Qu'est-ce que le décryptage SSL ?

Le déchiffrement SSL désigne le processus consistant à intercepter et à déchiffrer des sessions SSL/TLS chiffrées afin que les services de sécurité – tels que le filtrage d'URL, l'antivirus, la prévention des pertes de données (DLP) et le Cloud Access Security Broker (CASB) – puissent analyser le trafic sous-jacent à la recherche de menaces et de violations des politiques avant de le rechiffrer et de le transférer vers sa destination.

Points clés à retenir

• Décrypte le trafic SSL/TLS afin que les outils de sécurité puissent en inspecter le contenu.
• Éléments requis pour une inspection approfondie : DLP, CASB, antivirus et filtrage d'URL.
• Le trafic est à nouveau chiffré et transmis une fois l'inspection terminée.
• La fonction « Decrypt bypass » exempte le trafic fiable ou sensible de toute inspection.
• Cela dépend d'un certificat d'autorité de certification racine de confiance installé sur les appareils clients.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Décryptage SSL et Versa · FAQ

Pourquoi le décryptage SSL est-il important ?

Aujourd’hui, la majeure partie du trafic d’entreprise est chiffrée via SSL/TLS, ce qui protège les données en transit mais empêche également les outils de sécurité traditionnels de les analyser. Un pare-feu ou une passerelle incapable de voir à l’intérieur d’une session chiffrée ne peut pas déterminer s’il s’agit d’un téléchargement légitime, d’une tentative d’exfiltration de données ou d’un logiciel malveillant récupérant une charge utile. Le déchiffrement SSL comble cette lacune en déchiffrant la session au niveau d’un point d’application des politiques, en l’inspectant, puis en rechiffrant le trafic avant de le transférer.

Sans déchiffrement, les services tels que les antivirus, les solutions DLP et les CASB ne voient jamais que du texte chiffré : ils agissent sur des métadonnées telles que l’adresse IP de destination et le SNI, jamais sur la charge utile. Alors que le trafic chiffré concerne désormais la quasi-totalité de l’utilisation du Web et des services SaaS, le déchiffrement fait la différence entre une politique qui inspecte le contenu et une autre qui se contente de le deviner. La plupart des organisations trouvent un équilibre en recourant au déchiffrement sélectif, en excluant certaines catégories telles que le secteur bancaire ou la santé, où la protection de la vie privée l’emporte sur les avantages.

Qu'est-ce que le décryptage SSL ?

Le déchiffrement SSL – ou plus précisément le déchiffrement TLS, puisque SSL est le prédécesseur obsolète de TLS – fonctionne en interrompant la session chiffrée à un point d’inspection au lieu de la laisser passer directement. Une passerelle se place entre le client et le serveur, présente au client son propre certificat – signé par une autorité de certification à laquelle le client fait confiance – et négocie séparément une session TLS normale avec le véritable serveur. Disposant des deux jeux de clés de session, elle déchiffre la requête, l’inspecte, la rechiffre et la transmet, puis effectue la même opération dans le sens inverse pour la réponse.

Pour cela, le certificat CA racine du dispositif d'inspection doit être installé dans le magasin de confiance du client, afin que les sessions déchiffrées ne déclenchent pas d'alertes de certificat. Les politiques de déchiffrement déterminent ensuite quelles sessions ouvrir ; certaines sont délibérément ignorées.

Types de décryptage SSL

Les implémentations de déchiffrement SSL s'articulent généralement autour de trois approches. Le déchiffrement « en amont » (sortant) inspecte le trafic que les utilisateurs internes envoient vers Internet ou vers des applications SaaS : il s'agit du déploiement le plus courant, qui permet à une passerelle d'appliquer un filtrage d'URL, des mesures de prévention des fuites de données (DLP) et une protection antivirus avant que le trafic ne quitte le réseau. Le déchiffrement « en aval » (proxy inverse) protège les serveurs hébergés en interne, en déchiffrant les requêtes des clients avant qu'elles n'atteignent l'application.

