Attaques par canaux auxiliaires sur AES – Partie 2

Magazine
Marque
MISC
Numéro
98
|
Mois de parution
juillet 2018
|
Domaines


Résumé
Nous avons présenté dans la première partie de cet article le principe des attaques par canaux auxiliaires sur les algorithmes de cryptographie à clef privée en prenant pour exemple l’AES. Dans cette seconde partie, nous nous intéressons aux contre-mesures utilisées pour s’en protéger et poursuivons notre exposé avec deux classes d’attaques plus puissantes : les attaques multivariées et les attaques profilées.

La suite est réservée aux abonnés. Déjà abonné ? Se connecter

Sur le même sujet

Élévation de privilèges sur macOS avec CVE-2018-4193

Magazine
Marque
MISC
Numéro
106
|
Mois de parution
novembre 2019
|
Domaines
Résumé

Cet article explique comment exploiter la CVE-2018-4193, une élévation de privilèges affectant les versions de macOS inférieures à 10.13.5, en moins de 10 secondes. Les différents prérequis nécessaires à la compréhension de l’exploit seront détaillés de sorte qu’aucune connaissance préalable de macOS ne soit nécessaire, ce qui permet d’aborder l’exploitation de vulnérabilités dans les démons macOS en général.

Auditer la sécurité d'une application iOS

Magazine
Marque
MISC
Numéro
106
|
Mois de parution
novembre 2019
|
Domaines
Résumé

Auditer la sécurité d'une application iOS n'est toujours pas une tâche aisée. Force est de constater que la plupart des auditeurs, amateurs de bug bounty ou autres curieux préfèrent travailler sur les applications Android malgré les récentes protections ajoutées au système d'exploitation de Google. Nous allons malgré tout essayer de présenter une méthodologie qui rend possible l'analyse orientée sécurité d'une application iOS, même sans jailbreak. Un bref rappel sera effectué pour ensuite introduire quelques outils et documentations apparues ces derniers mois.

Sondes de détection : performances, évaluations et biais

Magazine
Marque
MISC
Numéro
106
|
Mois de parution
novembre 2019
|
Domaines
Résumé

En avril 2019, l’ANSSI a qualifié les premières sondes pour assurer la supervision de sécurité de réseaux. Les opérateurs d’importance vitale (OIV), les opérateurs de services essentiels (OSE) et, d’une manière générale, les organismes opérant des fonctions sensibles disposent ainsi de produits français de confiance : Cybels Sensor de Thales et Trackwatch Full Edition de Gatewatcher.La méthodologie d’évaluation des sondes n’est, hélas, pas publique. Les ingénieurs sécurité et réseau devant intégrer ces sondes ne disposent donc pas de guides pour effectuer la recette de leur efficacité en production. Cet article propose un retour d’expérience sur l’évaluation des sondes, notamment sous l’angle de la performance. Cet aspect est, en effet, particulièrement significatif puisque le taux de détection d’une sonde diminue si elle est submergée, quand bien même elle serait équipée des meilleurs signatures et moteurs d’analyse.

Richelieu : solution du challenge de la DGSE

Magazine
Marque
MISC
Numéro
106
|
Mois de parution
novembre 2019
|
Domaines
Résumé

En mai 2019, la DGSE (Direction Générale de la Sécurité Extérieure) a organisé pour la première fois un challenge de sécurité informatique ouvert au public, qu’elle a baptisé Challenge Richelieu. Je vous invite à écouter la bande originale du Bureau des Légendes en fond sonore. Imprégnez-vous de cette atmosphère pleine de tension où les secrets sont rois, puis regardons ensemble ce que nous réservait ce challenge.

Aléa et cryptanalyse de générateurs

Magazine
Marque
MISC
Numéro
106
|
Mois de parution
novembre 2019
|
Domaines
Résumé

La plupart des applications en cryptographie moderne nécessitent à un moment ou un autre une source d’aléa [1]. Que ce soit pour chiffrer, générer des nonces, des clés ou même des sels cryptographiques. Mais comment générer de l’aléa sur nos ordinateurs qui sont des machines déterministes ?Dans cet article, nous allons nous intéresser à la place de l’aléa dans les algorithmes de chiffrements modernes. Puis nous verrons trois CTF ou le but est de cryptanalyser des générateurs de nombres aléatoires ; cela nous permettra d’en comprendre le fonctionnement et de voir quelques attaques sur des générateurs de nombres aléatoires.

Par le même auteur

Attaques par canaux auxiliaires sur AES – Partie 2

Magazine
Marque
MISC
Numéro
98
|
Mois de parution
juillet 2018
|
Domaines
Résumé
Nous avons présenté dans la première partie de cet article le principe des attaques par canaux auxiliaires sur les algorithmes de cryptographie à clef privée en prenant pour exemple l’AES. Dans cette seconde partie, nous nous intéressons aux contre-mesures utilisées pour s’en protéger et poursuivons notre exposé avec deux classes d’attaques plus puissantes : les attaques multivariées et les attaques profilées.

Attaques par canaux auxiliaires sur AES – Partie 1

Magazine
Marque
MISC
Numéro
97
|
Mois de parution
mai 2018
|
Domaines
Résumé
L’implémentation d’un algorithme cryptographique requiert beaucoup de précautions lorsque le composant sur lequel le code est exécuté peut se retrouver entre les mains d’un attaquant, même s’il s’agit d’un algorithme éprouvé tel que l’AES. Nous présentons dans la première partie de cet article le principe des attaques par canaux auxiliaires sur les algorithmes de cryptographie à clef privée en prenant pour exemple l’AES.

Courbes elliptiques et attaques par canaux auxiliaires

Magazine
Marque
MISC
Numéro
44
|
Mois de parution
juillet 2009
|
Domaines
Résumé
L'embarqué est un monde dans lequel les contraintes de puissance de calcul et d'espace mémoire sont particulièrement sensibles. Ces raisons ont conduit les acteurs de ce domaine, en particulier ceux de la carte à puce, à se tourner vers des cryptosystèmes utilisant les courbes elliptiques qui s'avèrent très avantageux en termes de rapport sécurité/longueur de clefs. Néanmoins, l'univers de l'embarqué est connu pour être vulnérable à une classe d'attaques particulières : les attaques par canaux auxiliaires, sujet présenté il y a quelques mois dans Misc n°41. Nous verrons dans cet article comment ces attaques s'appliquent en cryptographie aux courbes elliptiques et les contre-mesures qui ont été mises au point.