Afin de se pr�munir contre l'interception et la r�utilisation de la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorsignature par un intrus quelques jours plus tard, la signature contient un
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzornum�ro d'ordre unique. Ceci prot�ge la banque contre une plainte frauduleuse
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorde la part d'Alice all�guant qu'elle n'a pas envoy� le message --
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorelle seule peut l'avoir sign� (non-r�pudiation).</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor</div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h2><a name="certificates" id="certificates">Certificats</a></h2>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Bien qu'Alice soit parvenue � envoyer un message priv� � sa banque, apr�s
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorl'avoir sign� et avoir ainsi assur� l'int�grit� du message, elle doit encore v�rifier
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorqu'elle communique r�ellement avec la banque. C'est � dire qu'elle doit
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzors'assurer que la cl� publique qu'elle utilise appartient bien � la paire de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorcl�s de la banque, et non � celle d'un intrus.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorDe m�me, la banque doit v�rifier que la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorsignature du message a bien �t� construite avec la cl� priv�e d'Alice.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Si chaque partie poss�de un certificat qui valide l'identit� de l'autre,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorconfirme la cl� publique, et est sign� par un organisme de confiance, alors
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorles deux protagonistes peuvent �tre s�rs que la personne avec laquelle ils
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorcommuniquent est bien celle avec laquelle ils d�sirent le faire. Un tel
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzororganisme de confiance s'appelle une <em>Autorit� de Certification</em>, et
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzoron utilise les certificats � des fins d'authentification.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="certificatecontents" id="certificatecontents">Contenu d'un certificat</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Un certificat associe une cl� publique avec l'identit� r�elle d'un
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor individu, d'un serveur, ou d'une autre entit� plus connue sous le nom de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sujet. Comme on le voit dans le <a href="#table1">Tableau 1</a>, les
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor information concernant le sujet comprennent des informations
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'identification (le nom distinctif ou distinguished name - dn), ainsi que
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor la cl� publique. Il comporte aussi l'identification et la signature de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'autorit� de certification qui a d�livr� le certificat, ainsi que la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor p�riode de validit� de ce dernier. Il peut aussi contenir des informations
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor suppl�mentaires (ou extensions) telles que des informations de gestion
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor destin�es � l'autorit� de certification, comme un num�ro de s�rie.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <h4><a name="table1" id="table1">Tableau 1: Information contenues dans un certificat</a></h4>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <td>Contraintes de base, Drapeaux Netscape, etc.</td></tr>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Un nom distinctif sert � fournir une identit� dans un contexte
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sp�cifique -- par exemple, un individu peut poss�der un certificat
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor personnel, et aussi un certificat en tant qu'employ�. Les noms distinctifs
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor doivent respecter le standard X509 [<a href="#X509">X509</a>], qui d�finit
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor les champs, les noms de champs, et les abr�viations utilis�es pour faire
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor r�f�rence aux champs (voir <a href="#table2">Tableau 2</a>).</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <h4><a name="table2" id="table2">Tableau 2: Informations contenues dans le nom distinctif</a></h4>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <tr><td>Unit� organisationnelle (Organizational Unit)</td>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <td>Nom est associ� avec cette <br />unit� organisationnelle,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor par exemple un d�partement</td>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Une autorit� de certification peut d�finir une contrainte sp�cifiant
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor quels champs du nom distinctif sont optionnels et lesquels sont
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor obligatoires. Elle peut aussi imposer des contraintes sur le contenu des
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor champs, ce que peuvent aussi faire les utilisateurs de certificats. Par
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor exemple, un navigateur Netscape peut exiger, dans le cas d'un certificat
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de serveur, que le nom complet (Common Name) corresponde � un nom g�n�rique
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor contenant le nom de domaine du serveur, comme
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Le format binaire d'un certificat est d�fini en utilisant la
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen notation ASN.1 [<a href="#ASN1">ASN1</a>] [<a href="#PKCS">PKCS</a>].
