Cryptographie asymétrique

Transcription

1 Université Paris 13 IUT de Villetaneuse Licence R&T ASUR Cryptographie Partie 3 Cryptographie asymétrique Étienne André Etienne.Andre (à) univ-paris13.fr Version : 1 er décembre 2016 (diapositives à trous pour Web) Étienne André Cryptographie / 29

2 Partie 3: Cryptographie asymétrique Plan 1 Contexte et historique 2 Dénition 3 RSA Étienne André Cryptographie / 29

3 Contexte et historique Plan: Contexte et historique 1 Contexte et historique La préhistoire Échange de clés DieHellman La révolution asymétrique 2 Dénition 3 RSA Étienne André Cryptographie / 29

4 Contexte et historique La préhistoire La préhistoire de la cryptographie asymétrique Années 1950 : chirements symétriques Années 1960 : développement des réseaux : Développement d'arpanet : Réseau X25 (Europe) : mise au point de TCP/IP : World Wide Web Questions : Étienne André Cryptographie / 29

9 Contexte et historique La préhistoire Au-delà de Kerckhos... Principe de Kerckhos (rappel) Il faut que le cryptosystème puisse sans inconvénient tomber entre les mains de l'ennemi. 2 e principe, Auguste Kerckhos ( ) Le cryptosystème peut tomber entre les mains de l'ennemi Le message chiré peut tomber entre les mains de l'ennemi Étienne André Cryptographie / 29

10 Contexte et historique La préhistoire Au-delà de Kerckhos... Principe de Kerckhos (rappel) Il faut que le cryptosystème puisse sans inconvénient tomber entre les mains de l'ennemi. 2 e principe, Auguste Kerckhos ( ) Le cryptosystème peut tomber entre les mains de l'ennemi Le message chiré peut tomber entre les mains de l'ennemi Et si pouvait aussi tomber entre les mains de l'ennemi? Étienne André Cryptographie / 29

11 Contexte et historique Échange de clés DieHellman : l'échange de clés Die-Hellman Whiteld Die (1944) Martin Hellman (1945) Prix Turing 2015 Alice et Bob peuvent désormais se mettre d'accord sur une clé secrète sans avoir à l'échanger! Bien sûr, Oscar ne peut pas voir cette clé. Principe mathématique : Étienne André Cryptographie / 29

12 Contexte et historique Échange de clés DieHellman : l'échange de clés Die-Hellman Whiteld Die (1944) Martin Hellman (1945) Prix Turing 2015 Alice et Bob peuvent désormais se mettre d'accord sur une clé secrète sans avoir à l'échanger! Bien sûr, Oscar ne peut pas voir cette clé. Principe mathématique : Étienne André Cryptographie / 29

13 Contexte et historique La révolution asymétrique : la révolution de la cryptographie asymétrique Ronald Rivest Adi Shamir Leonard Adleman (1947) (1952) (1945) Article A Method for Obtaining Digital Signatures and Public-key Cryptosystems (1978) C'est l'algorithme dit, qui marque la naissance de la cryptographie asymétrique. Prix Turing 2002 Étienne André Cryptographie / 29

14 Contexte et historique La révolution asymétrique RSA : cryptographie asymétrique Principe de RSA Génération de deux clés Une clé privée Une clé publique Ces deux clés sont liées par des propriétés mathématiques. Étienne André Cryptographie / 29

15 Contexte et historique La révolution asymétrique RSA : cryptographie asymétrique Principe de RSA Génération de deux clés Une clé privée Une clé publique Ces deux clés sont liées par des propriétés mathématiques. Analogie : Clé privée : Clé publique : Étienne André Cryptographie / 29

16 Dénition Plan: Dénition 1 Contexte et historique 2 Dénition 3 RSA Étienne André Cryptographie / 29

17 Dénition Cryptosystème asymétrique Dénition (Cryptosystème asymétrique) Ces deux clés sont liées par des propriétés mathématiques bien précises. (Un cryptosystème asymétrique est évidemment aussi basé sur des fonctions de chirement et de déchirement paramétrées par ces clés.) Étienne André Cryptographie / 29

