Sécurité des communications & PKI Philippe MANONVILLER Philippe POCOBELLO.
-
Upload
zoe-chevalier -
Category
Documents
-
view
109 -
download
1
Transcript of Sécurité des communications & PKI Philippe MANONVILLER Philippe POCOBELLO.
Sécurité des Sécurité des communicationscommunications
& PKI& PKI
Philippe MANONVILLERPhilippe MANONVILLER
Philippe POCOBELLOPhilippe POCOBELLO
Les chiffres symétriques ( clef secrète )Les chiffres symétriques ( clef secrète )
Les chiffres Asymétriques ( clef publique – clef Les chiffres Asymétriques ( clef publique – clef privée )privée )
Pretty Good Privacy ( PGP )Pretty Good Privacy ( PGP )
Les infrastructures à clefs publiquesLes infrastructures à clefs publiques
La législationLa législation
La cryptographie quantiqueLa cryptographie quantique
QuestionsQuestions
Ecriture secrète
Stéganographie (cachée)
Cryptographie(brouillée)
Par TranspositionPar Substitution
Code(Change les mots)
Chiffre(Change les lettres)
Nomenclature(Mélange code & chiffre)
Les chiffres symétriquesLes chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique
Les chiffres symétriquesLes chiffres symétriques
Texte en
clair
A B
Algorithme
Clef secrète
Texte chiffré
Texte en
clair
Algorithme
Les chiffres symétriquesLes chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique
Les règles à respecterLes règles à respecter
• Le chiffre doit être poly-alphabétique Le chiffre doit être poly-alphabétique pour éviter l’analyse de fréquencespour éviter l’analyse de fréquences
• La clef doit être de grande longueur La clef doit être de grande longueur pour lutter contre la cyclicité pour lutter contre la cyclicité
• Elle doit être à usage unique (masque Elle doit être à usage unique (masque jetable)jetable)
• Elle doit être générée aléatoirement Elle doit être générée aléatoirement pour éviter la méthode du va-et-vientpour éviter la méthode du va-et-vient
Les chiffres symétriquesLes chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique
Avantages - inconvénientsAvantages - inconvénients
• Potentiellement incassablePotentiellement incassable
• Traitements faciles à mettre en oeuvreTraitements faciles à mettre en oeuvre
• Rapidité ( 1000 x Algo Biclefs )Rapidité ( 1000 x Algo Biclefs )
• Problème de la distribution des clefsProblème de la distribution des clefs
• Réservée à une communauté fermée Réservée à une communauté fermée d’utilisateurs, contrairement au d’utilisateurs, contrairement au @Commerce ( n vers 1 )@Commerce ( n vers 1 )
Les chiffres symétriquesLes chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique
Les chiffres AsymétriquesLes chiffres Asymétriques
Texte en
clair
A BTexte chiffré
Algorithme
Texte en
clair
Algorithme
Clef privée de BClef publique de B
Les chiffres symétriques / Les chiffres symétriques / Les chiffres AsymétriquesLes chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / PGP / ICP / La législation / La cryptographie quantique
La signature électroniqueLa signature électronique
Texte à
signer
A B
Hachage
Clef privée de signature de A
Signature
Empreinterecalculée
Hachage
Par B
Empreintereçue
Empreinte signée
Texte
Clef publique de signature de A
Contrôle de Signature
EmpreinteGénérée
Les chiffres symétriques / Les chiffres symétriques / Les chiffres AsymétriquesLes chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / PGP / ICP / La législation / La cryptographie quantique
Les règles à respecterLes règles à respecter
• Réserver une biclef à un usage donné Réserver une biclef à un usage donné (ne pas chiffrer et signer avec la (ne pas chiffrer et signer avec la même)même)
• S’assurer du réel propriétaire de la S’assurer du réel propriétaire de la clef publique utilisée.clef publique utilisée.
• S’assurer des dates de validité de la S’assurer des dates de validité de la clef clef
Utilisation de certificatsUtilisation de certificats
Les chiffres symétriques / Les chiffres symétriques / Les chiffres AsymétriquesLes chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / PGP / ICP / La législation / La cryptographie quantique
Avantages - inconvénientsAvantages - inconvénients
• Il n’y a plus d’échanges préalable de clefsIl n’y a plus d’échanges préalable de clefs
• Echanges « n vers n », plus « 1 vers 1 »Echanges « n vers n », plus « 1 vers 1 »
• Bien adapté au commerce électroniqueBien adapté au commerce électronique
• Fiabilité des clefs publiques Fiabilité des clefs publiques
• Sécurité dépendant de l’évolution Sécurité dépendant de l’évolution technologique et des connaissances.technologique et des connaissances.
