{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"Le DPI (inspection SSL) contredit le sens de la cryptographie, mais les entreprises l'impl\u00e9mentent.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Le
\nCha\u00eene de confiance. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

L'inspection du trafic SSL (d\u00e9cryptage SSL\/TLS, analyse SSL ou DPI) devient un sujet de plus en plus discut\u00e9 dans le secteur des entreprises. L'id\u00e9e de d\u00e9chiffrer le trafic semble contredire le concept m\u00eame de la cryptographie. Cependant, un fait est un fait : de plus en plus d'entreprises utilisent des technologies DPI, le justifiant par la n\u00e9cessit\u00e9 de v\u00e9rifier le contenu pour d\u00e9tecter des malwares, des fuites de donn\u00e9es, etc.<\/p>\n

Eh bien, si l'on admet qu'il est n\u00e9cessaire d'impl\u00e9menter une telle technologie, il convient au moins d'envisager des moyens de le faire de mani\u00e8re la plus s\u00e9curis\u00e9e et bien g\u00e9r\u00e9e possible. Il ne faut pas s'appuyer sur les certificats, par exemple, que vous fournit votre fournisseur de syst\u00e8me DPI.<\/p>\n

Il y a un aspect de la mise en \u0153uvre dont tout le monde n'a pas connaissance. En r\u00e9alit\u00e9, beaucoup sont vraiment surpris d'en entendre parler. Il s'agit d'une autorit\u00e9 de certification priv\u00e9e (AC). Elle g\u00e9n\u00e8re des certificats pour le d\u00e9cryptage et le r\u00e9cryptage du trafic.
\n<\/a><\/noindex>
\nAu lieu de s'appuyer sur des certificats auto-sign\u00e9s ou des certificats provenant d'appareils DPI, vous pouvez utiliser une AC d\u00e9di\u00e9e d'un tiers, comme GlobalSign. Mais d'abord, faisons un petit aper\u00e7u du probl\u00e8me lui-m\u00eame.<\/p>\n

Qu'est-ce que l'inspection SSL et pourquoi est-elle utilis\u00e9e ?<\/h2>\n

\nDe plus en plus de sites web publics passent \u00e0 HTTPS. Par exemple, selon les statistiques de Chrome<\/a><\/noindex>, d\u00e9but septembre 2019, la part du trafic chiffr\u00e9 en Russie a atteint 83%.<\/p>\n

\"Le<\/a><\/noindex><\/p>\n

Malheureusement, le chiffrement du trafic est de plus en plus utilis\u00e9 par des acteurs malveillants, d\u2019autant plus que Let's Encrypt distribue des certificats SSL gratuits par milliers de mani\u00e8re automatis\u00e9e. Ainsi, le HTTPS est utilis\u00e9 partout \u2014 et l'ic\u00f4ne de verrou dans la barre d'adresse du navigateur n'est plus un indicateur fiable de s\u00e9curit\u00e9.<\/p>\n

C'est sur ces bases que les fabricants de solutions DPI promeuvent leurs produits. Ils s'int\u00e8grent entre les utilisateurs finaux (c'est-\u00e0-dire vos employ\u00e9s consultant des pages Web) et Internet, filtrant le trafic malveillant. \u00c0 ce jour, il existe une vari\u00e9t\u00e9 de ces produits sur le march\u00e9, mais les processus sont essentiellement identiques. Le trafic HTTPS passe par un dispositif de v\u00e9rification, o\u00f9 il est d\u00e9chiffr\u00e9 et v\u00e9rifi\u00e9 pour d\u00e9tecter la pr\u00e9sence de logiciels malveillants.<\/p>\n

Apr\u00e8s la v\u00e9rification, l'appareil cr\u00e9e une nouvelle session SSL avec le client final pour d\u00e9chiffrer et retravailler le contenu.<\/p>\n

Comment fonctionne le processus de d\u00e9chiffrement \/ retravaillage<\/h2>\n

\nPour que l'appareil d'inspection SSL d\u00e9chiffre et retravaille les paquets avant de les envoyer aux utilisateurs finaux, il doit \u00eatre capable d'\u00e9mettre des certificats SSL \u00e0 la vol\u00e9e. Cela signifie qu'un certificat CA doit y \u00eatre install\u00e9.<\/p>\n

Pour une entreprise (ou une personne interm\u00e9diaire), il est crucial que ces certificats SSL soient fiables dans les navigateurs (c'est-\u00e0-dire qu'ils ne g\u00e9n\u00e8rent pas de messages d'avertissement alarmants comme celui-ci). Par cons\u00e9quent, la cha\u00eene CA (ou hi\u00e9rarchie) doit \u00eatre dans le magasin de confiance du navigateur. \u00c9tant donn\u00e9 que ces certificats ne sont pas \u00e9mis par des autorit\u00e9s de certification publiques de confiance, il est n\u00e9cessaire de transmettre manuellement les hi\u00e9rarchies CA \u00e0 tous les clients finaux.<\/p>\n

