Cryptographie

La cryptographie est une des disciplines de la cryptologie s'attachant à protéger des messages (assurant confidentialité, authenticité et intégrité) en s'aidant souvent de secrets ou clés. Elle se distingue de la stéganographie qui fait passer inaperçu un message dans un autre message alors que la cryptographie rend un message supposément inintelligible à autre que qui-de-droit.

La machine de Lorenz utilisée par les nazis durant la Seconde Guerre mondiale pour chiffrer les communications militaires de haut niveau entre Berlin et les quartiers-généraux des différentes armées.

Elle est utilisée depuis l'Antiquité, mais certaines de ses méthodes les plus modernes, comme la cryptographie asymétrique, datent de la fin du XXe siècle.

Étymologie et vocabulaire

Le mot cryptographie vient des mots en grec ancien kruptos (κρυπτός) « caché » et graphein (γράφειν) « écrire ». Beaucoup des termes de la cryptographie utilisent la racine « crypt- », ou des dérivés du terme « chiffre ».

  • chiffrement : transformation à l'aide d'une clé d'un message en clair (dit texte clair) en un message incompréhensible (dit texte chiffré) pour celui qui ne dispose pas de la clé de déchiffrement (en anglais encryption key ou private key pour la cryptographie asymétrique) ;
  • chiffre un ensemble de règles permettant d'écrire et de lire dans un langage secret ;
  • cryptogramme : message chiffré ;
  • cryptosystème : algorithme de chiffrement;
  • décrypter : retrouver le message clair correspondant à un message chiffré sans posséder la clé de déchiffrement (terme que ne possèdent pas les anglophones, qui eux « cassent » des codes secrets) ;
  • cryptographie : étymologiquement « écriture secrète », devenue par extension l'étude de cet art (donc aujourd'hui la science visant à créer des cryptogrammes, c'est-à-dire à chiffrer) ;
  • cryptanalyse : science analysant les cryptogrammes en vue de les décrypter ;
  • cryptologie : science regroupant la cryptographie et la cryptanalyse.
  • cryptolecte : jargon réservé à un groupe restreint de personnes désirant dissimuler leur communication.

Plus récemment sont apparus les termes « crypter » (pour chiffrer) et « cryptage » pour chiffrement. Ceux-ci sont acceptés par l'Office québécois de la langue française dans son grand dictionnaire terminologique[1], qui note que « La tendance actuelle favorise les termes construits avec crypt-. ». Le Grand Robert mentionne également « cryptage », et date son apparition de 1980. Cependant le Dictionnaire de l'Académie française n'intègre ni « crypter » ni « cryptage » dans sa dernière édition (entamée en 1992). Ces termes sont d'ailleurs considérés comme incorrects par exemple par l'ANSSI[2], qui met en avant le sens particulier du mot « décrypter » (retrouver le message clair à partir du message chiffré sans connaître la clef) en regard du couple chiffrer/déchiffrer.

Histoire
Partition musicale du compositeur Maurice de Raoulx avec une invention de code sous forme de notes de musique. Archives nationales de France.

Utilisé depuis l'antiquité, l'une des utilisations les plus célèbres pour cette époque est le chiffre de César, nommé en référence à Jules César qui l'utilisait pour ses communications secrètes. Mais la cryptographie est bien antérieure à cela : le plus ancien document chiffré est une recette secrète de poterie qui date du XVIe siècle av. J.-C., qui a été découverte dans l'actuelle Irak.

L'historien en cryptographie David Kahn considère l'humaniste Leon Battista Alberti comme le « père de la cryptographie occidentale », grâce à trois avancées significatives : « la plus ancienne théorie occidentale de cryptanalyse, l'invention de la substitution polyalphabétique, et l'invention du code de chiffrement »[3].

Bien qu'éminemment stratégique, la cryptographie est restée pendant très longtemps un art, pour ne devenir une science qu'au XXIe siècle. Avec l'apparition de l'informatique son utilisation se popularise et se vulgarise quitte à se banaliser et à être utilisé à l'insu du plein gré de l’utilisateur.[réf. nécessaire]

Enfin, la Cryptographie post-quantique permet de dépasser les limites de la cryptographie mathématique.

