SSL : Secure Sockets Layer
Réseau
SSL : Secure Sockets Layer. « Couche de connecteurs sécurisés », par analogie avec le nom du défunt propriétaire resté sur la boîte aux lettres longtemps après le déménagement.
Généalogie : Protocole conçu par Netscape pour chiffrer les échanges web, publié en versions 2.0 puis 3.0, avant d'être repris et renommé TLS lors de sa normalisation. Toutes les versions de SSL sont aujourd'hui officiellement dépréciées.
Failles connues : L'attaque POODLE (Padding Oracle On Downgraded Legacy Encryption) a achevé SSL 3.0 ; l'attaque DROWN exploite un serveur qui accepte encore SSL 2.0 pour s'en prendre à ses connexions TLS. Un protocole mort peut donc encore nuire, ce qui le rapproche de certaines idées.
Abus de langage : « Certificat SSL », « VPN SSL », « OpenSSL » : le nom survit partout alors que le protocole réellement employé est TLS. Le certificat, lui, est un certificat X.509 indépendant de la version du protocole.
Configuration : Un serveur moderne n'accepte que TLS 1.2 et 1.3. Laisser SSL activé « pour la compatibilité » revient à garder un vieil escalier vermoulu au cas où quelqu'un préférerait passer au travers.
Ce qui arrive si on s'en passe
Sans protection de canal, du type que SSL a inaugurée et que TLS assure aujourd'hui, tout ce qui transite entre un navigateur et un serveur circule en clair : mots de passe, cookies de session, formulaires. Un intermédiaire sur le réseau peut lire ces données et les modifier sans que personne s'en aperçoive, et se faire passer pour le serveur faute d'authentification. À l'inverse, laisser les anciennes versions de SSL activées ne protège plus : elles permettent des attaques de repli vers un chiffrement cassé et, dans certains cas, l'attaque de connexions TLS partageant la même clé.
Explication de la marmotte
Quand on envoie un mot de passe à un site web, il voyage à travers de nombreux ordinateurs avant d'arriver. Sans précaution, chacun d'eux pourrait le lire au passage. Une première méthode a été inventée dans les années quatre-vingt-dix pour mettre ces échanges sous enveloppe scellée. Elle a ensuite été améliorée et rebaptisée, mais l'ancien nom est resté dans le langage courant, un peu comme on dit encore « frigidaire » pour n'importe quel réfrigérateur. Les anciennes versions comportent des défauts et ne doivent plus être utilisées.
Où ce terme est utilisé
- Principes de sécurité, identité et cryptographie utile au réseau (9 occurrences)
- Sécuriser un canal: TLS, HTTPS et mTLS (7 occurrences)
- Migrer TLS legacy sans casser les clients anciens (3 occurrences)
- Transformer un bloc en chiffrement de message (2 occurrences)
- VPN, tunnels, bastions et interconnexions protégées (2 occurrences)
- Comprendre la cryptanalyse sans perdre le fil pratique (1 occurrence)
- Itinérance mobile et confiance entre opérateurs (1 occurrence)
- OCSP stapling pour vérifier la révocation TLS (1 occurrence)