Vous pouvez confirmer que vous êtes sur le vrai Facebook de différentes manières:

1. Inspectez le certificat utilisé pour sécuriser le site. Ouvrez votre certificat (les instructions varient selon le navigateur) et voyez ce qu'il dit - est-il délivré à Facebook? Est-ce dans une période de temps valide? Maintenant, regardez qui a signé ce certificat, encore une fois, tournez un œil critique vers lui. Assurez-vous que tout a du sens. Descendez la chaîne de certificats jusqu'à ce que vous arriviez au certificat racine. Maintenant, accédez à votre moteur de recherche préféré et vérifiez qu'aucun des fournisseurs de certificats n'a fait l'actualité pour une clé privée compromise. Malheureusement, l'écosystème basé sur l'autorité de certification signifie que vous devez simplement faire confiance à l'autorité de certification racine, dans une certaine mesure.

2. Vérifiez l'adresse IP à laquelle vous vous connectez - utilisez votre outil NSLookup préféré pour voir où votre DNS vous pointe lorsque vous vous connectez à facebook.com. Apportez cette adresse à Google pour voir si elle correspond à ce que les gens disent généralement que l'adresse IP publique de Facebook est.

3. Vérifiez si d'autres personnes ont récemment signalé des problèmes de connexion à Facebook via TLS, ou si toute préoccupation. Considérez si ces préoccupations vous semblent valables ou si elles semblent que l'utilisateur fait quelque chose de manière incorrecte.

Ensuite, prenez toutes les données que vous avez collectées ci-dessus points, et toute autre reconnaissance que vous avez effectuée. Réfléchissez de manière critique à savoir s'il est raisonnable que tout ce qui précède ait été simulé par un virus convaincant, un acteur malveillant maléfique sur votre réseau ou Mark Zuckerberg en train de rire. Considérez également que le problème que vous souhaitez éviter (soumettre ou afficher des informations de Fakebook plutôt que Facebook) et pensez s'il est possible que les conséquences éventuelles (fuite de données) puissent se produire d'une autre manière, comme un virus de capture d'écran ou de keylogger en cours d'exécution et simplement d'enregistrement votre contribution au vrai Facebook. Ensuite, déterminez si le risque dépasse la valeur que vous gagneriez en vous connectant à Facebook. Ensuite, réalisez que Facebook ne vous donne aucune valeur et décidez que cela ne vaut pas le risque.

C'est exactement le problème que HTTPS est conçu pour résoudre. Si vous visitez Facebook (ou tout autre site d'ailleurs) en utilisant une URL commençant par https: // ( pas http: // ), il existe alors un certain nombre de mesures de sécurité que votre navigateur utilisera automatiquement pour s'assurer que le site auquel il vous connecte est vraiment celui affiché immédiatement après https: // dans la barre d'URL, et avertir si ce n'est pas le cas.

Passons brièvement en revue ces mesures de sécurité afin que vous ayez une meilleure compréhension de leur fonctionnement et des conditions dans lesquelles elles sont efficaces (ou inefficaces).

Fonctionnement des noms de domaine

Lorsque vous visitez pour la première fois une URL telle que https://www.facebook.com/ , la première chose que fera votre navigateur est d'extraire le nom de domaine du site de l'URL que vous avez fournie. Le nom de domaine est la partie de l'URL qui vient après "https: //" au début de l'URL, et avant le prochain "/". Dans ce cas, le nom de domaine est "www.facebook.com".

Dans le nom de domaine, il y a plusieurs libellés séparés par des points (. ). Le libellé le plus à droite, dans ce cas, com , est le domaine de premier niveau. Le libellé à gauche de celui-ci, dans ce cas facebook , est un sous-domaine du domaine de premier niveau ( .com ), et tout autre libellé à gauche de qui , comme www , sont des sous-domaines contrôlés par le propriétaire de ce domaine. Ainsi, alors qu'un domaine comme secure.facebook.com est contrôlé par Facebook (puisqu'ils possèdent le nom de domaine facebook.com ), un domaine différent comme www.facebook .com.login.site serait contrôlé par celui qui possède le domaine login.site (probablement pas Facebook).

Ceci est important que vous compreniez, car si https://www.facebook.com/ est l'URL correcte pour Facebook, https://other.site.com/ www.facebook.com n'est pas , ni https://www.faceb0ok.com/ , https: //www.faceboook. com / ou https://www.facebook.com.secure.site/ . Si le nom de domaine que vous voyez dans la barre d'URL ne se termine pas exactement par facebook.com , votre navigateur ne saura pas que vous voulez vraiment vous connecter à Facebook et ne peut donc pas vous empêcher de vous connecter à un autre site qui se fait passer pour Facebook.

