Le relevé, en chiffres

Mesuré avec Sablier

Faites le relevé chez vous.

Sablier est l'outil libre de BlackMesa qui inventorie la cryptographie d'un projet et dit combien de temps elle tient. Il sait aussi demander à un serveur ce qu'il négocie réellement, y compris l'hybride post-quantique.

Ce premier relevé a été fait avec une sonde OpenSSL 3.5 écrite pour l'occasion ; les suivants passeront par Sablier.

git clone https://github.com/mesa-black/sablier
cd sablier
make probe HOST=votre-site.fr

Sablier sur GitHub

Méthode

Ce qu'on a fait, ce qu'on ne voit pas

Le relevé

Pour chaque nom, un client OpenSSL 3.5.9 ouvre une connexion TLS 1.3 en ne proposant que le groupe hybride X25519MLKEM768, cinq fois de suite. Cinq réussites : scellé. Aucune : non. Entre les deux : une flotte de serveurs à moitié migrée.

Une connexion avec les réglages par défaut du client, qui propose l'hybride et X25519 comme un navigateur, relève ce qu'obtient vraiment un visiteur. Puis une connexion par version de TLS, une par groupe d'échange proposé seul, le certificat, l'en-tête HSTS, et, à part, un serveur à la fois, dix handshakes hybrides et dix classiques, alternés, pour en mesurer le prix.

L'opérateur réseau vient de l'annonce BGP de l'adresse (base DNS de Team Cymru) : c'est le pays où ce système autonome est enregistré, pas celui du serveur.

Ce qu'on ne voit pas

Tout ce qui est derrière la porte : un CDN peut parler hybride au navigateur et classique au serveur de l'organisation.
Les applications mobiles, les API, les espaces connectés quand ils vivent sous un autre nom.
Les signatures et les certificats : un enregistrement d'aujourd'hui ne permet pas de les falsifier demain.

Les hypothèses

La durée pendant laquelle une donnée reste sensible est posée par catégorie et affichée en tête de chaque groupe. Ce sont des hypothèses, pas des mesures : elles décident si un échange lu en 2035 fait encore mal.

Le CDN est déduit des en-têtes HTTP (cf-ray, x-amz-cf-id…), ou à défaut du réseau qui annonce l'adresse (Cloudflare, Akamai, Fastly, Imperva). Amazon, Google et Microsoft hébergent aussi des serveurs ordinaires : sans en-tête, ils comptent comme serveur propre.

La page d'accueil est ensuite chargée comme le ferait un navigateur, redirections suivies : on y lit la Content-Security-Policy (en-tête ou balise meta) et les scripts tiers présents dans le HTML servi. Une CSP est dite stricte quand ses scripts exigent un jeton (nonce), une empreinte ou 'strict-dynamic', sans 'unsafe-inline' effectif ni joker.

HSTS est lu sur la page d'accueil. Sans lui, une adresse tapée sans https:// part d'abord en clair et peut être détournée avant tout chiffrement.

Tous les relevés, en tableau