Explications

TLSv1.0 est une version du protocole TLS datant de 1990 et faisant l’objet de multiples failles de sécurité (POODLE, BEAST…). Il a été déprécié le 25 juin 2018 par la norme bancaire PCI-DSS et ne devrait donc plus être utilisé aujourd’hui, et encore moins dans un système bancaire.

TLSv1.1 est une version du protocole TLS datant de 2006 et faisant l’objet de multiples failles de sécurité (POODLE, BEAST…). Il n’est plus recommandé depuis le 25 juin 2018 par la norme bancaire PCI-DSS et n’a aucune raison d’être utilisé aujourd’hui, encore moins dans un système bancaire.

TLSv1.2 est une version du protocole TLS datant de 2008. Il est avec TLSv1.3 la seule version permettant de bloquer définitivement certaines failles de TLS (POODLE, BEAST…). Il est préconisé depuis le 25 juin 2018 par la norme bancaire PCI-DSS. Il devrait être le seul protocole utilisé aujourd’hui.

RC4 est un algorithme de chiffrement connu pour contenir une porte dérobée. Il est à considérer comme étant équivalent à ne pas avoir de chiffrement du tout. Il a été totalement déprécié en février 2015 et ne devrait donc plus être utilisé aujourd’hui.

3DES est un algorithme de chiffrement souffrant de la faille de sécurité SWEET32 permettant d’être cassé facilement avec peu de moyens. Il ne devrait donc plus être utilisé aujourd’hui.

DHE est un algorithme d’échange de clef. Il commence à montrer des signes de faiblesse en terme de sécurité et n’a aucun avantage par rapport au plus récent ECDHE, plus rapide et plus fiable. Son utilisation n’est pas un risque en soi en l’état des connaissances mais il a quand même été déprécié par les navigateurs en mai 2016. Sa présence indique toutefois un non suivi des règles de l’art en termes de sécurité.

PFS est un système de sécurité permettant de s’affranchir du risque d’une faille de type Heartbleed. Chaque session est protégée par une clef de chiffrement différente et la compromission de la clef principale ne remet pas en question la sécurité des communications passées. Le support de PFS est aujourd’hui fortement recommandé.

AEAD est une famille d’algorithmes de chiffrement robuste aux attaques de type POODLE. Son support est possible uniquement sur TLSv1.2 et devrait être aujourd’hui la seule famille d’algorithmes de chiffrement utilisée.

HSTS est un entête HTTP permettant au site web de signaler à ses visiteurs qu’il supporte HTTPS et lui interdisant dorénavant tout communication en HTTP. Son support devrait donc être obligatoire sur tout site pouvant véhiculer des données sensibles.

SCSV est un signal transporté par TLS permettant de détecter les attaques visant à forcer les clients à utiliser un protocole faillible (TLSv1.0 ou TLSv1.1) au lieu d’un protocole sécurisé (TLSv1.2 ou supérieur). Son support devrait donc être obligatoire sur tout site pouvant véhiculer des données sensibles, et en priorité par tout site supportant du TLSv1.0 ou TLSv1.1 pour des raisons de compatibilité.