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Cette notation definit la mani�re de sp�cifier les contenus, et les r�gles
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'encodage d�finissent la mani�re dont ces information sont converties au
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor format binaire. L'encodage binaire du certificat est d�fini par les R�gles
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'Encodage Distinctives (Distinguished Encoding Rules - DER), qui se basent
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'une mani�re plus g�n�rale sur les R�gles d'Encodage de Base (Basic
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Encoding Rules - BER). Pour les transmissions qui ne supportent pas le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor format binaire, ce dernier peut �tre converti au format ASCII en utilisant
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor le codage Base64 [<a href="#MIME">MIME</a>]. Lorsqu'il est plac� entre des
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d�limiteurs de d�but et de fin (comme ci-dessous), on dit que le certificat
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor est encod� au format PEM ("Privacy Enhanced Mail").</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <div class="example"><h3>Exemple de certificat encod� au format PEM (snakeoil.crt)</h3><pre>-----BEGIN CERTIFICATE-----
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorMIIC7jCCAlegAwIBAgIBATANBgkqhkiG9w0BAQQFADCBqTELMAkGA1UEBhMCWFkx
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorFTATBgNVBAgTDFNuYWtlIERlc2VydDETMBEGA1UEBxMKU25ha2UgVG93bjEXMBUG
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorA1UEChMOU25ha2UgT2lsLCBMdGQxHjAcBgNVBAsTFUNlcnRpZmljYXRlIEF1dGhv
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorcml0eTEVMBMGA1UEAxMMU25ha2UgT2lsIENBMR4wHAYJKoZIhvcNAQkBFg9jYUBz
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorbmFrZW9pbC5kb20wHhcNOTgxMDIxMDg1ODM2WhcNOTkxMDIxMDg1ODM2WjCBpzEL
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorMAkGA1UEBhMCWFkxFTATBgNVBAgTDFNuYWtlIERlc2VydDETMBEGA1UEBxMKU25h
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzora2UgVG93bjEXMBUGA1UEChMOU25ha2UgT2lsLCBMdGQxFzAVBgNVBAsTDldlYnNl
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorcnZlciBUZWFtMRkwFwYDVQQDExB3d3cuc25ha2VvaWwuZG9tMR8wHQYJKoZIhvcN
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorAQkBFhB3d3dAc25ha2VvaWwuZG9tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKB
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorgQDH9Ge/s2zcH+da+rPTx/DPRp3xGjHZ4GG6pCmvADIEtBtKBFAcZ64n+Dy7Np8b
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorvKR+yy5DGQiijsH1D/j8HlGE+q4TZ8OFk7BNBFazHxFbYI4OKMiCxdKzdif1yfaa
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorlWoANFlAzlSdbxeGVHoT0K+gT5w3UxwZKv2DLbCTzLZyPwIDAQABoyYwJDAPBgNV
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorHRMECDAGAQH/AgEAMBEGCWCGSAGG+EIBAQQEAwIAQDANBgkqhkiG9w0BAQQFAAOB
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorgQAZUIHAL4D09oE6Lv2k56Gp38OBDuILvwLg1v1KL8mQR+KFjghCrtpqaztZqcDt
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor2q2QoyulCgSzHbEGmi0EsdkPfg6mp0penssIFePYNI+/8u9HT4LuKMJX15hxBam7
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="certificateauthorities" id="certificateauthorities">Autorit�s de certification</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>En v�rifiant les informations contenues dans une demande de certificat
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor avant de l'accorder, l'autorit� de certification s'assure de l'identit� du
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor propri�taire de la cl� priv�e issue de sa paire de cl�s. Par exemple, Si
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Alice demande un certificat personnel, l'autorit� de certification doit
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'abord s'assurer qu'elle correspond vraiment � la personne � laquelle
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor la demande de certificat fait r�f�rence.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <h4><a name="certificatechains" id="certificatechains">Cha�nes de certification</a></h4>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Une autorit� de certification peut aussi �mettre un certificat �
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor destination d'une
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor autre autorit� de certification. Pour v�rifier un certificat, Alice
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor peut �tre amen�e � v�rifier le certificat de l'�metteur pour chaque
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor autorit� de certification parente, jusqu'� ce qu'elle en atteigne une
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor en qui elle a confiance. Elle peut aussi ne faire confiance qu'aux
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor certificats faisant l'objet d'une cha�ne limit�e d'�metteurs, afin
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de r�duire le risque de rencontrer un "mauvais" certificat dans la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cha�ne.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <h4><a name="rootlevelca" id="rootlevelca">Cr�ation d'une autorit� de certification racine</a></h4>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Comme indiqu� plus haut, chaque certificat n�cessite la validation
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de l'identit� du sujet par un �metteur de certificats
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de niveau sup�rieur, et ceci en
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor remontant jusqu'� l'Autorit� de Certification (CA) racine. Ceci pose un
