Héritage, politique et limites de la cryptographie

Héritage, politique et limites de la cryptographie

Les chapitres précédents ont décrit des primitives, des protocoles et des pièges d’implémentation. Celui-ci prend du recul dans trois directions. Vers le passé, d’abord : des systèmes conçus il y a trente ou quarante ans tournent encore, et leurs idées irriguent les protocoles actuels. Vers les institutions et le droit, ensuite : ce qui est recommandé, autorisé ou exporté se décide aussi dans des agences, des comités et des tribunaux. Vers les limites, enfin : un chiffrement mathématiquement irréprochable ne protège rien quand le poste est compromis, quand l’utilisateur est manipulé ou quand les métadonnées parlent à sa place.

Explication de la marmotte

Cette page ressemble à la dernière salle d’un musée : après les objets brillants, on y découvre l’histoire des inventions, les règles qui les ont encadrées et surtout ce qu’elles ne savent pas faire. Une serrure parfaite ne sert à rien si quelqu’un laisse la fenêtre ouverte ou donne la clé sous la menace.

→ Lire l’explication complète de la marmotte

Pourquoi garder l’héritage en tête ?

L’histoire de la cryptographie appliquée n’est pas une curiosité : c’est une partie de l’inventaire. Un protocole ancien survit pour des raisons d’interopérabilité (un partenaire, un équipement industriel, un terminal de paiement ne parle que lui), et chaque survivance est un risque dormant : un algorithme faible, une option de repli, un mode de compatibilité que personne n’a désactivé parce que personne ne savait qu’il existait. La page Gouverner la cryptographie explique comment recenser ces usages ; savoir lire de vieux protocoles permet de les reconnaître quand on les croise.

Quelques jalons structurent cette histoire.

Système	Époque	Ce qu’il a apporté
Gestion de clés IBM pour DES	fin des années 1970	Hiérarchie de clés maîtresses et de clés de travail, dont descendent les modules matériels bancaires
STU-III	à partir de 1987	Téléphone sécurisé de la NSA (National Security Agency), avec établissement de clé électronique
Prototype de téléphone RNIS (Réseau numérique à intégration de services) de Bell-Northern Research	fin des années 1980	Origine du protocole Station-to-Station, ancêtre des échanges de clés authentifiés actuels
KryptoKnight	début des années 1990	Protocoles d’authentification légers d’IBM, fondés sur des nonces plutôt que sur des horloges synchronisées
SESAME	années 1990	Projet européen étendant le modèle Kerberos avec de la cryptographie à clé publique
PEM (Privacy-Enhanced Mail)	RFC 1421 à 1424, 1993	Premier standard Internet de courrier chiffré et signé, appuyé sur des certificats
MSP (Message Security Protocol)	années 1990	Protocole de messagerie sécurisée de la défense américaine, cousin militaire de PEM
PGP (Pretty Good Privacy)	1991	Chiffrement de courrier grand public et toile de confiance
Normes PKCS (Public-Key Cryptography Standards)	à partir de 1991	Formats et remplissages de RSA Laboratories, dont PKCS #1 et PKCS #11 encore omniprésents

Les cartes à puce et les paiements électroniques forment un héritage particulièrement vivace : la norme EMV, issue des réseaux de cartes bancaires dans les années 1990, cohabite encore avec des mécanismes de compatibilité anciens, et le protocole SET (Secure Electronic Transaction), lancé par Visa et Mastercard en 1996 pour sécuriser les paiements sur le web, a été abandonné faute d’adoption, au profit du simple TLS (Transport Layer Security).

Citer un système historique comme recommandation actuelle est un piège classique : PEM est mort, DES est cassé par force brute depuis la fin des années 1990, PKCS #1 v1.5 pour le chiffrement a produit la question qui rend le module bavard. Les connaître sert à les reconnaître et à les retirer, pas à les déployer.

Atelier : l’autopsie d’un protocole historique

L’exercice consiste à relire un protocole ancien avec les grilles des chapitres précédents. Prenons le protocole à clé publique de Needham et Schroeder, publié en 1978, dans sa forme simplifiée : A envoie à B son identité et un nonce Na chiffrés pour B ; B répond avec Na et un nouveau nonce Nb chiffrés pour A ; A renvoie Nb chiffré pour B. L’autopsie se déroule en quatre questions.

1. Quel était le modèle d’attaquant ? Un intrus qui écoute et modifie le réseau, mais pas un participant légitime malhonnête.
2. Quelle propriété était visée ? Que A et B s’authentifient mutuellement et partagent Na et Nb.
3. Qu’a révélé l’analyse ultérieure ? En 1995, Gavin Lowe a montré, à l’aide d’un outil de vérification de modèles, qu’un participant malhonnête I, contacté par A, pouvait relayer l’échange vers B et se faire passer pour A. Le message de B ne nommait pas B : A ne pouvait pas détecter la substitution.
4. Quelle correction ? Ajouter l’identité de B dans le deuxième message. Une correction d’une ligne, découverte dix-sept ans après la publication.

Le défaut de 1978 réapparaît sous d’autres formes dans des protocoles modernes ; la page Lire une garantie sans la surinterpréter en tire les conséquences sur l’analyse formelle.

Institutions et controverses

La cryptographie moderne se décide dans un écosystème d’acteurs aux intérêts différents. La normalisation est portée par le NIST (National Institute of Standards and Technology), dont les concours ouverts ont produit AES en 2001 et les algorithmes post-quantiques normalisés en 2024, par l’ISO (International Organization for Standardization) et par l’IETF (Internet Engineering Task Force) pour les protocoles Internet. Les agences de sécurité nationale, comme la NSA, le NCSC britannique (National Cyber Security Centre) ou l’ANSSI (Agence nationale de la sécurité des systèmes d’information) en France, publient des recommandations et protègent les communications de l’État, tout en ayant parfois des missions de renseignement qui créent un conflit d’intérêts évident. L’industrie pèse par ses consortiums, ses brevets et ses implémentations. La recherche académique, structurée autour de l’IACR (International Association for Cryptologic Research), fondée en 1982, casse et propose. Le projet européen RIPE (RACE Integrity Primitives Evaluation), à ne pas confondre avec le registre Internet européen RIPE NCC, a ainsi évalué des primitives à la fin des années 1980 et donné son nom à la fonction RIPEMD. Les communautés, enfin, des cypherpunks aux associations de défense des libertés, défendent l’accès de tous à la cryptographie forte.

Ces acteurs s’affrontent surtout sur l’accès exceptionnel. La puce Clipper (1993) et sa grande sœur Capstone, destinée aux données, reposaient sur le séquestre des clés auprès d’agences gouvernementales ; elles ont échoué techniquement et commercialement. L’affaire du générateur Dual_EC_DRBG, normalisé par le NIST en 2006 et retiré en 2014 après des révélations suggérant une porte dérobée, a durablement montré qu’une norme pouvait être un vecteur d’affaiblissement. Un débat politique, aussi légitime soit-il, n’est cependant pas une preuve technique : l’argument « une agence l’a recommandé, donc c’est piégé » est aussi faible que « une agence l’a recommandé, donc c’est sûr ». Seules l’analyse publique et la transparence du processus tranchent.

Atelier : cartographier les dépendances de normalisation d’un produit

Pour un produit qui expose une interface HTTPS (HyperText Transfer Protocol Secure) et signe ses mises à jour, la cartographie tient en un tableau : TLS 1.3 relève de la RFC 8446 de l’IETF ; les courbes P-256 et la signature ECDSA (Elliptic Curve Digital Signature Algorithm) relèvent de la norme FIPS 186 du NIST ; AES de FIPS 197 ; les certificats X.509 d’une recommandation de l’UIT (Union internationale des télécommunications), profilée par la RFC 5280 ; les règles d’émission des certificats publics du CA/Browser Forum, consortium privé. Le module de stockage des clés peut en plus devoir être validé FIPS 140-3 ou évalué selon les Critères communs. Un produit ordinaire dépend ainsi d’une demi-douzaine d’organismes, dont chacun peut imposer une migration.

Juridictions et politiques

Le droit de la cryptographie diverge fortement d’un pays à l’autre. L’exportation des produits de chiffrement est encadrée par l’arrangement de Wassenaar (1996), transposé dans l’Union européenne par le règlement (UE) 2021/821 sur les biens à double usage et aux États-Unis par les règles EAR (Export Administration Regulations). L’importation et la fourniture sont réglementées différemment : en France, la loi pour la confiance dans l’économie numérique de 2004 rend l’utilisation libre mais soumet la fourniture, l’importation et l’exportation à déclaration ou autorisation auprès de l’ANSSI selon les cas ; la Chine applique depuis 2020 une loi sur la cryptographie qui organise ses propres algorithmes nationaux et ses régimes de contrôle. Les brevets ont pesé lourd jusqu’à l’expiration de celui de RSA aux États-Unis en 2000. La légalité elle-même a été contestée : aux États-Unis, dans l’affaire Bernstein, une cour d’appel fédérale a estimé en 1999 que le code source relevait de la liberté d’expression, avant que cet arrêt ne soit retiré pour réexamen et que l’assouplissement des règles d’exportation ne prive le litige d’enjeu.

À cela s’ajoutent les exigences de conformité propres à chaque secteur : défense, finance, opérateurs d’importance vitale, marchés publics. Le cadre exact dépend du pays, du secteur et du produit, et se détermine avec un juriste pour un périmètre précis ; ignorer les lois locales reste l’un des moyens les plus fiables de transformer un succès commercial en contentieux. Une chose est sûre en revanche : la légalité n’est pas la sécurité. Un produit autorisé peut être faible, et un produit robuste peut être soumis à autorisation.

Atelier : un glossaire français-anglais

Le vocabulaire est lui-même un héritage, et ses faux amis coûtent cher. Un glossaire minimal :

Français	Anglais	Remarque
chiffrer, chiffrement	encrypt, encryption	« crypter » est un barbarisme que l’ANSSI déconseille avec constance
déchiffrer	decrypt (avec la clé)	Sans la clé, on parle de décrypter, c’est-à-dire casser
condensé, empreinte	hash, digest
code d’authentification de message	MAC (Message Authentication Code)
signature numérique	digital signature	Ne pas confondre avec une signature électronique au sens juridique
séquestre de clés	key escrow
confidentialité persistante	forward secrecy
aléa, nonce	randomness, nonce	Un nonce n’est pas forcément aléatoire

Le glossaire du site rassemble les définitions détaillées, et la page Parler le langage des clés, des messages et des attaquants sert de point d’entrée pour le vocabulaire de base.

Finir par les limites

Le chiffrement protège des données entre deux points. Il ne protège ni les points, ni les personnes, ni le contexte. Les limites les plus fréquentes, et les mesures qui les compensent, tiennent dans une matrice.

Limite	Ce que le chiffrement ne fait pas	Mesure compensatoire
Poste compromis (endpoint)	Le logiciel espion lit le message avant chiffrement ou après déchiffrement	Durcissement, mises à jour, détection sur le poste
Social engineering (ingénierie sociale)	L’utilisateur donne lui-même son code ou valide une connexion frauduleuse	Formation, authentification résistante à l’hameçonnage
Métadonnées	Qui parle à qui, quand, combien reste visible	Minimisation, mélangeurs, architectures dédiées
Disponibilité	Une clé perdue ou un service bloqué rend les données inaccessibles	Séquestre interne maîtrisé, sauvegarde des clés, redondance
Pression humaine	Une personne menacée livre sa clé	Partage de secret à plusieurs, procédures, protection juridique
Maintenance	Bibliothèques non mises à jour, certificats expirés, dette technique	Inventaire, budget de maintenance, propriétaires désignés

La pression humaine porte un nom ironique dans le milieu : la « cryptanalyse au tuyau d’arrosage », méthode qui ne figure dans aucun manuel mais dont l’efficacité n’a jamais été prise en défaut. La disponibilité est l’oubliée de la liste : la cryptographie sait très bien rendre des données illisibles, y compris pour leur propriétaire légitime, comme le rappelle chaque rançongiciel.

