Dans le cadre de la constante optimisation des transactions des flux financiers au sein de la zone SEPA, les banques vont durcir la sécurité des transmissions des flux bancaires. Les échanges de fichiers EBICS font appel à des protocoles de sécurité afin de préserver l’intégrité et la confidentialité des données : le protocole TLS (Transport Layer Security ).
C'est quoi un certificat TLS ?
TLS est un protocole qui assure la confidentialité des échanges entre les applications de communication et les utilisateurs sur Internet. Lorsqu’un serveur et un client communiquent, TLS s’assure qu’aucun tiers ne peut intercepter ni falsifier un message. Suite à une demande européenne dans le cadre du SEPA, la version 1.2 du protocole TLS* en vigueur ou en cours de mise en place sur la plateforme EBICS des Banques permet d’optimiser avec des nouveaux outils le cryptage des données et d’assurer encore une plus forte confidentialité et une intégrité des flux suffisants.
*TLS : Les protocoles TLS sont des protocoles cryptographiques qui permettent de sécuriser les communications sur Internet.
Historique et spécificité du protocole TLS
Le protocole TLS est originairement créé par la société Netscape. Son objectif principal était de permettre de développer les achat sur le net comme un gage de confiance aux utilisateurs.
Une spécificité du TLS : il crypte les données envoyées sur internet pour garantir qu’elle ne soient pas interceptées par des entités malveillantes.
Le protocole TLS est le successeur de l’ancien protocole SSL (Secure Sockets Layer).
Les différences entre TLS et SSL
TLS (Transport Layer Security) et SSL (Secure Socket Layers) sont des protocoles cryptographiques qui cryptent les données et authentifient une connexion lors du transfert de données sur Internet.
TLS est en fait juste une version plus récente de SSL. Il corrige certaines vulnérabilités de sécurité dans les anciens protocoles SSL. En outre, les différences entres les deux protocoles ne sont pas fondamentales, mais sont suffisamment importantes pour que TLS 1.0 et SSL 3.0 ne puissent pas fonctionner ensemble.
LE TLS actuel est plus sûr, plus flexible et plus efficace que l’ancien SSL. Aujourd’hui les fournisseurs de logiciel clients, de routeurs… plus régulièrement le terme SSL ou le double terme SSL/TLS.
L’ancien protocole SSL a connu 3 versions : SSL 1.0 en 1994, SSL 2.0 en 1995 et SSL 3.0 en 1996. Et, le protocole TLS a connu quatre versions : TLS v1.0 en 1999, TLS v1.1 en 2006, TLS v1.2 en 2008 et TLS v1.3 en 2018.
Les avantages et les inconvénients du protocole TLS
Le protocole TLS est une solution qui permet de rendre le trafic web plus sécurisé. En effet, elle n’exige pas des deux parties qu’elles chiffent elles-mêmes le contenu. Il suffit que le transfert puisse être réalisé via le protocole TLS.
Pourquoi passer par un protocole TLS ?
Le protocole TLS est le plus utilisé car c’est une version universelle applicable car il est indépendant des applications et du système d’exploitation. De plus, la variante chiffrée est appelée le HTTPS, très utilisé.
De façon simplifiée, le protocole TLS permets au serveur de s’authentifier et générer ensuite une clé de chiffrement. Ce chiffrement des données assure un très grande sécurisation de la navigation (confidentialité et intégralité des données).
Quelles sont les limites du protocole TLS ?
Les navigateurs n’ont pas de fonctionnalités évoluées de gestion des clés, les certificats ne sont pas automatique renouvelés et l’historique des clés n’est pas conservé. En outre, lorsque le certificat expire il faut le renouveler manuellement ce qui n’est pas forcément simple pour un utilisateur lambda.
Quant aux certificats révoqués, les protocoles TLS et SSL ne prévoient pas l’obtention de la liste révoqués par l’autorité de certification. Ainsi un certificat signé par une autorité peut être révoqué sans que l’utilisateur puisse avoir l’information.
Comment renforcer la sécurité des échanges ?
Une migration de la version TLS* 1.0 vers TLS 1.2 doit être effectuée ! Ce renforcement de la cybersécurité interviendra courant 2018-2019 suivant un calendrier fixé par chaque partenaire bancaire. Le TLS 1.0 ou 1.1 actuellement en vigueur sera progressivement remplacé par le TLS 1.2 par l’ensemble des organismes bancaires.
Fonctionnement des échanges avec TLS
Dès l’ouverture d’une page web qui utilise TLS, le navigateur commence par envoyer une demande de mise en place de connexion sécurisée par TLS au serveur.
Un certificat est alors envoyé contenant la clé publique, ses informations et une signature numérique qui permet de l’authentifier. Le certificat envoyé est un certificat numérique X.509 délivré par l’autorité de certification, il est considéré comme une carte d’identité numérique. Elle peut être utilisée pour identifier une entité et pour chiffrer des échanges.
Lorsque le serveur déchiffre la clé de session, le client et le serveur commencent finalement à échanger des données en les chiffrant à travers la clef de session.
Dés la fin de la connexion, le serveur annule la clé de session afin qu’elle ne puisse pas être utilisé par une autres personnes.
HTTPS pour sécuriser les échanges
Le protocole HTTPS protège l’intégralité des données de confidentialité entre l’ordinateur de l’internaute et le site. Aujourd’hui les internautes accordent une grande importance aux sites sécurisés, c’est-à-dire à la mention du protocole HTTPS.
Les données envoyées à l’aide du protocole HTTPS sont sécurisée via le protocole TLS qui offre 3 niveaux de protection :
- Le chiffrement : sécurisation de vos échanges de données sur le web. En outre, personne ne peut "écouter" les conversations, suivre les activité sur les pages web, ni voler des informations de l'internaute.
- L'intégralité des données : les informations ne peuvent pas être modifée, ni corrompues durant l'étape de transfert.
- L'authentification : elle protège contre les attaques MTIM (man in the middle) et instaure un climat de confiance entre l'internaute et la page web.
Son rôle dans la cybersécurité
Le protocole TLS et la cybersécurité fonctionne en binôme car ils possèdent un objectif commun qui permettent d’assurer la protection et l’intégralité des données, sensibles ou non, au sein d’une infrastructure numérique.
Tout deux, ont un but similaire dans le périmètre de la sécurité informatique. Ils visent à protéger les ressources du piratage (perte de données) ou des cyberattaques, des menaces provenant d’internet ou survenant via internet.
Quelle version de Sage sera compatible ?
Pour Sage FRP 1000, il est nécessaire de disposer au moins de la version 7. L’intérêt principal de ce type de solution de gestion réside dans sa capacité à contrôler et optimiser les dépenses de votre entreprise. Cette solution vous permettra de gérer votre budget, vos cycles d’achat et de vente, vos stocks et contrôlez vos process financiers
Si vous ne maitrisez pas le sujet, mieux vaut déléguer la sécurité des échanges à un intégrateur de logiciel de gestion. .
Chez Apogea, nous accompagnons nos clients dans la mise en place de leur transformation digitale, et ce depuis plus de vingt ans. Les solutions de gestion et l’IT sont bels et bien nos coeurs de métiers. Nos experts, spécialisés en flux financiers, vous expliquent les impacts, vérifient avec vous les pré-requis et définissent un planning de mise à jour.