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor probl�me : qui va se porter garant du certificat de l'autorit� racine
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor qui ne poss�de pas d'�metteur de certificat ? C'est uniquement dans ce
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cas que le certificat est auto-sign�, l'�metteur du certificat et son
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sujet �tant confondus. Les navigateurs sont pr�configur�s avec une
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor liste d'autorit�s de certification de confiance, mais il est important
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'�tre extr�mement prudent avant de faire confiance � un certificat
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor auto-sign�. La large publication d'une cl� publique par l'autorit�
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor racine r�duit cependant les risques encourus
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor en faisant confiance � cette cl� --
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor si quelqu'un publiait une cl� en se faisant passer pour l'autorit�, il
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor serait vite d�masqu�.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Quelques compagnies, comme <a href="http://www.thawte.com/">Thawte</a> et <a href="http://www.verisign.com/">VeriSign</a>,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor se sont proclam�es elles-m�mes Autorit�s de Certification. Ces
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor compagnies proposent les services suivant :</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Vous pouvez aussi cr�er votre propre autorit� de certification. Bien
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor que risqu� dans l'environnement de l'Internet, ceci peut s'av�rer utile
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor dans un Intranet, o� l'organisme peut v�rifier facilement les identit�s
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor des individus et des serveurs.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <h4><a name="certificatemanagement" id="certificatemanagement">Gestion des certificats</a></h4>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Constituer une autorit� de certification repr�sente une
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor responsabilit� qui n�cessite une solide infrastructure administrative,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor technique et gestionnaire. Les autorit�s de certification ne se
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor contentent pas d'�mettre des certificats, elles doivent aussi les g�rer
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor -- � savoir elles d�terminent leur dur�e de validit�, elles les
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor renouvellent, et elles maintiennent des listes de certificats qui ont
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor �t� �mis dans le pass� mais ne sont plus valides (Listes de r�vocations
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de certificats, ou CRLs).</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Par exemple, si Alice est titulaire d'un certificat en tant
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor qu'employ�e d'une compagnie, mais vient de quitter cette compagnie,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor son certificat doit �tre r�voqu�. Comme les certificats ne sont �mis
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor qu'apr�s v�rification de l'identit� du sujet, et peuvent �tre envoy�s
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor � tous ceux avec lesquels le sujet peut communiquer, il est impossible
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de discerner � partir du seul certificat s'il a �t� r�voqu�. Pour
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor v�rifier la validit� d'un certificat, il est donc n�cessaire de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor contacter l'autorit� de certification qui l'a �mis afin de pouvoir
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor consulter ses listes de r�vocations de certificats -- ce qui n'est
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor en g�n�ral pas une partie automatique du processus.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Si votre autorit� de certification ne fait pas partie de la liste
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor des autorit�s de confiance de votre navigateur, il faut enregistrer le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor certificat de l'autorit� de certification dans ce dernier, ce qui lui
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor permettra de valider les certificats de serveurs sign�s par cette
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor autorit� de certification. Ceci peut �tre dangereux, car une fois le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor certificat enregistr�, le navigateur acceptera tous les certificats
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sign�s par cette autorit� de certification.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor</div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h2><a name="ssl" id="ssl">Couche Points d'Acc�s S�curis�s - Secure Sockets Layer (SSL)</a></h2>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Le protocole Couche Points d'Acc�s S�curis�s est une couche protocolaire
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorqui pourrait s'intercaler entre un protocole d'une couche r�seau orient�e
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorconnexion (comme TCP/IP) et une couche protocolaire d'application (comme HTTP).
