Il y a quelque chose que j'ai mal compris à propos de SSL et plus généralement des protocoles X509.
 
Dès lors que l'on fonctionne sur le principe d'une clé asymétrique (clé publique/clé privée) les deux parties d'une communication ont chacune soit la clé privée soit la clé publique.
Et par le chiffrement/déchiffrement des messages via ces clés elles peuvent lire les messages.
 
Or appliqué au SSL je trouve qqchose d'incohérent, dites moi ou mon raisonnement s'égare.
 
Un certificat SSL est basé sur le système de clés asymétriques, un site a une clé privée éditée par une autorité de certification x ou y.
Cette autorité de certification lui délivre également une clé publique a transmettre à ceux qui vont fréquenter le site afin qu'ils puissent échanger des informations.
 
La clé publique est donc mise à la disposition de tous via le certificat.
 
Il n'existe qu'une seule clé publique et donc tout le monde à la même.
 
De ce fait, A est sur le site sécurisé X. Ils échangent des informations chiffrées au moyen des clés qu'ils possèdent l'un comme l'autre.
Un individus B se connecte au site X et installe le certificat. Il possède donc la clé publique permettant de déchiffrer les informations provenant de X. S'il capte les trames échangées entre X et A, qu'est-ce qui l'empêche de les déchiffre sachant qu'il possède la clé publique?
 
merci de m'éclairer sur ce point

déjà l'espion ne peut pas intercepter les communications dans le sens client ->serveur vu que les données cryptées avec la clé publique ne peuvent être décryptes que par la clé privée (qu'il ne possède pas).
Dans le sens serveur -> client je ne sais pas, mais on pourrait supposer que le client a généré une clé privée et qu'il a confié la clé publique correspondant au serveur.

je suis d'accord pour le sens montant (client vers serveur). Par contre dans le sens descendant je doute que ce soit le même chose. Pour générer une clé privé sur un client il faut une PKI, hors l'installation d'un certificat ne permet pas de faire ni office de PKI, ni création de clé privée/clé publique. Sinon ça voudrait dire que le serveur distant référence 1 milliard de clés publiques, pour faire le tri dans son annuaire il est mal barré

 
La clef publique ne sert qu'à encrypter un message, qui pourra etre décrypté par la clef privée associée.  
En aucun cas la clef publique ne pourra décoder le message qu'elle vient elle même d'encoder !

oui c'est bien ce que l'on a dit jusqu'à présent, par contre le site lui encode avec sa clé privée les informations qu'il transmet au client, et la ça peut être déchiffré avec la clé publique.
C'est là que se pose mon problème

 
je ne pense pas ...
on ne peut pas encrypter avec une clef privée ... seulement décrypter ... ce qui a été encrypté avec la clef publique associée !!  Sinon tu vois le trou de sécurité !!! suffirait de réussir à récupérer la clef privée, et on pourrait tout faire avec la même clef : encrypter et décrypter ... ce qui reviendrait à un cryptage symétrique !!    
 
Je pense plutot qu'il y a deux couples de clefs-privées/publiques ...  
une pour la communication serveur->client, et une autre pour la communication client->serveur !
 
Je vais me renseigner la dessus ...

Si je ne me trompe ... bon ok .. , je reprends ...
D'après mes souvenirs (plus tout frais), l'utilisation de la clé privé/publique est uniquement nécessaire aux premières phases de 'discussion'. Ensuite, planqué dans le message codé par la clé publique, il y a une clé partagée. Décodable uniquement par la clé privée et donc connue uniquement par celui qui l'a crée (l'individu A dans l'exemple) et par celui qui a la clé privée (serveur).

 
ça me semble logique ...  

chapi->ca me semblerait cohérent en effet, donc tu initialises un échange en utilisant une clé asymétrique et derrière tout se fait en utilisant une clé symétrique?

http://villemin.gerard.free.fr/Crypto/Clepubli.htm
http://villemin.gerard.free.fr/Crypto/RSA.htm
 
quelques pages d'explications bien faites ...
 
 
et la une explication qui dit :
http://www.olas.public.lu/functions/faq/cle/

Vu sa très faible vitesse d'encryption, le cryptage asymétrique est rarement utilisé pour encrypter des documents. Son champ d'application le plus courant est la signature électronique ou le cryptage de clés symétriques uni-session
 
 
voila qui confirme ce qui a été dit ci-dessus ...

ok parfait, c'est bien ce que je me demandais. merci pour ces liens
 

Cool, je m'etais pas trop loupé sur ce coup la

ouais, en plus j'suis idiot j'avais lu que RSA servait uniquement à chiffrer du DES par ex
 
merci pour vos explications.