Quand la plupart des gens voient un petit cadenas vert avec le mot « Sécurisé » à la gauche d’une URL, ils pensent que le site est sûr. Et c’est pareil lorsqu’ils repèrent les mots « ce site utilise une connexion sécurisée » ou une URL commençant par les lettres « https ». Actuellement, de plus en plus de sites passent à HTTPS. La plupart n’ont pas le choix, en fait. Quel est le problème ? Plus il y a de sites sécurisés, plus Internet est sûr, n’est-ce pas ?

Une connexion sécurisée et un site sécurisé, ce n’est pas la même chose

La serrure verte signifie que le site a reçu un certificat et qu’une paire de clés de chiffrement a été générée pour lui. Ces sites chiffrent les informations transmises entre vous et le site. Dans ce cas, les URL de la page commencent par HTTPS, le dernier « S » signifiant « Sécurisé ».

Bien sûr, le chiffrement des données transmises est une bonne chose. Cela signifie que les informations échangées entre votre navigateur et le site ne sont pas accessibles à des tiers, qu’il s’agisse de FAI, d’administrateurs réseau, d’intrus, etc. Il vous permet de saisir des mots de passe ou des données de carte de crédit sans vous soucier des regards indiscrets.

Mais le problème, c’est que la serrure verte et le certificat délivré ne disent rien du site lui-même. Une page d’hameçonnage peut tout aussi facilement obtenir un certificat et chiffrer tout le trafic qui circule entre vous et lui.

En termes simples, tout ce qu’un cadenas vert permet de garantir, c’est qu’aucune autre personne ne pourra espionner les données que vous saisissez. Mais votre mot de passe peut toujours être volé par le site lui-même, si c’est un faux site.

…/…

Et si le cadenas n’est pas vert ?

Si la barre d’adresse ne montre aucun verrouillage, cela signifie que le site Web n’utilise pas de chiffrement et échange des informations avec votre navigateur à l’aide du protocole HTTP standard. Google Chrome a commencé à marquer ces sites Web comme non sécurisés. Ils peuvent en réalité être tout à fait sérieux, mais ils ne chiffrent pas le trafic entre vous et le serveur. La plupart des propriétaires de sites Web ne veulent pas que Google indique que leurs sites Web sont dangereux, et ils sont donc de plus en plus nombreux à migrer vers HTTPS. Dans tous les cas, la saisie de données sensibles sur un site HTTP est une mauvaise idée – n’importe qui peut espionner.

…/…

Comment ne pas mordre à l‘hameçon

En résumé, la présence d’un certificat et du verrouillage vert signifie seulement que les données transmises entre vous et le site sont chiffrées et que le certificat a été émis par une autorité de certification de confiance. Mais cela n’empêche pas un site HTTPS d’être malveillant, un fait qui est très habilement manipulé par les escrocs de phishing.

Soyez donc toujours vigilant, quelle que soit la sécurité du site à première vue.

• Ne saisissez jamais de codes d’accès, mots de passe, informations bancaires ou d’autres informations personnelles sur le site, sauf si vous êtes sûr de son authenticité. Pour cela, vérifiez toujours le nom de domaine en faisant bien attention : le nom d’un faux site peut ne différer que par un seul caractère. Et assurez-vous que les liens sont fiables avant de cliquer.
• Pensez toujours à ce que vous offre un site en particulier, demandez-vous s’il semble suspect et si vous devez vraiment vous y inscrire.
• Assurez-vous que vos appareils sont bien protégés : Kaspersky Internet Security vérifie les URL en consultant une base de données de sites de phishing très riche et détecte les arnaques même si la ressource a l’air « sécurisée ».

Lire l’intégralité de l’article sur https://www.kaspersky.fr/blog/https-does-not-mean-safe/9932/

Views: 1