18 Dénition Cryptosystème asymétrique Dénition (Cryptosystème asymétrique) Ces deux clés sont liées par des propriétés mathématiques bien précises. (Un cryptosystème asymétrique est évidemment aussi basé sur des fonctions de chirement et de déchirement paramétrées par ces clés.) En fonction des applications, la clé privée peut être tantôt la clé de chirement K e, tantôt la clé de déchirement K d. Le système est asymétrique car Étienne André Cryptographie / 29

19 Dénition Condentialité de la clé privée Important Oscar ne doit surtout pas avoir accès à la clé privée! En fait, même Alice n'a pas accès à la clé privée de Bob. (De même, Bob n'a pas accès à la clé privée d'alice.) Étienne André Cryptographie / 29

20 Dénition Condentialité de la clé privée Important Oscar ne doit surtout pas avoir accès à la clé privée! En fait, même Alice n'a pas accès à la clé privée de Bob. (De même, Bob n'a pas accès à la clé privée d'alice.) Où conserver la clé privée? Une solution peut être de conserver la clé privée sur une machine sans accès au réseau public (Internet). Étienne André Cryptographie / 29

21 Plan: RSA 1 Contexte et historique 2 Dénition 3 RSA Principes mathématiques Spécications Génération avec GPG Cryptanalyse Les autres Un peu de science-ction (?) Étienne André Cryptographie / 29

22 Principes mathématiques Du neuf avec du vieux RSA est basé sur des techniques anciennes Nombres premiers (Euclide, Antiquité) Petit théorème de Fermat (1640) Indicatrice d'euler (18 e siècle) Congruence sur les entiers (Gauss, n du 18 e siècle) Étienne André Cryptographie / 29

23 Principes mathématiques RSA : des nombres premiers Décomposition en facteurs premiers : Choisir 2 nombres premiers p et q Construire leur produit p q Peut-on retrouver p et q à partir de p q? Étienne André Cryptographie / 29

24 Principes mathématiques RSA : des nombres premiers Décomposition en facteurs premiers : Choisir 2 nombres premiers p et q Construire leur produit p q Peut-on retrouver p et q à partir de p q? Si p = et q =, alors p q = Étienne André Cryptographie / 29

25 Principes mathématiques RSA : des nombres premiers Décomposition en facteurs premiers : Choisir 2 nombres premiers p et q Construire leur produit p q Peut-on retrouver p et q à partir de p q? Si p = et q =, alors p q =. Facile! Étienne André Cryptographie / 29

26 Principes mathématiques RSA : des nombres premiers Décomposition en facteurs premiers : Choisir 2 nombres premiers p et q Construire leur produit p q Peut-on retrouver p et q à partir de p q? Si p = et q =, alors p q =. Facile! Et si p et q sont des nombres chacun constitués de plus de 100 chires...? Étienne André Cryptographie / 29

27 Principes mathématiques Sécurité des nombres premiers Peut-on retrouver p et q à partir de p q? Étienne André Cryptographie / 29

28 Principes mathématiques Sécurité des nombres premiers Peut-on retrouver p et q à partir de p q? Le record actuel est de...obtenu après plusieurs années de recherche et CPU-années de calculs (en réalité 2 ans en utilisant de très nombreux CPU) Étienne André Cryptographie / 29

29 Principes mathématiques Sécurité des nombres premiers : exemple Factorisation d'un nombre à 232 chires (record actuel), soit 768 bits (travail de 13 auteurs de 6 pays diérents) peut être décomposé en Étienne André Cryptographie / 29

30 Spécications RSA : spécications Algorithme breveté en 1977, élevé dans le domaine public en 2000 Taille des clés : typiquement Étienne André Cryptographie / 29

31 Génération avec GPG RSA : génération de clés avec GPG (1/5) Génération avec GPG Génération des clés (1/5) > Étienne André Cryptographie / 29

32 Génération avec GPG RSA : génération de clés avec GPG (1/5) Génération avec GPG Génération des clés (1/5) > Étienne André Cryptographie / 29

33 Génération avec GPG RSA : génération de clés avec GPG (1/5) Génération avec GPG Génération des clés (1/5) > gpg (GnuPG) ; Copyright (C) 2013 Free Software Foundation, Inc. This is free software: you are free to change and redistribute it. There is NO WARRANTY, to the extent permitted by law. Sélectionnez le type de clef désiré : (1) RSA et RSA (par défaut) (2) DSA et Elgamal (3) DSA (signature seule) (4) RSA (signature seule) Quel est votre choix? Étienne André Cryptographie / 29

