Calomel SSL Validation

Cet article fait suite à mon article Https le cadenas ne suffit pas que je vous invite à lire (ou relire) en prérequis du courant article.

Dans ce billet je souhaiterai présenter deux extensions pour Firefox qui permettent de vérifier la qualité du cadenas dans le cadre d'une connexion httpS.

L'extension Calomel SSL Validation

Calomel SSL Validation est une extension pour Firefox dont le but est d'indiquer la force de la connexion SSL. Le bouton de la barre change de couleur en fonction de la puissance de chifrremnt, du rouge (faible) au vert (fort). Une fenêtre déroulante montre un résumé détaillé de la connexion SSL. Calomel SSL Validation sur le site des addons.mozilla.org

Le site officiel de l'extension étant https://calomel.org/firefox_ssl_validation.html.

Ce que montre Calomel SSL Validation

Une fois installée, lorsque l'on se rend sur différents sites webs sur lesquels sont établis des connexions sécurisée (via SSL ou mieux TLS), un petit bouclier prend différentes couleurs et indique donc la qualité du cadenas.

Voici quelques exemples :

Si il n'y a pas de connexion https de disponible, on aura :

Sur le site de Wordpress.com qui propose le https, on a une couleur rouge barré : il y a des failles, et le paramétrage incorrect.

Sur le webmail de Free. Une couleur bleu et la mention Secure.

Sur le site de Tails, on a un score de 93%, une couleur Verte et la mention Very Strong.

Sur le site de ma banque, on a le droit à une belle couleur Rouge. Pour rester compatible avec de vieilles versions d'Internet Explorer, le certificat SSL utilisé par ma banque est de très mauvaise qualité (algorithmes dépassés, configuration obsolète).

Pourquoi l'utiliser ?

Comme on a donc un indice, une couleur et des détails sur la configuration et la justification de la couleur/indice, cette extension est un bon moyen de voir de façon visuelle et de sensibiliser au fait que, comme je le disais Https le cadenas ne suffit pas.

Aller plus loin ?

Attention : ce que je dis ci-dessous est vulgarisé. L'idée est là, mais je n'entre pas dans les détails.

Issu de Comment ça marche SSL ? par Sebsauvage

La négociation SSL ("handshake")

Au début de la communication le client et le serveur s'échangent :
la version SSL avec laquelle ils veulent travailler,
la liste des méthodes de chiffrement (symétrique et asymétrique) et de signature que chacun connaît (avec longueurs de clés),
les méthodes de compression que chacun connaît,
des nombres aléatoires,
les certificats.
Client et serveur essaient d'utiliser le protocole de chiffrement le plus puissant et diminuent jusqu'à trouver un protocole commun aux deux. Une fois que cela est fait, ils peuvent commencer à échanger des données.

Dit autrement, dans le cadre de l'établissement d'une connexion SSL/TLS, le serveur dialogue avec le navigateur. Chacun expose les algorithmes et type de chiffrement qu'il est capable de faire, ils se mettent d'accord sur un algorithme et un type de chiffrement commun.

L'extension Calomel permet de forcer l'usage de TLS 1.2 quand celui-ci est disponible afin que si le serveur le supporte, on est une connexion httpS de qualité, qui soit chiffrée avec la plus forte qualité possible par défaut. L'extension propose également d'autres options d'optimisation qu'il faudra que j'étudie pour en parler dans un prochain billet sur ce blog.