SNI : Server Name Indication
Réseau
SNI : Server Name Indication. « Indication du nom de serveur », par analogie avec le nom du destinataire écrit sur l'enveloppe, qui permet au concierge d'un immeuble de remettre le courrier au bon appartement.
À quoi il sert : Une même adresse IP héberge souvent des dizaines de sites. Le client annonce dans son premier message TLS le nom d'hôte visé, et le serveur choisit le certificat correspondant avant même que le chiffrement ne commence.
Ce qu'il laisse voir : Ce nom circule en clair : quiconque observe le réseau sait quel site est consulté, même si le contenu reste illisible. On chiffre soigneusement la lettre et l'on écrit l'adresse au feutre sur l'enveloppe ; la discrétion a ses limites protocolaires.
Le correctif : ECH (Encrypted Client Hello) chiffre ce premier message, SNI compris, à condition que client et serveur le prennent en charge. Sans ce mécanisme, filtres et censeurs lisent le nom sans effort.
Symptôme d'absence : Un client qui n'envoie pas SNI reçoit le certificat par défaut du frontal, souvent celui d'un autre nom : l'erreur de validation qui s'ensuit est un classique du diagnostic TLS.
Ce qui arrive si on s'en passe
Sans SNI, un serveur qui héberge plusieurs noms ne sait pas quel certificat présenter : il sert celui par défaut, le client constate que le nom ne correspond pas et la connexion échoue, ou, pire, l'utilisateur prend l'habitude de passer outre les avertissements. La présence de SNI règle ce problème mais expose le nom visité en clair à tout observateur du réseau ; tant que le chiffrement du premier message n'est pas déployé, le chiffrement de la session ne cache pas quels sites sont consultés, ce qui compte dans toute analyse de confidentialité.
Explication de la marmotte
Sur Internet, un seul ordinateur loue souvent de la place à des dizaines de sites différents, un peu comme un immeuble avec beaucoup d'appartements à la même adresse. Quand un navigateur se connecte, il doit dire tout de suite quel site il veut voir, pour que l'ordinateur en face présente la bonne carte d'identité, celle qui prouve qu'il est bien ce site-là. Ce petit message part au tout début, avant que la conversation ne soit protégée : les curieux sur le chemin peuvent donc lire le nom du site visité, même s'ils ne voient pas le contenu des pages.
Où ce terme est utilisé
- QUIC, HTTP moderne, TLS et proxys applicatifs (9 occurrences)
- Suivre un flux de bout en bout (7 occurrences)
- Diagnostiquer les erreurs de validation TLS en production (6 occurrences)
- DNSSEC, DoH, DoT, ODoH et perte de visibilité pour la défense (6 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (3 occurrences)
- La poignée de main TLS 1.3 en une page (3 occurrences)
- Sécuriser un canal: TLS, HTTPS et mTLS (3 occurrences)
- Sécuriser un load balancer cloud et la terminaison TLS (3 occurrences)
- Google Street View Wi-Spy 2010 : trames Wi-Fi en clair et droit (2 occurrences)
- Migrer TLS legacy sans casser les clients anciens (2 occurrences)