Cela va certainement être considéré comme controversé, mais c'est néanmoins la façon dont je vois les choses...
Il y a un léger malentendu sur la nécessité du HTTPS, qui a très probablement été diffusé délibérément. Comme pour toute demi-vérité, il y a des erreurs. un peu de la vérité dans les arguments, mais aussi beaucoup de mensonges.
HTTPS (ou TLS) fait ont des propriétés très utiles et souhaitables (authentification et confidentialité) qui sont absolument obligatoires pour certains (pensez aux services bancaires), et sans doute nécessaires pour un certain nombre de services, voire la majorité. En fait, tout ce qui contient des données d'identification personnelle.
Cela étant, il y a beaucoup de choses pour lesquelles le HTTPS est totalement inutile, et d'un autre côté, le HTTPS utilisé incorrectement Les sites à contenu mixte peuvent être assez peu sûrs (presque comme s'ils n'avaient pas de HTTPS), ce qui a justifié l'adoption du HTTPS partout en premier lieu. Et oui, à la lumière de certains sites qui, à l'époque, offraient effectivement un service d'hébergement en ligne. HTTPS obligatoire type de service avec un contenu mixte, il est certain a eu un certain mérite.
Cela, et puis il y a bien sûr une bonne dose de paranoïa que certaines personnes ont et qui est activement encouragée, à propos du monde entier qui s'intéresse réellement à chaque petite chose sans importance dans les petites vies sans importance de tout le monde. Bien sûr, après avoir posté tout ce que vous avez fait aujourd'hui (avec photos et géotag !) sur Instagram où littéralement le monde entier peut le lire, bon travail de l'avoir fait de manière sécurisée, via un canal crypté. De plus, il est important que personne ne découvre ce que vous faites sur Internet en général. Ça, et il y a cette conspiration où ils modifient les articles de presse et vous nourrissent de fausses informations pour, euh... je ne sais pas pour quoi (en fait, il y a un peu de C'est également vrai, car c'est exactement ce que fait Google, par exemple, mais à un niveau différent, ce qui est modifié n'est pas le contenu réel, mais le contenu qui vous est montré, et ce, indépendamment de l'utilisation de HTTPS). La balle d'argent HTTPS empêche toutes ces mauvaises choses ! Il est donc clair que tout doit être en HTTPS/TLS.
Quoi qu'il en soit, même lorsqu'il est utilisé correctement mais HTTPS ne fournit toujours pas le service que vous souhaitez. En effet, toute la chaîne de certificats repose sur l'hypothèse que vous pouvez "faire confiance" à quelqu'un (Comodo, par exemple) qui gagne de l'argent en vendant des certificats, sans avoir de raison de lui faire confiance. Et puis, non seulement les gouvernements mais aussi les grandes entreprises (et les écoles, et les antivirus, et qui sait qui d'autre...) subvertissent activement la chaîne de certificats en installant des certificats racine dans le seul but de, eh bien, effectivement... rupture le système.
Donc, non, les communications ne sont pas garanti d'être confidentiel, et non, ils ne sont pas authentifiés de manière fiable. Pas autant qu'on pourrait le croire, en tout cas. Vous utilisez l'ordinateur portable de votre employeur ? Utiliser l'ordinateur de votre enfant ? Cause perdue. Antivirus installé sur votre ordinateur ? Les paris sont ouverts.
Mais au moins, vous savez qu'un site est sûr, le truc vert de votre navigateur vous le dit, et il vous avertit des sites à risque. En fait, tout le monde peut obtenir un certificat non vert gratuitement (ce qui évite l'avertissement effrayant), et un certificat vert pour un prix très modique. Cela n'a absolument aucune signification.
J'espère sérieusement que vous avez activé TLS pour accéder à votre compte gmail, aussi. Parce que, vous savez, ça rend sécurisé vous ne voulez pas que quelqu'un sur le fil lise vos mails, n'est-ce pas ? Bien sûr, Google ne sera pas lire vos mails entièrement non cryptés pendant qu'ils sont stockés sur leur serveur. Bien sûr, comme il s'agit d'une société américaine, elle ne fournira pas le contenu à une organisation gouvernementale particulière.
Maintenant, le réel La raison pour laquelle vous devez avoir HTTPS partout est que des entreprises comme Google, Microsoft ou Amazon, et avec elles tous les fournisseurs qui vendent de la bande passante, le veulent.
Ils ne veulent pas que tout le monde et sa grand-mère configurent un ordinateur à carte de crédit comme un proxy web transparent qui non seulement réduit votre consommation de bande passante en mettant en cache les ressources, mais filtre également leurs publicités et leurs traces. Bien sûr, vous pouvez toujours ajouter un plugin de navigateur qui fait la même chose. Sauf que vous devez le maintenir sur chaque L'ordinateur que vous avez à la maison, et sur certains (Fire TV) c'est carrément impossible sans rendre l'appareil inutilisable, ou vous devez le rooté (pensez au téléphone Android) ce qui n'est pas non plus nécessairement sans destruction (merci beaucoup pour Samsung Knox, tellement génial).
Heureusement, vous pouvez juste arrêter les conneries. globalement, pour tous les appareils au sein de votre réseau en ayant un proxy transparent juste derrière votre modem câble/dsl, qui vous coûte 20€ et 3 minutes d'installation. Oh là là, quelle catastrophe ! Vous devez télécharger exactement la version qu'ils veulent (y compris la "personnalisation"), et quand ils le veulent, y compris toutes les balises et autres. C'est donc le vrai raison pour laquelle vous avez besoin de HTTPS partout.
Ironiquement, les entreprises qui ont fait la promotion de HTTPS et qui ont souligné comment, par exemple, TLS ne cache pas seulement le contenu réel, mais aussi l'URL exacte sur laquelle vous avez cliqué (par exemple http://somesite.com/dirty_porn_pic.jpg ) et autres... en réalité ils sont exactement ceux qui font tout pour prendre les empreintes digitales de votre système, vous identifier, conserver un historique infini, suivre le moindre de vos clics et collecter toutes les informations possibles, y compris où vous allez et quand, et les battements de votre cœur. Ou encore, le contenu de tout fichier sur votre ordinateur. Vous vous êtes déjà demandé comment Amazon fait pour que par hasard recommander XYZ sur votre PC après avoir fait une recherche Google pour XYZ sur votre téléphone cinq minutes plus tôt ? Entreprise différente, appareil différent, on ne peut pas savoir que les deux appareils appartiennent à la même personne. I a en fait Je me demande comment ils s'y prennent, car d'après ce que j'ai compris, tout ce qu'ils doivent faire pour y parvenir n'est certainement pas conforme à la loi (dans l'UE du moins). Mais apparemment, ce n'est pas un obstacle.
HTTPS aide en fait à faire toutes ces choses à la limite de la légitimité, à la fois en donnant un faux sentiment de sécurité, en masquant ce qui est envoyé et en évitant que les gens posent des questions : "Hé, c'est quoi ce trafic crypté qui vient de mon appareil de toute façon !". . Parce que, tu sais, todo le trafic devrait être crypté, c'est une bonne chose. Les choses cryptées ne sont pas suspectes, elles sont probablement inoffensives. Personne ne cache quelque chose.
