Dans tout cours de cryptographie universitaire, la taille de la clé est souvent présentée comme une condition clé de la sécurité d’un crypto système. Pour les éditeurs de solutions sécurisées, la taille de la clé résume tout et devient une condition suffisante. Mais, si cela marche sur le papier, dans la pratique, il en est tout autrement. Les erreurs voire les trappes d’implémentation réduisent souvent la sécurité prétendue d’une application à une peau de chagrin. C’est également sans compter avec les erreurs propres aux utilisateurs : car si la cryptologie a été libéralisée, l’éducation des utilisateurs n’a jamais été faite et ces derniers se retrouvent avec des outils qui se retournent contre eux du fait de l’ignorance de règles de bases. Dans le cas d’un utilisateur lambda, c’est d’une gravité toute relative, cela peut être dramatique pour un usage professionnel. Dans cet article, nous montrons comment opérationnellement casser le chiffrement RC4 128 bits de la suite Office de Microsoft (jusqu'à la version 2003) et réfléchissons à comment dissimuler des trappes dans une application.
1. Introduction
La suite Office de Microsoft propose de protéger les documents produits via un chiffrement allant du XOR (le plus faible) à l’algorithme RC4 avec une clé de 128 bits. Ce dernier est considéré comme offrant une sécurité suffisante, tant pour la taille de la clé que vis-à-vis de l’algorithme, considéré par l’industrie, il y a encore peu, comme solide. Ce chiffrement est présent dans les suites Office jusqu’à la version 2003. Mais rappelons que cette dernière représente à ce jour plus de 75% des licences des particuliers et encore prés de 80% des licences professionnelles. Ceci s’explique par le fait que la version Office 2007 n’a pas réussi à séduire beaucoup de personnes du fait d’une rupture d’ergonomie déroutante.
En 2005, un chercheur singapourien [1] a mis en évidence une faiblesse dans l’utilisation de RC4 128 de la suite Office : les clés restent les mêmes pour toutes les versions modifiées (révisions) d’un...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