Utilisations

Les domaines d'utilisations de la cryptographie sont vastes et vont du domaine militaire, au commercial, en passant par la protection de la vie privée.

Protection de la vie privée et limites

Les techniques de cryptographie sont parfois utilisées pour protéger notre vie privée. Ce droit est en effet plus facilement bafoué dans la sphère numérique. Ainsi les limites de la cryptographie quant à sa capacité à préserver la vie privée soulève des questionnements. Deux exemples qui illustrent bien ce sujet sont à trouver dans le domaine de la santé et celui de la blockchain.

La santé est un domaine sensible quant à la protection des données : le secret médical est remis en question avec l’informatisation de la médecine. La cryptographie permet en théorie de protéger les données médicales pour qu’elles ne soient pas accessible à n’importe qui, mais elle n’est pas suffisante. Car tant que le droit n’est pas suffisamment large[pas clair], il existe des failles qui permettent à certains acteurs d’utiliser des données personnelles dès l'accord de l'usager donné, or cet accord est exigé pour l'accès au service, faisant ainsi perdre à l'utilisateur la possibilité de contrôle de ses accès à nos données personnelles.

De plus l’inviolabilité des données médicales est remise en question par les développements qui permettent le déchiffrement de ces données, en effet selon Bourcier et Filippi, l’« anonymat ne semble plus garanti de façon absolue en l’état actuel des techniques de cryptographie ». Avec cette double constatation ils proposent de protéger nos données médicales avec une réforme juridique qui permettraient de faire rentrer les données personnelles médicales non pas dans le droit à la vie privée qui est un droit personnel, mais dans un droit collectif qui permettrait de protéger plus efficacement des données telles que les données génétiques qui concernent plusieurs individus. La création d’un droit collectif pour la santé permettrait ainsi de compenser les limites de la cryptographie qui n’est pas en mesure d’assurer à elle seule la protection de ce type de données[4].

La blockchain est elle aussi l’une des applications de la cryptographie en lien avec la protection de la vie privée. C’est un système décentralisé qui se base entre autres sur des techniques de cryptographie destinées à assurer la fiabilité des échanges tout en garantissant en principe la vie privée. Qui dit système décentralisé implique qu’il n’y a pas de tierce personne par laquelle passe les informations. Ainsi seuls les individus concernés ont accès aux données vu que les données sont chiffrées, d’où un respect important de la vie privée. En pratique cela dit, ce système présente des limites : « la décentralisation est acquise au prix de la transparence »[5]. En effet un tel système ne protège pas les informations concernant la transaction : destinataire, date, et autres métadonnées qui sont nécessaires pour s’assurer de la légitimité. Ainsi une protection complète de la vie privée en blockchain nécessite que ces métadonnées soient elles aussi protégées, puisque celles-ci sont transparentes et donc visibles par tout le monde. Cette protection supplémentaire est rendue possible par de nouvelles techniques d'anonymisation des signatures telles que la signature aveugle, qui sont réputées de garantir la légitimité des transactions sans les rendre publiques. Mais ce processus n’est pas encore applicable partout et n’est qu’à l’état embryonnaire pour certaines techniques. Malgré tout avec le temps de plus en plus de systèmes permettront de résoudre cette limitation[5].[Quand ?]

Réglementation

Le cadre législatif de la cryptographie est variable et sujet aux évolutions.

D’une part, il est sujet aux évolutions des technologies, de leur efficacité et de leur accessibilité. En effet la démocratisation d’Internet et des ordinateurs personnels fondent un nouveau cadre dans les années 80-90, comme nous le verrons avec l’exemple de la loi française.

D’autre part, ces lois évoluent selon le contexte politique. En effet, suite aux attentats du 11 septembre 2001, les gouvernements occidentaux opèrent une reprise du contrôle des données circulant sur Internet et de toutes les données potentiellement cachées par la cryptographie.

