Échange de clés et chiffrement hybride

Le chiffrement symétrique exige que les deux parties partagent la même clé secrète avant de pouvoir communiquer de manière sécurisée. Mais comment partager cette clé de façon sûre lorsqu'aucun canal sécurisé n'existe déjà ? Ce problème de distribution des clés a été considéré comme insoluble jusqu'en 1976, lorsque Whitfield Diffie et Martin Hellman ont publié un article révolutionnaire. Leur solution, l'échange de clés Diffie-Hellman, permet à deux parties d'établir une clé secrète partagée sur un canal non sécurisé sans jamais transmettre la clé elle-même à la vue d'éventuels espionneurs.

Diffie-Hellman (DH) utilise une astuce mathématique fondée sur le problème du logarithme discret. Les deux parties se mettent d'accord sur deux valeurs publiques (un grand nombre premier p et un générateur g). Chaque partie génère un nombre aléatoire privé, calcule une valeur publique à partir de celui-ci, puis échange les valeurs publiques. Chaque partie peut alors calculer le même secret partagé à partir de son propre nombre privé et de la valeur publique de l'autre ; en revanche, un espion qui ne voit que les valeurs publiques ne peut pas calculer le secret partagé sans résoudre le problème du logarithme discret, ce qui est irréalisable en pratique pour de grands nombres.

Elliptic Curve Diffie-Hellman (ECDH) est une variante moderne et plus efficace de l'échange de clés Diffie-Hellman. Elle utilise les mathématiques des courbes elliptiques au lieu de l'exponentiation modulaire et offre le même niveau de sécurité avec des paramètres beaucoup plus petits. Une clé ECDH de 256 bits fournit une sécurité équivalente à celle d'une clé DH de 3072 bits. ECDHE (le « E » signifie Ephemeral) génère une nouvelle paire de clés pour chaque session, ce qui fournit la perfect forward secrecy. TLS 1.3 impose ECDHE pour l'échange de clés, ce qui en fait le mécanisme d'échange de clés dominant dans la sécurité web moderne.

Perfect Forward Secrecy (PFS) garantit que les clés de session ne sont pas compromises, même si la clé privée permanente du serveur est volée ultérieurement. La PFS est obtenue grâce à des paires de clés éphémères pour l'échange de clés de chaque session : la clé de session est dérivée d'une paire de clés temporaire qui est supprimée à la fin de la session. Sans PFS (avec un échange de clés RSA), un attaquant qui enregistre aujourd'hui du trafic chiffré puis vole ultérieurement la clé privée peut déchiffrer rétroactivement tout le trafic passé. Avec la PFS, les sessions passées restent sécurisées même après la compromission de la clé.

Hybrid encryption associe la cryptographie asymétrique et la cryptographie symétrique afin de bénéficier à la fois des avantages de gestion des clés du chiffrement asymétrique et des performances du chiffrement symétrique. Le processus se déroule ainsi : (1) générer une clé de session symétrique aléatoire ; (2) chiffrer les données principales avec cette clé symétrique (rapidement) ; (3) chiffrer la clé symétrique avec la clé publique du destinataire (pour transmettre la clé de manière sécurisée) ; (4) envoyer les données chiffrées et la clé chiffrée. Le destinataire déchiffre la clé symétrique avec sa clé privée, puis déchiffre les données avec la clé symétrique récupérée.

Le TLS handshake est l’implémentation concrète la plus courante du chiffrement hybride. Avec TLS 1.3 : (1) le client envoie les suites de chiffrement prises en charge et le partage de clé (la valeur publique ECDHE) ; (2) le serveur répond avec son partage de clé, son certificate (contenant sa clé publique) et une signature ; (3) les deux parties calculent le même secret partagé au moyen d’ECDH ; (4) tout le trafic ultérieur est chiffré avec une clé symétrique dérivée du secret partagé (AES-256-GCM). L’ensemble du processus établit un canal chiffré en un seul aller-retour, sans jamais transmettre directement la clé symétrique.

