Sécurité

Chap. IV : Cryptographie
Asymétrique
Limites de la cryptographie
symétrique
⚫ Il faut pouvoir communiquer la clé secrète par
un moyen sûr
⚫ Lettre, téléphone…
⚫ Pas très pratique
⚫ Nombre de clés à échanger pour
communiquer avec n personnes: n(n-1)/2
clés.

Ben Elhadj 2
Cryptographie asymétrique
⚫ La sécurité ne repose désormais plus sur :
⚫ Un secret partagé (la clé secrète)
⚫ Des algorithmes obscurs
⚫ Mais sur :
⚫ Des problèmes mathématiques connus de tous
⚫ Une information connue de tous (la clé publique)

Ben Elhadj 3
Cryptographie asymétrique
⚫ Chaque intervenant possède une clé
publique
⚫ Cette clé peut être connue de tous. Par exemple,
disponible dans un répertoire accessible
publiquement, sur Internet.
⚫ Toute personne connaissant cette clé peut
envoyer un message chiffré au propriétaire de
cette clé.

Ben Elhadj 4
Cryptographie asymétrique
⚫ Chaque intervenant possède une clé privée
⚫ Cette clé doit demeurer confidentielle
⚫ Cette clé est liée (mathématiquement) à la clé
publique correspondante
⚫ Cette clé permet de déchiffrer tout message
chiffré avec la clé publique correspondante.

Ben Elhadj 5
Cryptographie asymétrique

Ben Elhadj 6
Cryptographie asymétrique
⚫ Trois étapes :
⚫ 1ère étape:Alice génère deux clés. La clé publique
qu'elle envoie à Bob et la clé privée qu'elle
conserve sans la divulguer à personne.

Ben Elhadj 7
Cryptographie asymétrique
⚫ 2ème étape: A chaque fois que Bob veut envoyer
un message confidentiel à Alice, il utilise la clé
publique d’Alice pour chiffrer le message.
⚫ 3ème étape: Alice utilise sa clé privée pour
déchiffrer le message envoyé par Bob.

Ben Elhadj 8
Cryptographie asymétrique
⚫ Avantages :
⚫ Si n intervenants veulent s‘échanger des
informations, chaque intervenant doit avoir une
clé publique unique connue de tous
⚫ Donc n clés sont suffisantes.

Ben Elhadj 9
Exemple
⚫ RSA
⚫ Chiffrement à clé publique le plus utilisé
⚫ Crée en 1977 par Rivest, Shamir et Adleman
⚫ Utilisé dans :
⚫ Les banques
⚫ Les site webs commerciaux

Ben Elhadj 10
Problème
⚫ Les protocoles de chiffrement présentés
précédemment garantissent la confidentialité.
⚫ Mais pas l'intégrité !
⚫ Un pirate peut intercepter un message chiffré, le modifier
aléatoirement et le transmettre.
⚫ Ni l'authenticité !
⚫ Un pirate peut chiffrer un message avec la clé publique du
destinataire et lui envoie le message en se faisant passer
pour une autre personne.

Ben Elhadj 11
Empreinte d’un message
⚫ Une empreinte numérique est un "résumé" d'un
message, aussi appelée condensat.
⚫ Elle est de taille fixe (128 a 160bits).
⚫ Deux documents légèrement différents ont une
empreinte très différente.
⚫ Il est très difficile de construire un document qui ait
la même empreinte qu'un autre document.
⚫ Fonction à sens unique
⚫ Algorithmes utilisés : MD5, SHA1
⚫ Ces algorithmes sont appelés : fonction de
hachage.

Ben Elhadj 12
Empreinte d’un message

Ben Elhadj 13
Empreinte d’un message
⚫ Pour vérifier l'intégrité d'un message
⚫ L'empreinte doit être chiffrée.
⚫ Si le message et son empreinte ne correspondent
plus, il y a sûrement eu une manipulation du
message
⚫ Si l'empreinte est chiffrée et que l'attaquant ne
peut pas la déchiffrer, il ne pourra la modifier
qu'aléatoirement.

Ben Elhadj 14
Empreinte d’un message

Ben Elhadj 15
Empreinte d’un message
⚫ L’empreinte d’un message permet de résister
aux attaques suivantes :

⚫ L'attaquant intercepte un message. Il modifie le

message sans modifier l'empreinte et l'envoie.

⚫ L'attaquant intercepte un message. Il modifie le

message ainsi que (aléatoirement) l'empreinte.

