Dans un blogue antérieur, nous avons commencé à parler de la cryptographie, un outil essentiel pour maintenir la sécurité et la confidentialité de l’information. Nous avons utilisé l’exemple d’un système relativement simple de chiffrement à clé symétrique, où les clés de chiffrement et de déchiffrement sont identiques.
Trop de clés
Dans les systèmes cryptographiques symétriques, deux gens qui souhaitent communiquer doivent partager une clé servant au chiffrement et au déchiffrement. Toutefois, si vous correspondez avec beaucoup d’autres personnes, le nombre de clés dont vous avez besoin augmente très rapidement. Par exemple, un groupe de 10 personnes voulant communiquer de façon sécurisée par paires auraient besoin de 45 clés (nous allons vous épargner les détails mathématiques). Et s’il y avait une façon plus simple de partager les clés? Et si vous pouviez publier des clés dans un endroit public, que n’importe qui pourrait utiliser, et ce, sans compromettre votre sécurité ou révéler vos secrets? C’est ce que vous permet de faire la cryptographie asymétrique ou à clé publique.
L’utilisation de deux clés
La cryptographie asymétrique (une technologie relativement nouvelle qui remonte aux années 1970) élimine la clé partagée secrète qu’utilisent l’expéditeur et le destinataire et fait plutôt appel à des paires de clés. Avec un système asymétrique, chaque personne génère deux clés : une clé privée et une clé publique. La clé privée est toujours gardée en sécurité et elle doit rester secrète, alors que la clé publique peut être donnée à n’importe qui ou affichée dans des endroits publics.
La nouveauté de ce système est que les clés ont une relation mathématique entre elles – les opérations réalisées avec la première peuvent être défaites au moyen de l’autre. Donc, l’expéditeur d’un message peut en chiffrer le contenu avec une clé et le destinataire peut le déchiffrer avec l’autre clé. Généralement, pour maintenir la confidentialité, l’expéditeur chiffre le message au moyen de la clé publique du destinataire, et ce dernier se sert de sa clé privée pour le déchiffrer. Tant que le destinataire a accès à sa clé privée, il peut déchiffrer les messages qui lui sont envoyés par n’importe quel expéditeur qui utilise sa clé publique correspondante. Et la procédure mathématique servant à créer les clés est particulière – une personne qui possède la clé publique est incapable d’en savoir plus sur la clé privée – ce qui donne un système très sécuritaire.
Les clés publiques peuvent être publiées en divers endroits, y compris dans des serveurs de clés spécialisés qui peuvent faire l’objet d’une recherche dans Internet. Les personnes et les organismes peuvent aussi publier leurs clés dans leurs sites Web ou les inclure dans le bloc de signature de leurs courriels. Même Facebook permet aux gens de publier une sorte de clé publique dans leur profil personnel.
Certificats de clés publiques
Pour s’assurer qu’une clé publique appartient bel et bien à une personne ou à un organisme donné, on a mis sur pied un système de certificats numériques (ou certificats de clés publiques). Ces certificats sont des documents électroniques qui, généralement, contiennent la clé publique, ainsi que des renseignements sur son propriétaire et une date d’expiration. Il incombe aux autorités de certification de confirmer l’identité du propriétaire de la clé, et cela peut se faire par la vérification de documents d’identité ou la collecte de documents juridiques. Souvent, on peut délivrer rapidement des certificats utilisés à des fins limitées, comme les communications par courriel, en confirmant que le propriétaire de la clé contrôle effectivement l’adresse de courriel en question (c.-à-d. si ce dernier répond à un courriel d’essai). D’autres types de certificats peuvent seulement être délivrés après une confirmation basée sur une vérification approfondie de l’identité. On utilise couramment des certificats numériques dans Internet pour confirmer l’identité des propriétaires des clés publiques dont se servent les expéditeurs de courriels et des sites Web qui offrent des communications sécurisées.
Signatures numériques
La cryptographie à clé publique est très polyvalente. En plus de servir à chiffrer et à déchiffrer un message, les clés peuvent être utilisées pour authentifier et protéger un document électronique. On peut créer une signature numérique en calculant un résumé mathématique spécial d’un document, puis en chiffrant ce résumé à l’aide d’une clé privée. Toute personne qui possède la clé publique correspondante peut ensuite déchiffrer l’information et voir le résumé mathématique.
Les résumés mathématiques sont créés à l’aide de fonctions de hachage spéciales ayant des propriétés précieuses. Les résumés créés par ces fonctions de hachage sont irréversibles – il n’existe aucun calcul qui permettrait de reproduire le document à partir du résumé. De plus, les résumés de hachage sont uniques. Cela signifie qu’un résumé est unique au document correspondant et que même un petit changement au document entraînera la production d’un résumé différent. (Toutefois, à mesure que les ordinateurs ont gagné en puissance, on a constaté que certaines vieilles fonctions de hachage ne produisent pas des résumés uniques et il faut donc utiliser des fonctions plus récentes.)
Au final, on peut utiliser la signature numérique d’un document pour prouver l’identité de l’auteur d’un document (en vérifiant la propriété de la clé publique) et assurer l’intégrité du document (en s’assurant que le résumé mathématique n’a pas été altéré). En fait, les autorités de certifications signent les certificats numériques qu’ils délivrent pour en confirmer la propriété et assurer les utilisateurs que le certificat n’a pas été modifié.
Conclusions
Le chiffrement par clé publique ainsi que les certificats et les signatures numériques constituent la pierre angulaire des systèmes modernes de sécurité électronique. Grâce à ces technologies, les organismes peuvent préserver la confidentialité de leurs communications, vérifier l’identité de différentes parties et s’assurer que les documents sont authentiques et intacts. Le chiffrement par clé publique a rendu possible toute une gamme de services par Internet qui exigent de solides mesures de sécurité et de protection de la vie privée, comme les transactions bancaires en ligne, le commerce électronique et les sites Web gouvernementaux.
Lectures suggérées
Blogue savoir techno : Agent secret 101 – Principes fondamentaux de la cryptographie
Charles C. Mann, A Primer on Public-key Encryption (en anglais seulement)
Symmetric vs. Asymmetric Encryption – What are (the) differences? (en anglais seulement)