Vérification du nom de domaine

Une fois que votre navigateur aura le nom de domaine du site que vous visitez, il se connectera à celui-ci site à l'aide d'un processus appelé établissement de liaison TLS. (Encore une fois, cela suppose que vous visitez le site via https.) Dans le cadre de ce processus, le serveur auquel vous vous connectez (que ce soit le vrai serveur ou un faux) doit présenter à votre navigateur un fichier spécial appelé certificat TLS. . Ce fichier doit contenir une déclaration signée d'une tierce partie connue sous le nom d'autorité de certification à laquelle votre navigateur fait déjà confiance. La déclaration indiquera à votre navigateur la clé cryptographique à utiliser pour contacter le site Web que vous avez demandé, et votre navigateur demandera au serveur auquel vous vous êtes connecté (réel ou faux) de prouver qu'il contrôle cette clé avant d'envoyer des informations supplémentaires à ce serveur. .

Comme le certificat TLS doit être signé par un tiers auquel votre navigateur fait déjà confiance, le serveur auquel vous parlez ne peut pas simuler les informations de ce certificat. Et comme le certificat contient la vraie clé du serveur que vous essayez de contacter (dans notre cas, facebook.com), un faux serveur ne pourra pas convaincre votre navigateur qu'il est légitime et votre navigateur affichera un avertissement à vous, vous indiquant que le site auquel vous vous connectez est peut-être faux.

Pour en savoir plus sur ce processus, consultez Comment fonctionne SSL / TLS?.

Mais est-ce suffisant?

Votre navigateur peut-il être amené à charger une page à partir d'une fausse version de Facebook même si la barre d'URL indique https: // www.facebook.com/?

Dans des circonstances normales, non. Si vous vérifiez que vous utilisez https et que le nom de domaine est le bon, ces protections intégrées suffiront généralement à vous assurer que vous parlez vraiment au vrai facebook.com .

Il peut cependant y avoir de rares circonstances où quelqu'un pourrait se faire passer pour Facebook malgré ces protections. Par exemple, si vous installez une autorité de certification de confiance personnalisée sur votre ordinateur, le propriétaire de cette autorité de certification peut se faire passer pour Facebook. Au travail, votre employeur a peut-être déjà fait quelque chose de ce genre sur votre ordinateur de travail, alors soyez prudent lorsque vous naviguez sur le Web avec un ordinateur que vous ne possédez pas. (Il en va de même pour les ordinateurs d'une école ou d'une bibliothèque.) Les logiciels malveillants sur votre ordinateur peuvent également être en mesure d'installer sa propre autorité de certification ou de contourner les protections de votre navigateur d'une autre manière.

Il existe également d'autres moyens plus rares. un attaquant pourrait être en mesure de tromper votre navigateur pour qu'il se connecte à un faux facebook.com, par exemple en compromettant une autorité de certification approuvée par votre navigateur, mais je n'entrerai pas dans ces méthodes en détail, car elles sont très peu probables. >

Si vous pensez que, malgré ces protections, votre navigateur peut se connecter à un faux facebook.com sans vous en avertir, vous pourriez savoir si tel est le cas en utilisant certains des les méthodes explorées dans la réponse d'Adonalsium, mais même ces méthodes ne sont en aucun cas infaillibles.

Mais encore une fois, pour la plupart des utilisateurs, vérifier que vous vous connectez via HTTPS et que le nom de domaine affiché dans la barre d'URL est correct devrait être suffisant pour que vous soyez raisonnablement sûr que vous parlez bien au vrai Facebook.

Le fait que l'URL soit https: // (où s signifie sécurité) et que le navigateur affiche le verrou dans la barre d'URL en est la preuve. Cela signifie que le protocole HTTPS est utilisé, où les sites Web doivent fournir un certificat prouvant leur identité. Donc, en tant qu'utilisateur, vous devez vous assurer que HTTPS est utilisé et que vous êtes sur facebook.com et non sur autre chose (comme faceb00k.com ).

Cependant, si votre appareil a été piraté ou est contrôlé par quelqu'un d'autre (par exemple votre employeur), vous ne pouvez pas être sûr de cela (ou de quoi que ce soit, d'ailleurs).

Juste pour compléter les réponses déjà très bonnes, et pour suivre un peu le commentaire de user21820 ci-dessus, vous construisez la confiance par parties et en analysant.