34 Génération avec GPG RSA : génération de clés avec GPG (1/5) Génération avec GPG Génération des clés (1/5) > gpg (GnuPG) ; Copyright (C) 2013 Free Software Foundation, Inc. This is free software: you are free to change and redistribute it. There is NO WARRANTY, to the extent permitted by law. Sélectionnez le type de clef désiré : (1) RSA et RSA (par défaut) (2) DSA et Elgamal (3) DSA (signature seule) (4) RSA (signature seule) Quel est votre choix? 1 Étienne André Cryptographie / 29

35 Génération avec GPG RSA : génération de clés avec GPG (2/5) Génération des clés (2/5) les clefs RSA peuvent faire entre 1024 et 4096 bits de longueur. Quelle taille de clef désirez-vous? (2048) Étienne André Cryptographie / 29

36 Génération avec GPG RSA : génération de clés avec GPG (2/5) Génération des clés (2/5) les clefs RSA peuvent faire entre 1024 et 4096 bits de longueur. Quelle taille de clef désirez-vous? (2048)4096 Étienne André Cryptographie / 29

37 Génération avec GPG RSA : génération de clés avec GPG (2/5) Génération des clés (2/5) les clefs RSA peuvent faire entre 1024 et 4096 bits de longueur. Quelle taille de clef désirez-vous? (2048)4096 La taille demandée est 4096 bits Veuillez indiquer le temps pendant lequel cette clef devrait être valable. 0 = la clef n'expire pas <n> = la clef expire dans n jours <n>w = la clef expire dans n semaines <n>m = la clef expire dans n mois <n>y = la clef expire dans n ans Pendant combien de temps la clef est-elle valable? (0) Étienne André Cryptographie / 29

38 Génération avec GPG RSA : génération de clés avec GPG (2/5) Génération des clés (2/5) les clefs RSA peuvent faire entre 1024 et 4096 bits de longueur. Quelle taille de clef désirez-vous? (2048)4096 La taille demandée est 4096 bits Veuillez indiquer le temps pendant lequel cette clef devrait être valable. 0 = la clef n'expire pas <n> = la clef expire dans n jours <n>w = la clef expire dans n semaines <n>m = la clef expire dans n mois <n>y = la clef expire dans n ans Pendant combien de temps la clef est-elle valable? (0)0 Étienne André Cryptographie / 29

39 Génération avec GPG RSA : génération de clés avec GPG (2/5) Génération des clés (2/5) les clefs RSA peuvent faire entre 1024 et 4096 bits de longueur. Quelle taille de clef désirez-vous? (2048)4096 La taille demandée est 4096 bits Veuillez indiquer le temps pendant lequel cette clef devrait être valable. 0 = la clef n'expire pas <n> = la clef expire dans n jours <n>w = la clef expire dans n semaines <n>m = la clef expire dans n mois <n>y = la clef expire dans n ans Pendant combien de temps la clef est-elle valable? (0)0 La clef n'expire pas du tout Est-ce correct? (o/n) Étienne André Cryptographie / 29

40 Génération avec GPG RSA : génération de clés avec GPG (2/5) Génération des clés (2/5) les clefs RSA peuvent faire entre 1024 et 4096 bits de longueur. Quelle taille de clef désirez-vous? (2048)4096 La taille demandée est 4096 bits Veuillez indiquer le temps pendant lequel cette clef devrait être valable. 0 = la clef n'expire pas <n> = la clef expire dans n jours <n>w = la clef expire dans n semaines <n>m = la clef expire dans n mois <n>y = la clef expire dans n ans Pendant combien de temps la clef est-elle valable? (0)0 La clef n'expire pas du tout Est-ce correct? (o/n) o Étienne André Cryptographie / 29

41 Génération avec GPG RSA : génération de clés avec GPG (3/5) Génération des clés (3/5) Une identité est nécessaire à la clef ; le programme la construit à partir du nom réel, d'un commentaire et d'une adresse électronique de cette façon : Heinrich Heine (le poète) <heinrichh@duesseldorf.de> Nom réel : Étienne André Cryptographie / 29

