Vous avez une question ?
Interrogez la communauté
internet & fixe
Bonjour @darkus
J'avais hésité mais je me jette à l'eau et je complète ton explication.
(J'ai participé à la mise en place d'un système de génération de système de clés pour un groupe tertiaire )
Les serveurs peuvent fournir aux visiteurs des outils permettant de s'assurer que le site qu'ils vont visiter est bien ce qu'il prétend être.
Si le navigateur est Firefox, le résultat de la vérification se traduit par le petit cadenas fermé et vert quand tout est OK.
L'outil principal est le certificat
Le certificat est présenté au navigateur par le site web.
Le navigateur commence par demander "Vos papiers !" au serveur avant de commencer à échanger des données confidentielles avec le serveur. Le serveur va très probablement demander un nom et un mot de passe. L'accord va se traduire par la génération d'un cookie de session.
L'affichage du site et les échanges de données peuvent commencer.
Un certificat est un document qui contient pas mal de données
Non ce n'est pas un programme. Les seuls programmes utilisés sont ceux, publics, qui réalisent les calculs liés à l'algorythme RSA. Ces programmes sont une "arme de guerre de catégorie 4 "(de mémoire) et nécessitent une déclaration au DoD
Le certificat est scellé : le sceau utilise un système de chiffrement asymétrique à clés publique et privée (algorythme public RSA), le sceau est le résultat d'un calcul fait sur les données contenues dans le certificat.
Le certificat est généré par une entité externe, un tiers de confiance c'est "l'autorité". L'autorité a fait le calcul du sceau et l'a inséré dans le certificat, le sceau a été calculé par la clé privé (secrète) de l"autorité.
La clé publique de l'Autorité permet de vérifier le certificat mais ne permet pas d'en générer.
Là je viens juste d'expliquer comment le certificat est vérifié.
Le certificat contient pas mal de données :
parmi ces données : la plage de dates de validité et le site qui peut l'utiliser
Ce qui fait que l'utilisation d'un certificat pas encore valide ou plus valide est détecté facilement par le navigateur
Un site contrefait qui utiliserait un certificat pour se faire passer pour un site officiel serait ainsi immédiatement détecté.
Dans le cas d'un site contrefait
soit c'est le certificat qui est altéré : détecté par le navigateur
soit le certificat n'est pas fait pour ce site mais pour l'original, et, là aussi la fraude sra détectée par le navigateur
Les entités capables de fournir des certificats doivent donc être connues des navigateur
A chaque fois qu'elles créent de nouveau produits de certifications, elles diffusent leurs certificat d'autorité.
Vous les retrouvez dans votre navigateur
Exemple depuis Firefox :
Dans l'onglet Autorité
les certificats des autorités, ils sont nécessaires pour vérifier les certificats serveurs
Supprimer un de ces certificats est une erreur. D'où ma remarque plus haut dans ce fil.
Dans l'onglet Serveur
les certificats serveur, ce sont ceux que votre navigateur a déjà vérifié et accepté.
Ne me posez pas de question plus techniques, je n'ai aucune compétence technologique en cryptographie. J'ai juste eu besoin de comprendre un peu comment ça fonctionne dans le cadre de travaux d'organisation et d'architecture de projets où la sécurité éatit élément important voir principal.
Il n'est pas non plus nécessaire de publier les détails techniques de ces technologies.
Cas du forum d'Orange
Détail du certificat :
Le nom du certificat montre que ce certificat est utilisé par Lithium et qu'ils s'en servent pour plusieurs communautés. On y triouve en clair une liste de leurs clients.
Tous les sites que vous voyez dans la capture ci-dessus sont des communautés traitées par Lithium.
A côté d'Orange, on y trouve, entre autres,une communauté de gamers et un site britanique impliqué dans la lute contre le cancer.
Je n'étais encore jamais allé fouiller la dedans, on y découvre des renseignements intéressants.
Cordialement
PhilDur