SherbyNet - /page/wikibook/entry.mu

Micron Document

<!DOCTYPE html>

<title>Server Name Indication</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading">Server Name Indication</h1>

</header>

</div>

<div id="mw-content-text" class="mw-body-content mw-content-ltr" lang="fr" dir="ltr"><div class="mw-content-ltr mw-parser-output" lang="fr" dir="ltr">L'Indication du nom de serveur, ou Server Name Indication (SNI), est une extension du protocole <a href="Transport_Layer_Security" title="Transport Layer Security">TLS</a><a href="#cite_note-1">[1]</a>, utilisé pour sécuriser les communications entre un client (par exemple un navigateur web) et un <a href="Serveur_web" title="Serveur web">serveur web</a> via Internet. L'extension SNI est cruciale pour permettre aux serveurs d'héberger plusieurs <a href="Nom_de_domaine" title="Nom de domaine">noms de domaine</a> sous une seule <a href="Adresse_IP" title="Adresse IP">adresse IP</a>. Un même serveur peut grâce à cette extension mutualiser l'hébergement de plusieurs domaines : truc.fr, machin.org, bidule.com... peuvent être hébergés sur une même machine.

Les <a href="Navigateur_web" title="Navigateur web">navigateurs web</a> modernes prennent en charge le SNI depuis 2013<a href="#cite_note-2">[2]</a>. Lorsque le navigateur ne gère pas le SNI, le serveur fournit le certificat par défaut, et un avertissement au sujet du certificat se produit donc le plus souvent. Dès 2024, les navigateurs les plus récents comprennent également une nouvelle extension à TLS, appelée ECH, permettant de chiffrer la communication de bout en bout dès le premier message.

<div class="mw-heading mw-heading2"><h2 id="Fonctionnement_et_motivation">Fonctionnement et motivation</h2></div>

C'est lors du Client Hello du protocole TLS, c'est-à-dire le premier message TLS de négociation entre client et serveur, que le client indique au serveur le nom de domaine auquel il veut accéder. C'est là l'évolution majeure du SNI : l'indication du nom de serveur. Cela permet au serveur de présenter le <a href="Certificat_%C3%A9lectronique" title="Certificat électronique">certificat électronique</a> X.509 approprié pour le nom de domaine demandé, dès le début de la négociation TLS. Auparavant, un serveur sans SNI ne pouvait utiliser qu'un seul certificat X.509 pour toutes les connexions TLS, indépendamment du nombre de domaines hébergés sur l'adresse IP.

Avec SNI, le serveur peut présenter des certificats différents selon le nom de domaine spécifié dans le champ «ServerName» du premier message de négociation TLS. Cela permet non seulement une meilleure gestion des certificats mais aussi une adaptation plus fine aux exigences de sécurité spécifiques de chaque site hébergé, puisque chaque certificat peut être optimisé pour des configurations de sécurité différentes, selon les besoins de chaque nom de domaine. En outre, cela optimise l'utilisation des ressources IP dans le contexte des raréfactions des adresses <a href="IPv4" title="IPv4">IPv4</a>.

L'extension a donc ajouté au premier message de négociation TLS une extension : le champ «ServerName», qui accepte une liste de noms de domaine codés en <a href="UTF-8" title="UTF-8">UTF-8</a>. Il peut être en effet avantageux que le serveur sache que le client souhaite accéder à plusieurs noms : commerce.bidule.fr, api.bidule.fr, etc., afin de déterminer la réponse appropriée. Il est par ailleurs prévu que cette liste puisse contenir autre chose que des noms de domaine, mais cette possibilité n'est pas utilisée en pratique.

Une fois que le serveur a envoyé le certificat électronique adéquat, le navigateur l'examine et vérifie que le nom de domaine demandé est bien présent dans le certificat. Si une correspondance est trouvée, la connexion continue comme d'habitude. Sinon, l'utilisateur est généralement prévenu d'un problème et la connexion est alors interrompue, puisqu'un tel problème peut signaler une tentative d'<a href="Attaque_de_l'homme_du_milieu" title="Attaque de l'homme du milieu">attaque de l'homme du milieu</a>. Cependant, certaines applications autorisent l'utilisateur à passer outre l'avertissement, et se connecter tout de même, l'utilisateur prenant alors seul la responsabilité de la confiance envers le certificat concerné.