42 Génération avec GPG RSA : génération de clés avec GPG (3/5) Génération des clés (3/5) Une identité est nécessaire à la clef ; le programme la construit à partir du nom réel, d'un commentaire et d'une adresse électronique de cette façon : Heinrich Heine (le poète) <heinrichh@duesseldorf.de> Nom réel : Etienne Andre Étienne André Cryptographie / 29

43 Génération avec GPG RSA : génération de clés avec GPG (3/5) Génération des clés (3/5) Une identité est nécessaire à la clef ; le programme la construit à partir du nom réel, d'un commentaire et d'une adresse électronique de cette façon : Heinrich Heine (le poète) <heinrichh@duesseldorf.de> Nom réel : Etienne Andre Adresse électronique : Étienne André Cryptographie / 29

44 Génération avec GPG RSA : génération de clés avec GPG (3/5) Génération des clés (3/5) Une identité est nécessaire à la clef ; le programme la construit à partir du nom réel, d'un commentaire et d'une adresse électronique de cette façon : Heinrich Heine (le poète) <heinrichh@duesseldorf.de> Nom réel : Etienne Andre Adresse électronique : Etienne.Andre@jaimelacrypto.fr Étienne André Cryptographie / 29

45 Génération avec GPG RSA : génération de clés avec GPG (3/5) Génération des clés (3/5) Une identité est nécessaire à la clef ; le programme la construit à partir du nom réel, d'un commentaire et d'une adresse électronique de cette façon : Heinrich Heine (le poète) <heinrichh@duesseldorf.de> Nom réel : Etienne Andre Adresse électronique : Etienne.Andre@jaimelacrypto.fr Commentaire : Étienne André Cryptographie / 29

46 Génération avec GPG RSA : génération de clés avec GPG (3/5) Génération des clés (3/5) Une identité est nécessaire à la clef ; le programme la construit à partir du nom réel, d'un commentaire et d'une adresse électronique de cette façon : Heinrich Heine (le poète) <heinrichh@duesseldorf.de> Nom réel : Etienne Andre Adresse électronique : Etienne.Andre@jaimelacrypto.fr Commentaire : Vous avez sélectionné cette identité : Etienne Andre <Etienne.Andre@jaimelacrypto.fr> Étienne André Cryptographie / 29

47 Génération avec GPG RSA : génération de clés avec GPG (3/5) Génération des clés (3/5) Une identité est nécessaire à la clef ; le programme la construit à partir du nom réel, d'un commentaire et d'une adresse électronique de cette façon : Heinrich Heine (le poète) <heinrichh@duesseldorf.de> Nom réel : Etienne Andre Adresse électronique : Etienne.Andre@jaimelacrypto.fr Commentaire : Vous avez sélectionné cette identité : Etienne Andre <Etienne.Andre@jaimelacrypto.fr> Faut-il modifier le (N)om, le (C)ommentaire, l'(a)dresse électronique ou (O)ui/(Q)uitter? Étienne André Cryptographie / 29

48 Génération avec GPG RSA : génération de clés avec GPG (3/5) Génération des clés (3/5) Une identité est nécessaire à la clef ; le programme la construit à partir du nom réel, d'un commentaire et d'une adresse électronique de cette façon : Heinrich Heine (le poète) <heinrichh@duesseldorf.de> Nom réel : Etienne Andre Adresse électronique : Etienne.Andre@jaimelacrypto.fr Commentaire : Vous avez sélectionné cette identité : Etienne Andre <Etienne.Andre@jaimelacrypto.fr> Faut-il modifier le (N)om, le (C)ommentaire, l'(a)dresse électronique ou (O)ui/(Q)uitter? o Étienne André Cryptographie / 29

49 Génération avec GPG RSA : génération de clés avec GPG (4/5) Génération des clés (4/5) Une phrase de passe est nécessaire pour protéger votre clef secrète. Étienne André Cryptographie / 29

50 Génération avec GPG RSA : génération de clés avec GPG (4/5) Génération des clés (4/5) Une phrase de passe est nécessaire pour protéger votre clef secrète. De nombreux octets aléatoires doivent être générés. Vous devriez faire autre chose (taper au clavier, déplacer la souris, utiliser les disques) pendant la génération de nombres premiers ; cela donne au générateur de nombres aléatoires une meilleure chance d'obtenir suffisamment d'entropie. Étienne André Cryptographie / 29

