Triple DES : prolonger la durée de vie de DES

La solution évidente au problème de la faible longueur de clé de DES consiste à l’appliquer deux fois (Double DES) : C = DES_K2(DES_K1(P)). Avec deux clés de 56 bits, l’espace de clés nominal est de 2^112.

L’attaque par rencontre au milieu démolit toutefois cette idée : chiffrer tous les textes en clair avec les 2^56 valeurs possibles de K1, déchiffrer tous les textes chiffrés avec les 2^56 valeurs possibles de K2, puis trouver les valeurs intermédiaires correspondantes. L’attaque ne nécessite que 2^56 opérations et 2^56 unités de stockage, ce qui ne confère à Double DES aucun avantage de sécurité par rapport à DES simple.

Le 3DES à deux clés utilise trois opérations DES, mais seulement deux clés : C = DES_K1(DES^-1_K2(DES_K1(P))). L’ordre EDE (chiffrement-déchiffrement-chiffrement) est utilisé pour assurer la compatibilité ascendante.

La sécurité de 3DES à deux clés est d’environ 112 bits contre les attaques connues, même si les attaques par rencontre au milieu la réduisent quelque peu. Le 3DES à deux clés est utilisé dans de nombreux systèmes bancaires et de paiement anciens.

Le 3DES à trois clés utilise trois clés indépendantes K1, K2 et K3 : C = DES_K3(DES^-1_K2(DES_K1(P))). La longueur nominale de la clé est de 3 x 56 = 168 bits, mais la sécurité effective contre les meilleures attaques connues est d’environ 112 bits.

Le 3DES à trois clés offre une sécurité supérieure à celle du 3DES à deux clés et était recommandé pour les nouvelles applications dans des normes comme NIST SP 800-131A, avant que 3DES lui-même ne soit déconseillé.

La structure chiffrement-déchiffrement-chiffrement (EDE) de 3DES n’est pas arbitraire. Lorsque K1 = K2 = K3, le déchiffrement intermédiaire annule le premier chiffrement, et le chiffrement final produit le même résultat que DES simple.

Cette compatibilité ascendante avec DES simple était essentielle pour permettre une migration progressive. Le matériel et les logiciels DES existants pouvaient interagir avec les systèmes 3DES pendant une période de transition, sans perte de données.

3DES peut se réduire à DES simple en définissant les trois clés comme identiques. Cela signifie que le matériel 3DES peut traiter des données chiffrées avec DES et des données chiffrées avec 3DES en utilisant les mêmes circuits.

C’était particulièrement important pour les systèmes bancaires et de paiement qui disposaient d’une infrastructure fondée sur DES représentant des milliards de dollars. 3DES a permis une transition progressive et rétrocompatible, sans exiger le remplacement simultané de tous les équipements.

3DES reste largement utilisé dans les infrastructures bancaires, même s’il est déconseillé pour les nouvelles applications. Les cartes de paiement à puce EMV utilisent 3DES pour l’authentification des cartes et la cryptographie des transactions.

La messagerie interbancaire SWIFT utilise également 3DES pour les codes d’authentification de message des systèmes anciens. L’ampleur considérable des infrastructures financières déployées signifie que 3DES restera présent sur le terrain pendant de nombreuses années malgré son abandon progressif.

NIST a officiellement déconseillé 3DES en 2023, par l’intermédiaire de la révision 2 de SP 800-131A. Toute utilisation de 3DES est désormais déconseillée : il ne doit pas être utilisé dans les nouveaux systèmes, et les systèmes anciens doivent progressivement s’en éloigner.

AES est le remplacement recommandé. AES est plus rapide, utilise des blocs plus grands (128 bits contre 64 bits), propose des longueurs de clé de 128, 192 ou 256 bits et ne présente aucune faiblesse pratique connue.

Sweet32, publiée en 2016, a démontré une attaque pratique contre 3DES dans HTTPS. La taille de bloc de 64 bits signifie qu’après 2^32 blocs (environ 32 Go de données), les collisions dues au paradoxe des anniversaires en mode CBC commencent à divulguer des informations sur les textes en clair.

Contre des sessions HTTPS, Sweet32 nécessitait environ 785 Go de trafic sous la même clé, ce qui est réalisable avec une session authentifiée de longue durée. Cette attaque a conduit les navigateurs à donner la priorité à AES-GCM et à supprimer 3DES des suites de chiffrement par défaut.

3DES effectue trois opérations DES par bloc. DES lui-même est lent sur le matériel moderne, car il a été conçu pour le matériel des années 1970, avec des schémas d’opérations bit à bit différents de ceux des CPU modernes.

AES, conçu pour être efficace dans les logiciels et tirer parti du matériel moderne grâce aux instructions AES-NI, est 10 à 100 fois plus rapide que 3DES dans les logiciels. Les CPU modernes Intel/AMD dotés d’AES-NI peuvent chiffrer plusieurs gigaoctets par seconde, tandis que 3DES peine à atteindre 100 Mo/s.

Malgré l'utilisation de trois opérations DES et de clés plus longues, 3DES conserve la taille de bloc de 64 bits de DES. La taille de bloc est un paramètre fondamental de la structure de Feistel et ne peut pas être modifiée sans reconcevoir l'algorithme.

Cette taille de bloc de 64 bits est à l'origine de la vulnérabilité Sweet32. La taille de bloc de 128 bits d'AES fait que les attaques par anniversaire nécessitent 2^64 blocs (environ 18 exaoctets), ce qui est irréalisable en pratique sur le plan du calcul.

NIST SP 800-131A propose un guide détaillé de migration pour passer de 3DES à AES. Il recommande AES avec des clés de 128, 192 ou 256 bits pour remplacer tous les usages de 3DES, des suites de chiffrement TLS au chiffrement des données stockées.

La migration est largement prise en charge : toutes les bibliothèques cryptographiques et plateformes matérielles modernes prennent en charge AES, souvent avec une accélération matérielle. Il est conseillé aux organisations de considérer cette migration comme une mise à jour de configuration logicielle plutôt que comme un projet de remplacement matériel.

Triple DES a été créé pour prolonger la durée de vie de DES à l'aide de la structure EDE. Les attaques par rencontre au milieu empêchent Double DES d'offrir une sécurité deux fois supérieure. Avec des clés identiques, 3DES se réduit à DES seul, ce qui permet la compatibilité descendante.

NIST a déclaré 3DES obsolète (2023) en raison de la vulnérabilité liée à sa taille de bloc de 64 bits (Sweet32) et de ses performances médiocres par rapport à AES. Il subsiste dans les infrastructures bancaires et EMV en tant que système ancien.