Qu’est-ce qui fait un protocole sécurisé

L’authentification consiste à établir l’identité des parties qui communiquent. Sans authentification, un protocole est vulnérable à l’usurpation d’identité : un attaquant peut se faire passer pour un serveur de confiance et intercepter les communications. Dans les protocoles, l’authentification est généralement assurée au moyen de certificats numériques, de clés prépartagées ou de mécanismes de défi-réponse qui prouvent la connaissance d’un secret sans le révéler.

La confidentialité garantit que le contenu des messages n’est accessible qu’aux destinataires visés. Elle est assurée par un chiffrement utilisant des clés connues uniquement des parties concernées. Une faille de confidentialité signifie qu’un espion peut lire les messages en transit. La confidentialité seule n’empêche pas un attaquant d’altérer les messages ou de mener des attaques par rejeu ; elle doit être associée à une protection de l’intégrité.

La protection de l’intégrité garantit que les messages reçus correspondent exactement à ceux transmis par l’expéditeur, sans ajout, suppression ni modification. Les codes d’authentification de message et les modes de chiffrement authentifié assurent l’intégrité. Sans protection de l’intégrité, un attaquant qui ne peut pas lire le texte chiffré peut tout de même inverser certains bits de manière prévisible afin de modifier le texte en clair résultant du déchiffrement, comme cela est exploité dans les attaques par oracle de bourrage.

La non-répudiation signifie qu’un expéditeur ne peut pas nier ultérieurement avoir envoyé un message. Elle est assurée par des signatures numériques utilisant des clés asymétriques : seul le détenteur de la clé privée aurait pu produire la signature, et la clé publique correspondante permet de la vérifier. Les codes MAC ne fournissent pas de non-répudiation, car l’expéditeur et le destinataire connaissent tous deux le secret partagé et l’un ou l’autre aurait pu produire le code MAC.

La fraîcheur garantit qu’un ancien message auparavant valide ne peut pas être rejoué par un attaquant pour déclencher à nouveau le même effet. Les mécanismes de fraîcheur comprennent des valeurs aléatoires à usage unique incluses dans les messages et qui ne doivent pas se répéter, des horodatages avec de courtes fenêtres de validité et des numéros de séquence qui doivent augmenter strictement. Sans fraîcheur, rejouer un message d’authentification intercepté peut contourner entièrement l’authentification.

La confidentialité persistante parfaite garantit que la compromission de clés à long terme n'expose pas les clés de sessions passées. Elle est obtenue en générant des paires de clés éphémères (temporaires) pour chaque session au moyen de Diffie-Hellman. Les clés de session sont calculées à partir des clés éphémères, puis supprimées après utilisation. Même si la clé privée à long terme du serveur est volée ultérieurement, l'attaquant ne peut pas déchiffrer les sessions précédemment enregistrées, car les clés éphémères n'existent plus.

L'authentification unidirectionnelle ne vérifie qu'une seule partie : dans HTTPS, le serveur présente un certificat que le client vérifie, mais le serveur ne vérifie généralement pas l'identité du client. L'authentification mutuelle (ou TLS mutuel, mTLS) exige que les deux parties présentent et vérifient des certificats. mTLS est courant dans les architectures de microservices, les passerelles d'API et les VPN d'entreprise, où les deux points d'extrémité doivent être vérifiés avant l'échange de données sensibles.

Les concepteurs de protocoles ne peuvent pas se fier uniquement à leur intuition. Un protocole qui semble manifestement sûr peut échouer de manière subtile. Le protocole à clé publique de Needham-Schroeder a été publié en 1978 et était considéré comme sûr. En 1995, Gavin Lowe a découvert une faille qui permettait une attaque par usurpation d'identité à l'aide d'un outil de vérification formelle. La vérification formelle au moyen de vérificateurs de modèles tels que Tamarin ou ProVerif est devenue une pratique courante pour la conception de protocoles critiques pour la sécurité.

Le modèle de Dolev-Yao est le modèle de menace standard pour l'analyse des protocoles cryptographiques. Il suppose que l'attaquant contrôle l'intégralité du réseau : il peut intercepter, bloquer, modifier, rejouer et injecter n'importe quel message. Les primitives cryptographiques sont supposées parfaites (sans faiblesses mathématiques). Dans ce modèle, un protocole est sécurisé uniquement s'il atteint ses objectifs même lorsque l'attaquant contrôle complètement toutes les communications.

La conception de protocoles cryptographiques est réputée difficile, car les failles sont souvent subtiles et difficiles à repérer. L'interaction de plusieurs messages, valeurs à usage unique, horodatages et clés peut créer des chemins d'attaque inattendus. Les entités peuvent avoir des visions différentes de l'état du protocole. Des sessions concurrentes peuvent interférer les unes avec les autres. Chaque protocole majeur déployé, notamment SSL, TLS, WPA2 et 802.11, a connu la découverte de vulnérabilités importantes après son déploiement.

SSL 3.0 a été compromis par l'attaque POODLE. TLS 1.0 et 1.1 ont été déclarés obsolètes en raison de plusieurs faiblesses. Le chiffrement WEP de WiFi a été complètement compromis au cours de sa première année de déploiement. Le VPN PPTP est considéré comme non sécurisé en raison des faiblesses de MS-CHAPv2. Chaque défaillance a appris à la communauté de la sécurité quelque chose sur l'écart entre les intuitions informelles en matière de sécurité et la conception de protocoles dont la correction est démontrable dans le modèle de Dolev-Yao.

Quelle propriété de sécurité garantit qu'un message enregistré aujourd'hui par un attaquant ne pourra pas être renvoyé avec succès au serveur ultérieurement afin de répéter une action ?

Les protocoles sécurisés doivent assurer l'authentification, la confidentialité, l'intégrité, la non-répudiation et la fraîcheur. La confidentialité persistante parfaite protège les sessions passées contre une compromission future des clés. L'authentification mutuelle vérifie les deux parties. Le modèle de Dolev-Yao suppose un réseau entièrement hostile. La conception de protocoles exige une vérification formelle, et pas seulement de l'intuition. Des vulnérabilités ont été découvertes dans chaque protocole majeur après son déploiement, ce qui contribue à l'évolution continue des normes cryptographiques.