Pourquoi la longueur des clés cryptographiques est importante

En cryptographie, le paramètre de sécurité lambda représente le niveau de sécurité visé. Il détermine les longueurs de clé, les tailles de sortie des hachages et d’autres paramètres dans l’ensemble du système cryptographique. Un système avec lambda = 128 signifie qu’un attaquant doit effectuer environ 2^128 opérations pour le casser. Tous les paramètres sont choisis de manière cohérente afin que le composant le plus faible fournisse au moins ce niveau de sécurité.

La sécurité de 80 bits était autrefois considérée comme suffisante pour les applications non sensibles. La casser nécessite environ 2^80, soit près de 10^24 opérations. Avec les grappes de GPU modernes et des algorithmes optimisés, cela devient progressivement réalisable pour des adversaires disposant de moyens importants. NIST a abandonné la sécurité de 80 bits en 2010, qui n’est plus recommandée pour aucun nouveau déploiement cryptographique. Les anciens systèmes utilisant des paramètres de 80 bits doivent être mis à niveau.

La sécurité de 112 bits, fournie par le triple DES (3DES), offre une protection modérée et constituait la recommandation minimale de NIST pour le chiffrement symétrique après l’abandon de DES. 3DES applique DES trois fois avec des clés différentes, ce qui fournit effectivement un niveau de sécurité de 112 bits malgré sa clé de 168 bits. NIST prévoit d’interdire 3DES pour les usages fédéraux d’ici 2024, car la puissance de calcul continue d’augmenter et qu’AES l’a entièrement remplacé.

AES-128 fournit une sécurité de 128 bits et constitue la norme actuelle pour le chiffrement symétrique. Aucune attaque pratique n’existe contre AES-128 avec des ordinateurs classiques. NIST considère qu’une sécurité de 128 bits est suffisante pour une protection à long terme, au moins jusqu’en 2030. La plupart des protocoles cryptographiques, notamment TLS 1.3, WireGuard et Signal, utilisent par défaut des clés symétriques d’au moins 128 bits.

AES-256 offre un niveau de sécurité de 256 bits contre les attaques classiques et un niveau de sécurité effectif de 128 bits face à l’algorithme quantique de Grover. L’utilisation de clés symétriques de 256 bits garantit que, même si des ordinateurs quantiques à grande échelle deviennent disponibles, le chiffrement reste sûr avec un niveau de sécurité de 128 bits. C’est pourquoi les applications gouvernementales et militaires qui exigent une protection des données à long terme adoptent dès maintenant le chiffrement symétrique sur 256 bits.

La sécurité de RSA repose sur la difficulté de factoriser de grands entiers. La factorisation est un problème mathématique plus facile que la recherche exhaustive d’une clé symétrique, donc RSA nécessite des clés beaucoup plus longues pour atteindre un niveau de sécurité équivalent. Une clé RSA de 2048 bits n’offre qu’environ 112 bits de sécurité. Une clé RSA de 3072 bits offre environ 128 bits de sécurité. Pour obtenir le même niveau de sécurité qu’AES-256, il faudrait une clé RSA d’environ 15 360 bits.

La cryptographie sur courbes elliptiques offre le même niveau de sécurité que RSA avec des clés beaucoup plus petites, en exploitant la difficulté mathématique du problème du logarithme discret sur courbe elliptique. Une clé ECC de 256 bits, comme P-256 ou Curve25519, offre environ 128 bits de sécurité, soit l’équivalent d’une clé RSA de 3072 bits. Des clés plus petites permettent des calculs plus rapides et des messages d’établissement de liaison TLS plus courts, ce qui rend ECC préférable pour les applications sensibles aux performances.

La publication spéciale NIST 800-57 est le guide de référence pour la gestion des clés cryptographiques. Elle précise quels algorithmes et quelles tailles de clés sont approuvés pour chaque niveau de sécurité, combien de temps les clés doivent être utilisées avant leur renouvellement, ainsi que les exigences relatives à leur stockage et à leur destruction. Le respect de SP 800-57 garantit que les choix cryptographiques sont conformes aux normes fédérales et peuvent être justifiés lors des audits de conformité.

La comparaison la plus courante est la suivante : une clé symétrique de 128 bits (AES-128) offre à peu près le même niveau de sécurité qu’une clé RSA de 3072 bits ou une clé ECC de 256 bits. Cela s’explique par le fait que les clés symétriques sont protégées contre la force brute, dont le coût augmente de manière exponentielle, tandis que les clés asymétriques sont protégées contre des algorithmes mathématiques dont le coût augmente de manière sous-exponentielle. La différence entre les tailles de clés reflète la difficulté différente des problèmes mathématiques sous-jacents.

Le niveau de sécurité en bits est plus informatif que la taille brute de la clé. Dire qu’un système offre 128 bits de sécurité signifie qu’il faut environ 2^128 opérations pour le casser, quel que soit l’algorithme. Une clé RSA de 2048 bits offre 112 bits de sécurité. Une clé AES de 128 bits offre 128 bits de sécurité. Comparer les tailles de clés de différents algorithmes sans tenir compte du niveau de sécurité en bits conduit à de fausses conclusions sur leur robustesse relative.

Les données chiffrées aujourd’hui doivent rester protégées pendant toute la durée de conservation imposée par leur niveau de classification. Les documents gouvernementaux classifiés peuvent devoir rester confidentiels pendant des décennies. Choisir la longueur des clés uniquement en fonction des capacités de calcul actuelles est insuffisant : les clés doivent être dimensionnées pour résister aux attaques rendues possibles par les futurs progrès matériels et par d’éventuels ordinateurs quantiques. Prévoir une longueur de clé supérieure au nécessaire coûte peu, mais offre une protection importante contre les progrès futurs.

Quelle taille de clé offre à peu près le même niveau de sécurité qu’AES-128 ?

Le paramètre de sécurité lambda mesure le niveau de sécurité visé en bits. Un niveau de 80 bits est obsolète : 112 bits est le minimum, 128 bits est la norme et 256 bits offre une marge post-quantique. Pour un niveau de sécurité équivalent, RSA nécessite des clés beaucoup plus longues que les algorithmes symétriques : une clé RSA de 3072 bits équivaut à AES-128. ECC offre le même niveau de sécurité que RSA avec des clés beaucoup plus petites. Le niveau de sécurité en bits est plus significatif que la taille brute de la clé pour comparer les algorithmes.