Les mains dans la cryptographie

Les tunnels sécurisés sont souvent basés sur des protocoles proches du protocole historique de Diffie et Hellman. La sécurité du tunnel repose sur la résistance de certains groupes finis aux algorithmes de calcul de logarithme discret. Nous faisons le point sur les méthodes de cassage connues.

La cryptographie est un outil magnifique et est intimement liée à la sécurité informatique. De nombreux algorithmes et protocoles sont disponibles gratuitement pour sécuriser vos applications. Cependant, l'utilisation d'outils cryptographiques ne s'improvise pas, et il y a quelques pièges à éviter.

La mise en œuvre pratique de mécanismes cryptographiques suppose tout d'abord de les concevoir, de les implémenter et de garantir une utilisation sûre. Au cours de chacune de ces étapes, des difficultés de natures diverses peuvent surgir avec un impact direct sur la sécurité du mécanisme considéré. Mais l'expérience des concepteurs ou le nombre des développeurs ne suffit pas toujours à éviter ces écueils. Illustration avec le protocole TLS et l'implémentation OpenSSL.

Les fonctions de hachage sont un élément crucial de la quasi-totalité des architectures de sécurité. Après une récente vague d'attaques novatrices importantes, leur construction a dû être revue et un nouveau standard SHA‑3 est en cours d'élaboration.

Il n’est pas nécessaire aujourd’hui de présenter ce qu'est un microcontrôleur. On en trouve désormais à profusion dans tous les produits de notre quotidien, que ce soit le programmateur de sa machine à laver, sa carte de paiement ou son téléphone portable, etc. Cependant, entre ces différentes utilisations, le niveau de sécurité requis diffère. On parle de produit (élément) de sécurité dans le cas notamment des cartes à puce de paiement et de santé, des passeports électroniques.

Ou comment livrer vos secrets à la postérité tout en vous prémunissant des faux frères grâce à un astucieux partage de clé secrète de Shamir exécuté depuis un live CD et accompagné d'un chouia de procédures.

Petit flashback. Nous sommes à la fin des années 90, Windows Millenium est sur le point de sortir, les baladeurs mp3 commencent à se multiplier, et dans l'indifférence générale, les New Executable (NE) de Microsoft périclitent. Heureusement, quelques braves logiciels à la pointe de la technologie persistent à assurer la compatibilité avec Windows 3.x. Nous allons nous intéresser aujourd’hui à l’un d’entre eux, qui porte le doux nom, ô combien évocateur, de charme.exe.

Le protocole RDP est aujourd'hui utilisé quotidiennement dans les entreprises et reste un des incontournables pour la prise en main à distance. D'un point de vue cryptographique, des faiblesses de conception ont été relevées il y a maintenant plusieurs années mais restent toujours d'actualité sur certains systèmes, notamment Windows XP et les premières versions de Windows 2003 Server. Cet article propose de revenir sur ces vulnérabilités en étudiant deux implémentations différentes, celle de Microsoft et celle de Xrdp. En conséquence directe de nos analyses, nous présenterons un exemple pratique de la factorisation d'un modulus RSA 512 bits.

Comment prouver qu'une photographie numérique n'a pas été modifiée avant publication ? En ajoutant des données d'authenticité à l'image, fonction disponible depuis plusieurs années chez Canon et Nikon. Dmitry Sklyarov de la société ElcomSoft a décrit en novembre 2010 [1] le principe général utilisé par les boîtiers de la marque rouge, mais sans livrer suffisamment de détails pour recréer ces données, appelées ici « Original Decision Data », ou ODD. Cet article se propose de décrire comment trouver les secrets de son appareil (sans fer à souder) et comment recalculer ces données. Le constructeur a depuis janvier 2011 supprimé cette fonctionnalité, sans doute en réaction à la présentation précédemment citée, et émis un avis produit [2]. Les pages suivantes se veulent didactiques et en prolongement de la présentation d'ElcomSoft et ne sauraient en aucun cas la remplacer. Elles décrivent des expérimentations faites début 2010, puis achevées en novembre 2010, grâce à la pièce manquante du puzzle...