Il est possible à un certificat électronique de couvrir plusieurs noms DNS, depuis longtemps. La norme <a href="X.509" title="X.509">X.509</a> v3 avait ajouté un champ subjectAltName qui permet à un certificat de préciser plusieurs noms DNS, et de préciser les jokers (wildcards). Cela ne répondait toutefois pas aux exigences de l'hébergement multiple, car il était long et coûteux de produire un certificat électronique, et les hébergeurs devaient donc en produire un nouveau à chaque nouveau nom de domaine. De même, depuis longtemps, l'<a href="H%C3%A9bergement_virtuel" title="Hébergement virtuel">hébergement virtuel</a> permet à plusieurs noms de domaine DNS d'être hébergé sur un même serveur, grâce au champ Host: du protocole HTTP par exemple, mais les premiers échanges TLS arrivent avant même l'utilisation du protocole HTTP. SNI a donc rendu possible le chiffrement des communications de façon efficace, flexible et peu coûteuse pour les hébergeurs mutualisés<a href="#cite_note-3">[3]</a>.

<div class="mw-heading mw-heading2"><h2 id="Censure">Censure</h2></div>

SNI est victime de mesures de <a href="Censure_d'Internet" title="Censure d'Internet">censure</a>, notamment par des gouvernements qui cherchent à contrôler l'accès à l'information, dans des pays comme la <a href="Censure_d'Internet_en_r%C3%A9publique_populaire_de_Chine" title="Censure d'Internet en république populaire de Chine">Chine</a>, l'<a href="%C3%89gypte" title="Égypte">Égypte</a>, la <a href="Cor%C3%A9e_du_Sud" title="Corée du Sud">Corée du Sud</a>, la <a href="Censure_d'Internet_en_Turquie" title="Censure d'Internet en Turquie">Turquie</a>, le <a href="Turkm%C3%A9nistan" title="Turkménistan">Turkménistan</a>, les <a href="%C3%89mirats_arabes_unis" title="Émirats arabes unis">Émirats arabes unis</a>, la <a href="Russie" title="Russie">Russie</a> et l'<a href="Iran" title="Iran">Iran</a><a href="#cite_note-4">[4]</a>, les autorités bloquent des technologies de chiffrement (SNI, ECH...) pour contrôler l'accès à l'information<a href="#cite_note-5">[5]</a>,<a href="#cite_note-6">[6]</a>,<a href="#cite_note-7">[7]</a>.

<div class="mw-heading mw-heading2"><h2 id="Évolution_avec_l'Encrypted_Client_Hello_(ECH)">Évolution avec l'Encrypted Client Hello (ECH)</h2></div>

Malgré ses avantages, SNI a un inconvénient majeur : il ne chiffre pas les noms des serveurs lors des échanges initiaux. Cela permet aux intermédiaires réseau (notamment les gouvernements via le <a href="Fournisseur_d'acc%C3%A8s_%C3%A0_Internet" title="Fournisseur d'accès à Internet">fournisseur d'accès à Internet</a>) d'espionner le nom des sites Web visités par un individu.

En réponse aux limites de SNI, l'extension TLS 1.3, Encrypted Client Hello (ECH)<a href="#cite_note-8">[8]</a>, a été développée pour renforcer la confidentialité des échanges. Contrairement à SNI qui ne chiffre pas le nom du serveur, ECH permet de chiffrer l'intégralité du message ClientHello, incluant le nom du serveur, rendant ainsi les tentatives d'espionnage nettement plus difficiles<a href="#cite_note-9">[9]</a>. Ce mécanisme offre une protection accrue contre la censure et le filtrage basés sur le nom du serveur.

L'Encrypted Client Hello (ECH), proposé initialement par l'Internet Engineering Task Force (IETF), chiffre les communications en utilisant une clé publique partagée. Les clés publiques sont distribuées via DNS ou d'autres mécanismes de configuration préalable, permettant au client de les récupérer et de les utiliser pour chiffrer les informations avant de les envoyer au serveur.

