En poursuivant votre navigation sur ce site, vous acceptez l’utilisation de cookies pour vous proposer des services et offres adaptés à vos centres d’intérêts.FERMER  x
Pour en savoir plus et paramétrer les cookies...
En poursuivant votre navigation sur ce site, vous acceptez l’utilisation de cookies pour vous proposer des services et offres adaptés à vos centres d’intérêts.FERMER  x
Pour en savoir plus et paramétrer les cookies...
Actualité informatique
Test comparatif matériel informatique
Jeux vidéo
Astuces informatique
Vidéo
Télécharger
Services en ligne
Forum informatique
01Business
Applis, logiciels
Produits
Télécoms
Sécurité
Culture, médias
Politique, droits
Technos
Buzz, société
Jeux
Business

Votre patron espionne-t-il vos communications cryptées ? Faites le test !

De plus en plus d’entreprises disposent d'outils capables de déchiffrer toutes vos communications sécurisées. Voici un guide pour savoir si tel est le cas chez votre employeur.

laisser un avis
 Votre patron espionne-t-il vos flux SSL ? Faites le test !
Votre patron espionne-t-il vos flux SSL ? Faites le test !
Vous travaillez dans une entreprise et, souvent, vous vous connectez depuis votre poste de travail à votre messagerie perso ou à vos comptes bancaires au travers de votre navigateur. Et vous pensez que personne d’autre ne peut inspecter le contenu de ces échanges, car vous voyez un petit cadenas en haut de la page web, prouvant que la connexion est chiffrée de bout en bout en SSL. Erreur ! Un tiers que vous connaissez bien est peut-être en train d’analyser ces flux à caractère personnel : votre employeur.
En effet, de nombreuses entreprises disposent désormais d’un dispositif un peu spécial appelé « proxy web » ou « proxy SSL ». Sous ce nom un peu barbare se cache un appareil capable d’intercepter et de déchiffrer n’importe quelle connexion SSL générée depuis le réseau interne par le biais de certificats de chiffrement à usage interne. Résultat : l’ensemble du flux - y compris les mots de passe, les mails confidentiels et les numéros de carte bancaire - passe en clair et peut être stocké sur un serveur de l’entreprise. Avant de sortir du réseau local, il est chiffré à nouveau avec un certificat public. La dissimulation est (presque) parfaite.

Le cadenas vous renseignera

Pour vérifier si votre entreprise dispose d’un tel système, c’est simple : regardez le certificat utilisé par votre navigateur lorsque la connexion est en SSL. Concrètement, il suffit de cliquer sur le cadenas qui s’affiche à côté de l’URL. Une fenêtre pop-up s’ouvre alors, permettant d’accéder aux informations du certificat de chiffrement. En fonction du navigateur, il faut alors cliquer soit sur « Afficher les certificats » (Internet Explorer), sur « Connexion » > « Informations relatives au certificat » (Chrome) ou sur « Plus d’informations... » > « Afficher le certificat » (Firefox).  
Enfin, il faut ensuite vérifier qui a émis le certificat en question (« Délivré ou émis par... »). Si vous identifiez le nom de votre entreprise, c’est qu’il s’agit d’un certificat interne, donc bidon. C’est la preuve que votre employeur déchiffre vos flux SSL. Si vous ne voyez rien de suspect, vérifiez que la société émettrice est bien une autorité de certification ayant pignon sur rue, en faisant une recherche sur Google. Si vous ne trouvez rien, il s’agit probablement d’un certificat interne, donc bidon également.
agrandir la photo
Si votre employeur déchiffre vos flux SSL, faut-il s’en inquiéter ? Pas forcément. Dans de nombreux cas, les flux sont déchiffrés afin de détecter des virus et autres malwares. Les données personnelles ne sont pas regardées par une tierce personne, ni stockées quelque part. Donc tout va bien. Mais dans d’autres cas, le proxy SSL est utilisé pour savoir si des documents confidentiels ne partent pas vers l’extérieur ou pour identifier des téléchargements illégaux (musique, séries TV, porno). Dans ce cas, mieux vaut donc s’abstenir. Ou utiliser une connexion 3G/4G pour vous connecter.

C’est légal, mais encadré

Il faut savoir que l’employeur a le droit, à priori, de déchiffrer vos flux SSL. En revanche, il n’a pas le droit de regarder vos données personnelles, car cela relève du droit à la correspondance privée. La nuance est subtile. « L’employeur peut déchiffrer et même stocker les flux. Mais s’il veut y accéder, il doit faire appel à un tiers assermenté », explique Hubert Bitan, avocat spécialisé dans les nouvelles technologies. Dans tous les cas, l’employeur devra forcément faire une déclaration à la CNIL, car il manipule des données personnelles. Par conséquent, un salarié pourra toujours saisir la CNIL en cas de doute, histoire de vérifier si son patron est bien dans les clous. Dans le cas inverse, il peut risquer une grosse amende, voire même la prison (articles 226-15 et 226-16 du Code pénal).
Les « proxy SSL » ont récemment fait parler d’eux au ministère des Finances. En effet, l’administration a été épinglée en décembre dernier pour avoir utilisé à tort un certificat public délivré par l’ANSSI, révélant en même temps la présence de proxy SSL. Apparemment, il s’agissait d’une « erreur humaine »...
Lire aussi :
Comment le ministère des finances espionne le trafic web de ses collaborateurs, le 11/12/2013    
envoyer
par mail
imprimer
l'article
@01net sur
à lire aussi
SUR LES MÊMES THÈMES
Surveillance informatique : Edward Snowden interroge Vladimir Poutine à la télé
Arrestation du premier « Heartbleed hacker »
Pourquoi Edward Snowden a utilisé Tails Linux pour organiser sa fuite
Galaxy S5 : le lecteur d’empreintes hacké les doigts dans le nez
Etats-Unis : les smartphones seront munis d'un antivol dès juillet 2015
Il y aura 52 millions de photos dans la base de données du FBI d'ici à 2015
La Corée du Sud impose une fonction «d'autodestruction» sur les smartphones
Les premiers piratages basés sur Heartbleed se font jour
L’Internet des objets : un cauchemar ou une chance pour la sécurité ?
Le site marchand de LaCie victime d’un pirate informatique
La France 6e position des pays ayant demandé des données privées à Facebook
Le fisc américain va payer Microsoft pour une extension du support de XP
Ils ont trouvé une faille dans les machines à sous et récolté 10 millions d’euros
La NSA aurait exploité Heartbleed depuis deux ans, ce qu’elle dément
La justice française veut entendre Qosmos sur la surveillance informatique en Syrie
Tout savoir sur l’énorme faille Heartbleed, en 7 questions
Google renforce la sécurité d'Android
Robin Seggelmann, l'homme par qui l'énorme faille Heartbleed est arrivée
Un second bug de Chrome permet d’écouter les conversations de ses utilisateurs
Il crée une appli Android inutile et gagne plus de 40.000 dollars