En cryptographie, le terme PFS appara\u00eet parfois. C’est l’abr\u00e9viation de Perfect Forward Secrecy, parfois simplement appel\u00e9 FS. En r\u00e9sum\u00e9, il s’agit de s’assurer qu’en cas de vol d’une cl\u00e9 priv\u00e9e sur un serveur (par exemple, en cas de piratage), seules les donn\u00e9es de la session en cours sont vuln\u00e9rables. Le trafic pass\u00e9 reste s\u00e9curis\u00e9. C’est l’id\u00e9e principale. Mais honn\u00eatement, comprendre son fonctionnement implique de ma\u00eetriser les \u00e9changes de cl\u00e9s cryptographiques. Ne vous inqui\u00e9tez donc pas si cela vous semble confus au premier abord. C’est un moyen de s\u00e9curiser les donn\u00e9es chiffr\u00e9es sur le long terme.<\/p>\n
Pour s\u00e9curiser vos messages, la meilleure solution est d’utiliser le chiffrement sym\u00e9trique, un chiffrement rapide comme AES. Le probl\u00e8me ? Puisque la m\u00eame cl\u00e9 est utilis\u00e9e pour chiffrer et d\u00e9chiffrer le message, vous ne pouvez pas simplement l’envoyer sur un r\u00e9seau non s\u00e9curis\u00e9 sans risquer une interception. L’approche courante consiste donc \u00e0 utiliser la cryptographie asym\u00e9trique (cl\u00e9s publiques\/priv\u00e9es) pour \u00e9tablir d’abord un canal s\u00e9curis\u00e9.<\/p>\n
Remarque : En th\u00e9orie, vous pourriez essayer des m\u00e9thodes hors bande, comme l’\u00e9change de cl\u00e9s via un appareil hors ligne, mais c’est fastidieux et rarement pratique de nos jours. G\u00e9n\u00e9ralement, cela se fait via Diffie-Hellman.<\/p>\n
Diffie-Hellman (DH) est une sorte de poign\u00e9e de main sophistiqu\u00e9e. Une personne, par exemple Alice, envoie sa cl\u00e9 publique \u00e0 Bob, qui la combine ensuite avec sa cl\u00e9 priv\u00e9e pour g\u00e9n\u00e9rer un secret partag\u00e9. Bob renvoie sa cl\u00e9 publique, et Alice fait de m\u00eame avec sa cl\u00e9 priv\u00e9e. Gr\u00e2ce \u00e0 cette configuration, les deux se retrouvent avec le m\u00eame secret, sans jamais le transmettre. Ce secret est ensuite utilis\u00e9 pour chiffrer les messages gr\u00e2ce \u00e0 des algorithmes sym\u00e9triques ultra-rapides.<\/p>\n
Remarque : Le pi\u00e8ge ? Diffie-Hellman ne v\u00e9rifie pas par d\u00e9faut la l\u00e9gitimit\u00e9 de l’autre partie. En r\u00e9sum\u00e9, n’importe qui pourrait s’immiscer avec une fausse cl\u00e9. Il faut donc un moyen de v\u00e9rifier les identit\u00e9s, et c’est l\u00e0 qu’interviennent les PKI et les certificats. Car, bien s\u00fbr, la s\u00e9curit\u00e9 sur Internet ne se r\u00e9sume pas au chiffrement, mais aussi \u00e0 la confiance.<\/p>\n
C’est l\u00e0 que les choses se compliquent. Les sites web utilisent des certificats \u00e9mis par des autorit\u00e9s de certification (AC) de confiance, qui incluent des cl\u00e9s publiques. Ces certificats fonctionnent parfaitement jusqu’\u00e0 ce que la cl\u00e9 priv\u00e9e du serveur soit compromise ; par exemple, un pirate informatique parvient \u00e0 s’infiltrer dans le serveur et \u00e0 la voler. Une fois en possession de cette cl\u00e9, le pirate peut d\u00e9chiffrer le trafic chiffr\u00e9 avec, parfois m\u00eame des ann\u00e9es de stockage. C’est un v\u00e9ritable cauchemar, car le chiffrement moderne rend la d\u00e9couverte de la cl\u00e9 quasiment impossible. Ainsi, si quelqu’un la poss\u00e8de, il est libre.<\/p>\n
Et soyons honn\u00eates : si un attaquant (un \u00c9tat-nation, un FAI ou un fournisseur VPN sournois) d\u00e9tient une \u00e9norme quantit\u00e9 de trafic chiffr\u00e9, il pourrait la d\u00e9chiffrer ult\u00e9rieurement s’il obtenait la cl\u00e9. Cela signifie que toutes ces informations chiffr\u00e9es, vos informations bancaires, etc., sont en danger une fois la cl\u00e9 priv\u00e9e expos\u00e9e.<\/p>\n