Je voulais juste souligner qu'un point de base de votre configuration de sécurité dans la situation que vous décrivez est le navigateur. Celui qui a écrit le code du navigateur que vous utilisez a toute liberté de vous montrer que vous accédez à www.facebook.com et d'afficher le certificat vert tout en vous connectant au site de son choix. Vous détecteriez cette situation en reniflant le trafic IP de votre ordinateur, mais pas en regardant le navigateur.

En fin de compte, nous utilisons tous une configuration où nous faisons confiance à différentes personnes / entreprises / institutions: celui qui a écrit le système d'exploitation, celui qui l'a installé, celui qui a écrit le bios et les autres micrologiciels de votre matériel, celui qui a écrit le navigateur, les certificats installés dans votre système, etc. Les configurations les plus courantes sont connues pour être plus ou moins fiables, mais plus que tout, nous mettons notre confiance dans les chiffres: si Microsoft ou Google ou un fabricant d'ordinateurs avaient leur logiciel diriger vers des sites douteux ou voler des informations sensibles, ou si Mozilla installe un certificat dangereux, quelqu'un parmi les millions d'utilisateurs le remarquerait probablement d'une manière ou d'une autre. Cela ne rend pas impossible que des choses louches se produisent dans votre système ou le mien: tout simplement improbable.

La question initiale peut avoir deux aspects. L'une est "mes données se retrouvent-elles sur le vrai Facebook?". En d'autres termes, suis-je sur le site d'un imposteur? L'autre est: "pourrait-il y avoir une attaque MITM qui espionne ma connexion?".

Dans les deux cas, lorsque le "verrou vert" apparaît dans le navigateur, et que nous supposons que le navigateur n'est pas compromis et qu'il dispose des bons certificats CA, la réponse à la question est équivalente à: "pourrait l'une des autorités de certification de confiance a produit un autre certificat avec le nom de domaine "facebook.com". C'est une question à laquelle il est difficile de répondre, car pour pouvoir le vérifier, il faut en principe pouvoir voir TOUS les certificats émis par TOUTES les autorités de certification de confiance, ce qui est impossible, car ils ne sont pas écrits sous une forme de chaîne de blocs ou autre. de prouver "pas de double certificat".

Un argument en faveur du fait que l'AC ne le fasse pas serait que l'activité d'une autorité de certification dépend de sa confiance, et donc que les utilisateurs ne découvrent jamais qu'ils ont été trompés par un escroc certificat émis par ladite autorité de certification. Si plusieurs utilisateurs de Facebook se plaignent d’avoir fini o n faux livre, ce serait la fin des affaires de ce CA. C'est un argument valable pour avoir une certaine confiance que CA ne signe pas de certificats à fakebook. Cependant, ce n'est pas un argument contre les certificats de signature de l'autorité de certification pour les snoopers MITM (par exemple, les snoopers sponsorisés par l'État). Il n'y a aucun moyen de savoir si le MITM ne fait que fouiner.

Avec un snooper MITM, à la fin de la journée, vous êtes vraiment connecté au vrai facebook bien sûr, mais vous n'avez aucun moyen de savoir si vous avez été espionné. Je ne sais pas sur quel aspect la question initiale mettait l'accent: se retrouver sur Facebook mais être fouillé, ou se retrouver sur un faux livre. La "réputation de l'autorité de certification" n'a d'importance que pour le deuxième aspect.

HTTPS est assez bon, mais si vous êtes en Chine, vous espérez qu'ils n'ont pas modifié l'autorité de certification de l'autorité de certification racine SSL de sorte que vous obteniez un résultat différent. Je suppose que vous pourriez comparer cela avec les résultats DNS publics 8.8.8.8 de Google?

http://www.zdnet.com/article/google-banishes-chinas-main-digital-certificate-authority -cnnic /

Il y a déjà eu de nombreuses excellentes réponses. Je voudrais m'accorder d'un autre point de vue. Poussé à l'extrême, cela devient philosophique, et vous devez tracer la ligne quelque part :

• Est-ce que "Facebook" comme je pense le savoir, existe-t-il même pour de vrai?

• S'il existe, que diable pourrait-il être?

• Combien de Facebook différents pourraient exister ?

• Y a-t-il une personne réelle du nom de Zuckerberg? Est-il vraiment le patron de Facebook? A-t-il un frère jumeau?

On peut se retrouver ainsi dans un solipsisme total, si l'on met en doute chaque information reçue (par votre cerveau). A un certain moment, vous devrez accepter une "hypothèse de réalité". C'est le point d'ancrage de la confiance pour le reste des informations d'authentification. Peut-être connaissez-vous Mark Zuckerberg en personne: vous pourriez lui demander les vraies clés publiques dans les certificats de Facebook. Mais peut-être ne connaissez-vous qu'une chose appelée "Facebook parce que d'autres personnes vous en ont parlé. Dans ce cas, comment savez-vous que vous êtes sur le même Facebook que ce dont ils en parlaient?