Cela se fait de plusieurs façons : d’une part, par la mise en place de lois obligeant les fournisseurs de systèmes de communication, cryptés ou non, à fournir à certaines entités étatiques des moyens d’accéder à toutes ces données. Par exemple en France, alors qu’en 1999, la loi garantit la protection des communications privées par voie électronique, celle-ci subit l’amendement à la Loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des communications électroniques. Cet amendement formalise précisément le moyen législatif d’accéder à des données encryptées décrit précédemment.

D’autre part, certains services gouvernementaux développent des systèmes d’inspection de réseaux afin de tirer des informations malgré le chiffrement des données. On peut notamment citer le programme de surveillance électronique Carnivore aux États-Unis.

Toutefois, la réglementation sur les systèmes de cryptographie ne laisse que peu de place à un contrôle par des entités telles que des gouvernements. En effet, les logiciels et algorithmes les plus performants et répandus sont issus de la connaissance et des logiciels libres comme PGP ou OpenSSH. Ceux-ci offrent une implémentation fonctionnelle des algorithmes de chiffrement modernes pour assurer le chiffrement de courriels, de fichiers, de disques durs ou encore la communication dite sécurisée entre plusieurs ordinateurs. Ces logiciels étant sous licence libre, leur code source est accessible, reproductible et modifiable. Cela implique qu’il est techniquement très difficile de les rendre exclusifs à une entité — étatique par exemple — et d’en avoir le contrôle. Le chiffrement devient alors utilisable par nombre de personnes, permettant de contrevenir à une loi[6].

Politique

Démocratie

Bien que la cryptographie puisse paraître être une opportunité pour la démocratie au premier abord, la réalité n’est pas forcément si unilatérale. Il est clair que l’utilisation de cette technologie permet de protéger la liberté d’expression. Toutefois, cela ne suffit pas à dire que la cryptographie est bénéfique à la démocratie, puisque l'enjeu démocratique dépasse la simple liberté l’expression. En particulier, la démocratie suppose un système de lois et de mécanismes de sanctions qui mène la liberté d’expression vers une activité politique constructive[7].

Stratégies de l’État

Avec l’apparition de la cryptographie électronique et dans un monde toujours plus numérisé, la politique doit aussi s’adapter. Winkel observe trois politiques différentes pour les gouvernements: la stratégie libérale, la stratégie de prohibition et la stratégie du tiers de confiance[7].

Stratégie de prohibition

La stratégie de prohibition consiste à restreindre l’utilisation de la cryptographie en imposant des contrôles d’import-export, des restrictions d’utilisation ou encore d’autres mesures pour permettre à l’État et ses institutions de mettre en œuvre dans le monde virtuel la politique (principes et lois) du « vrai » monde. Cette stratégie est généralement appliquée dans des pays à régime politique autoritaire, par exemple en Chine avec le Grand Firewall ou en Corée du Nord[7].

Stratégie du tiers de confiance

La stratégie du tiers de confiance a pour but de garder la balance qu’il existe dans le « vrai » monde entre d’un côté la législation et les potentielles sanctions de l’État et de l’autre la protection de secrets économiques ou de la sphère privée, dans le monde virtuel. La mise en place d’un tel système est toutefois plus technique.

Le principe consiste en un dépôt des copies des clés d’encryption des utilisateurs dans les mains d’un tiers de confiance qui, selon certaines procédures sur demande d’une autorité légale compétente, pourrait leur transmettre la clef à des fins d’audit. Cette solution, bien que paraissant optimale du point de vue de la théorie démocratique, présente déjà un certain nombre de difficultés techniques comme la mise en place et l'entretien de l’infrastructure requise. De plus, il est utopique d’imaginer que la mise en place de cadres légaux plus sévères découragera les criminels et organisations anticonstitutionnelles d’arrêter leurs activités. Cela s’applique à la stratégie du tiers de confiance et à celle de prohibition[7].

Stratégie libérale

La stratégie libérale répandue dans le monde laisse un accès "total" aux technologies de cryptographie, pour sécuriser la vie privée des citoyens, défendre la liberté d’expression dans l’ère numérique, laisser les entreprises garder leurs secrets et laisser les entreprises exporter des solutions informatiques sécurisées sur ldes marchés internationaux.