Le déchiffrement sélectif (basé sur des règles), également appelé « contournement du déchiffrement », exempte certains types de trafic de l'inspection en fonction de leur catégorie, de leur destination ou des attributs de leur certificat – ce qui permet, par exemple, de maintenir le chiffrement des sessions bancaires ou médicales pour des raisons de conformité. La plupart des déploiements combinent ces trois approches : le déchiffrement général en amont, le déchiffrement ciblé du trafic entrant et une liste de contournement pour le trafic qui ne doit en aucun cas être déchiffré.

Déchiffrement SSL et Versa

Sur la plateforme d’ Versa , le déchiffrement SSL est une fonctionnalité utilisée par le filtrage d’URL et d’autres fonctionnalités d’inspection pour analyser le contenu des sessions chiffrées. Le filtrage d’URL fonctionne que le déchiffrement soit activé ou non, mais son activation permet à la fonctionnalité de classer le trafic en utilisant l’hôte et l’URI réels de la requête déchiffrée plutôt que le seul champ SNI, ce qui permet un filtrage plus fin. La même option existe pour le filtrage d’URL basé sur le pare-feu de nouvelle génération (NGFW). Un paramètre « Contournement du déchiffrement » permet aux administrateurs d’exempter certains types de trafic, tels que les redirections vers des portails captifs ou les destinations de confiance, du déchiffrement.

Sur le client «Versa »SASE , le déchiffrement repose sur un certificat d’autorité de certification racine installé dans le magasin de confiance du terminal ; les navigateurs vérifient les sessions déchiffrées par rapport à cette autorité de certification interne plutôt qu’à une autorité publique. L’absence de ce certificat, ou une validation effectuée par une autorité de certification publique à la place, empêche le déchiffrement de fonctionner.

Questions fréquentes

Quelle est la différence entre le déchiffrement SSL et l'inspection TLS ?

Ces termes désignent la même pratique. Le protocole SSL est le prédécesseur obsolète du protocole TLS, mais l’expression « déchiffrement SSL » reste couramment utilisée dans le secteur, même si la quasi-totalité du trafic déchiffré aujourd’hui relève du protocole TLS plutôt que de l’ancien protocole SSL. L’« inspection TLS » est simplement le nom techniquement plus précis désignant ce même processus de déchiffrement, d’inspection et de rechiffrement.

Pourquoi les outils de sécurité doivent-ils déchiffrer le trafic SSL/TLS ?

Le chiffrement, qui protège les données contre les espions, masque également les charges utiles malveillantes et l'exfiltration de données aux outils de sécurité. Sans déchiffrement, une passerelle ne peut inspecter que les métadonnées telles que l'adresse IP de destination et le SNI, et non le contenu réel, par lequel transitent les menaces et les données sensibles.

Le décryptage SSL compromet-il le chiffrement de bout en bout ?

Au sein du segment inspecté, oui : le dispositif d'inspection met fin à une session TLS et en établit une autre, ce qui lui permet de lire le texte en clair entre ces deux segments. Les deux segments restent chiffrés individuellement, mais le véritable chiffrement de bout en bout entre le client et le serveur n'est plus assuré une fois le texte déchiffré.

Qu'est-ce que le contournement du déchiffrement SSL ?

Le contournement du déchiffrement est un paramètre de stratégie qui exempte certains types de trafic du déchiffrement – par exemple, les destinations classées comme sensibles ou les redirections vers un portail captif qui ne nécessitent qu’une visibilité suffisante pour afficher une page de connexion. Il permet de trouver un équilibre entre la portée de l’inspection et les préoccupations liées à la confidentialité, à la conformité et à la compatibilité.

Le décryptage SSL revient-il à une attaque de type « homme du milieu » ?

Techniquement, oui : le mécanisme est identique à une interception de type « homme du milieu ». Ce qui rend cette pratique légitime, c'est le consentement : l'organisation qui la met en œuvre contrôle les terminaux, installe son propre certificat d'autorité de certification racine avec l'accord du propriétaire de l'appareil et applique cette pratique dans le cadre d'une politique documentée.

En savoir plus sur le déchiffrement SSL

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au déchiffrement SSL, voici quelques liens qui pourraient vous intéresser.