<div class="mw-heading mw-heading2"><h2 id="Historique">Historique</h2></div>

Le protocole <a href="Cryptographie" title="Cryptographie">cryptographique</a> SSL/TLS, introduit en 1994 par <a href="Netscape_Communications" title="Netscape Communications">Netscape Communications</a> pour sécuriser les communications sur un réseau d'ordinateurs, nécessitait à l'origine que chaque <a href="Nom_de_domaine" title="Nom de domaine">nom de domaine</a> avec une connexion sécurisée ait sa propre adresse IP, chose difficile au vu de la raréfaction des <a href="IPv4" title="IPv4">IPv4</a>. À partir de 2003, SNI a changé la donne en permettant à un seul serveur de présenter des certificats multiples pour différents sites hébergés sur une même adresse IP, améliorant ainsi l'utilisation des ressources IP limitées et réduisant les coûts pour les hébergeurs web.

En 2004, un correctif ajoutant TLS/SNI à <a href="OpenSSL" title="OpenSSL">OpenSSL</a> a été créé par le projet EdelKey<a href="#cite_note-10">[10]</a>. En 2006, ce correctif a été inclus dans la branche principale de OpenSSL, et porté sur l'ancienne version de OpenSSL 0.9.8 en 2007. Pour pouvoir implémenter correctement SNI, l'application doit en avoir connaissance, et passer le nom de domaine à sa bibliothèque TLS. La complication augmente quand on sait que de nombreux logiciels client ou serveur utilisent TLS sous forme d'un composant extérieur (une bibliothèque ou un greffon), dépendant du <a href="Syst%C3%A8me_d'exploitation" title="Système d'exploitation">système d'exploitation</a>.

L'implémentation de SNI dans les navigateurs a commencé en 2006 avec <a href="Mozilla_Firefox" title="Mozilla Firefox">Mozilla Firefox</a> 2.0 et <a href="Internet_Explorer_7" title="Internet Explorer 7">Internet Explorer 7</a>. D'autres navigateurs ont rapidement suivi, avec Opera intégrant le support de SNI à partir de la version 8.0, et <a href="Google_Chrome" title="Google Chrome">Google Chrome</a> offrant le support à partir de la version 6. En 2013, la plupart des navigateurs et bibliothèques TLS implémentaient correctement SNI, mais un grand nombre d'utilisateurs (environ 20 %) avaient toujours une combinaison d'application et de logiciel client incompatibles avec SNI <a href="#cite_note-11">[11]</a>. En 2019, ce nombre est passé sous la barre des 3%.

En 2020, une extension à SNI appelée Encrypted Client Hello (ECH) a été proposée pour chiffrer le SNI dès le premier message avec le serveur, améliorant la confidentialité en masquant les noms des serveurs durant les échanges initiaux. La spécification ECH a été avancée en 2020, et depuis, des navigateurs comme Google Chrome, Mozilla Firefox, et <a href="Microsoft_Edge" title="Microsoft Edge">Microsoft Edge</a> ont intégré ECH dans leurs versions respectives de 2023 et 2024. Chrome a introduit ECH en 2023 avec sa version 104, Firefox a suivi avec la version 119 en 2024, et Edge a implémenté ECH dès la version 108 en 2023<a href="#cite_note-12">[12]</a>,<a href="#cite_note-13">[13]</a>,<a href="#cite_note-14">[14]</a>.

<div class="mw-heading mw-heading2"><h2 id="Notes_et_références">Notes et références</h2></div>

<ul><li><abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « <a class="external text" href="https://en.wikipedia.org/wiki/Server_Name_Indication?oldid=570776680">Server Name Indication</a> » (<a class="external text" href="https://en.wikipedia.org/wiki/Server_Name_Indication?action=history">voir la liste des auteurs</a>).</li></ul>

<li id="cite_note-1"><a href="#cite_ref-1">↑</a> <a rel="nofollow" class="external text" href="https://tools.ietf.org/html/rfc4366#section-3.1">section de 3.1 de la norme RFC4366 qui décrit les extensions du TLS</a>

</li>

<li id="cite_note-2"><a href="#cite_ref-2">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://caniuse.com/sni"><cite style="font-style:normal;" lang="en">Can I use... Support tables for HTML5, CSS3, etc</cite></a> », sur caniuse.com (consulté le <time class="nowrap" datetime="2021-04-06" data-sort-value="2021-04-06">6 avril 2021</time>)

</li>

<li id="cite_note-3"><a href="#cite_ref-3">↑</a> {en} <a rel="nofollow" class="external text" href="http://journal.paul.querna.org/articles/2005/04/24/tls-server-name-indication/">"TLS Server Name Indication"</a>. Paul's Journal.