Le plus inqui\u00e9tant, c’est que d\u00e9tenir la cl\u00e9 ne suffit pas \u00e0 d\u00e9chiffrer les conversations pass\u00e9es, \u00e0 moins d’avoir enregistr\u00e9 tout le trafic. Mais si quelqu’un y parvient \u2013 \u200b\u200bet qu’il poss\u00e8de la cl\u00e9 priv\u00e9e \u2013 il pourra d\u00e9chiffrer toutes ces donn\u00e9es ult\u00e9rieurement, lorsque le d\u00e9chiffrement sera r\u00e9alisable.<\/p>\n
C’est l\u00e0 qu’intervient PFS. L’id\u00e9e ? Ne pas r\u00e9utiliser la m\u00eame cl\u00e9 pour chaque session.\u00c0 chaque connexion client, le serveur g\u00e9n\u00e8re une nouvelle paire de cl\u00e9s temporaire (\u00e9ph\u00e9m\u00e8re).Cette cl\u00e9 \u00e9ph\u00e9m\u00e8re est utilis\u00e9e uniquement pour cette session, puis supprim\u00e9e imm\u00e9diatement apr\u00e8s. Ainsi, m\u00eame si quelqu’un parvient \u00e0 pirater le serveur et \u00e0 r\u00e9cup\u00e9rer la cl\u00e9 priv\u00e9e ult\u00e9rieurement, il ne peut pas d\u00e9chiffrer les conversations pass\u00e9es, car chaque session \u00e9tait s\u00e9curis\u00e9e avec sa propre cl\u00e9 unique.<\/p>\n
Lorsqu’on parle de Diffie-Hellman avec cl\u00e9s \u00e9ph\u00e9m\u00e8res, on parle de Diffie-Hellman \u00e9ph\u00e9m\u00e8re \u00e0 courbe elliptique (ECDHE).C’est un peu long, mais le principe est globalement le m\u00eame : g\u00e9n\u00e9rer une nouvelle cl\u00e9 \u00e0 chaque fois, la conserver uniquement pour la session, puis l’effacer.<\/p>\n
Le r\u00e9sultat pratique ? Si la cl\u00e9 priv\u00e9e de votre serveur est compromise *apr\u00e8s*, l’attaquant ne peut d\u00e9chiffrer que le trafic des sessions s\u00e9curis\u00e9es avec cette cl\u00e9, et non l’historique complet. Un gain de s\u00e9curit\u00e9 consid\u00e9rable, surtout si quelqu’un a captur\u00e9 du trafic dans l’espoir de le d\u00e9chiffrer ult\u00e9rieurement.<\/p>\n
C’est un peu \u00e9trange, mais cela rend le syst\u00e8me global plus r\u00e9sistant, notamment face \u00e0 l’espionnage \u00e0 long terme. Comme chaque session utilise un nouveau secret, c’est comme ne pas laisser de serrure \u00e0 cl\u00e9 permanente sur la porte.<\/p>\n
En r\u00e9sum\u00e9, le PFS vise \u00e0 pr\u00e9server la s\u00e9curit\u00e9 des donn\u00e9es chiffr\u00e9es anciennes, m\u00eame si la cl\u00e9 priv\u00e9e est compromise ult\u00e9rieurement. Ce n’est pas infaillible, mais c’est l’un des meilleurs moyens d’emp\u00eacher un attaquant de d\u00e9chiffrer des ann\u00e9es de trafic stock\u00e9 s’il y acc\u00e8de ult\u00e9rieurement. En r\u00e9sum\u00e9, c’est une bonne habitude de s\u00e9curit\u00e9 qui rend vos conversations chiffr\u00e9es plus difficiles \u00e0 d\u00e9chiffrer r\u00e9trospectivement. Car en s\u00e9curit\u00e9, il s’agit parfois de compliquer la t\u00e2che de quiconque tente de remonter dans le temps.<\/p>\n
Esp\u00e9rons que cela clarifie les id\u00e9es principales ; c’est un peu technique, mais comprendre le pourquoi du PFS permet de mieux comprendre pourquoi les sites web et les applications s’efforcent autant de l’impl\u00e9menter. C’est une solution qui a fonctionn\u00e9 sur plusieurs configurations et, esp\u00e9rons-le, qui \u00e9claire les m\u00e9andres de la cryptographie.<\/p>\n","protected":false},"excerpt":{"rendered":"
En cryptographie, le terme PFS appara\u00eet parfois. C’est l’abr\u00e9viation de Perfect Forward Secrecy, parfois simplement appel\u00e9 FS. En r\u00e9sum\u00e9, il s’agit de s’assurer qu’en cas<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1519","post","type-post","status-publish","format-standard","hentry","category-aide"],"_links":{"self":[{"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/posts\/1519","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/comments?post=1519"}],"version-history":[{"count":0,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/posts\/1519\/revisions"}],"wp:attachment":[{"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/media?parent=1519"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/categories?post=1519"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/tags?post=1519"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}