La sécurité - Le cryptage.

• Définition : la cryptographie ou chiffrement est le processus de transcription d'une information intelligible en une information inintelligible par l'application de conventions secrètes dont l'effet est réversible. La loi française définit les prestations de cryptologie comme : "Toutes prestations visant à transformer à l'aide de conventions secrètes des informations ou signaux clairs en information ou signaux inintelligibles pour des tiers, ou à réaliser l'opération inverse, grâce à des moyens, matériels ou logiciels conçus à cet effet".
  
  
• Le cryptage permet de répondre aux besoins suivants :
  • authentifier l'expéditeur : mise en place des tiers de certification, chiffrer le hachage avec sa clé privée.
  • rendre le message confidentiel : chiffrement du message.
  • garantir l'intégrité du message : signature électronique du message, par exemple MD5 (Message Digest 5, empreinte de 128 bits), ou SHA (Secure Hash Algorithm, 160 bits).
  • non-répudiation : que personne ne puisse contester que l'échange ait eu lieu.

• Cryptages par algorithmes : transposition, substitution, décalages, etc. La difficulté consiste à retrouver quel algorithme a été appliqué au message.
  
  
• Cryptage par clé : DES, RSA, etc. L'algorithme est connu de tous, la difficulté consiste à retrouver la clé qui a été donnée en paramètre. Ces algorithmes se développent car ils sont très fiables.

• Cryptage symétrique : la même clé est utilisée pour chiffrer et déchiffrer l'information. Le problème de cette méthode est qu'il faut trouver le moyen de transmettre de manière sécurisée la clé à son correspondant.
  
  
• Cryptage asymétrique : ce n'est pas la même clé qui crypte et qui décrypte les messages. L'utilisateur possède une clé privée et une clé publique. Il distribue sa clé publique et garde secrète sa clé privée . Dans ce type d'application, tout le monde peut lui écrire en utilisant la clé publique, mais seul l'utilisateur destinataire pourra décrypter et donc lire le message avec sa clé privée. La cryptographie permet ici d'assurer la confidentialité des données transitant sur un réseau : les données sont uniquement portées à la connaissance des personnes autorisées.
  
  
• Clés de sessions : ce sont des clés générées aléatoirement et utilisées uniquement le temps d'une communication.

• En France :
  • le cryptage a lontemps été limité à des clés de 128 bits pour les algorithmes symétriques.
  • Depuis la loi du 21 juin 2004 pour la confiance dans l'économie numérique, m'utilisation des moyens de cryptologie est devenue complètement libre.
    
    
• Tout savoir sur la législation française : http://www.internet-juridique.net/publications/crypto/problemes.html

• RSA : Ronald Rivest, Adi Shamir et Leonard Adleman, créé en 1977, breveté en en 1983, expiré le 21 septembre 2000. C'est le plus populaire des algorithmes asymétriques (wikipedia). Les protocoles issus de RSA sont :
  
  • SSL : Secure Socket Layer, inventé par Netscape, Mastercard, Bank of America, MCI, Silicon Graphics.
  • TLS : Transport Layer Security, nouveau nom du SSL depuis son rachat en 2001 par l'IETF (Internet Engineering Task Force) (wikipedia)
  • SET (Secure Electronic Transaction), développé en 1996 par Visa et Mastercard. Basé sur SSL, mais met en jeux trois acteurs : le client, le commerçant et la banque (wikipedia). Remplacé en 2000 par 3D Secure (en.wikipedia).
  • PGP : Pretty Good Privacy, inventé par Phil Zimmerman, basé lui aussi sur RSA. http://www.pgpi.org/.
    
    
• DSA : Digital Signature Algorithm (wikipedia).
  

Les algorithmes asymétriques présentent l'inconvénient d'être très lents. Ils ne sont donc pas utilisés pour crypter des données mais pour :

• échanger des clés symétriques de façon parfaitement confidentielles,
• signer les messages de façon à garantir l'identité de l'expéditeur.
  

• DES : Data Encryption Standard, créé par IBM et la NSA, clés de 56 bits, a été utilisé dans le cryptage de mots de passe UNIX, dans les terminaux de télévision par câble (wikipedia)
• Triple DES ou 3DES, par IBM (amélioration du DES qui le rend plus fiable mais plus lent) (wikipedia).
  
• AES (Advanced Encryption Standard), par Joan Daemen et Vincent Rijmen, clés de 128 à 256 bits (wikipedia).
• RC2, RC4, etc.
  

• Ils sont décomposés en trois sous-parties avec des rôles sensiblement différents :
  • Autorités de certification,
  • Autorités d'enregistrement,
  • Opérateurs de certification.
  • La loi française du 21 juin 2004 parle globalement de "prestataires de services de certification".
    
