Taille de clé symétrique
Dans cette section sont définies les propriétés attendues de clés utilisées par des mécanismes symétriques. Dans ce document, la taille d’une clé est le nombre de bits effectifs de cette clé. Par exemple, le DES utilise des clés de 64 bits mais seuls 56 de ces bits peuvent être choisis aléatoirement, les 8 bits restants servant de contrôle de parité. C’est pourquoi les clés DES considérées ont une taille de 56 bits.
Les tailles minimales définies ci-dessous n’ont de valeur que sous l’hypothèse que la meilleure attaque classique permettant de mettre en défaut le mécanisme symétrique employé consiste à effectuer une recherche exhaustive sur l’espace des clés. Cette attaque étant générique, le respect des règles définies ci-dessous est une condition nécessaire qui ne peut être considérée comme suffisante. Une analyse cryptographique complémentaire du mécanisme est indispensable.
- Bien que la capacité de calcul d’une organisation motivée soit complexe à estimer précisément, l’emploi de clés dont la longueur ne dépasse pas significativement 100 bits est risqué (voir annexes A.1.1 et B.1). En particulier, une taille de clé de 64 bits est clairement insuffisante puisqu’il est possible aujourd’hui de retrouver une clé de cette taille par recherche exhaustive. De plus, on estime que les clés de 80 bits ne sont pas hors de portée des moyens de calcul classique actuels. Seul l’emploi de clés de longueur significativement supérieure à 100 bits offre des marges de sécurité suffisantes. En pratique, l’usage extrêmement répandu de l’algorithme AES favorise l’emploi de clés de 128 bits ou plus.
- L’emploi de clés de 128 bits permet de s’assurer que les attaques génériques classiques par recherche exhaustive seront inopérantes à long terme. Ceci n’implique cependant pas que tout mécanisme utilisant de telles clés soit cryptographiquement sûr.
- Dans les contextes où une résistance à la menace quantique est visée, il est nécessaire de se prémunir durablement contre les accélérations quantiques de la recherche générique de clé permises par exemple par l’algorithme de Grover [23]. Des clés de longueur 192 bits ou 256 bits fournissent une marge de sécurité substantielle contre de telles accélérations.
- L’emploi de clés de 128 bits peut néanmoins être présumé suffisant pour que les attaques génériques reposant sur l’emploi d’algorithmes quantiques tels que l’algorithme de Grover soient inopérantes à assez long terme. De tels algorithmes emploient en effet des circuits quantiques de profondeur proportionnelle au facteur d’accélération quantique visé, ce qui limite fortement ce facteur. La recommandation RecoPQTailleCléSym pourrait cependant devoir être convertie en une règle post-quantique en cas d’évolutions majeures dans les technologies de calcul quantique.
- L’emploi de clés d’au moins 192 bits n’induit généralement qu’une faible dégradation des performances comme l’illustre le faible surcoût d’AES-192 par rapport à AES-128.
- La primitive de chiffrement par bloc AES-128 est conforme à la règle RègleTailleCléSym mais non conforme à la recommandation RecoPQTailleCléSym.
- Les primitives de chiffrement par bloc AES-192 et AES-256 sont conformes à la règle et à la recommandation précédentes.
La primitive de chiffrement par bloc Triple-DES deux clés ne respecte pas la règle RègleTailleCléSym puisque sa longueur de clé est seulement de 112 bits.