</li>

<li id="cite_note-4"><a href="#cite_ref-4">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> Joseph Lorenzo Hall, Michael D. Aaron, <a href="Amelia_Andersdotter" title="Amelia Andersdotter">Amelia Andersdotter</a>, Ben Jones, Nick Feamster et Mallory Knodel, « <a rel="nofollow" class="external text" href="https://www.ietf.org/archive/id/draft-irtf-pearg-censorship-06.html"><cite style="font-style:normal;" lang="en">A Survey of Worldwide Censorship Techniques</cite></a> », sur ietf.org, <time class="nowrap" datetime="2022-05-25" data-sort-value="2022-05-25">25 mai 2022</time> (consulté le <time class="nowrap" datetime="2024-08-13" data-sort-value="2024-08-13">13 août 2024</time>).

</li>

<li id="cite_note-5"><a href="#cite_ref-5">↑</a> « <a rel="nofollow" class="external text" href="https://www.lemonde.fr/international/article/2023/07/25/la-chine-renforce-sa-censure-sur-l-internet_6160704_3210.html"><cite style="font-style:normal; color:var(--color-link-red, #d73333);">La Chine renforce sa censure sur l'internet</cite></a> »(<a rel="nofollow" class="external text" href="https://web.archive.org/web/*/https://www.lemonde.fr/international/article/2023/07/25/la-chine-renforce-sa-censure-sur-l-internet_6160704_3210.html">Archive.org</a> • <a rel="nofollow" class="external text" href="https://archive.wikiwix.com/cache/?url=https://www.lemonde.fr/international/article/2023/07/25/la-chine-renforce-sa-censure-sur-l-internet_6160704_3210.html">Wikiwix</a> • <a rel="nofollow" class="external text" href="https://archive.is/https://www.lemonde.fr/international/article/2023/07/25/la-chine-renforce-sa-censure-sur-l-internet_6160704_3210.html">Archive.is</a> • <a rel="nofollow" class="external text" href="https://webcache.googleusercontent.com/search?hl=fr&q=cache:https://www.lemonde.fr/international/article/2023/07/25/la-chine-renforce-sa-censure-sur-l-internet_6160704_3210.html">Google</a> • Que faire ?), Le Monde (consulté le <time class="nowrap" datetime="2024-09-29" data-sort-value="2024-09-29">29 septembre 2024</time>)

</li>

<li id="cite_note-6"><a href="#cite_ref-6">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://www.nordvpn.com/blog/encrypted-sni-and-censorship/"><cite style="font-style:normal; color:var(--color-link-red, #d73333);" lang="en">How Encrypted SNI is reshaping censorship</cite></a> »(<a rel="nofollow" class="external text" href="https://web.archive.org/web/*/https://www.nordvpn.com/blog/encrypted-sni-and-censorship/">Archive.org</a> • <a rel="nofollow" class="external text" href="https://archive.wikiwix.com/cache/?url=https://www.nordvpn.com/blog/encrypted-sni-and-censorship/">Wikiwix</a> • <a rel="nofollow" class="external text" href="https://archive.is/https://www.nordvpn.com/blog/encrypted-sni-and-censorship/">Archive.is</a> • <a rel="nofollow" class="external text" href="https://webcache.googleusercontent.com/search?hl=fr&q=cache:https://www.nordvpn.com/blog/encrypted-sni-and-censorship/">Google</a> • Que faire ?), NordVPN (consulté le <time class="nowrap" datetime="2024-09-29" data-sort-value="2024-09-29">29 septembre 2024</time>)

