#NSD16 - le suivi des bonnes pratiques tls dans l’écosystème https - Maxence Tury
•
0 j'aime•442 vues
Le protocole TLS est une des solutions les plus répandues pour la protection des flux réseau, assurant la confidentialité et l’intégrité d’échanges de données applicatives. Depuis l’apparition de son prédécesseur SSL en 1995, TLS a été adopté par de nombreux acteurs de l’Internet pour sécuriser le trafic lié aux sites web et à la messagerie électronique. Les déploiements apportant le plus d’assurance en matière de sécurité dépendent de l’ajustement de plusieurs paramètres du protocole en fonction du contexte de communication. La présentation propose un tour d’horizon des bonnes pratiques TLS, récemment déclinées dans le guide de « Recommandations de sécurité relatives à TLS » publié par l’ANSSI. Cet état de l’art est accompagné d’observations sur l’écosystème HTTPS, réalisées dans le cadre de l’observatoire de la résilience de l’Internet français.
Recommandé
Recommandé
Contenu connexe
Similaire à #NSD16 - le suivi des bonnes pratiques tls dans l’écosystème https - Maxence Tury
Similaire à #NSD16 - le suivi des bonnes pratiques tls dans l’écosystème https - Maxence Tury (20)
Plus de NetSecure Day
Plus de NetSecure Day (16)
#NSD16 - le suivi des bonnes pratiques tls dans l’écosystème https - Maxence Tury
- 1. Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS Maxence Tury maxence.tury@ssi.gouv.fr Agence nationale de la sécurité des systèmes d’information 15 décembre 2016 ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 1/20
- 2. Détail de la session TLS
- 3. Négociation TLS Client Serveur ClientHello ServerHello Certificate ServerKeyExchange ServerHelloDone ClientKeyExchange ChangeCipherSpec Finished ChangeCipherSpec Finished Données applicatives Données applicatives ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 3/20
- 4. Négociation TLS Client Serveur ClientHello ServerHello Certificate ServerKeyExchange ServerHelloDone ClientKeyExchange ChangeCipherSpec Finished ChangeCipherSpec Finished Données applicatives Données applicatives ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 3/20
- 5. Négociation TLS Client Serveur ClientHello ServerHello Certificate ServerKeyExchange ServerHelloDone ClientKeyExchange ChangeCipherSpec Finished ChangeCipherSpec Finished Données applicatives Données applicatives ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 3/20
- 6. Négociation TLS Client Serveur ClientHello ServerHello Certificate ServerKeyExchange ServerHelloDone ClientKeyExchange ChangeCipherSpec Finished ChangeCipherSpec Finished Données applicatives Données applicatives authentification du serveur, établissement des secrets échanges intègres et confidentiels ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 3/20
- 7. Exemples de paramètres de session TLS Version TLS 1.2 TLS 1.1, 1.0 SSLv3, SSLv2 Échange de clés PFS (DHE, ECDHE) sans PFS anonyme Chiffrement AES 3DES RC4 Motif d’intégrité avec SHA-2 avec SHA-1 avec MD5 Signature de certificat avec SHA-2 avec SHA-1 avec MD5 ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 4/20
- 8. Le guide TLS de l’ANSSI Recommandations de sécurité relatives à TLS • Présentation du protocole • Explications synthétiques • Liste de recommandations https://www.ssi.gouv.fr/nt-tls/ ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 5/20
- 10. L’observatoire de la résilience de l’Internet français Objectifs de l’observatoire • Étudier la résilience de l’Internet via plusieurs indicateurs • Favoriser les échanges techniques entre acteurs de l’Internet • Publier des résultats anonymisés • Publier des recommandations et diffuser des bonnes pratiques Trois protocoles étudiés • BGP • DNS • TLS https://www.ssi.gouv.fr/observatoire/ ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 7/20