    
• Globalement, leur rôle est de :
  • délivrer des certificats SSL ou PGP aux entreprises (banques, commerçants) qui en font la demande (et, le cas échéant, révoquer le certificat dans le cas où la clé privée viendrait à être compromise) ;
  • identifier votre correspondant, en garantissant qu'il est bien le propriétaire de la clé publique qu'il vous transmet. Cela évite à un pirate de se faire passer pour une entreprise.
    
    
• wikipedia.
  

• Par exemple, vous pouvez demander votre propre certificat SSL ici : http://www.tbs-internet.com/thawte/server-cert.html.
  Tarifs : http://www.tbs-internet.com/thawte/prix.html (tarif de base : 155 €/an).
  
  
• Le certificat est délivré à un commerçant, à une banque, etc. par un organisme de certification.
  
  
• Il contient les informations suivantes :
  • Le nom de l'autorité de certification
  • Le nom du propriétaire du certificat
  • La date de validité du certificat
  • L'algorithme de chiffrement utilisé
  • La clé publique du propriétaire
    
    
• Il est signé par l'autorité de certification.

• Au niveau du modèle OSI, SSL est une couche session qui s'intercale entre la couche transport et la couche application.
  
  
• La plupart des navigateurs prennent maintenant en charge le protocole SSL (par défaut, sur le port 443 au lieu de 80). On reconnait que la communication est cryptée grâce :
  • à l'URL : https:// ;
  • à l'icône du cadena qui apparaît dans la barre des tâches.
    
    
• Une limite du protocole SSL : le déchiffrement est très lent et ne permet pas de chiffrer de longs messages (1500 fois plus lent que le DES, qui lui est symétrique). Pour contourner ce problème, il est utilisé selon le principe suivant :
  • Le détenteur de la clé publique choisis (au hasard) une clé temporaire symétrique (dite clé de session),
  • Cette clé de session est cryptée avec la clé publique (grâce à l'algorithme RSA) puis envoyé au détenteur de la clé privée,
  • Le détenteur de la clé privée est le seul à pouvoir décoder le message, donc à pouvoir lire la clé de session.
    
  • Le message codé est alors envoyé avec un algorithme de chiffrement symétrique (Triple DES, RC2 ou RC4), qui utilise la clé de session,
    
  • Une fois que l'échange de données est fini, la clé de session est détruite. Elle n'a servi que pour une communication (=échange de plusieurs messages), elle ne servira plus jamais.
    
    
• Authentification du serveur grâce au certificat SSL (plus de précisions sur le site de Microsoft) :
  • Le serveur demande un certificat auprès d'une autorité de certification ;
  • L'autorité de certification délivre le certificat crypté avec la clé privée de l'autorité de certification.
    
    Lorsqu'un client se connecte au serveur :
  • Le serveur envoie son certificat crypté au client ;
  • Le client décrypte le certificat avec la clé publique de l'autorité de certification (contenue dans le navigateur, sous IE : Outil -> Option Internet -> Contenu -> Certificats -> Autorités principales de confiances).
  • Le client vérifie que le nom de domaine du serveur, auquel il est actuellement connecté, est bien le nom de domaine qui figure dans le certificat.
    
    
• Plus de précisions sur SSL : http://www.securiteinfo.com/crypto/ssl.shtml.
  

• La clé publique est décomposée en deux parties pub1 et pub2, telles que :
  • pub1 est égal au produit de deux nombres premiers quelconques p et q.
  • pub2 est premier avec (p-1) x (q-1). ("premier" signifie qu'ils n'ont pas de diviseurs communs).
    
    
• La clé privée est composée en deux parties priv1 et priv2, tels que :
  • priv1 = pub1
  • priv2 = ((X * (p-1) * (q-1))+1) / Pub2 (X doit être choisi entier, par itération, tel que priv2 soit également entier).

• Puisqu'on connait la clé publique, donc pub1, il suffit de retrouver ses deux diviseurs (p et q, qui sont des nombres premiers). On peut alors en déduire la clé privée.
  
  
• Exemple : craquez la clé publique 2197967. = 1171 * 1877.
  
  
• Toutefois ce n'est pas si simple : le principe du RSA repose sur le fait qu'il est extrêmement long de retrouver les diviseurs d'un très grand nombre, lorsqu'ils sont premiers.

• Soit m un octet en clair :
  
  Cryptage (m) = (m puissance Pub2) modulo Pub1
  Compléter cryptage(m) avec des 0 à gauche pour que le cryptage(m) ait le même nombre de chiffres que priv1.
  
  
• Soit n un octet crypté :
  
  Décryptage(n) = (n Puissance Priv2) modulo Priv1
  

• Introduction à la cryptographie sur commentcamarche.net.
  
  
• une petite synthèse des différents algorithmes sur http://www.uqtr.ca/~delisle/Crypto/publics/.
  
  
• La sécurité Informatique, par Eric LEOPOLD et Serge LHOSTE, collection Que sais-je ? (je peux prêter).
  
  
• Exonet 81 : initiation à la cryptographie (par Freddy DIDIER).