Ben Elhadj 16
Signature
⚫ Signer les messages que l'on envoie pour
assurer leur authenticité.
⚫ Si on veut envoyer un message m de
manière authentifiée et sûre :
⚫ On calcule une empreinte e du message.
⚫ On chiffre l'empreinte avec notre clé privée.
⚫ On concatène l'empreinte chiffrée au message m
: m0 = m + e
⚫ m0 est chiffré avec la clé publique du destinataire
puis envoyer.
Ben Elhadj 17
Signature
⚫ Le destinataire reçoit le message signé.
⚫ Déchiffre le message m0 = m + e avec sa clé
privée
⚫ Séparer m et e
⚫ Déchiffrer e avec la clé publique de l’expéditeur
⚫ Vérifier si l'empreinte e est bien valide pour m, si
c'est le cas, le destinataire sait que :
⚫ C'est bien l’expéditeur qui a envoyé le message
⚫ Le message n'a pas été modifié par un tiers

Ben Elhadj 18
Problème de la cryptographie
asymétrique
⚫ La cryptographie asymétrique repose essentiellement sur
l'authenticité des clés publiques
⚫ Bob publie sa clé publique sur son site web perso
⚫ Un pirate s'introduit sur le site et remplace la clé publique
de Bob par la sienne
⚫ Une personne veut envoyer un message a Bob, elle
récupère la clé publique sur le site de Bob
⚫ Le pirate peut alors déchiffrer le message adressé à Bob !
⚫ Il faut s’assurer de l’authenticité des clés publiques.
⚫ Solution : utiliser un organisme de confiance pour
distribuer les clés publiques

Ben Elhadj 19
PKI: Public Key Infrastructure
⚫ Infrastructure de Gestion de Clé (IGC) appelée PKI:
Public Key Infrastructure.
⚫ Génération d’un couple unique de clés (clé privée, clé
publique), son attribution a une entité.
⚫ Création et gestion de certificats numériques : signature,
émission,validation, renouvellement de certificats
⚫ Sauvegarde des informations nécessaires a la gestion des
clés: archivage des clés, procédures de recouvrement en
cas de pertes par l’utilisateur.
⚫ …

Ben Elhadj 20
Certificat électronique
⚫ Certificat numérique
⚫ Carte d'identité numérique: identifier une entité
physique ou morale.
⚫ Chiffrer des échanges.
⚫ Contient
⚫ Identification de son propriétaire
⚫ Clé publique qui lui est attribuée
⚫ Identification de l’organisme qui l’a délivrée

Ben Elhadj 21
Exemple de transaction sécurisée

⚫ Une entreprise et ses clients qui désirent s’échanger des

données de manière confidentielle
⚫ Chacun doit s’assurer qu’il est bien en communication avec son
interlocuteur
⚫ L’entreprise fait appel aux services d’une PKI
⚫ s’enregistrer auprès d’une PKI qui lui délivre un certificat
numérique (contient des informations sur l’entreprise, la PKI,
l’algorithme de chiffrement, la clé publique de l’entreprise)
⚫ Certificat publié par la PKI et peut être délivré sur demande à ses
clients qui souhaitent communiquer avec l’entreprise
⚫ Le certificat est signé avec clé privée de la PKI
⚫ La clé privée de l’entreprise est transmise par la PKI par voie
sécurisée (en main propre, poste)

Ben Elhadj 22
Exemple de transaction
sécurisée
⚫ Client se connecte sur le site web de l’entreprise ( navigateur web)
⚫ Obtient le nom de la PKI avec référence certificat numérique de
l’entreprise
⚫ Navigateur se connecte sur site de PKI et télécharge certificat entreprise
⚫ Navigateur s’assure de
⚫ l’authenticité du certificat en vérifiant la signature du certificat avec la
clé publique de la PKI
⚫ l’intégrité des données en appliquant l’algorithme de hachage
⚫ Navigateur extrait la clé publique de l’entreprise
⚫ Client génère une clé de session selon mécanisme intégré dans le
navigateur
⚫ Client envoie la clé de session en la chiffrant avec la clé publique de
l’entreprise a celle-ci
⚫ Sur réception l’entreprise déchiffre le message avec sa clé privée,
obtient la clé de session qu’elle utilisera pour chiffrer/déchiffrer les
données échangées avec ce client particulier durant une session de
travail déterminée
Ben Elhadj 23
Récapitulatif
⚫ Pour authentifier un message (ainsi qu'assurer son
intégrité) on peut le signer :
⚫ Calcul de l'empreinte du message
⚫ Chiffrement de l'empreinte avec la clé privée via un
algorithme asymétrique
⚫ Mais pour vérifier la signature, il faut avoir confiance
dans la clé publique
⚫ La certification essaye de résoudre ce problème
⚫ Une autorité de certification (CA) signe des clés publique
en échange de preuves d'identité

Ben Elhadj 24
Récapitulatif
⚫ La cryptographie est un outil essentiel de la politique
de sécurité de l'entreprise
⚫ Confidentialité
⚫ Intégrité
⚫ Authenticité
⚫ Cryptographie à clé secrète
⚫ Rapide, mais comment s‘échanger la clé
⚫ Cryptographie à clé publique
⚫ Plus lente, mais plus pratique
⚫ Permet notamment d'authentifier

Ben Elhadj 25