Sécurité des communications & PKI Philippe MANONVILLER Philippe POCOBELLO

Sécurité des Sécurité des communicationscommunications

& PKI& PKI

Philippe MANONVILLERPhilippe MANONVILLER

Philippe POCOBELLOPhilippe POCOBELLO

Les chiffres symétriques ( clef secrète )Les chiffres symétriques ( clef secrète )

Les chiffres Asymétriques ( clef publique – clef Les chiffres Asymétriques ( clef publique – clef privée )privée )

Pretty Good Privacy ( PGP )Pretty Good Privacy ( PGP )

Les infrastructures à clefs publiquesLes infrastructures à clefs publiques

La législationLa législation

La cryptographie quantiqueLa cryptographie quantique

QuestionsQuestions

Ecriture secrète

Stéganographie (cachée)

Cryptographie(brouillée)

Par TranspositionPar Substitution

Code(Change les mots)

Chiffre(Change les lettres)

Nomenclature(Mélange code & chiffre)

Les chiffres symétriquesLes chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique

Les chiffres symétriquesLes chiffres symétriques

Texte en

clair

A B

Algorithme

Clef secrète

Texte chiffré

Texte en

clair

Algorithme


Les règles à respecterLes règles à respecter

• Le chiffre doit être poly-alphabétique Le chiffre doit être poly-alphabétique pour éviter l’analyse de fréquencespour éviter l’analyse de fréquences

• La clef doit être de grande longueur La clef doit être de grande longueur pour lutter contre la cyclicité pour lutter contre la cyclicité

• Elle doit être à usage unique (masque Elle doit être à usage unique (masque jetable)jetable)

• Elle doit être générée aléatoirement Elle doit être générée aléatoirement pour éviter la méthode du va-et-vientpour éviter la méthode du va-et-vient


Avantages - inconvénientsAvantages - inconvénients

• Potentiellement incassablePotentiellement incassable

• Traitements faciles à mettre en oeuvreTraitements faciles à mettre en oeuvre

• Rapidité ( 1000 x Algo Biclefs )Rapidité ( 1000 x Algo Biclefs )

• Problème de la distribution des clefsProblème de la distribution des clefs

• Réservée à une communauté fermée Réservée à une communauté fermée d’utilisateurs, contrairement au d’utilisateurs, contrairement au @Commerce ( n vers 1 )@Commerce ( n vers 1 )


Les chiffres AsymétriquesLes chiffres Asymétriques

Texte en

clair

A BTexte chiffré

Algorithme

Texte en

clair

Algorithme

Clef privée de BClef publique de B

Les chiffres symétriques / Les chiffres symétriques / Les chiffres AsymétriquesLes chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / PGP / ICP / La législation / La cryptographie quantique

La signature électroniqueLa signature électronique

Texte à

signer

A B

Hachage

Clef privée de signature de A

Signature

Empreinterecalculée

Hachage

Par B

Empreintereçue

Empreinte signée

Texte

Clef publique de signature de A

Contrôle de Signature

EmpreinteGénérée


Les règles à respecterLes règles à respecter

• Réserver une biclef à un usage donné Réserver une biclef à un usage donné (ne pas chiffrer et signer avec la (ne pas chiffrer et signer avec la même)même)

• S’assurer du réel propriétaire de la S’assurer du réel propriétaire de la clef publique utilisée.clef publique utilisée.

• S’assurer des dates de validité de la S’assurer des dates de validité de la clef clef

Utilisation de certificatsUtilisation de certificats


Avantages - inconvénientsAvantages - inconvénients

• Il n’y a plus d’échanges préalable de clefsIl n’y a plus d’échanges préalable de clefs

• Echanges « n vers n », plus « 1 vers 1 »Echanges « n vers n », plus « 1 vers 1 »

• Bien adapté au commerce électroniqueBien adapté au commerce électronique

• Fiabilité des clefs publiques Fiabilité des clefs publiques

• Sécurité dépendant de l’évolution Sécurité dépendant de l’évolution technologique et des connaissances.technologique et des connaissances.


PGPPGP

Texte en clair

A B

Texte chiffré

Empreinte signée

Clef de session générée aléatoirement

Clef publique de B

Clef privée de signature de A

Clef de session chiffrée

Clef privée de BClef de session

Texte en clair

Clef publique de signature de A

Empreinte

Empreinte

Les chiffres symétriques / Les chiffres Asymétriques / Les chiffres symétriques / Les chiffres Asymétriques / PGPPGP / ICP / La législation / La cryptographie quantique / ICP / La législation / La cryptographie quantique

En français: ICPEn français: ICPIInfrastructure à nfrastructure à CClef lef

PPubliqueublique

LES PKILES PKI PPublic ublic KKey ey IInfrastructurenfrastructure

Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICPICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique

DéfinitionDéfinition

• C ’est un système de gestion des bi-clés (clefs publiques / clef privée) fiable.