Les chiffres symétriques / Les chiffres symétriques / Les chiffres AsymétriquesLes chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantique / PGP / ICP / La législation / La cryptographie quantique
PGPPGP
Texte en clair
A B
Texte chiffré
Empreinte signée
Clef de session générée aléatoirement
Clef publique de B
Clef privée de signature de A
Clef de session chiffrée
Clef privée de BClef de session
Texte en clair
Clef publique de signature de A
Empreinte
Empreinte
Les chiffres symétriques / Les chiffres Asymétriques / Les chiffres symétriques / Les chiffres Asymétriques / PGPPGP / ICP / La législation / La cryptographie quantique / ICP / La législation / La cryptographie quantique
En français: ICPEn français: ICPIInfrastructure à nfrastructure à CClef lef
PPubliqueublique
LES PKILES PKI PPublic ublic KKey ey IInfrastructurenfrastructure
Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICPICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique
DéfinitionDéfinition
• C ’est un système de gestion des bi-clés (clefs publiques / clef privée) fiable.
• Permet la mise en place de signature électronique
• Il assure :La confidentialité, l'authentification, l'intégrité,la non-répudiation.
Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP ICP / La législation / La cryptographie quantique/ La législation / La cryptographie quantique
ORGANISATION D ’UNE PKIORGANISATION D ’UNE PKI
• Autorité de certification (AC)– chargé de générer les certificats et d ’assurer leur
fiabilité (révocation).
• Autorité d ’enregistrement (AE)– établi le lien entre l ’abonné et l ’AC.– Bureau d ’enregistrement (BE)
• Système de distribution des clefs– Son rôle est de rendre disponible à l’ensemble des
utilisateurs les certificats de clefs publiques émis par l’autorité de certification
– Bureau d’enregistrement et de distributions (BED)
Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICPICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique
PKIPKI
Autorité
d ’enregistrement
Demande
Bureau
d ’enregistrement
Autorité
de certification
Certificat
Autorité de gestion
de la politique(AGP)
Opérateur de
certification
Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICPICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique
Les certificatsLes certificats
• Le but :Le but :– Valider avec certitude le lien entre la Valider avec certitude le lien entre la
clef publique et son propriétaireclef publique et son propriétaire
• L’organisme de normalisation ISO a défini la L’organisme de normalisation ISO a défini la norme X.509 définissant le format et le contenu norme X.509 définissant le format et le contenu d’un certificat digital.d’un certificat digital.
Les chiffres symétriques / Les chiffres Asymétriques / PGP /Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP ICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique
Le certificatLe certificat
Certificat
VersionNuméro de série
Algo ID et paramètresEmetteur
Période de validité…
PropriétairePK du Propriétaire
Algo ID et paramètresSIGNATURE
Version1988 : v11993: v2 (v1+2 nouveaux champs)1996: v3 (v2 + extensions)
Numéro de sérieNuméro de série du certificat (propre à chaque autorité de certification)
Algo IdIdentifiant du type d ’algorithme
de signature utilisé.Exemple: SHA1 , MD5, ...
EmetteurIdentifie l ’autorité de certification qui a émis ce certificat
Période de validitéUn certificat a toujours une duréede vie définie
Le Propriétaire est le nom de l ’entité à qui appartient ce certificat
C ’est la clef publique du
propriétaire (PK)
L ’algo ID désigne l ’algorithme qui sera utilisé avec la clef publiqueLes paramètres associés indiquentpar exemple la longueur de la clef …..
signature numérique de l'autorité
de certification sur l'ensemble
des champs précédents.
Protection du certificatProtection du certificat
Informations du certificat
Clef privée de l’autorité de certification
Informations du certificat
Hash chiffré
SIGNATURE
Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICPICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique
Exemple d ’un certificat Exemple d ’un certificat sous Windowssous Windows
Exemple d ’un certificat Exemple d ’un certificat sous Windowssous Windows
Les classes de certificatsLes classes de certificats
• Classe 1Classe 1– lien entre une lien entre une adresse électroniqueadresse électronique et une clef publique et une clef publique– Pour la signature de message électronique sans valeur marchande ou Pour la signature de message électronique sans valeur marchande ou
juridiquejuridique
• Classe 2Classe 2– lien entre une lien entre une identitéidentité et une clef publique et une clef publique– Pour les transactions du commerce électronique courant (avec un Pour les transactions du commerce électronique courant (avec un
plafond financier)plafond financier)
• Classe 3Classe 3– lien entre une lien entre une identité physiqueidentité physique et une clef publique et une clef publique– Pour toutes transactionsPour toutes transactions– un certificat de classe 3 est obtenu par remise en mains propres au un certificat de classe 3 est obtenu par remise en mains propres au
candidat qui devra se présenter dans les bureaux de l’autorité de candidat qui devra se présenter dans les bureaux de l’autorité de certification. certification.
– La classe 3 offre le plus haut niveau de sécurité.La classe 3 offre le plus haut niveau de sécurité.
Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICPICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique
Comment ça marche…Comment ça marche…Exemple:SSLExemple:SSL
Client Serveur
DonnéesAléatoires
Version SSL…. Algo utilisé…etc ….
DonnéesAléatoires
Les chiffres symétriques / Les chiffres Asymétriques / PGP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICPICP / La législation / La cryptographie quantique / La législation / La cryptographie quantique
CertificatDu
serveur
LCR
?Ok !
