» Cryptage de qualité militaire »

Et autres conneries de marketing de sécurité

2 Avr. 2019 * 5 min de lecture

Partout où je regarde, les entreprises disent qu’elles protègent les données en utilisant un « cryptage de qualité militaire. »

Wow! Cela semble fantastique! Inscrivez-moi ! Si c’est assez bon pour les militaires, alors c’est assez bon pour moi!

Ou c’est ce qu’ils espèrent que vous pensez. Hélas, cette affirmation est plus souvent la marque d’une mauvaise sécurité que d’une bonne protection.

Alors, qu’est-ce qu’un « cryptage de qualité militaire » ? Ce n’est pas une question simple car l’armée a des exigences différentes pour différentes sensibilités et celles-ci vont bien au-delà de l’algorithme de cryptage utilisé.

Cela dit, les algorithmes de chiffrement considérés comme utilisables par l’armée sont dans la liste de cryptographie de la Suite B de la NSA (qui sera bientôt remplacée). Un algorithme spécifique, AES, est sur la liste et largement utilisé. Dans 99% des cas, cet algorithme est ce que les gens veulent dire lorsqu’ils prétendent utiliser un « cryptage de qualité militaire. »

Alors, quel est le problème avec cette affirmation? L’AES est-il mauvais ?

AES est bien (sans doute, il y a de meilleures options, mais jamais). AES est comme une veste de camouflage. Vous ne pouvez pas simplement le mettre et vous appeler prêt militaire.

L’utilisation d’un algorithme de cryptage puissant ne signifie pas en soi que les données sont sûres. Par exemple, le texte que vous lisez en ce moment a été chiffré sur son chemin vers vous à l’aide de AES. Cela fait partie de la connexion sécurisée que vous obtenez en raison du « https » dans l’URL. Donc, ce texte que vous lisez est protégé par une « cryptographie de qualité militaire. »Et pourtant, tout le monde peut le voir. Vous n’aviez pas besoin de vous authentifier, d’avoir une clé ou de connaître un secret pour le voir.

Suites de chiffrement TLS utilisées par ce blog; toutes utilisent AES

La protection que vous obtenez de HTTPS empêche un observateur de réseau passif de voir ce que vous lisez et un intermédiaire de réseau actif de modifier le contenu des données au fur et à mesure qu’elles vous parviennent. HTTPS est essentiel pour la sécurité, mais ce n’est pas la protection des données. C’est une protection de connexion.

Ce que la revendication de « cryptage de qualité militaire » ne vous dit pas, c’est:

  1. Quels contrôles d’accès, le cas échéant, sont en place pour protéger les données, ni où et comment ils peuvent être contournés (par exemple, par un administrateur de base de données).
  2. Que le cryptage soit transparent ou opaque : dans de nombreux cas, le cryptage transparent est également transparent pour les attaquants.
  3. Avec AES, la clé de déchiffrement est partagée entre toutes les parties nécessitant un accès. Ce qui pose des questions: qui peut voir la ou les clés? Qui a déjà eu accès? Comment les clés sont-elles protégées ?
  4. Avec AES, il existe de nombreux modes avec divers compromis. Quel mode (GCM, CBC, CTR, etc.) est utilisé et est-ce approprié?
  5. Les touches sont-elles pivotées ? Les vecteurs d’initialisation (IV) sont-ils utilisés correctement ? Qu’en est-il de la source de génération de nombres aléatoires? Si ce n’est pas vraiment aléatoire, le cryptage peut être compromis.

Porte de coffre-fort marron

Imaginez une porte menant à une voûte. Cette chose peut résister aux marteaux et aux pieds-de-biche toute la journée. Mais il a un panneau de code sur le devant. Écrit ci-dessus, c’est le code d’entrée (les gens peuvent être si oublieux, vous savez). Est-ce important la force de cette porte? Aucun.

Les pirates attaquent les systèmes, pas les algorithmes, et ces systèmes comportent de nombreuses parties et de nombreux choix au-delà de l’algorithme.

Pendant que nous y sommes, il y a une autre revendication de protection des données qui sonne bien et qui est utilisée et abusée partout. Et la plupart du temps, cela n’a fondamentalement aucun sens. La revendication ressemble à ceci:

Nous protégeons vos données avec AES-256 encryption Cryptage de qualité militaire

Alors qu’est-ce que cela signifie? « En transit » signifie presque certainement HTTPS. Rappelez-vous comment j’ai dit plus tôt que les données que vous lisez ici étaient cryptées à l’aide d’AES? C’est ce qu’ils disent ici. Ils disent qu’ils utilisent HTTPS. Ne vous méprenez pas, c’est génial, mais cela ne limite pas qui peut accéder aux données.

L’autre partie de ceci est le bit « au repos ». Cela semble prometteur. Donc, si un pirate pénètre dans un serveur, il ne trouvera que des données cryptées et ne pourra pas y accéder, n’est-ce pas?

Probablement pas.

Malheureusement, cela signifie presque certainement qu’ils utilisent un cryptage de disque transparent. C’est une technologie qui, comme HTTPS, est très importante à utiliser et devrait être utilisée par tout le monde. Mais il n’y a rien à se vanter.

Avec un cryptage de disque transparent, si la machine est en cours d’exécution, c’est comme s’il n’y avait pas de cryptage du tout (donc « transparent »). Lorsque l’ordinateur est éteint, les données du disque dur sont des ordures aléatoires sans signification.

Alors à quoi bon? Deux choses:

  1. Quiconque vole un disque dur sur un ordinateur obtiendra un bon disque dur, mais aucune des données qu’il contient.
  2. Si un disque dur tombe en panne pour une raison quelconque, il n’a plus besoin d’être réanimé pour effacer les données ou bien détruit physiquement avant de le jeter.

Tout comme avec le « cryptage de qualité militaire », ce que vous avez ici, ce sont des gens qui se vantent de faire les bases — le minimum possible de nos jours — et de donner l’impression qu’il s’agit d’une couche de protection qui empêcherait les pirates informatiques ou d’autres personnes de consulter vos données.

Conclusion

Vous pouvez rejeter ces phrases comme quelque chose généré par des gens marketing peu avisés, mais pour une chose: les entreprises de sécurité et de cryptographie sont parmi les pires contrevenants. Dans mon esprit, il s’agit d’un geste intentionnel pour souffler de la fumée au visage des clients.

Quiconque se vante de chiffrer « en transit et au repos » et / ou d’utiliser un « cryptage de qualité militaire » se vante de verrouiller sa porte d’entrée. Une telle personne n’a probablement pas une bonne serrure, un système d’alarme, et il est probable qu’elle ait une clé sous le tapis. Parce que qui se vante de faire des choses de base? Si vous voyez ces réclamations, vous devriez vous inquiéter de la sécurité de l’entreprise qui les fait. Je le suis.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée.