OAEP : Optimal Asymmetric Encryption Padding
Cryptographie
OAEP : Optimal Asymmetric Encryption Padding. « Remplissage optimal pour chiffrement asymétrique », par analogie avec le papier de soie froissé au hasard autour d'un objet avant de fermer le colis, pour qu'aucun paquet ne ressemble à un autre.
Principe : Avant le chiffrement RSA, le message est combiné à une graine aléatoire par deux passes de masquage fondées sur une fonction de hachage et une fonction de génération de masque. Le même message chiffré deux fois donne deux résultats sans rapport.
Contre l'ancien remplissage : Le remplissage historique de PKCS#1 version 1.5 a nourri l'attaque de Bleichenbacher, qui déchiffre un message en posant des milliers de questions au serveur. OAEP s'accompagne d'une preuve de sécurité, ce qui dans ce métier tient lieu de certificat de bonne conduite.
Paramètres : Fonction de hachage, fonction de masque et étiquette optionnelle doivent être identiques des deux côtés. Un désaccord ne produit pas un message faux mais un échec de déchiffrement, ce qui est la seule forme de malentendu que la cryptographie tolère.
Piège d'implémentation : Une implémentation qui distingue ses erreurs, par le message ou par le temps de réponse, redevient un oracle : c'est l'attaque de Manger. Toutes les erreurs doivent se ressembler.
Ce qui arrive si on s'en passe
Sans remplissage aléatoire, RSA est déterministe : un même message produit toujours le même chiffré, et un observateur peut vérifier une supposition en chiffrant lui-même le candidat avec la clé publique. Le schéma brut est aussi malléable, car multiplier un chiffré par une valeur choisie multiplie le clair de façon prévisible. Avec l'ancien remplissage de la version 1.5, un serveur qui laisse deviner si le format déchiffré est valide suffit à reconstituer un message protégé, requête après requête. Les clés de session transportées ainsi, et tout ce qu'elles protégeaient, deviennent alors lisibles.
Explication de la marmotte
Une méthode de chiffrement très répandue a un défaut quand on l'emploie telle quelle : le même message donne toujours le même résultat brouillé. Un curieux peut alors deviner le contenu en essayant des réponses probables et en comparant. Pour éviter cela, on emballe le message avec une bonne dose de hasard, mélangé selon une recette précise, avant de le chiffrer. Le destinataire, qui connaît la recette, défait l'emballage sans peine. Pour tous les autres, deux envois du même texte paraissent totalement différents, et plus rien ne se devine par comparaison.
Où ce terme est utilisé
- Auditer un HSM pour la conformité PCI DSS dans les paiements (2 occurrences)
- Lire une garantie sans la surinterpréter (2 occurrences)
- L'attaque de Bleichenbacher : un oracle de padding contre RSA PKCS#1 v1.5 (1 occurrence)