Pré Clé Secrète
Clé session Clé privée
Clé session
Session SSLClé Lue
La législationLa législation• En France, «un décret relatif à la signature électronique reconnaît la validité des signatures numériques. L’écrit sur support électronique a désormais la même force probante que l’écrit sur support papier. Cependant, la signature électronique est En France, «un décret relatif à la signature électronique reconnaît la validité des signatures numériques. L’écrit sur support électronique a désormais la même force probante que l’écrit sur support papier. Cependant, la signature électronique est
reconnue comme preuve juridique à la seule condition de s’appuyer sur un prestataire de service de certification.»reconnue comme preuve juridique à la seule condition de s’appuyer sur un prestataire de service de certification.»
• seules des autorités de certifications accréditées par arrêté du Premier ministre (DCSSI) ont le droit d’émettre des certificats ayant une valeur légale. Ces derniers sont appelés certificats qualifiés.seules des autorités de certifications accréditées par arrêté du Premier ministre (DCSSI) ont le droit d’émettre des certificats ayant une valeur légale. Ces derniers sont appelés certificats qualifiés.
• Le décret d'application relatif à signature électronique est publié sur le JO n°77 du 30 mars 2001.
• Le décret d'application relatif à signature électronique est publié sur le JO n°77 du 31 mars 2001.Le décret d'application relatif à signature électronique est publié sur le JO n°77 du 31 mars 2001.
Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législationLa législation / La cryptographie quantique / La cryptographie quantique
La législationLa législation
• la loi française autorise actuellement l’utilisation de clefs la loi française autorise actuellement l’utilisation de clefs symétriques de 40 à 128 bits aussi bien pour des échanges symétriques de 40 à 128 bits aussi bien pour des échanges privés que professionnels. L’usage de clefs plus longues est privés que professionnels. L’usage de clefs plus longues est réservé à l’armée française.réservé à l’armée française.
• Les clefs asymétriques ont, quant à elles, des longueurs Les clefs asymétriques ont, quant à elles, des longueurs allant de 1024 et 4096 bits. Mais comme dans la pratique allant de 1024 et 4096 bits. Mais comme dans la pratique elles ne sont utilisées dans les transactions que pour elles ne sont utilisées dans les transactions que pour échanger une clef symétrique, les législateurs se sont échanger une clef symétrique, les législateurs se sont contentés de limiter la longueur des clefs symétriques.contentés de limiter la longueur des clefs symétriques.
Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législationLa législation / La cryptographie quantique / La cryptographie quantique
La législation …. le La législation …. le ProblèmeProblème• la législation sur la signature électronique ainsi que la la législation sur la signature électronique ainsi que la
longueur maximale des clefs sont décidées au niveau de longueur maximale des clefs sont décidées au niveau de chaque Etat. Il n’y a donc pas de standard mondial sur le chaque Etat. Il n’y a donc pas de standard mondial sur le sujet, ce qui constitue un frein pour le commerce sujet, ce qui constitue un frein pour le commerce international sur Internet.international sur Internet.
• Une standardisation à l’échelle internationale semble Une standardisation à l’échelle internationale semble indispensable à moyen terme afin de faciliter le commerce indispensable à moyen terme afin de faciliter le commerce
électronique international.électronique international.
Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législationLa législation / La cryptographie quantique / La cryptographie quantique
La législation… et les La législation… et les ActeursActeurs
• Les acteurs qualifiés :Les acteurs qualifiés :– CertinomisCertinomis. Cette société a été créée en août 1999. Elle est . Cette société a été créée en août 1999. Elle est
issue de l’association de La Poste et Sagem.issue de l’association de La Poste et Sagem.– CertplusCertplus a été crée en 1998 par France Telecom, Gemplus, a été crée en 1998 par France Telecom, Gemplus,
Matra Hautes Technologies et VerisignMatra Hautes Technologies et Verisign– ChamberSign.ChamberSign. Crée en Février 2001 par les Chambres de Crée en Février 2001 par les Chambres de
Commerce et d'Industrie françaises , Autorité de Certification Commerce et d'Industrie françaises , Autorité de Certification
des signatures électroniques pour les entreprises.des signatures électroniques pour les entreprises. (FIA-NET)(FIA-NET)
Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législationLa législation / La cryptographie quantique / La cryptographie quantique
La cryptographie quantiqueLa cryptographie quantique
Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantiqueLa cryptographie quantique
• Basé sur le caractère corpusculaire Basé sur le caractère corpusculaire et ondulatoire de la lumièreet ondulatoire de la lumière
La cryptographie quantiqueLa cryptographie quantique
A B
Génère aléatoirement des photons polarisés et les expédie à B
Génère aléatoirement des filtres polarisantset les utilise pour lire les photons reçus
A et B pointent les photons correspondants aux filtres et éliminent les autres
Ils ont établi une clef à masque jetable (symétrique et à usage unique)
Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / Les chiffres symétriques / Les chiffres Asymétriques / PGP / ICP / La législation / La cryptographie quantiqueLa cryptographie quantique
QuestionsQuestions