Authentification d’entités et établissement de clé
Les mécanismes interactifs d’authentification d’entités et d’établissement de clé assurent l’authenticité du possesseur d’une clé publique ainsi que la confidentialité des échanges subséquents avec cette même entité. Pour de nombreux mécanismes d’établissement de clé, la propriété cryptographique appelée confidentialité persistante (« Perfect Forward Secrecy », ou PFS) peut être garantie. Elle assure qu’une compromission de clés ou d’autres données long terme ne remet pas en cause la confidentialité des échanges passés.
- Il est recommandé que la compromission à un instant donné d’éventuels secrets de long terme n’affecte pas la confidentialité des sessions passées.
- Afin de ne pas perdre la propriété de PFS, il est recommandé que tout secret temporaire contribuant à la protection en confidentialité d’un canal sécurisé (secrets éphémères, clé de session, etc.) soit effacé au plus tard à la fin de chaque session de communication.
- On peut définir informellement la propriété de PFS comme l’impossibilité d’obtenir quelque information que ce soit sur une clé de session pour un attaquant capable (1) d’observer et/ou perturber les échanges d’établissement de clé au cours de laquelle cette clé de session a été établie entre deux entités et (2) d’accéder, postérieurement à la période de validité de cette clé de session, à l’ensemble des secrets d’une de ces deux entités. Une condition nécessaire pour assurer cette propriété de PFS est de recourir, pour l’établissement des clés symétriques temporaires, à un mécanisme reposant sur l’emploi par les deux entités de secrets éphémères effacés après utilisation. Les clés symétriques temporaires doivent ellesmêmes être effacées par les deux entités à l’échéance de leur période de validité (fin de session).
- Comme il est rappelé dans l’annexe A.2.4, les mécanismes interactifs d’authentification d’entités et d’établissement de clé reposent en général, au moins partiellement, sur des mécanismes de génération d’aléa, de hachage et de chiffrement ou de signature à clé publique. Les règles et recommandations énoncées dans les sections 2.1.4, 2.2.2, 2.2.3 et 2.3 s’appliquent alors directement. Ces mécanismes peuvent également faire appel à des primitives asymétriques spécifiques, telles que les schémas d’authentification « à divulgation nulle de connaissance » ou l’échange de clés de Diffie-Hellman ; les règles et recommandations énoncées dans la section 2.2.1 s’appliquent alors aux problèmes mathématiques sur lesquels ces primitives reposent. L’évaluation du niveau de robustesse global du mécanisme doit être effectuée avec soin, même si des primitives conformes au référentiel sont employées. Une attention particulière devra notamment être portée à la résistance des mécanismes d’établissement de clé aux attaques par le milieu. L’utilisation conjointe de mécanismes d’établissement de clé et d’authentification d’entité convenablement liés l’un à l’autre peut permettre de se prémunir contre des attaques de ce type.
Lorsqu’une sécurité post-quantique est visée, afin de conserver la propriété de PFS en présence d’adversaires quantiques, il est recommandé que la compromission à un instant donné d’éventuels secrets de long terme par un adversaire doté de moyens de calcul quantique n’affecte pas la confidentialité des sessions passées.
L’hybridation de l’échange de clé Diffie-Hellman avec un mécanisme symétrique au moyen d’une clé pré-partagée ne respecte pas la recommandation RecoPQConfidentialitéPersistante. En cas de compromission de la clé pré-partagée, un adversaire disposant d’un enregistrement des communications passées pourra les déchiffrer immédiatement s’il dispose de capacités quantiques et ultérieurement – au moment où il disposera de capacités quantiques – dans le cas contraire.
Cas particulier des secrets de faible entropie. Certains mécanismes d’authentification reposent sur des sources de faible entropie, telles que des données biométriques ou des mots de passe [4]. À titre d’exemple, des mots de passe de 8 caractères alphanumériques (chiffres et lettres majuscules ou minuscules) ont une entropie au mieux de 47 bits, sous l’hypothèse très optimiste que ces mots de passe sont choisis aléatoirement.
- Il convient, lorsqu’on étudie la sécurité d’un mécanisme d’authentification, de distinguer les calculs qui peuvent être effectués hors-ligne, c’est-à-dire sans accès à une ressource telle qu’un serveur, et les opérations qui doivent être réalisées en ligne. Il faut également prendre en compte le nombre de ressources susceptibles d’être attaquées.
- Notons enfin que des attaques fondées sur le paradoxe des anniversaires peuvent également s’appliquer, par exemple si une liste d’empreintes de mots de passe d’accès à un système est disponible.