Introduction

Objectif du document

La cryptographie moderne met à la disposition des concepteurs de systèmes d’information des outils permettant d’assurer, ou de contribuer à assurer, des fonctions de sécurité telles que la confidentialité, l’intégrité, l’authenticité et la non-répudiation. Ces outils sont souvent qualifiés d’algorithmes, de primitives ou encore de mécanismes cryptographiques.

La science cryptographique a connu des développements majeurs au cours des dernières décennies. Bien que son évolution soit loin d’être achevée, comme le montre par exemple l’émergence relativement récente de nouvelles familles d’algorithmes asymétriques présumés résistants à la menace quantique, elle semble avoir atteint un degré de maturité suffisant pour permettre de dégager des règles générales concernant le choix et le dimensionnement corrects des mécanismes. Ce document vise à expliciter ces règles ainsi que certaines recommandations.

Positionnement du document

Ce document traite des règles et recommandations concernant le choix et le dimensionnement de mécanismes cryptographiques.

Limites du champ d’application du document

Sont explicitement exclus de ce document :

• les règles et recommandations concernant la gestion des clés cryptographiques, qui font l’objet d’un document séparé [2] ;
• la liste exhaustive des mécanismes cryptographiques recommandés permettant d’atteindre les différents niveaux de robustesse cryptographique définis dans ce document, bien que certaines primitives très classiques soient données en exemple. Une telle liste peut être trouvée dans le guide de sélection des mécanismes cryptographiques édité par l’ANSSI [3] ;
• les aspects liés à l’implémentation des mécanismes et en particulier au choix du support ainsi qu’à la sécurité de l’implémentation face aux attaques par canaux auxiliaires ou par injection de fautes ;
• les méthodes d’évaluation des mécanismes cryptographiques, qui reposent avant tout sur une connaissance précise de l’état de l’art en cryptographie ;
• les méthodes d’analyse de menaces et de développement de produits cryptographiques menant à choisir les mécanismes cryptographiques permettant d’assurer les fonctions de sécurité identifiées ainsi que les niveaux de robustesse cryptographique nécessaires ;
• les liens entre niveau de robustesse d’un mécanisme cryptographique et niveau de robustesse d’un produit tel que défini dans les processus de qualification ou d’évaluation selon une méthode normalisée telle que les Critères Communs ;
• les fournitures nécessaires à l’évaluation de mécanismes cryptographiques, qui font l’objet d’un document séparé [24] ;
• les communications circulant en superposition sur un canal quantique. Les techniques de distribution quantique de clés (QKD), et plus généralement toute la cryptographie quantique, en sont donc exclues. C’est également le cas des attaques dans lesquelles on suppose que l’adversaire dispose d’un accès en superposition à un oracle manipulant des secrets (par exemple, un oracle de déchiffrement) ;
• les mécanismes non cryptographiques assurant cependant des fonctions de sécurité tels que l’emploi de mots de passe et l’usage de la biométrie [4], même si ceux-ci utilisent des mécanismes cryptographiques.

Définition des règles et recommandations

Les règles définissent des principes qui doivent a priori être suivis par tout mécanisme. L’observation de ces règles est une condition nécessaire à la reconnaissance du bon niveau de sécurité du mécanisme. Un mécanisme respectant ces règles est dit conforme au référentiel. Cependant, le fait de suivre l’ensemble des règles, qui sont par nature très génériques, n’est pas suffisant pour garantir la robustesse du mécanisme cryptographique ; seule une analyse spécifique permet de s’en assurer.

En plus des règles, le présent document définit également des recommandations. Celles-ci expriment des conditions supplémentaires pour qu’un mécanisme puisse être considéré comme pleinement à l’état de l’art d’un point de vue technique et qu’il assure une marge substantielle de sécurité. Leur application n’est pas formellement requise pour garantir la sécurité d’un mécanisme cryptographique : il est possible de ne pas suivre certaines recommandations si elles représentent une contrainte majeure en termes de fonctionnalité, de performances ou de coût d’un produit.