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorSSL fournit une communication s�curis�e entre client et serveur en permettant
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorl'authentification mutuelle, l'utilisation des signatures num�riques pour la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorv�rification de l'int�grit� des donn�es, et le chiffrement pour la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorconfidentialit�.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Ce protocole est con�u pour supporter un grand choix d'algorithmes
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorsp�cifiques utilis�s pour la cryptographie, les empreintes et les signatures.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorCeci permet la s�lection d'un algorithme pour des serveurs sp�cifiques en
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorrespectant la l�galit�, les r�gles d'exportation ou autres contraintes, et
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorpermet aussi au protocole de tirer parti des nouveaux algorithmes. Ces choix
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorfont l'objet d'une n�gociation entre client et serveur lors de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorl'�tablissement de la session protocolaire.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="table4" id="table4">Tableau 4: Versions du protocole SSL</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <td>Premier protocole SSL pour lequel il existe des impl�mentations</td>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <td>Projet Internet arriv� � expiration (de Netscape Corp.) [<a href="#SSL3">SSL3</a>]</td>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <td>Comporte des r�visions permettant de pr�venir certaines attaques de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor s�curit� sp�cifiques, ajout de chiffrements non RSA, et support des
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cha�nes de certification</td>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <td>Standard propos� pour l'Internet (de l'IETF) [<a href="#TLS1">TLS1</a>]</td>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <td>R�vision de SSL 3.0 pour mettre � jour la couche MAC vers HMAC,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor ajout du bourrage de bloc pour le chiffrement de bloc, standardisation
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de l'ordonnancement des messages et plus de messages d'alerte.</td>
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen <td>Standard propos� pour l'Internet (de l'IETF) [<a href="#TLS11">TLS11</a>]</td>
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen <td>Mise � jour de TLS 1.0 pour la protection contre les
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen attaques de type Cipher block chaining (CBC).</td>
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen <td>Standard propos� pour l'Internet (de l'IETF) [<a href="#TLS12">TLS12</a>]</td>
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen <td>Mise � jour de TLS 1.2 rendant les condens�s MD5 obsol�tes,
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen et introduisant une incompatibilit� avec SSL ce qui interdit toute
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen n�gociation en vue d'une utilisation de SSLv2.</td>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p>Il existe plusieurs versions du protocole SSL, comme le montre le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<a href="#table4">Tableau 4</a>. Comme indiqu� dans ce dernier, un des apports
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorde SSL 3.0 est le support du chargement des cha�nes de certification. Cette
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorfonctionnalit� permet � un serveur de passer au navigateur un certificat de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorserveur accompagn� du certificat de l'�metteur. Le chargement de la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorcha�ne permet aussi au navigateur de valider le certificat du serveur, m�me si
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorles certificats de l'autorit� de certification ne sont pas install�s pour les
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor�metteurs interm�diaires, car ils sont inclus dans la cha�ne de certification.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorSSL 3.0 sert de base au standard du protocole S�curit� de la Couche Transport
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorou Transport Layer Security
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor[<a href="#TLS1">TLS</a>], actuellement en d�veloppement au sein de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorl'Internet Engineering Task Force (IETF).</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="session" id="session">Etablissement d'une session</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>La session SSL est �tablie en suivant une s�quence d'�changes
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'informations entre client et serveur, comme le montre la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <a href="#figure1">Figure 1</a>. Cette s�quence peut varier, selon que
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor le serveur est configur� pour fournir un certificat de serveur ou
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor r�clame un certificat client. Bien que dans certains cas, des �tapes
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'�changes d'informations suppl�mentaires soient n�cessaires pour la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor gestion des informations de chiffrement, cet article r�sume un sc�nario
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor courant. Se reporter aux sp�cifications SSL pour avoir la liste de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor toutes les possibilit�s.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Une fois la session SSL �tablie, elle peut �tre r�utilis�e. Ceci
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor permet d'�viter la perte de performances due � la r�p�tition des nombreuses
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor �tapes n�cessaires � l'�tablissement d'une session. Pour parvenir � ceci,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor le serveur assigne un identifiant de session unique � chaque session SSL ;
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cet identifiant est mis en cache dans le serveur et le client peut
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'utiliser pour des connexions ult�rieures afin de r�duire la dur�e des
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor �changes d'informations (et ceci jusqu'� ce que l'identifiant de session
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor arrive � expiration dans le cache du serveur).</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <img src="/images/ssl_intro_fig1.gif" alt="" width="423" height="327" /><br />
