TPE de cryptologie
De nos jours, le concept de l'informatique tend de plus en plus vers le 'tout connecté'. Il est donc vital de protéger nos informations confidentielles, de toute nature qu'elles soient.
Nous avons tous le droit à la sécurité, à notre vie privée. Le chiffrement est la solution à cela. Mais ce n'est pas tout ! Car, même si il est fiable, il reste la possibilité de le contourner, en essayant d'intercepter l'information quand elle est déchiffrée, ou avant son chiffrement, ou même d'intercepter seulement la clef. La seconde option consiste à trouver la clef en testant les principaux stéréotypes, ou en utilisant des renseignements sur la personne qui a choisi la clef.
Enfin, il faut prendre conscience qu'un chiffrement n'est JAMAIS infaillible, tout n'est qu'une question de temps. Soit le temps avant de trouver une faille dans son concept, comme il a été fait avec le hash MD5, soit le temps nécessaire à tester toutes les clefs possibles, jusqu'à trouver la bonne (ce qui peut prendre de quelques dixièmes de seconde à quelques milliers d'années).
Comment sécuriser son information ? Nous aborderons cela en 3 sections :
La station qui va devoir chiffrer les informations, comporte une contrainte vitale : elle doit être absolument sûre, sous votre contrôle.
En effet, il est possible qu'elle soit infectée ou contrôlée partiellement ou entièrement à distance par un pirate informatique.
La première chose à faire est de se protéger le plus possible. Pourquoi "le plus possible" ? Parce qu'un système ne sera jamais sûr à 100%. Cela car l'informatique est en constante évolution, et que ce qui est sûr un moment peut ne plus l'être le lendemain.
La sécurité absolue est un rêve. Nous tenterons donc de rêver le plus possible...
Nous partirons du principe que nous utilisons seulement le système d'exploitation Microsoft Windows, ce qui est le cas dans plus de 98% des PC.
Le premier point à savoir, est que votre OS doit être à jour. C'est plutôt un point facile, car grâce à Microsoft, la technologie de ses systèmes Windows XP et Windows Vista permet de mettre à jour automatiquement le système. Il est constamment découvert des failles dans celui-ci, et il faut parfois 1 mois avant qu'elles soient comblées. C'est pourquoi le premier élément de votre sécurité est un système à jour. Ce lien vers Secunia vous y aidera, en détectant les logiciels non à jour qui présentent un problème pour votre sécurité.
L'élément maître de votre protection est l'antivirus. Il a pour mission de protéger notre station des vers, virus et chevaux de Troie ; il doit donc être très performant.
De nos jours, les antivirus utilisent une base de donnée pour reconnaître les programmes malveillants, qui doit être mise à jour le plus souvent possible, pour être en mesure de contrer les toutes dernières attaques. Les antivirus actuels utilisent également des systèmes heuristiques, qui placent le virus dans un environnement virtuel, et qui étudient son action sur celui-ci, pour décider ensuite de lui permettre d'accéder à l'environnement réel. Enfin, certains antivirus s'étendent pour toucher les domaines de la protection contre les spywares ou les rootkits, mais dans ces domaines rien ne vaut un logiciel spécialisé.
Comment choisir votre antivirus? Il doit donc être à la pointe de la technologie, ce qui est plus ou moins le cas en général, mais aussi doit disposer de mises à jour fréquentes (comprenez chaque jour, voire chaque heure).
Sans intention de faire de la publicité, d'après des tests statistiques, les meilleurs sont désignés comme étant NOD32, Kaspersky, et Antivirus Kit.
Il faut savoir que d'après les tests statistiques les plus poussés à ce jour, les meilleurs antivirus atteignent 98% de détection de codes malveillants, ce qui est réellement très loin des 100%. En plus, ce taux descend à 45% pour un virus qui était déjà présent avant l'installation de l'antivirus !
Mais ces antivirus ne protègent que peu de genres de menaces. C'est pourquoi il faut surveiller votre sécurité informatique de manière bien plus large, en installant d'autres logiciels. Les plus efficaces, reconnus par les spécialistes, sont listés ici :
Ils sont complémentaires, c'est pourquoi il est conseillé d'utiliser les quatre.
Logiciellement, votre ordinateur est protégé sur son propre terrain. Mais il peut encore se faire attaquer par Internet ! C'est là qu'intervient le pare-feu, ou firewall. Il protège votre ordinateur des connexions suspectes et gère un peu le fonctionnement et les autorisations globales des programmes, pour les plus évolués.
Un Firewall n'est efficace qu'en fonction de sa technologie. Windows XP et Vista intègrent tout deux des firewalls. Mais celui de Windows XP n'est qu'entrant, il est donc totalement obsolète ; celui de Vista est également encore loin d'un vrai firewall d'une société spécialisée. Les plus réputés des firewalls sont ZoneAlarm et Outpost Firewall. Ils chargent de gérer le réseau, en vous rendant invisible depuis Internet.
Vous remarquez que je ne vous oriente pas vers des méta-applications de sécurité, qui regroupent tous ces programmes de sécurité en un seul : elles sont moins fiables, et cherchent la polyvalence (produisant un bon rendement commercial) au détriment de l'efficacité réelle.
