Securing the Web with HSTS-Enforced
Ce document présente « HSTS-Enforced », un nouveau mécanisme de sécurité qui inverse le modèle actuel d'adhésion volontaire pour adopter une approche par défaut de désactivation du HTTPS via des enregistrements DNS et des listes de préchargement, éliminant ainsi les vulnérabilités de dépouillement TLS tout en préservant l'accessibilité des sites nécessitant le HTTP.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez l'internet comme un vaste réseau de routes. Pendant des années, nous avons eu une règle qui disait : « Si vous voulez rouler sur l'autoroute (HTTPS), vous avez besoin d'un passe spécial. » Mais voici le problème : obtenir ce passe est facultatif. Si vous oubliez de l'obtenir, ou si un mauvais acteur (un pirate informatique) bloque votre chemin vers l'autoroute, votre voiture est contrainte de prendre une route de terre cahoteuse et à ciel ouvert (HTTP). Sur cette route de terre, n'importe qui se tenant au bord peut regarder dans votre voiture, voler vos bagages, ou même remplacer vos passagers par de faux.
Ce document présente un nouveau système appelé HSTS-Enforced. Imaginez-le comme le retournement complet du code de la route.
L'ancienne méthode : Sécurité « Opt-In »
Actuellement, les propriétaires de sites web doivent dire : « Hé, veuillez verrouiller mes portes ! » en ajoutant un en-tête spécifique à leur site.
- Le défaut : Si le propriétaire oublie d'ajouter le verrou, ou si un pirate bloque le signal indiquant à votre navigateur de verrouiller les portes, votre connexion reste déverrouillée.
- Le résultat : C'est comme un quartier où vous devez acheter votre propre verrou de sécurité. Si vous ne le faites pas, ou si le livreur est arrêté par un voleur, votre maison est grande ouverte.
La nouvelle méthode : Sécurité « Opt-Out » (HSTS-Enforced)
Les auteurs proposent un système où chaque site web est verrouillé par défaut.
- La règle : Votre navigateur suppose que chaque site web est une forteresse. Il n'essaiera que d'entrer par la porte blindée sécurisée (HTTPS).
- L'exception : Si un site web a vraiment besoin d'être déverrouillé (peut-être un ancien appareil qui ne peut pas gérer les verrous, ou une configuration de routeur local), le propriétaire doit afficher un panneau très spécifique et inviolable disant : « Il est sûr d'entrer sans verrou ici. »
Les deux « panneaux » (Indicateurs)
Comment le navigateur sait-il quels sites web ont le droit d'être déverrouillés ? Le document propose deux façons d'accrocher ce panneau :
La « Liste de préchargement » (Le répertoire maître) :
Imaginez un répertoire officiel géant tenu par les fabricants de navigateurs. Si un propriétaire de site web veut être déverrouillé, il doit demander à figurer sur cette liste. Le navigateur vérifie d'abord cette liste. Si le site web n'est pas sur la liste, le navigateur suppose qu'il est verrouillé et ne vous laissera pas entrer sans une clé sécurisée.- Analogie : C'est comme une liste « Ne pas déranger » pour les hôtels. Si votre nom ne figure pas sur la liste « Ne pas déranger », la réception suppose que vous voulez être réveillé (sécurisé).
L'enregistrement DNS « HTTPREQ » (Le sceau numérique) :
Il s'agit d'un timbre numérique spécial attaché à l'adresse du site web dans l'annuaire téléphonique (DNS). Il utilise un sceau cryptographique (DNSSEC) qui prouve que le propriétaire du site web a réellement demandé le statut « déverrouillé ».- Analogie : C'est comme un cachet de cire sur une lettre. Si le sceau est brisé ou manquant, le destinataire sait que la lettre n'était pas officiellement autorisée à être ouverte.
Pourquoi est-ce mieux ?
Le document affirme que cela résout trois maux de tête majeurs :
- Plus de vulnérabilités « du premier accès » : Dans l'ancien système, la toute première fois que vous visitiez un site, vous étiez vulnérable jusqu'à ce que le « verrou » soit téléchargé. Dans ce nouveau système, vous êtes verrouillé immédiatement. Vous n'êtes déverrouillé que si le site web prouve qu'il a besoin de l'être.
- Plus d'erreurs accidentelles : Les propriétaires de sites web font souvent des erreurs dans leurs paramètres de sécurité. Dans l'ancien système, une erreur signifiait que votre site était déverrouillé. Dans ce nouveau système, une erreur signifie simplement que votre site reste verrouillé (ce qui est sûr). Vous devez activement essayer de briser les règles pour être déverrouillé.
- Plus de pistage : Certaines anciennes méthodes de sécurité permettaient aux sites web de vous suivre en fonction de vos paramètres spécifiques. Ce nouveau système traite tout le monde de la même manière sauf si un panneau spécifique et public indique le contraire, rendant plus difficile l'espionnage des utilisateurs.
Et les cas « délicats » ?
Les auteurs savent que certaines choses doivent rester déverrouillées, comme la page de configuration de votre routeur Wi-Fi domestique ou un portail captif dans un café.
- La solution : Le système crée automatiquement des exceptions pour des éléments comme « localhost » (votre propre ordinateur), les adresses IP et les appareils du réseau local. Il permet également à la « Liste de préchargement » de gérer des cas spécifiques où un propriétaire de site web prouve qu'il a besoin de HTTP.
Est-ce que cela ralentit les choses ?
Les auteurs ont testé cela dans un navigateur réel (Chromium) et ont constaté :
- Vitesse : Pour 99 % des sites web (ceux qui sont déjà sécurisés), il y a zéro ralentissement. Vous roulez simplement sur l'autoroute.
- Le coût : La seule fois où cela devient légèrement plus lent, c'est si vous essayez de visiter un ancien site web déverrouillé. Le navigateur doit vérifier le « Sceau numérique » (DNSSEC) pour s'assurer qu'il est sûr d'entrer. Cela ajoute un tout petit délai (comme vérifier une carte pendant quelques secondes), mais c'est un petit prix à payer pour la sécurité.
Le plan de transition
Les auteurs suggèrent un déploiement progressif :
- Phase 1 : Donner aux propriétaires de sites web le temps de mettre à jour leurs sites ou de demander à figurer sur la liste « déverrouillée ».
- Phase 2 : Les navigateurs commencent à appliquer la nouvelle règle par défaut.
- Phase 3 : Finalement, tous les outils internet (pas seulement les navigateurs, mais aussi les outils de téléchargement et les applications) utiliseront cette règle de sécurité par défaut.
La conclusion
HSTS-Enforced transforme l'internet d'un endroit où vous devez espérer que votre maison est verrouillée, en un endroit où chaque maison est verrouillée par défaut, et où vous devez prouver que vous avez besoin que la porte soit ouverte avant qu'elle ne se déverrouille. Cela empêche les pirates de vous forcer sur la « route de terre » et rend le web plus sûr pour tout le monde, avec presque aucun coût en termes de vitesse ou de commodité.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.