</li>

<li id="cite_note-7"><a href="#cite_ref-7">↑</a> « <a rel="nofollow" class="external text" href="https://www.rfi.fr/fr/moyen-orient/20230216-l-iran-bloque-l-acc%C3%A8s-%C3%A0-internet-pour-%C3%A9touffer-les-protestations"><cite style="font-style:normal; color:var(--color-link-red, #d73333);">L'Iran bloque l'accès à internet pour étouffer les protestations</cite></a> »(<a rel="nofollow" class="external text" href="https://web.archive.org/web/*/https://www.rfi.fr/fr/moyen-orient/20230216-l-iran-bloque-l-acc%C3%A8s-%C3%A0-internet-pour-%C3%A9touffer-les-protestations">Archive.org</a> • <a rel="nofollow" class="external text" href="https://archive.wikiwix.com/cache/?url=https://www.rfi.fr/fr/moyen-orient/20230216-l-iran-bloque-l-acc%C3%A8s-%C3%A0-internet-pour-%C3%A9touffer-les-protestations">Wikiwix</a> • <a rel="nofollow" class="external text" href="https://archive.is/https://www.rfi.fr/fr/moyen-orient/20230216-l-iran-bloque-l-acc%C3%A8s-%C3%A0-internet-pour-%C3%A9touffer-les-protestations">Archive.is</a> • <a rel="nofollow" class="external text" href="https://webcache.googleusercontent.com/search?hl=fr&q=cache:https://www.rfi.fr/fr/moyen-orient/20230216-l-iran-bloque-l-acc%C3%A8s-%C3%A0-internet-pour-%C3%A9touffer-les-protestations">Google</a> • Que faire ?), RFI (consulté le <time class="nowrap" datetime="2024-09-29" data-sort-value="2024-09-29">29 septembre 2024</time>)

</li>

<abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://datatracker.ietf.org/doc/draft-ietf-tls-esni/"><cite style="font-style:normal;" lang="en">Document technique spécifiant l'extension TLS Encrypted Client Hello</cite></a> »

</li>

<li id="cite_note-9"><a href="#cite_ref-9">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://datatracker.ietf.org/doc/draft-ietf-tls-esni/"><cite style="font-style:normal;" lang="en">TLS Encrypted Client Hello</cite></a> », Internet Engineering Task Force (consulté le <time class="nowrap" datetime="2024-08-10" data-sort-value="2024-08-10">10 août 2024</time>)

</li>

<li id="cite_note-10"><a href="#cite_ref-10">↑</a> {en} <a rel="nofollow" class="external free" href="http://www.edelweb.fr/EdelKey/">http://www.edelweb.fr/EdelKey/</a>

</li>

<li id="cite_note-11"><a href="#cite_ref-11">↑</a> <a rel="nofollow" class="external text" href="http://www.w3counter.com/globalstats.php">Statistiques de navigateurs</a> en Juillet 2013, 20 % des utilisateurs sont sous Windows XP, dont le navigateur <a href="Internet_Explorer" title="Internet Explorer">Internet Explorer</a> n'implémente pas SNI à cause de la bibliothèque TLS de Windows XP.

</li>

<li id="cite_note-12"><a href="#cite_ref-12">↑</a> « <a rel="nofollow" class="external text" href="https://www.ietf.org/archive/id/draft-ietf-tls-esni-06.html"><cite style="font-style:normal;">Understanding Encrypted Client Hello (ECH)</cite></a> », Internet Engineering Task Force (consulté le <time class="nowrap" datetime="2024-08-10" data-sort-value="2024-08-10">10 août 2024</time>)

</li>

<li id="cite_note-13"><a href="#cite_ref-13">↑</a> « <a rel="nofollow" class="external text" href="https://www.mozilla.org/en-US/firefox/119.0/releasenotes/"><cite style="font-style:normal;">Firefox 119 Release Notes</cite></a> », Mozilla (consulté le <time class="nowrap" datetime="2024-08-10" data-sort-value="2024-08-10">10 août 2024</time>)

</li>

<li id="cite_note-14"><a href="#cite_ref-14">↑</a> « <a rel="nofollow" class="external text" href="https://www.neowin.net/news/latest-edge-108-stable-brings-better-privacy-with-ech-adds-another-helpful-feature/"><cite style="font-style:normal;">Latest Edge 108 Stable brings better privacy with ECH</cite></a> », Neowin (consulté le <time class="nowrap" datetime="2024-08-10" data-sort-value="2024-08-10">10 août 2024</time>)

</li>

</ol></div>

</div>

<ul id="bandeau-portail" class="bandeau-portail"><li> Portail de la sécurité des systèmes d'information </li> <li> Portail des télécommunications </li> <li> Portail d’Internet </li> </ul></div><div><div class="zim-footer">

Cet article est issu de <a class="external text" title="Dernière modification le 2025-06-27" href="https://fr.wikipedia.org/wiki/?title=Server_Name_Indication&oldid=226837504">Wikipédia</a>. Sauf mention contraire, le texte est disponible sous <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.fr">Creative Commons Attribution-Share Alike 4.0</a>. Des conditions supplémentaires peuvent s’appliquer aux fichiers multimédias.

</div>

</div></div>

</div>

</main>

</div>

</body></html>