Interception SSL TLS Fonctionnement Enjeux Risques Pratiques.pdf


Aperçu du fichier PDF interception-ssl-tls-fonctionnement-enjeux-risques-pratiques.pdf - page 4/62

Page 1 2 3 45662



Aperçu texte


SOMMAIRE - SOMMAIRE

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

34
36
37
38

6 Une législation complexe
6.1 Un chiffrement libre sous condition . . . . . . . . . . . . . .
6.2 Les obligations légales . . . . . . . . . . . . . . . . . . . . .
6.2.1 Données personnelles : la protection quoiqu’il arrive
6.2.2 L’interception TLS dans la protection des données .
6.2.3 La responsabilité en cas de crime ou délit . . . . . .
6.2.4 L’obligation d’une journalisation . . . . . . . . . . .
6.2.5 La loi HADOPI . . . . . . . . . . . . . . . . . . . . .
6.2.6 Interception dans le cadre judiciaire . . . . . . . . .
6.3 La légalité de l’interception TLS . . . . . . . . . . . . . . .
6.3.1 Des atteintes aux secrets . . . . . . . . . . . . . . . .
6.3.2 La sous-traitance . . . . . . . . . . . . . . . . . . . .
6.3.3 Atteinte au STAD ? . . . . . . . . . . . . . . . . . .
6.4 Récapitulatif . . . . . . . . . . . . . . . . . . . . . . . . . .

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.
.
.
.
.

39
39
40
40
40
41
42
42
42
43
43
44
44
44

5.3

5.2.2 L’interception . . . . . . .
5.2.3 Les protections des clients
5.2.4 La protection des serveurs
Récapitulatif . . . . . . . . . . .

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

7 L’impact sociologique
46
7.1 La destruction de la relation de confiance . . . . . . . . . . . . . . . . . . . . . . . . . . 46
7.2 Une surveillance en trop ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
7.3 La nécessité d’informer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47

III

Quelques bonnes pratiques

48

8 Des réflexes à avoir
9 La mise en oeuvre technique
9.1 L’interception sortante . . . . . . . . . . . . . . . . . . . . . . . . . . . .
9.1.1 Gestion de l’AC interne . . . . . . . . . . . . . . . . . . . . . . .
9.1.2 Protection des clefs privées . . . . . . . . . . . . . . . . . . . . .
9.1.3 Sécurité des connexions entre les clients internes et le proxy TLS
9.1.4 Sécurité des connexions entre le proxy TLS et les serveurs . . . .
9.1.5 Protection de la vie privée . . . . . . . . . . . . . . . . . . . . . .
9.2 L’interception entrante . . . . . . . . . . . . . . . . . . . . . . . . . . . .
9.2.1 Sécurisation entre les clients externes et le reverse proxy TLS . .
9.2.2 Protection des clefs privées . . . . . . . . . . . . . . . . . . . . .

49

.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.

.
.
.
.
.
.
.
.
.

50
50
50
50
50
51
51
51
51
52

10 Informations et obligations légales
53
10.1 Vis à vis des utilisateurs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
10.2 Rappel sur l’obligation des administrateurs . . . . . . . . . . . . . . . . . . . . . . . . . 53
11 Conclusion

Edouard Petitjean — M2 MIAGE SIID

54

3