Certaines règles post-quantiques et recommandations post-quantiques viennent compléter si nécessaire l’énoncé des règles et recommandations par des conditions supplémentaires applicables seulement lorsqu’une résistance aux attaques assistées par ordinateurs quantiques, appelées attaques quantiques, est visée. L’observation d’une règle, qu’elle soit post-quantique ou non, est une condition nécessaire à la reconnaissance qu’un mécanisme cryptographique offre des assurances de protection contre un adversaire doté d’un ordinateur quantique, appelé dans la suite adversaire quantique. Une telle règle doit donc être suivie par tout mécanisme visant à assurer une protection contre la menace posée par le calcul quantique, aussi appelée menace quantique. L’observation d’une recommandation post-quantique est une condition nécessaire à la reconnaissance qu’il est conforme à l’état de l’art de la cryptographie post-quantique et qu’il offre des assurances de protection contre un adversaire quantique avec des marges de sécurité substantielles.

Dans un souci de transparence, les règles et recommandations contenues dans ce document sont le plus souvent accompagnées de justifications et d’informations complémentaires. Les choix sont effectués en tenant compte le plus rigoureusement possible de l’état de l’art actuel en cryptographie ainsi que des contraintes pratiques liées à sa mise en œuvre. À fins d’illustration, des exemples de mécanismes conformes ou non conformes aux règles et recommandations sont parfois donnés. Ces listes n’ont pas vocation à être exhaustives et des recommandations plus détaillées peuvent être trouvées dans le guide ANSSI de sélection des mécanismes cryptographiques [3].

La définition des règles et des recommandations prend également en compte certaines hypothèses classiques telles que la loi de Moore ou d’autres plus actuelles sur l’évolution de la puissance de calcul disponible, ce qui permet de définir des règles et des recommandations de manière suffisamment objective et scientifique pour fixer un cadre acceptable par tout professionnel en sécurité des systèmes d’information. Il va cependant de soi qu’une telle analyse ne peut tenir compte d’éventuels événements « catastrophiques » tels qu’une cryptanalyse opérationnelle de l’AES ou la découverte d’une méthode de factorisation efficace sur de grands nombres.

Par ailleurs, l’estimation des niveaux de résistance qui seront nécessaires afin de garantir la sécurité à 10 ou 20 ans des informations est délicate. Elle est cependant requise par de nombreuses applications comme le maintien de la confidentialité de certaines informations ou la signature électronique qui nécessite souvent une validité à long terme. De plus, lors de la définition d’un produit, il est nécessaire d’avoir une vision dont le terme est dicté par la durée de vie envisagée. Il est possible de résoudre certains problèmes par des moyens techniques (surchiffrement régulier d’informations devant être protégées à long terme, horodatage et signature régulière de documents notariés, etc.) ; cette approche est parfois indispensable mais ne peut être généralisée à cause des contraintes qu’elle impose. Par conséquent, bien que l’analyse développée dans ce guide doive être prise avec précaution, elle vise à être valable pendant au moins 15 ans.

Organisation du document

Ce document est organisé de la manière suivante :

• l’ensemble des règles et recommandations sont contenues dans la section 2 ; elles sont repérées selon la codification suivante : les premières lettres (Règle ou Reco) indiquent si l’on a affaire à une règle ou à une recommandation, le domaine d’application est ensuite précisé et, finalement, un chiffre permet de distinguer les règles d’une même catégorie. Par exemple, RègleFactorisation.3 désigne la règle numéro 3 concernant le problème de la factorisation. Une liste non-exhaustive de mécanismes conformes ou non conformes est parfois proposée en illustration des règles et recommandations ;
• un rappel non mathématique des principaux concepts cryptographiques nécessaires à la compréhension de ce document est proposé dans l’annexe A ;
• des informations issues de publications du milieu académique sur le dimensionnement des mécanismes cryptographiques sont regroupées dans l’annexe B ;
• les références bibliographiques apparaissent dans l’annexe C.

Ce document ne comporte volontairement aucune table récapitulative des tailles minimales de paramètres requis. La concision a été privilégiée dans l’expression des règles et recommandations ; vouloir les résumer à une simple valeur numérique pourrait être une source d’erreur et de confusion.

Mise à jour du document

Ce document ayant en particulier pour but de fixer des bornes numériques, par exemple en termes de tailles de clés, il convient de le mettre à jour tous les deux à cinq ans, en fonction des révisions qu’appellent l’évolution de l’état de l’art et le traitement des commentaires ou retours reçus à son sujet. Les commentaires peuvent être adressés par e-mail à conseil.technique@ssi.gouv.fr.