\"Le
\nMessage d'avertissement pour un certificat auto-sign\u00e9 dans Chrome. Source : BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Sur les ordinateurs Windows, il est possible d'utiliser Active Directory et des strat\u00e9gies de groupe, mais pour les appareils mobiles, la proc\u00e9dure est plus complexe.<\/p>\n

La situation est encore plus compliqu\u00e9e si d'autres certificats racine doivent \u00eatre pris en charge dans l'environnement d'entreprise, par exemple ceux de Microsoft ou bas\u00e9s sur OpenSSL. De plus, la protection des cl\u00e9s secr\u00e8tes et leur gestion sont n\u00e9cessaires pour \u00e9viter que l'une des cl\u00e9s n'expire de mani\u00e8re inattendue.<\/p>\n

La meilleure option : un certificat racine d\u00e9di\u00e9 et priv\u00e9 \u00e9mis par une CA tierce.<\/h2>\n

\nSi la gestion de plusieurs racines ou les certificats auto-sign\u00e9s ne vous int\u00e9ressent pas, il existe une autre option : faire appel \u00e0 une CA tierce. Dans ce cas, les certificats sont \u00e9mis depuis un<\/b> centre de certification priv\u00e9 qui est li\u00e9 dans la cha\u00eene de confiance \u00e0 un centre de certification racine d\u00e9di\u00e9 et priv\u00e9, cr\u00e9\u00e9 sp\u00e9cialement pour l'entreprise.<\/p>\n

\"Le<\/a><\/noindex>
\nArchitecture simplifi\u00e9e pour des certificats racines clients d\u00e9di\u00e9s.<\/i><\/p>\n

Cette configuration \u00e9limine certains des probl\u00e8mes pr\u00e9c\u00e9demment mentionn\u00e9s : elle r\u00e9duit au moins le nombre de racines \u00e0 g\u00e9rer. Un seul centre de certification racine priv\u00e9 peut \u00eatre utilis\u00e9 pour tous les besoins internes de la PKI avec n'importe quel nombre de centres de certification interm\u00e9diaires. Par exemple, dans le diagramme ci-dessus, une hi\u00e9rarchie \u00e0 plusieurs niveaux est montr\u00e9e, o\u00f9 l'un des centres de certification interm\u00e9diaires est utilis\u00e9 pour la validation\/d\u00e9chiffrement SSL, et l'autre pour les ordinateurs internes (ordinateurs portables, serveurs, ordinateurs de bureau, etc.).<\/p>\n

Dans ce sch\u00e9ma, il n'est pas n\u00e9cessaire de d\u00e9ployer le CA sur tous les clients, car le CA de niveau sup\u00e9rieur est h\u00e9berg\u00e9 chez GlobalSign, ce qui r\u00e9sout les probl\u00e8mes de protection de la cl\u00e9 priv\u00e9e et de dur\u00e9e de vie.<\/p>\n

Un autre avantage de cette approche est la possibilit\u00e9 de r\u00e9voquer un certificat d'inspection SSL pour n'importe quelle raison. Il suffit de cr\u00e9er un nouveau certificat, li\u00e9 \u00e0 votre racine priv\u00e9e d'origine, qui peut \u00eatre utilis\u00e9 imm\u00e9diatement.<\/p>\n

Malgr\u00e9 toutes les controverses, les entreprises adoptent de plus en plus l'inspection SSL du trafic comme partie int\u00e9grante de leur infrastructure PKI interne ou priv\u00e9e. D'autres cas d'utilisation de PKI priv\u00e9e incluent l'\u00e9mission de certificats pour l'authentification des appareils ou des utilisateurs, SSL pour les serveurs internes, ainsi que diff\u00e9rentes configurations non autoris\u00e9es dans les certificats de confiance publics selon les exigences du CA\/Browser Forum.<\/p>\n

Les navigateurs s'y opposent<\/h2>\n

\nIl convient de noter que les d\u00e9veloppeurs de navigateurs tentent de contrer cette tendance et de prot\u00e9ger les utilisateurs finaux contre les attaques de type MiTM. Par exemple, il y a quelques jours, Mozilla a pris une d\u00e9cision<\/a><\/noindex> a d\u00e9cid\u00e9 d'activer par d\u00e9faut le protocole DoH (DNS-over-HTTPS) dans l'une des prochaines versions du navigateur Firefox. Le protocole DoH cache les requ\u00eates DNS des syst\u00e8mes DPI, rendant l'inspection SSL plus difficile.<\/p>\n

Concernant des plans similaires, le 10 septembre 2019 a annonc\u00e9<\/a><\/noindex> la soci\u00e9t\u00e9 Google pour le navigateur Chrome.<\/p>\n

\"Le<\/a><\/noindex><\/p>\n

Seuls les utilisateurs enregistr\u00e9s peuvent participer au sondage. Connectez-vous<\/a><\/noindex>, s'il vous pla\u00eet.<\/p>\n

Pensez-vous qu'une entreprise a le droit d'inspecter le trafic SSL de ses employ\u00e9s ?<\/h2>\n