• Permet la mise en place de signature électronique

• Il assure :La confidentialité, l'authentification, l'intégrité,la non-répudiation.

Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP ICP / La législation / La cryptographie quantique/ La législation / La cryptographie quantique

ORGANISATION D ’UNE PKIORGANISATION D ’UNE PKI

• Autorité de certification (AC)– chargé de générer les certificats et d ’assurer leur

fiabilité (révocation).

• Autorité d ’enregistrement (AE)– établi le lien entre l ’abonné et l ’AC.– Bureau d ’enregistrement (BE)

• Système de distribution des clefs– Son rôle est de rendre disponible à l’ensemble des

utilisateurs les certificats de clefs publiques émis par l’autorité de certification

– Bureau d’enregistrement et de distributions (BED)


PKIPKI

Autorité

d ’enregistrement

Demande

Bureau

d ’enregistrement

Autorité

de certification

Certificat

Autorité de gestion

de la politique(AGP)

Opérateur de

certification


Les certificatsLes certificats

• Le but :Le but :– Valider avec certitude le lien entre la Valider avec certitude le lien entre la

clef publique et son propriétaireclef publique et son propriétaire

• L’organisme de normalisation ISO a défini la L’organisme de normalisation ISO a défini la norme X.509 définissant le format et le contenu norme X.509 définissant le format et le contenu d’un certificat digital.d’un certificat digital.

Les chiffres symétriques / Les chiffres Asymétriques / PGP /Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP ICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique

Le certificatLe certificat

Certificat

VersionNuméro de série

Algo ID et paramètresEmetteur

Période de validité…

PropriétairePK du Propriétaire

Algo ID et paramètresSIGNATURE

Version1988 : v11993: v2 (v1+2 nouveaux champs)1996: v3 (v2 + extensions)

Numéro de sérieNuméro de série du certificat (propre à chaque autorité de certification)

Algo IdIdentifiant du type d ’algorithme

de signature utilisé.Exemple: SHA1 , MD5, ...

EmetteurIdentifie l ’autorité de certification qui a émis ce certificat

Période de validitéUn certificat a toujours une duréede vie définie

Le Propriétaire est le nom de l ’entité à qui appartient ce certificat

C ’est la clef publique du

propriétaire (PK)

L ’algo ID désigne l ’algorithme qui sera utilisé avec la clef publiqueLes paramètres associés indiquentpar exemple la longueur de la clef …..

signature numérique de l'autorité

de certification sur l'ensemble

des champs précédents.

Protection du certificatProtection du certificat

Informations du certificat

Clef privée de l’autorité de certification

Informations du certificat

Hash chiffré

SIGNATURE


Exemple d ’un certificat Exemple d ’un certificat sous Windowssous Windows

Exemple d ’un certificat Exemple d ’un certificat sous Windowssous Windows

Les classes de certificatsLes classes de certificats

• Classe 1Classe 1– lien entre une lien entre une adresse électroniqueadresse électronique et une clef publique et une clef publique– Pour la signature de message électronique sans valeur marchande ou Pour la signature de message électronique sans valeur marchande ou

juridiquejuridique

• Classe 2Classe 2– lien entre une lien entre une identitéidentité et une clef publique et une clef publique– Pour les transactions du commerce électronique courant (avec un Pour les transactions du commerce électronique courant (avec un

plafond financier)plafond financier)

• Classe 3Classe 3– lien entre une lien entre une identité physiqueidentité physique et une clef publique et une clef publique– Pour toutes transactionsPour toutes transactions– un certificat de classe 3 est obtenu par remise en mains propres au un certificat de classe 3 est obtenu par remise en mains propres au

candidat qui devra se présenter dans les bureaux de l’autorité de candidat qui devra se présenter dans les bureaux de l’autorité de certification. certification.

– La classe 3 offre le plus haut niveau de sécurité.La classe 3 offre le plus haut niveau de sécurité.


Comment ça marche…Comment ça marche…Exemple:SSLExemple:SSL

Client Serveur

DonnéesAléatoires

Version SSL…. Algo utilisé…etc ….

DonnéesAléatoires


CertificatDu

serveur

LCR

?Ok !

