À part les options d’authentification améliorées offertes par SSH, y a-t-il une différence entre le fonctionnement de base des protocoles SSH et SSL ?
Je pose la question parce que nous pouvons utiliser SFTP ou FTP par le biais de SSL, et que les deux requièrent une authentification.
SSL est l’abréviation de « Secure Sockets Layer » (couche de sockets sécurisée). Elle permet aux navigateurs de transmettre des données vers et depuis un serveur web d’une manière cryptographique sécurisée afin de compliquer la tâche des espions tiers qui surveillent tout le trafic internet.
SSH signifie « Secure Shell ». Il nous intéresse parce qu’il permet à un ordinateur en réseau 1 d’accéder à un shell sur un ordinateur en réseau 2. L’utilisateur peut être certain que les espions qui écoutent le canal non sécurisé ne peuvent pas décrypter les données envoyées entre les ordinateurs en réseau.
SSL et SSH fournissent tous deux un système de cryptage et de décryptage des données sur un canal non sécurisé.
Lorsqu’un navigateur visite une URL commençant par « https:// », il utilise le protocole HTTP via une connexion SSL.
Les serveurs web compatibles avec SSL (par exemple le serveur HTTP Apache) peuvent être configurés pour utiliser SSL afin de devenir un « serveur web sécurisé ». Un site web desservi par un serveur web sécurisé amènera les utilisateurs à accéder à l’URL via le protocole « https:// » au lieu de « http:// ». Avec le protocole https, les utilisateurs peuvent être sûrs que les espions tiers qui surveillent le canal internet ne recevront que du contenu crypté.
SSL est un protocole qui pourrait être mis en œuvre dans la 6e couche (couche de présentation) du modèle OSI.
SSH possède son propre protocole de transport, indépendant de SSL, ce qui signifie que SSH n’utilise pas SSL en interne.
La principale différence est que SSL vous permet d’utiliser une PKI (via des certificats signés). En SSH, vous devez échanger les empreintes de la clé en dehors du réseau. Mais il se peut que vous vouliez de toute façon vous passer d’une PKI. dans ce cas, c’est un match nul.
SSH et SSL sont des protocoles similaires qui utilisent la plupart des mêmes primitives cryptographiques, de sorte qu’ils sont aussi sécurisés l’un que l’autre. L’un des avantages de SSH est que l’utilisation de l’authentification par paires de clés est en fait assez facile à réaliser et qu’elle est intégrée au protocole.
Avec SSL, c’est un peu le bordel, avec des certificats CA et d’autres choses. Une fois la PKI en place, vous devez également configurer vos services pour qu’ils utilisent la PKI pour l’authentification au lieu de leur base de données de mots de passe interne ; c’est un cauchemar pour certains services et un jeu d’enfant pour d’autres. Cela signifie également que vous devez vous donner la peine de signer toutes les clés de vos utilisateurs pour qu’ils puissent se connecter avec elles.