Voilà qui clos notre chapitre sur la sécurité logicielle. La quasi-totalité des menaces logicielles sont donc parées.
Mais tout le cryptage du monde ne vous servira à rien si votre ordinateur est "physiquement" compromis. Si vous êtes dans un cas où la sécurité physique est aussi à surveiller, comme dans une société, je vous renvoie vers les liens Internet suivants :
Nous voici sur un ordinateur prêt à mettre du chiffrage en oeuvre !
La première question qui se pose, avant même celle de quel chiffrage utiliser, est celle de quel programme utiliser.
Je ne peux que vous conseiller la référence du chiffrage haute sécurité à la volée : TrueCrypt.
C'est un programme extrêmement fiable et à jour. Il est l'alternative récente au mondialement connu PGP, puis GPG. Il comporte aussi un système de stéganographie.
Il gère de nombreux algorithmes, ainsi que des combinaisons (applications d'un chiffrement, puis d'un autre dessus, 2 voire 3 fois) d'une extrême puissance.
Il commence par créer un fichier container, qui contiendra toutes vos informations de manière sécurisée. Ensuite, pour utiliser ce container, il vous faut le charger dans le programme qui le décryptera avec le mot de passe que vous lui fournirez. Le container sera alors considéré comme un disque local dans l'explorateur Windows, ce qui est très simple à gérer et pratique. De par son fonctionnement à la volée donc, on peut chiffrer un fichier par simple copier/coller...
Choisir son algorithme : Globalement, les algorithmes proposés par TrueCrypt sont tous sûrs. Mais certains le sont plus que d'autres, car on retrouve par exemple le Triple DES, qui ne va pas tarder à être violé, ainsi que le Blowfish, à la vue de tout les efforts mis en oeuvre.
Les algorithmes sont aussi plus ou moins rapides ! Utilisez l'outil 'Banc de test' pour accéder au comparatif des performances. Pensez que le désavantage est que votre container sera en partie rechiffré à chaque modification de son contenu. Raison de plus pour bannir le Triple DES, qui souffre de performances médiocres. Le Blowfish ou le Twofish (qui est un dérivé du Blowfish) sont parmi les plus rapides. TrueCrypt peut utiliser le standard des standards, l'AES Rijndael, qui est un bon compromis performances/sécurité.
Mais la palme revient aux algorithmes en cascades, telle la combinaison AES-Twofish-Serpent, ou Serpent-Twofish-AES, qui utilise donc les 3 finalistes du concours AES. Choisir cette option (l'un de ces 2 protocoles de chiffrement) dans TrueCrypt est la plus sécurisante des méthodes. Mais cela se paye sur la rapidité, qui s'aligne alors sur celle du Triple DES.
D'un point de vue subjectif, et pour résumer, je vous propose :
Ensuite vient le choix de l'algorithme de hachage, entre SHA-1, RIPEMD-160 et Whirlpool. Du point de vue de la sécurité, les 3 sont à peu près équivalents. La préférence tend légèrement vers le Whirlpool.
Enfin, le choix du mot de passe est à faire. Voir 3) Mots de passe. Ne vous effrayez pas si TrueCrypt vous annonce qu'un mot de passe de moins de 20 caractères n'est pas suffisant. Il est comme qui dirait... perfectionniste. Mais il est vrai que suivre ce conseil est un excellent point, car un algorithme de chiffrement, aussi performant soit il, a très peu de chances de protéger efficacement quoi que ce soit si on lui attribue un mot de passe trop court.
Il est raisonnable de penser qu'il faut compenser un algorithme un peu moins fiable, comme le Blowfish, par un mot de passe plus conséquent.
Là, j'attire votre attention sur une fonction de TrueCrypt très intéressante : la possibilité de créer des fichiers mot de passe. Ce sont de petits fichiers qui contiennent votre mot de passe. Sans ce fichier, votre container est inutilisable. Ces fichiers clefs représentent donc une sécurité extraordinaire, par la complexité de la clef qu'ils apportent, et ceci sans que vous ayez à la retenir ; par contre il faut être très attentif au devenir du fichier clef. Il se traite comme un fichier d'une sensibilité extrême sur votre PC (par exemple, sachez qu'effacer un fichier soit disant "définitivement" sous Windows ne le supprime en réalité pas, mais supprime seulement son affichage, et qu'un expert, ou quelqu'un de correctement équipé, peut le retrouver). NB : il est possible de combiner mot de passe classique et clef fichier, pour rassembler les deux avantages.
Enfin, afin de finaliser le remplissage du fichier de données pseudo-aléatoires, TrueCrypt vous demande de bouger la souris frénétiquement une vingtaine de secondes, dans la fenêtre.
Vous pouvez cliquer sur formater ; la chaîne de fabrication est bouclée, et votre container est prêt. A l'utilisation, ensuite, la technicité du chiffrement est transparente.
Quelle est la capacité du chiffrement à transférer et stocker des informations confidentielles ?