L’en-tête HPKP pour sécuriser un peu plus les connexions sur Internet ?

Magazine
Marque
MISC
Numéro
102
Mois de parution
mars 2019
Domaines


Résumé

Cet article propose une présentation de l’en-tête de sécurité HPKP, de ses limites et ses impacts sur la sécurité des échanges sur Internet. Le sigle HPKP correspond à HTTP Public Key Pinning, qui pourrait se traduire en français par « épinglage de la clef publique HTTP ». C’est un en-tête de sécurité HTTP, tout comme HSTS (HTTP Strict Transport Security) ou encore CSP (Content Security Policy).


1. HPKP : de quoi s’agit-il ?

HPKP a été créé à la suite de problèmes rencontrés par certaines autorités de certification. Défini par la RFC7469 (datant d'avril 2015), il permet au navigateur Internet de s'assurer (et de se souvenir) que le certificat qui protège la connexion HTTPS est bien le certificat légitime et attendu. Ainsi, la visite d’un site protégé par un certificat généré par une autorité de certification malveillante ou détournée générera une alerte, même si ce certificat est reconnu par le navigateur (dans le cas d'une compromission de l'autorité commerciale).

1.1 Pourquoi avoir besoin de HPKP ?

Une autorité de certification, commerciale ou non, peut émettre des certificats qui seront reconnus par quiconque possède, dans son magasin de certificats, le certificat de l’autorité. Que se passe-t-il lorsque celle-ci se fait pirater ? Par exemple, des personnes malveillantes ont pu obtenir des certificats issus d’autorités de...

Cet article est réservé aux abonnés. Il vous reste 96% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Les taxonomies se cachent pour ne pas mourir

Magazine
Marque
MISC
Numéro
113
Mois de parution
janvier 2021
Domaines
Résumé

« Attention, nouveau virus ! » Nombreux sont les articles à nous alerter régulièrement, par cette métonymie, sur l’émergence d’un nouveau malware. Pourtant, le terme de virus a-t-il encore un sens aujourd’hui ? Wannacry était-il un ver, ou un ransomware ? NotPetya, un wiper, ou bien un ver ? Et plus encore, au-delà de l’utilisation de termes et expressions se pose la question de la nécessaire catégorisation des incidents de cybersécurité ; pourquoi, comment, à quelles fins ? Essai (critique) de réponse.

Jenkins, Docker et Kubernetes pour déployer en CI/CD

Magazine
Marque
Linux Pratique
Numéro
123
Mois de parution
janvier 2021
Domaines
Résumé

La mise en place d'un processus d'intégration continue et de déploiement continu nécessite une réflexion sérieuse avant de la concrétiser dans la vraie vie d'une organisation. La diversité des méthodes agiles, la panoplie des outils DevOps disponible sur le marché et le choix de l'infrastructure sous-jacente pour créer vos projets nécessitent de prendre du recul avant de se lancer. Découvrez dans cet article comment créer un CI/CD.