Donc au final, vous pourriez dire que vous ne vous souciez pas de la nature absolue de Facebook: ce qui compte, c'est que le "Facebook" avec lequel vous avez affaire est le même vous étiez au départ confronté lors de votre première découverte. S'il y a, en réalité, un véritable deuxième (et même un troisième, quatrième ...) "Facebook" là-bas, mais l'un d'eux est celui que vos amis vous ont montré pour la première fois pour créer un compte, et vous pouvez les contacter, la seule chose que vous voulez, c'est que vous soyez plus tard en contact avec le même Facebook qu'au départ. Donc, si vous obtenez une clé publique d'un de vos amis, c'est la clé publique du Facebook que vos amis utilisent, c'est en principe suffisant. Si vos amis étaient, tous, systématiquement, la victime constante d'une attaque MITM, eh bien, peu importe: que MITM est votre Facebook: une entité sur Internet. Personne n'a dit que Facebook était une belle entité ...

Donc, pour les entités sur Internet, ce qui compte souvent, c'est l'authentification relative : la preuve que vous contactez lors de sessions successives , la même entité que celle que vous avez contactée la première fois. Vous réalisez peut-être qu'en dehors de la cohérence de l'entité sur différents contacts, vous ne savez pas grand-chose sur l'entité que vous contactez.

Cela peut être différent si vous avez besoin que l'entité soit également une personne morale légale que vous aimeriez poursuivre si jamais elle se comportait mal à votre égard. Vous devez alors, à proprement parler, obtenir un certificat de l'instance judiciaire qui a le pouvoir de juridiction sur l'entité que vous souhaitez contacter, la personne morale derrière "Facebook". Cela peut être le cas si vous contactez un partenaire commercial sur Internet, ce que vous ne connaissez pas à part le fait qu'il est sur Internet, par exemple dans un magasin à l'autre bout du monde.

Enfin, il y a une troisième possibilité, et Facebook tombe très probablement dans cette catégorie. Vous souhaitez contacter l'entité "tout le monde sait et est bien connu". Les différents canaux par lesquels une entité est «notoire» devraient alors également être utilisés pour diffuser la clé publique de cette entité: journaux imprimés, télévision, différents sites Web, etc. Si la même clé publique est distribuée de manière systématique et cohérente par plusieurs autres entités que vous connaissez également d'une manière ou d'une autre, vous disposez d'un solide réseau de confiance qui indique que vous pouvez faire confiance à cette clé publique pour être la bonne de Facebook. C'est quelque chose qui ne fonctionne pas vraiment bien pour des entités relativement inconnues, car son "réseau de confiance" doit s'étendre suffisamment pour toucher différents acteurs que vous connaissez déjà et en qui vous avez confiance, ce qui ne fonctionne que pour bien entités connues. Je vis en Europe et j'aurais du mal à obtenir une toile de confiance autour de moi qui pourrait convaincre quelqu'un à Sidney d'être absolument sûr qu'il traite avec moi.

Nous avons donc 3 catégories différentes d'authentification d'entités sur internet, selon le cas d'utilisation:

• authentification relative: je ne sais pas qui vous êtes, mais vous êtes la même entité que j'ai contactée plus tôt

• authentification légale: je ne peux faire confiance qu'à l'émetteur légal des identités

• authentification web-of-trust: "tout le monde" sait de qui il s'agit via différents canaux, c'est donc le moyen d'obtenir la clé publique correcte: celle que tout le monde utilise de manière cohérente.

Un cas d'utilisation réel peut avoir besoin les 3 aspects: je veux me connecter au "bien connu" Facebook "tout le monde sait" (même s'il y a un bar quelque part au Kazakhstan appelé "facebook", ce n'est pas celui que je veux contacter); Je souhaite contacter le même Facebook lors de connexions successives (même s'il y a eu vente du nom de marque à une autre entité, par exemple). Et si jamais Facebook se comporte mal, je veux que ce soit une personne morale que je pourrais éventuellement poursuivre en justice.

En tant que tel, la confiance que nous semblons accorder à CA est quelque peu à découvert, car nous faisons aveuglément confiance aux entités (CA) pour avoir vérifié cela sans nous vérifier nous-mêmes et indépendamment de notre cas d'utilisation. Après tout, peut-être que le bar du Kazakhstan a également un certificat pour "Facebook.net". Mais c'est plus facile et mieux que rien.