La cryptographie moderne utilise les Key Encapsulation Mechanisms (KEM) comme approche plus formelle et plus sûre de l’échange de clés que le chiffrement asymétrique direct d’une clé de session. Un KEM permet à une partie de générer une clé symétrique et de l’« encapsuler » à l’aide de la clé publique du destinataire, de sorte que seul ce dernier puisse la désencapsuler (la récupérer). La norme post-quantique de NIST, CRYSTALS-Kyber, est un KEM fondé sur des problèmes liés aux réseaux euclidiens plutôt que sur la factorisation des entiers ou les courbes elliptiques, ce qui le rend résistant aux attaques menées par des ordinateurs quantiques.

Jusqu’à TLS 1.3, l’échange de clés RSA était courant : le client générait un secret pré-maître, le chiffr ait avec la clé publique RSA du serveur, puis l’envoyait au serveur. Le problème est qu’il n’offre aucune confidentialité persistante. Si la clé privée du serveur est compromise ultérieurement, toutes les sessions passées chiffrées de cette manière peuvent être déchiffrées. TLS 1.3 supprime complètement l’échange de clés RSA (il n’autorise que l’ECDHE), précisément pour imposer la confidentialité persistante de toutes les connexions. C’est pourquoi désactiver TLS 1.0 et TLS 1.2 (qui autorisent encore RSA statique) et imposer TLS 1.3 constitue une amélioration de la sécurité.

Le secret partagé produit par un échange Diffie-Hellman n’est pas utilisé directement comme clé de chiffrement. Il est plutôt transmis à une Key Derivation Function (KDF) afin de produire les véritables clés de chiffrement et vecteurs d’initialisation. TLS 1.3 utilise HKDF (HMAC-based Key Derivation Function) pour dériver des clés distinctes destinées au chiffrement dans chaque direction. Les KDF ajoutent un coût de calcul (ce qui rend les attaques par force brute plus difficiles), étendent les secrets courts au nombre d’octets nécessaire et garantissent que les clés dérivées possèdent de bonnes propriétés statistiques pour être utilisées comme clés symétriques.

Pretty Good Privacy (PGP) et son équivalent open source OpenPGP utilisent le chiffrement hybride pour les e-mails. Quand Alice envoie un e-mail chiffré à Bob, PGP génère une clé de session symétrique aléatoire, chiffre le corps du message avec celle-ci (AES), chiffre la clé de session avec la clé publique RSA ou ECC de Bob, puis envoie les deux ensemble. Pour les e-mails signés, PGP calcule l’empreinte du message et signe cette empreinte avec la clé privée d’Alice, ce qui fournit la non-répudiation. Le modèle de réseau de confiance de PGP (les utilisateurs signent les clés les uns des autres) constitue une alternative à la PKI fondée sur les autorités de certification.

L’échange de clés Diffie-Hellman résiste aux observateurs passifs, mais il est vulnérable aux attaques actives de l’homme du milieu (MITM) si les parties ne s’authentifient pas mutuellement. Un attaquant peut intercepter la valeur publique d’Alice, la remplacer par la sienne et établir des sessions DH distinctes avec Alice et Bob, chacun pensant communiquer avec l’autre. C’est pourquoi TLS associe l’échange de clés DH à l’authentification par certificate : le certificate du serveur (signé par une CA de confiance) prouve l’identité du serveur et empêche le remplacement de la clé publique pendant le handshake.

Dans cette leçon, vous avez appris que Diffie-Hellman résout le problème de l’échange de clés en permettant aux parties de dériver un secret partagé sur un canal non sécurisé ; que l’ECDHE (éphémère) fournit la confidentialité persistante parfaite ; que le hybrid encryption associe l’échange de clés asymétriques au chiffrement symétrique des données principales pour gagner en efficacité ; et que TLS 1.3 impose l’ECDHE pour toutes les connexions. Nous allons maintenant étudier les autorités de certification et les chaînes de confiance.