Cependant, les criminels et opposants de la Constitution[Laquelle ?] peuvent utiliser cette technologie à des fins illicites — ou anticonstitutionnelles —[Laquelle ?] comme armes, drogue ou pédo-pornographie sur le Dark Web[7].

Autres formes de législation

Les États-Unis et la France interdisent l'exportation de certaines formes de cryptographie, voir Lois sur les chiffrement sur wikipedia anglophone.

Algorithmes et protocoles

Algorithmes de chiffrement faible (facilement déchiffrables)

Les premiers algorithmes utilisés pour le chiffrement d'une information étaient assez rudimentaires dans leur ensemble. Ils consistaient notamment au remplacement de caractères par d'autres. La confidentialité de l'algorithme de chiffrement était donc la pierre angulaire de ce système pour éviter un décryptage rapide.

Exemples d'algorithmes de chiffrement faibles :

Algorithmes de cryptographie symétrique (à clé secrète)

Les algorithmes de chiffrement symétrique se fondent sur une même clé pour chiffrer et déchiffrer un message. L'un des problèmes de cette technique est que la clé, qui doit rester totalement confidentielle, doit être transmise au correspondant de façon sûre. La mise en œuvre peut s'avérer difficile, surtout avec un grand nombre de correspondants car il faut autant de clés que de correspondants.

Quelques algorithmes de chiffrement symétrique très utilisés :

  • Chiffre de Vernam (le seul offrant une sécurité théorique absolue, à condition que la clé ait au moins la même longueur que le message à chiffrer, qu'elle ne soit utilisée qu'une seule fois et qu'elle soit totalement aléatoire)
  • DES
  • 3DES
  • AES
  • RC4
  • RC5
  • MISTY1
  • et d'autres (voir la liste plus exhaustive d'algorithmes de cryptographie symétrique).

Algorithmes de cryptographie asymétrique (à clé publique et privée)

Pour résoudre le problème de l'échange de clés, la cryptographie asymétrique a été mise au point dans les années 1970. Elle se base sur le principe de deux clés :

  • une publique, permettant le chiffrement ;
  • une privée, permettant le déchiffrement.

Comme son nom l'indique, la clé publique est mise à la disposition de quiconque désire chiffrer un message. Ce dernier ne pourra être déchiffré qu'avec la clé privée, qui doit rester confidentielle.

Quelques algorithmes de cryptographie asymétrique très utilisés :

  • RSA (chiffrement et signature) ;
  • DSA (signature) ;
  • Protocole d'échange de clés Diffie-Hellman (échange de clé) ;
  • et d'autres ; voir cette liste plus complète d'algorithmes de cryptographie asymétrique.

Le principal inconvénient de RSA et des autres algorithmes à clés publiques est leur grande lenteur par rapport aux algorithmes à clés secrètes. RSA est par exemple 1000 fois plus lent que DES. En pratique, dans le cadre de la confidentialité, on s'en sert pour chiffrer un nombre aléatoire qui sert ensuite de clé secrète pour un algorithme de chiffrement symétrique. C'est le principe qu'utilisent des logiciels comme PGP par exemple.

La cryptographie asymétrique est également utilisée pour assurer l'authenticité d'un message. L'empreinte du message est chiffrée à l'aide de la clé privée et est jointe au message. Les destinataires déchiffrent ensuite le cryptogramme à l'aide de la clé publique et retrouvent normalement l'empreinte. Cela leur assure que l'émetteur est bien l'auteur du message. On parle alors de signature ou encore de scellement.

La plupart des algorithmes de cryptographie asymétrique sont vulnérables à des attaques utilisant un calculateur quantique, à cause de l'algorithme de Shor. La branche de la cryptographie visant à garantir la sécurité en présence d'un tel adversaire est la cryptographie post-quantique.

Fonctions de hachage

Une fonction de hachage est une fonction qui convertit un grand ensemble en un plus petit ensemble, l'empreinte. Il est impossible de la déchiffrer pour revenir à l'ensemble d'origine, ce n'est donc pas une technique de chiffrement.

Quelques fonctions de hachage très utilisées :

  • MD5 ;
  • SHA-1 ;
  • SHA-256 ;
  • et d'autres ; voir cette liste plus complète d'algorithmes de hachage.