Ce qu’il ne faut pas confondre

Une norme n’est pas une recommandation opérationnelle : elle décrit ce qui est possible, la recommandation dit ce qu’il faut choisir aujourd’hui. L’héritage n’est pas la production actuelle : un protocole qu’il faut encore lire n’est pas un protocole qu’il faut encore déployer. Et un chiffrement fort ne fait pas un système sûr : promettre que la cryptographie remplace la gouvernance, c’est vendre une serrure en oubliant de mentionner les fenêtres.

🐝 Ce qui arrive si on s’en passe

Ignorer l’héritage laisse en service des protocoles oubliés, qui continuent d’échanger avec des méthodes faibles sans que l’inventaire les mentionne, puisqu’il n’existe pas. Ignorer le droit expose à déployer un produit dont l’exportation ou l’usage est soumis à autorisation dans le pays visé, découverte qui arrive généralement après la signature du contrat. Ignorer les limites conduit à promettre une confidentialité que les métadonnées, un poste compromis ou une simple pression sur un utilisateur suffisent à défaire : le chiffrement tient, le secret part quand même, et l’organisation reste convaincue d’être protégée parce que les algorithmes, eux, n’ont rien à se reprocher.

🦫 Explication de la marmotte 🍫

Le chiffrement transforme un message en données illisibles pour qui ne possède pas la clé. Cette protection s’inscrit pourtant dans un ensemble plus large, que la page parcourt en quatre temps.

D’abord l’héritage : des systèmes anciens, parfois conçus il y a des décennies, fonctionnent encore. Il faut les recenser, savoir lire leurs protocoles, rester compatible avec eux le temps de migrer, et repérer ceux qui dorment dans un coin avec des méthodes faibles.

Ensuite les institutions : des organismes de normalisation, des agences d’État, des industriels, des chercheurs et des communautés militantes décident ensemble de ce qui est recommandé. Leurs débats portent aussi sur l’accès exceptionnel, c’est-à-dire la possibilité pour une autorité de lire des échanges chiffrés.

Puis le droit : l’exportation, l’importation, les brevets et la légalité du chiffrement varient selon les pays et les secteurs. Une solution techniquement solide peut être interdite ou soumise à autorisation.

Enfin les limites. Si l’appareil qui envoie ou reçoit est piraté, le message est lu avant d’être chiffré ou après avoir été déchiffré. Une personne manipulée ou menacée peut livrer sa clé. Les métadonnées, c’est-à-dire qui parle à qui, quand et combien, restent souvent visibles. Le chiffrement ne garantit pas que le service reste disponible, ni qu’il soit bien entretenu. Un chiffrement fort ne suffit donc pas à rendre un système sûr : il faut aussi une gouvernance.

À lire aussi

• Messageries, courrier sécurisé et groupes chiffrésTraiter le chiffrement de bout en bout comme un problème de protocole, de clés et de groupes, en intégrant courrier historique, PGP, MLS et limites de métadonnées.
• Chiffrer par blocs : de l’héritage DES à AESPrésenter les chiffrements par blocs comme des permutations paramétrées par clé, expliquer AES et traiter les anciens algorithmes comme matériau historique et de migration.
• Choisir, combiner et migrer les algorithmes symétriquesRegrouper les décisions pratiques: choix d’algorithme, combinaison, surchiffrement, compatibilité matérielle et retrait des options faibles.
• Évaluer la force d’une protectionExpliquer comment raisonner en bits de sécurité, en durée de confidentialité et en coût réel d’attaque, sans réduire la décision à la longueur d’une clé.

Pages voisines

Héritage, politique et limites de la cryptographie

Elle cite

• ⇄Lien dans les deux sens :Équité, vote, contrats et divulgation contrôlée
• ⇄Lien dans les deux sens :NSA Cybersecurity
• ANSSI
• Ce que le bout en bout laisse voir
• Gouverner la cryptographie: inventaire, agilité et conformité
• IETF
• ISO
• L'attaque de Bleichenbacher : un oracle de padding contre RSA PKCS#1 v1.5
• Lire une garantie sans la surinterpréter
• NCSC UK
• NIST
• Parler le langage des clés, des messages et des attaquants

⇄ : les deux pages se citent l’une l’autre.