51 Génération avec GPG RSA : génération de clés avec GPG (4/5) Génération des clés (4/5) Une phrase de passe est nécessaire pour protéger votre clef secrète. De nombreux octets aléatoires doivent être générés. Vous devriez faire autre chose (taper au clavier, déplacer la souris, utiliser les disques) pendant la génération de nombres premiers ; cela donne au générateur de nombres aléatoires une meilleure chance d'obtenir suffisamment d'entropie. Il n'y a pas suffisamment d'octets aléatoires disponibles. Veuillez faire autre chose pour que le système d'exploitation puisse rassembler plus d'entropie (245 octets supplémentaires sont nécessaires). Étienne André Cryptographie / 29

52 Génération avec GPG RSA : génération de clés avec GPG (5/5) Génération des clés (5/5) gpg: clef 7557BF31 marquée de confiance ultime. les clefs publique et secrète ont été créées et signées. gpg: vérification de la base de confiance gpg: 3 marginale(s) nécessaire(s), 1 complète(s) nécessaire(s), modèle de confiance PGP gpg: profondeur : 0 valables : 1 signées : 0 confiance : 0 i., 0 n.d., 0 j., 0 m., 0 t., 1 u. pub 4096R/7557BF Empreinte de la clef = D758 04F4 7C0E AB B18 5AD8 EB BF31 uid Etienne Andre <Etienne.Andre@jaimelacrypto.fr> sub 4096R/3E96D Étienne André Cryptographie / 29

53 Génération avec GPG RSA : Où sont les clés? Listage des clés > Étienne André Cryptographie / 29

54 Génération avec GPG RSA : Où sont les clés? Listage des clés > /home/moi/.gnupg/pubring.gpg pub 1024D/517D0F0E uid <ftpadmin@kernel.org> sub 4096g/E50A8F2A pub 1024D/B uid Linux Kernel Archives Verification Key Paul Bismuth <Paul.Bismuth@jaimepaslacrypto.fr> sub 1024g/EBA7CEC pub 4096R/7557BF uid Etienne Andre <Etienne.Andre@jaimelacrypto.fr> Étienne André Cryptographie / 29

55 Génération avec GPG Export des clés Export > gpg export -a "Votre Nom" > maclepublique.gpg Étienne André Cryptographie / 29

56 Génération avec GPG Export des clés Export > gpg export -a "Votre Nom" > maclepublique.gpg Export (alternative) > gpg armor export > maclepublique.gpg Étienne André Cryptographie / 29

57 Cryptanalyse Sécurité Sécurité de RSA La sécurité de l'algorithme RSA contre les attaques par la force brute repose sur deux conjectures : 1 casser RSA de cette manière nécessite la factorisation du nombre n en le produit initial des nombres 2 avec les algorithmes classiques, le temps que prend cette factorisation croît Étienne André Cryptographie / 29

58 Cryptanalyse Cryptanalyse Failles possibles de RSA : On s'approche lentement des 1024 bits des clés de RSA (recommandation : utiliser 2048 ou 4096) Néanmoins, le nombre de processeurs demandé est exponentiel : on est donc (encore) tranquille avec de grandes clés Étienne André Cryptographie / 29

59 Cryptanalyse Cryptanalyse Failles possibles de RSA : On s'approche lentement des 1024 bits des clés de RSA (recommandation : utiliser 2048 ou 4096) Néanmoins, le nombre de processeurs demandé est exponentiel : on est donc (encore) tranquille avec de grandes clés La factorisation des nombres premiers n'est plus exponentielle! (Pour l'instant, on est surtout capables de factoriser 15 = 5 3 par cette technique) Étienne André Cryptographie / 29

60 Cryptanalyse Cryptanalyse Failles possibles de RSA : On s'approche lentement des 1024 bits des clés de RSA (recommandation : utiliser 2048 ou 4096) Néanmoins, le nombre de processeurs demandé est exponentiel : on est donc (encore) tranquille avec de grandes clés La factorisation des nombres premiers n'est plus exponentielle! (Pour l'instant, on est surtout capables de factoriser 15 = 5 3 par cette technique) Autres attaques potentielles : basées sur la théorie des nombres, le temps de calcul, les rayonnements électromagnétiques, etc.... Étienne André Cryptographie / 29

