Au début du commerce électronique de nombreux sites se contentaient de récupérer le numéro de carte bancaire du client via un simple formulaire sur une page web toute aussi simple. La méthode se révélait peu fiable puisque non sécurisée. Une personne pouvait très facilement récupérer le numéro de la carte lors du transfert puis s’en servir aisément par la suite. De plus les données bancaires se retrouvaient stockées sur le serveur du commerçant. Le serveur pouvait être alors la cible de piratages. Ces méthodes désormais obsolètes sont à la base d’une certaine méfiance autour des paiements sur Internet.
Un numéro de carte bancaire est vérifié par un algorithme appelé clé de Luhn. Le numéro n’est donc pas vraiment créé aléatoirement. Celui-ci est composé de quatre groupes de quatre chiffres que nous définissons suivant le format suivant : ABCD EFGH IJKL MNOP.
Nous allons mettre en place le service SSL sous le serveur web Apache afin de pouvoir avoir une partie sécurisé sur un site. Nous partons du fait que le serveur Apache est déjà installé sur le système et que notre système d’exploitation tourne sous la distribution Debian. Pour l’installation nous utilisons l’outil aptitude de Debian. L’installation du module SSL pour Apache se réalise grâce à la commande suivante :
L’attaque Man In The Middle est l’attaque dont le protocole SSL est le plus vulnérable. Ce type d’attaque est quasiment à le portée de tous en terme de réalisation. En effet, certains logiciels sont spécialisés dans ce domaine. Ceci contribue à la facilité de l’attaque Man In The Middle. Afin de montrer cette faiblesse nous allons utiliser un logiciel nommé Sslstrip.