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <a id="figure1" name="figure1"><dfn>Figure 1</dfn></a> : S�quence
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor simplifi�e d'�changes d'informations SSL</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Les �l�ments de la s�quence d'�changes d'informations, tels qu'ils
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sont utilis�s par le client et le serveur, sont �num�r�s ci-apr�s :</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>N�gociation de la suite de chiffrement � utiliser durant le transfert des donn�es</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Elaboration et �change d'une cl� de session entre le client et le serveur</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Authentification �ventuelle du serveur par le client</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Authentification �ventuelle du client par le serveur</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>La premi�re �tape, la n�gociation de la suite de chiffrement, permet au
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor client et au serveur de choisir une suite de chiffrement qu'ils supportent
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor tous les deux. La sp�cification du protocole SSL 3.0 d�finit 31 suites de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor chiffrement. Une suite de chiffrement se compose des �l�ments
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor suivants :</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Empreinte du message servant � cr�er le code d'authentification du
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor message (MAC)</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Ces trois �l�ments sont d�crits dans les sections suivantes.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="keyexchange" id="keyexchange">M�thode d'�change de la cl�</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>La m�thode d'�change de la cl� d�finit la mani�re
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor dont la cl� de chiffrement
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sym�trique secr�te et partag�e utilis�e pour le transfert des donn�es de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'application sera accept�e par le client et le serveur. SSL 2.0 utilise
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'�change de cl� RSA seulement, tandis que SSL 3.0 supporte tout un choix
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'algorithmes d'�change de cl� incluant l'�change de cl� RSA (quand les
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor certificats sont utilis�s), et l'�change de cl�s Diffie-Hellman (pour
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor �changer des cl�s sans certificat, ou en l'absence de communication
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor pr�alable entre le client et le serveur).</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Les signatures num�riques constituent une variante dans le choix des
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor m�thodes d'�change de cl� -- utiliser les signatures ou pas, et dans
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'affirmative, quel genre de signatures utiliser. La signature � l'aide
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'une cl� priv�e fournit une protection contre une attaque
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor "man-in-the-middle" au cours de laquelle
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'�change d'informations destin� � g�n�rer la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cl� partag�e peut �tre intercept� [<a href="#AC96">AC96</a>, p516].</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="ciphertransfer" id="ciphertransfer">Chiffrement du transfert de donn�es</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Comme d�crit plus haut, SSL utilise le chiffrement sym�trique
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor conventionnel pour chiffrer les messages au cours d'une session. Il existe
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor neuf choix possibles pour le chiffrement, y compris l'option du transfert
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor non chiffr� :</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Chiffrement en continu (Stream Ciphers)
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Chiffrement par blocs CBC (CBC Block Ciphers)
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>"CBC" signifie Cipher Block Chaining (Cha�nage de blocs chiffr�s),
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor c'est � dire qu'une portion du bloc de texte chiffr� pr�c�dent est utilis�e
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor pour le chiffrement du bloc courant. "DES" signifie Data Encryption
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Standard (Standard de Chiffrement des Donn�es)
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor [<a href="#AC96">AC96</a>, ch12], et poss�de de nombreuses variantes
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor (telles que DES40 et 3DES_EDE). Parmi les algorithmes disponibles, "Idea"
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor est actuellement un des meilleurs et des plus puissants sur le plan
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor cryptographique, et "RC2" est un algorithme propri�taire de RSA DSI
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="digestfuntion" id="digestfuntion">Fonction de cr�ation d'empreinte</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Le choix d'une fonction de cr�ation d'empreinte d�termine la mani�re
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor dont une empreinte est cr��e � partir d'une unit� de donn�es. SSL supporte
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor les fonctions suivantes :</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Algorithme d'Empreinte S�curis�e (Secure Hash Algorithm - SHA-1), une
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor empreinte de 160 bits</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>On utilise l'empreinte de message pour cr�er un Code d'Authentification
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de Message (Message Authentication Code - MAC) qui est chiffr� avec le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor message afin de v�rifier son int�grit� et de se prot�ger contre les
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor attaques de type "rejeu".</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="handshake" id="handshake">Protocole de la s�quence d'�changes d'informations</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>La s�quence d'�changes d'informations utilise trois protocoles :</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Le <dfn>Protocole d'�changes d'informations SSL</dfn> pour �tablir