61 Les autres Quelques autres algorithmes Exemples : Étienne André Cryptographie / 29

62 Un peu de science-ction (?) Et si tout s'eondrait...? (1/2) Théorie de la complexité P : classe des problèmes admettant un algorithme s'exécutant en temps polynomial NP : classe des problèmes qui, une fois une solution connue, demandent un algorithme s'exécutant en temps polynomial pour la vérier Est-ce que P = NP, ou bien P NP? Étienne André Cryptographie / 29

63 Un peu de science-ction (?) Et si tout s'eondrait...? (1/2) Théorie de la complexité P : classe des problèmes admettant un algorithme s'exécutant en temps polynomial NP : classe des problèmes qui, une fois une solution connue, demandent un algorithme s'exécutant en temps polynomial pour la vérier Est-ce que P = NP, ou bien P NP? Grand problème non résolu à ce jour Étienne André Cryptographie / 29

64 Un peu de science-ction (?) Et si tout s'eondrait...? (2/2) S'il est prouvé que P = NP, les algorithmes à clé publique pourront potentiellement être (tous) cassés. Intuition : Trouver la clé d'un algorithme à clé publique revient à résoudre un problème NP Si l'on connaît la clé privée, il est facile (temps polynomial) de vérier qu'elle correspond à la clé publique Si P = NP, vérier que la clé privée correspond à la clé publique serait (potentiellement) de même complexité que trouver la clé privée! Étienne André Cryptographie / 29

65 Sources et licence Sources et références Étienne André Cryptographie / 29

66 Sources et licence Sources Factorization of a 768-bit RSA modulus Ce cours a bénécié de l'exposé court Cryptologie et sécurité dans un monde numérique de Jacques Stern (15 novembre 2013) Wikipedia : Étienne André Cryptographie / 29

67 Sources et licence Références Applied Cryptography de Bruce Schneier (John Wiley & Sons, 1996) La Science du secret de Jacques Stern (Odile Jacob, 1998) Public Key Cryptography : Die-Hellman Key Exchange (ou l'échange de Die-Hellman expliqué avec des couleurs) Intro to RSA Encryption par la Khan Academy (ou la crypto asymétrique expliquée avec des couleurs) Étienne André Cryptographie / 29

68 Licence Source des images utilisées (1/3) Titre : Combination discs Auteur : Oldie Source : Licence : CC BY-SA 3.0 Titre : Martin Hellman Auteur : User. :Ajvol :. on en.wikipedia Source : Licence : CC BY-SA 3.0 Titre : Whiteld Die Auteur : Mary Holzer / Matt Crypto Source : Licence : CC BY-SA 3.0 Titre : Corrado Giustozzi e Ron Rivest 1999 Auteur : NightGaunt at it.wikipedia (découpée par É. André) Source : Licence : CC BY-SA 2.5 Étienne André Cryptographie / 29

69 Licence Source des images utilisées (2/3) Titre : Adi Shamir 2009 crop Auteur : Ira Abramov from Even Yehuda, Israel Source : Licence : CC BY-SA 2.0 Titre : Leonard Adleman Auteur : len adlman Source : Licence : CC BY-SA 3.0 Titre : Euclide di Alessandria Auteur :? Source : Licence : Domaine public Titre : A portrait of Pierre de Fermat Auteur :? Source : Licence : Domaine public Étienne André Cryptographie / 29

70 Licence Source des images utilisées (3/3) Titre : Leonhard Euler Artiste : Jakob Emanuel Handmann ( ) Source : Licence : Domaine public Titre : Représentation du problème mathématique P=NP. Auteur : Behnam Esfahbod Source : Licence : CC BY-SA 3.0 Étienne André Cryptographie / 29

71 Licence Licence de ce document Ce support de cours peut être republié, réutilisé et modié selon les termes de la licence Creative Commons Attribution-NonCommercial-ShareAlike 3.0 Unported (CC BY-NC-SA 3.0) Auteur : Étienne André (Source L A T E X disponible sur demande) Étienne André Cryptographie / 29