Pré Clé Secrète

Clé session Clé privée

Clé session

Session SSLClé Lue

La législationLa législation• En France, «un décret relatif à la signature électronique reconnaît la validité des signatures numériques. L’écrit sur support électronique a désormais la même force probante que l’écrit sur support papier. Cependant, la signature électronique est En France, «un décret relatif à la signature électronique reconnaît la validité des signatures numériques. L’écrit sur support électronique a désormais la même force probante que l’écrit sur support papier. Cependant, la signature électronique est

reconnue comme preuve juridique à la seule condition de s’appuyer sur un prestataire de service de certification.»reconnue comme preuve juridique à la seule condition de s’appuyer sur un prestataire de service de certification.»

• seules des autorités de certifications accréditées par arrêté du Premier ministre (DCSSI) ont le droit d’émettre des certificats ayant une valeur légale. Ces derniers sont appelés certificats qualifiés.seules des autorités de certifications accréditées par arrêté du Premier ministre (DCSSI) ont le droit d’émettre des certificats ayant une valeur légale. Ces derniers sont appelés certificats qualifiés.

• Le décret d'application relatif à signature électronique est publié sur le JO n°77 du 30 mars 2001.

• Le décret d'application relatif à signature électronique est publié sur le JO n°77 du 31 mars 2001.Le décret d'application relatif à signature électronique est publié sur le JO n°77 du 31 mars 2001.

Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législationLa législation / La cryptographie quantique / La cryptographie quantique

La législationLa législation

• la loi française autorise actuellement l’utilisation de clefs la loi française autorise actuellement l’utilisation de clefs symétriques de 40 à 128 bits aussi bien pour des échanges symétriques de 40 à 128 bits aussi bien pour des échanges privés que professionnels. L’usage de clefs plus longues est privés que professionnels. L’usage de clefs plus longues est réservé à l’armée française.réservé à l’armée française.

• Les clefs asymétriques ont, quant à elles, des longueurs Les clefs asymétriques ont, quant à elles, des longueurs allant de 1024 et 4096 bits. Mais comme dans la pratique allant de 1024 et 4096 bits. Mais comme dans la pratique elles ne sont utilisées dans les transactions que pour elles ne sont utilisées dans les transactions que pour échanger une clef symétrique, les législateurs se sont échanger une clef symétrique, les législateurs se sont contentés de limiter la longueur des clefs symétriques.contentés de limiter la longueur des clefs symétriques.


La législation …. le La législation …. le ProblèmeProblème• la législation sur la signature électronique ainsi que la la législation sur la signature électronique ainsi que la

longueur maximale des clefs sont décidées au niveau de longueur maximale des clefs sont décidées au niveau de chaque Etat. Il n’y a donc pas de standard mondial sur le chaque Etat. Il n’y a donc pas de standard mondial sur le sujet, ce qui constitue un frein pour le commerce sujet, ce qui constitue un frein pour le commerce international sur Internet.international sur Internet.

• Une standardisation à l’échelle internationale semble Une standardisation à l’échelle internationale semble indispensable à moyen terme afin de faciliter le commerce indispensable à moyen terme afin de faciliter le commerce

électronique international.électronique international.


La législation… et les La législation… et les ActeursActeurs

• Les acteurs qualifiés :Les acteurs qualifiés :– CertinomisCertinomis. Cette société a été créée en août 1999. Elle est . Cette société a été créée en août 1999. Elle est

issue de l’association de La Poste et Sagem.issue de l’association de La Poste et Sagem.– CertplusCertplus a été crée en 1998 par France Telecom, Gemplus, a été crée en 1998 par France Telecom, Gemplus,

Matra Hautes Technologies et VerisignMatra Hautes Technologies et Verisign– ChamberSign.ChamberSign. Crée en Février 2001 par les Chambres de Crée en Février 2001 par les Chambres de

Commerce et d'Industrie françaises , Autorité de Certification Commerce et d'Industrie françaises , Autorité de Certification

des signatures électroniques pour les entreprises.des signatures électroniques pour les entreprises. (FIA-NET)(FIA-NET)



Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantiqueLa cryptographie quantique

• Basé sur le caractère corpusculaire Basé sur le caractère corpusculaire et ondulatoire de la lumièreet ondulatoire de la lumière


A B

Génère aléatoirement des photons polarisés et les expédie à B

Génère aléatoirement des filtres polarisantset les utilise pour lire les photons reçus

A et B pointent les photons correspondants aux filtres et éliminent les autres

Ils ont établi une clef à masque jetable (symétrique et à usage unique)

Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantiqueLa cryptographie quantique

QuestionsQuestions

Documents

Sécurité des communications & PKI Philippe MANONVILLER Philippe POCOBELLO