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor la session SSl entre le client et le serveur.</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Le <dfn>Protocole de sp�cification du chiffrement SSL</dfn> pour
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor l'agr�ment effectif de la suite de chiffrement � utiliser
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor pour la session.</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <li>Le <dfn>Protocole d'alertes SSL</dfn> pour la transmission de
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor messages d'erreur SSL entre le client et le serveur.</li>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Ces protocoles, ainsi que les donn�es du protocole de l'application,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sont encapsul�s dans le <dfn>Protocole d'enregistrement SSL
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor (SSL Record Protocol)</dfn>, comme
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor le montre la <a href="#figure2">Figure 2</a>. Un protocole encapsul� est
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor tranf�r� en tant que donn�es par le protocole de la couche de niveau
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor inf�rieur, qui ne se pr�occupe pas du contenu des donn�es. Le protocole
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor encapsul� n'a aucune connaissance du protocole sous-jacent.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <img src="/images/ssl_intro_fig2.gif" alt="" width="428" height="217" /><br />
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <a id="figure2" name="figure2"><dfn>Figure 2</dfn></a>:
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Pile du protocole SSL</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>L'encapsulation des protocoles de contr�le SSL dans le protocole
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'enregistrement signifie que si une session active est ren�goci�e, les
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor protocoles de contr�le seront transmis de mani�re s�curis�e. S'il n'y
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor avait pas de session pr�alable, la suite de chiffrement Null est utilis�e,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor ce qui signifie que les messages ne seront pas chiffr�s et ne poss�deront
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor pas d'empreinte d'int�grit�, jusqu'� ce que la session ait �t� �tablie.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="datatransfer" id="datatransfer">Transmission des donn�es</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Le protocole d'enregistrement SSL, comme le montre la
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <a href="#figure3">Figure 3</a>, est utilis� pour transmettre les donn�es
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de l'application et les donn�es de contr�le SSL entre le client et le
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor serveur, les donn�es �tant n�cessairement fragment�es en �l�ments plus
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor petits, ou plusieurs messages de donn�es avec protocole de niveau
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sup�rieur pouvant �tre combin�s en un seul �l�ment. Ce protocole peut
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor joindre des signatures d'empreintes, compresser et chiffrer ces �l�ments
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor avant de les transmettre en utilisant le protocole fiable de transport
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor sous-jacent (Note : actuellement, aucune impl�mentation majeure de SSL
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor n'inclut le support de la compression).</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <img src="/images/ssl_intro_fig3.gif" alt="" width="423" height="323" /><br />
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <a id="figure3" name="figure3"><dfn>Figure 3</dfn></a>:
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Protocole d'enregistrement SSL</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h3><a name="securehttp" id="securehttp">S�curisation des communications HTTP</a></h3>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor <p>Une des utilisations courantes de SSL est la s�curisation des
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor communication HTTP sur le Web entre un navigateur et un serveur web. Ceci
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor n'exclut pas l'utilisation de HTTP non s�curis� - la version s�curis�e
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor (appel�e HTTPS) est identique � du vrai HTTP sur SSL,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor mais utilise le pr�fixe
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor d'URL <code>https</code> au lieu de <code>http</code>, et un port
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor de serveur diff�rent (par d�faut le port 443).
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor Ceci constitue pour une large part
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor ce qu'apporte <code class="module"><a href="/mod/mod_ssl.html">mod_ssl</a></code> au serveur web Apache.</p>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor</div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<h2><a name="references" id="references">R�f�rences</a></h2>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<dd>Bruce Schneier, <q>Applied Cryptography</q>, 2nd Edition, Wiley,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor1996. Voir <a href="http://www.counterpane.com/">http://www.counterpane.com/</a> pour diverses autres productions de Bruce
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorSchneier.</dd>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<dd>ITU-T Recommendation X.208, <q>Specification of Abstract Syntax Notation
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowenOne (ASN.1)</q>, derni�re mise � jour en 2008. Voir <a href="http://www.itu.int/ITU-T/asn1/">http://www.itu.int/ITU-T/asn1/</a>.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<dd>ITU-T Recommendation X.509, <q>The Directory - Authentication
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowenFramework</q>. A titre de r�f�rence, voir <a href="http://en.wikipedia.org/wiki/X.509">http://en.wikipedia.org/wiki/X.509</a>.
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorRSA Laboratories Technical Notes, Voir <a href="http://www.rsasecurity.com/rsalabs/pkcs/">http://www.rsasecurity.com/rsalabs/pkcs/</a>.</dd>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<dd>N. Freed, N. Borenstein, <q>Multipurpose Internet Mail Extensions
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor(MIME) Part One: Format of Internet Message Bodies</q>, RFC2045.
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowenVoir par exemple <a href="http://tools.ietf.org/html/rfc2045">http://tools.ietf.org/html/rfc2045</a>.</dd>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<dd>Alan O. Freier, Philip Karlton, Paul C. Kocher, <q>The SSL Protocol
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzorVersion 3.0</q>, 1996. Voir <a href="http://www.netscape.com/eng/ssl3/draft302.txt">http://www.netscape.com/eng/ssl3/draft302.txt</a>.</dd>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<dd>Tim Dierks, Christopher Allen, <q>The TLS Protocol Version 1.0</q>,
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor1999. Voir <a href="http://ietf.org/rfc/rfc2246.txt">http://ietf.org/rfc/rfc2246.txt</a>.</dd>
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen2006. Voir <a href="http://tools.ietf.org/html/rfc4346">http://tools.ietf.org/html/rfc4346</a>.</dd>
35ac4e1a6ec5aa3cfa1a34d8f20fe8a841cc46b7rbowen2008. Voir <a href="http://tools.ietf.org/html/rfc5246">http://tools.ietf.org/html/rfc5246</a>.</dd>
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<p><span>Langues Disponibles: </span><a href="/en/ssl/ssl_intro.html" hreflang="en" rel="alternate" title="English"> en </a> |
293aa6caecb1db771e9baa2f79c92f1c381caee4gryzor<a href="/fr/ssl/ssl_intro.html" title="Fran�ais"> fr </a> |
f086b4b402fa9a2fefc7dda85de2a3cc1cd0a654rjung<a href="/ja/ssl/ssl_intro.html" hreflang="ja" rel="alternate" title="Japanese"> ja </a></p>
727872d18412fc021f03969b8641810d8896820bhumbedooh</div><div class="top"><a href="#page-header"><img src="/images/up.gif" alt="top" /></a></div><div class="section"><h2><a id="comments_section" name="comments_section">Commentaires</a></h2><div class="warning"><strong>Notice:</strong><br />This is not a Q&A section. Comments placed here should be pointed towards suggestions on improving the documentation or server, and may be removed again by our moderators if they are either implemented or considered invalid/off-topic. Questions on how to manage the Apache HTTP Server should be directed at either our IRC channel, #httpd, on Freenode, or sent to our <a href="http://httpd.apache.org/lists.html">mailing lists</a>.</div>
727872d18412fc021f03969b8641810d8896820bhumbedoohvar comments_shortname = 'httpd';
cc7e1025de9ac63bd4db6fe7f71c158b2cf09fe4humbedoohvar comments_identifier = 'http://httpd.apache.org/docs/trunk/ssl/ssl_intro.html';
0d0ba3a410038e179b695446bb149cce6264e0abnd(function(w, d) {
cc7e1025de9ac63bd4db6fe7f71c158b2cf09fe4humbedooh if (w.location.hostname.toLowerCase() == "httpd.apache.org") {
727872d18412fc021f03969b8641810d8896820bhumbedooh d.write('<div id="comments_thread"><\/div>');
0d0ba3a410038e179b695446bb149cce6264e0abnd var s = d.createElement('script');
ac082aefa89416cbdc9a1836eaf3bed9698201c8humbedooh s.src = 'https://comments.apache.org/show_comments.lua?site=' + comments_shortname + '&page=' + comments_identifier;
0d0ba3a410038e179b695446bb149cce6264e0abnd (d.getElementsByTagName('head')[0] || d.getElementsByTagName('body')[0]).appendChild(s);
727872d18412fc021f03969b8641810d8896820bhumbedooh d.write('<div id="comments_thread">Comments are disabled for this page at the moment.<\/div>');
0d0ba3a410038e179b695446bb149cce6264e0abnd})(window, document);
205f749042ed530040a4f0080dbcb47ceae8a374rjung<p class="apache">Copyright 2015 The Apache Software Foundation.<br />Autoris� sous <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p>
af33a4994ae2ff15bc67d19ff1a7feb906745bf8rbowen<p class="menu"><a href="/mod/">Modules</a> | <a href="/mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="/glossary.html">Glossaire</a> | <a href="/sitemap.html">Plan du site</a></p></div><script type="text/javascript"><!--//--><![CDATA[//><!--
0d0ba3a410038e179b695446bb149cce6264e0abndif (typeof(prettyPrint) !== 'undefined') {
7fec19672a491661b2fe4b29f685bc7f4efa64d4nd prettyPrint();