- 11. Définition du périmètre 1. Extraction de la zone .fr 2. Résolution DNS 3. Suppression des IP redondantes, puis randomisation 4. Test d’ouverture du port 443 5. Envoi des différents ClientHello ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 8/20
- 12. Quantification du périmètre 12-2013 02-2014 07-2015 02-2016 05-2016 50K 100K 150K 200K 250K Date des mesures Nombred’IPsvisitées port 443 ouvert port 443 fermé ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 9/20
- 13. Suivi des bonnes pratiques
- 14. Prise en charge de SSLv2 La version SSLv2 est fortement déconseillée en toutes cir- constances. De plus, il faut privilégier l’usage de composants logiciels qui ne prennent pas en charge cette version. R4 Ne pas utiliser SSLv2 ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 11/20
- 15. Réponses au stimulus SSLv2 SSLv2 H andshake T LS A lert N éant Autres 0 % 20 % 40 % 60 % 80 % 22 2 75 1 18 3 78 1 8 1 90 1 Proportiondeserveurs 2014 2015 2016 La version SSLv2 est en cours de disparition mais persiste sur de nombreux déploiements existants. ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 12/20
- 16. Prise en charge de la confidentialité persistante La propriété de PFS doit être assurée. Il faut pour cela em- ployer une suite cryptographique reposant sur un échange Diffie–Hellman éphémère (ECDHE ou, à défaut, DHE). R6 Échanger les clés en assurant toujours la PFS Les échanges Diffie–Hellman éphémères doivent être pris en charge et privilégiés. Les échanges basés sur le chiffrement d’un secret à l’aide de la clé du serveur, qui n’assurent pas la confidentialité persistante, sont tolérés. R6– Échanger les clés sans toujours assurer la PFS ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 13/20
- 17. Réponses au stimulus PFS Prise en charge de la PFS 0 % 20 % 40 % 60 % 80 % 50 78 80 Proportiondeserveurs 2014 2015 2016 La propriété de PFS est souvent proposée par les serveurs mais sa progression stagne. ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 14/20
- 18. Signatures des certificats La fonction de hachage utilisée pour la signature du certificat doit faire partie de la famille SHA-2. R21 Présenter un certificat signé avec SHA-2 ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 15/20
- 19. Signatures des certificats SHA-2 SHA-1 MD5 0 % 20 % 40 % 60 % 80 % 100 % 3 96 1 55 44 1 88 12 0 Proportiondeserveurs 2014 2015 2016 Les signatures exploitant SHA-1 sont bien en cours de disparition. ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 16/20
- 20. Signatures des nouveaux certificats SHA-2 SHA-1 MD5 0 % 20 % 40 % 60 % 80 % 100 % 99 1 0 Proportiondeserveurs émis en 2016 Presque tous les nouveaux certificats sont bien signés avec SHA-2. ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 17/20
- 21. Perspectives Pour l’observatoire • Automatisation des mesures • Évaluation du nombre de domaines hébergés par IP • si 100+ domaines : sélection d’un échantillon aléatoire • Examen des journaux de Certificate Transparency Pour le guide de recommandations • Implémentation minimale d’un serveur TLS renforcé ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 18/20
- 22. Conclusion • Les bonnes pratiques TLS sont globalement suivies. • Prise en charge de TLS 1.2, de la PFS, de SHA-2 • Les infrastructures existantes sont sources d’inertie. • Persistance de SSLv3, et dans une moindre mesure de SSLv2 En 2016, la sensibilisation à l’usage de HTTPS est avancée, mais les bonnes pratiques doivent être mieux connues et suivies. ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 19/20
- 23. Questions ? https://www.ssi.gouv.fr/nt-tls/ https://www.ssi.gouv.fr/observatoire/ ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 20/20
- 24. SSLv3 T LS H andshake T LS A lert Autres 0 % 20 % 40 % 60 % 80 % 25 69 6 Proportiondeserveurs octobre 2016 ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 1/2
- 25. Mutualisation ANSSI - Le suivi des bonnes pratiques TLS dans l’écosystème HTTPS 2/2