L'empreinte d'un message ne dépasse généralement pas 256 bits (maximum 512 bits pour SHA-512) et permet de vérifier son intégrité.

Communauté

Mouvements sociaux/politiques

Le mouvement Cypherpunk

Le mouvement Cypherpunk, qui regroupe des partisans d'une idéologie dite « cyber libertarienne »[8], est un mouvement créé en 1991 œuvrant pour défendre les droits civils numériques des citoyens, à travers la cryptographie[9].

Essentiellement composé de hackers, de juristes et de militants de la liberté sur le web ayant pour objectif commun une plus grande liberté de circulation de l'information, ce groupe s'oppose à toute intrusion et tentative de contrôle du monde numérique par des grandes puissances, en particulier les États.

Les crypto-anarchistes considèrent la confidentialité des données privées comme un droit inhérent. En s'inspirant du système politique libéral américain, ils défendent le monde numérique en tant qu'espace à la fois culturel, économique et politique à l'intérieur d'un réseau ouvert et décentralisé, où chaque utilisateur aurait sa place et pourrait jouir de tous ses droits et libertés individuelles.

Les crypto-anarchistes cherchent à démontrer que les libertés numériques ne sont pas des droits à part, contraints d’exister seulement dans le domaine technique qu’est internet mais que maintenant le numérique est un élément important et omniprésent dans la vie quotidienne, et ainsi, il est primordial dans la définition des libertés fondamentales des citoyens. Les droits et libertés numériques ne doivent pas être considérées comme moins importante que celles qui régissent le monde matériel[8].

La création des crypto-monnaies en mai 1992 (source ?), remplit un des objectifs du mouvement en offrant une monnaie digitale intraçable en ligne mais permet également l'expansion de marchés illégaux sur le web.

L’apparition de nouvelles techniques (logiciels de surveillance de masse comme Carnivore, PRISM, XKeyscore...) a en fait mené à plus de surveillance, moins de vie privée, et un plus grand contrôle de la part des États qui se sont approprié ces nouvelles technologies.

Crypto-anarchistes (pour l’anonymisation des communications) et États (pour le contrôle des communications) s’opposent le long de ces arguments.

Un axiome central du mouvement Cypherpunk est que, pour rééquilibrer les forces entre l’État et les individus, il faut la protection des communications privées ainsi que la transparence des informations d’intérêt public, comme l’énonce la devise : « Une vie privée pour les faibles et une transparence pour les puissants »[9].

Dans ce sens, Julian Assange (un des plus importants membres du mouvement Cypherpunk) a créé WikiLeaks, un site qui publie aux yeux de tous, des documents et des secrets d’État initialement non connus du grand public.

Les événements du 11 septembre 2001 ont été des arguments de poids pour les États, qui avancent qu'une régulation et un contrôle du monde d'internet sont nécessaire afin de préserver nos libertés.

L'apparition de lanceur d'alerte comme Edward Snowden en 2013 est un événement important en faveur du mouvement crypto-anarchiste, qui s'opposent au contrôle de l’État dans le monde numérique.

Autres mouvements

D'autres groupes/mouvements importants sont créés pour défendre les libertés d’internet, partageant des objectifs avec le mouvement Cypherpunk[8] :

  • Les Anonymous qui défendent la liberté d'expression sur internet et en dehors.
  • L'Electronic Frontier Foundation (EFF) qui défend la confidentialité des données numériques.
  • Le Parti Pirate qui défend l’idée des partages des données et se bat pour les libertés fondamentales sur Internet (partage d’informations, de savoirs culturels et scientifiques qui sont parfois bannis d’internet).

Notes et références

Notes

    Références
    1. « crypter », Le Grand Dictionnaire terminologique, Office québécois de la langue française (consulté le )
    2. Référentiel Général de Sécurité de l'ANSSI, annexe B1 version 2.03 du 21 février 2014, p. 32.
    3. Cf. (en) David Kahn, The Codebreakers, Scribner & Sons, (réimpr. 1996), 1200 p. (ISBN 0-684-83130-9)
    4. D. Bourcier et P. de Filippi, « Vers un droit collectif sur les données de santé »
    5. P. de Filippi, « The interplay between decentralization and privacy: the case of blockchain technologies »
    6. P. Jollivet, « Politiques de la cryptographie », Multitudes, vol. n° 7, no 4, p. 242‑245, 2001.
    7. O. Winkel, « Electronic Cryptography—Chance or Threat for Modern Democracy? », Bulletin of Science, Technology & Society, vol. 23, no 3, p. 185‑191, juin 2003, doi: 10.1177/0270467603023003006.
    8. B. Loveluck, « Internet, une société contre l’État ? »
    9. R. Chalmers, « The Politics Of Cryptography: How Has Cryptography Transformed Power Relations Between Citizens And The State Through Privacy & Finance? »

    Annexes

    Bibliographie
    • David Kahn (trad. de l'anglais par Pierre Baud, Joseph Jedrusek), La guerre des codes secrets [« The Codebreakers »], Paris, InterEditions, , 405 p. (ISBN 2-7296-0066-3).
    • Simon Singh (trad. Catherine Coqueret), Histoire des codes secrets [« The Code Book »], Librairie générale française (LFG), coll. « Le Livre de Poche », , 504 p., Poche (ISBN 2-253-15097-5, ISSN 0248-3653, OCLC 47927316).
    • Jacques Stern, La Science du secret, Paris, Odile Jacob, coll. « Sciences », , 203 p. (ISBN 2-7381-0533-5, OCLC 38587884, lire en ligne)
      Non mathématique.
    • Gilles Zémor, Cours de cryptographie, Paris, Cassini, , 227 p. (ISBN 2-84225-020-6, OCLC 45915497).
    • « L'art du secret », Pour la science, dossier hors-série, juillet-octobre 2002.
    • Douglas Stinson (trad. de l'anglais par Serge Vaudenay, Gildas Avoine, Pascal Junod), Cryptographie : Théorie et pratique [« Cryptography : Theory and Practice »], Paris, Vuibert, coll. « Vuibert informatique », , 337 p., Broché (ISBN 2-7117-4800-6, ISSN 1632-4676, OCLC 53918605)
      Présentation claire des mathématiques de la cryptographie.
    • (en) Handbook of Applied Cryptography, A.J. Menezes, éd. P.C. van Oorschot et S.A. Vanstone - CRC Press, 1996. Disponible en ligne :
    • Site thématique de la sécurité des systèmes d'information : site officiel de l'Agence nationale de la sécurité des systèmes d'information sur la question de la sécurité informatique. Présentation de la cryptographie, des signatures numériques, de la législation française sur le sujet, etc.
    • Bruce Schneier (trad. de l'anglais par Laurent Viennot), Cryptographie appliquée [« Applied cryptography »], Paris, Vuibert, coll. « Vuibert informatique », , 846 p., Broché (ISBN 2-7117-8676-5, ISSN 1632-4676, OCLC 46592374).
    • Niels Ferguson, Bruce Schneier (trad. de l'anglais par Henri-Georges Wauquier, Raymond Debonne), Cryptographie : en pratique [« Practical cryptography »], Paris, Vuibert, coll. « En pratique / Sécurité de l'information et des systèmes », , 338 p., Broché (ISBN 2-7117-4820-0, ISSN 1632-4676, OCLC 68910552).
    • Pierre Barthélemy, Robert Rolland et Pascal Véron (préf. Jacques Stern), Cryptographie : principes et mises en œuvre, Paris, Hermes Science Publications : Lavoisier, coll. « Collection Informatique », , 414 p., Broché (ISBN 2-7462-1150-5, ISSN 1242-7691, OCLC 85891916).
    • Auguste Kerckhoffs, La Cryptographie militaire, L. Baudoin, .
    • Marcel Givierge, Cours de cryptographie, Berger-Levrault, .

    Articles connexes

    Liens externes
    • Portail de la cryptologie
    • Portail de la sécurité de l’information
    • Portail de la sécurité informatique
    Cet article est issu de Wikipedia. Le texte est sous licence Creative Commons - Attribution - Partage dans les Mêmes. Des conditions supplémentaires peuvent s'appliquer aux fichiers multimédias.