Cryptographie. le cryptographe de Wheatstone (alphabet clair à l'extérieur, cryptographique à l'intérieur)

Transcription

1 Cryptographie le cryptographe de Wheatstone (alphabet clair à l'extérieur, cryptographique à l'intérieur)

2 1- INTRODUCTION La cryptographie est aussi vieille que l'écriture. Le mot cryptographie vient du grec kriptos «cacher» et graphein «écrire». L'objectif de la cryptographie est de permettre à deux personnes, appelées traditionnellement Alice et Bob, de communiquer, par l'intermédiaire d'un canal de communication public, sans que ce qu'elles se disent soit compréhensible par une tierce personne, Oscar. Alice utilise une méthode de chiffrement, ainsi qu'une clé, pour coder son message et Bob connaît (à l'inverse d'oscar) la méthode de déchiffrement appropriée pour décoder le message. On appelle cryptanalyse l'art de décoder des textes sans connaître la clé ni la méthode de chiffrement. C'est-à-dire l'attaque, ou le cassage, de la méthode de chiffrement. Il y a plusieurs types d'attaque : attaque à texte chiffré seulement (cipher text-only attack) : on ne dispose que de textes chiffrés, on cherche à trouver le texte clair, et mieux encore la méthode de chiffrement, attaque à texte clair connu (known-plaintext attack) : on dispose du texte chiffré de plusieurs messages ainsi que de textes clairs correspondants. Ce n'est pas si rare, par exemple on sait que le message est toujours signé de l'expéditeur, ou commence toujours par «mon colonel», ou... attaque à texte clair choisi (chosen-plaintext attack) : on peut choisir les textes clairs dont on a le texte chiffré correspondant, attaque à texte chiffré choisi (adaptative-plaintext attack) : on peut choisir différents textes chiffrés à déchiffrer qui sont alors fournis. La branche des mathématiques qui traite de la cryptographie et de la cryptanalyse s'appelle la cryptologie. Il ne faut pas confondre la cryptographie avec la stéganographie qui est l'art de dissimuler une écriture. Plutôt que de crypter, ce qui attire les espions, on cache, ce qui passe inaperçu. Les grecs rasaient un esclave, écrivaient leur texte, attendaient que les cheveux repoussent, puis envoyaient l'esclave confier son message (bien sûr il ne fallait pas être pressé...). De nos jours, on peut écrire avec une encre sympathique (jus de citron, lait, produit chimique...) invisible à l'oeil nu mais qui apparaît sous une flamme ou par une réaction chimique. Il existe également des poèmes innocents qui le sont beaucoup moins lorsqu'on ne lit qu'un vers sur deux, ou que la première lettre de chaque vers (un tel poème s'appelle un acrostiche). On peut également cacher un texte dans une image en changeant juste le dernier bit significatif de chaque point, ou même cacher une image dans une autre image (cf A l'origine, la cryptographie était plutôt d'ordre militaire et diplomatique. Mais avec les nouvelles technologies de communication (Internet), elle est devenue civile et principalement commerciale. On a besoin de cryptage dans les banques, le commerce électronique, le cryptage des mots de passe, la télévision cryptée, pour conserver un secret commercial ou industriel, etc. Avec Internet se pose le problème de la sécurité et de la confidentialité, il faut désormais éviter les piratages de toutes sortes. Se posent également des problèmes d'authentification de messages. Il faut définir de nouveaux protocoles de cryptage. Attention, la cryptographie n'est pas légale dans tous les pays. Ceci principalement parce que les militaires ne veulent pas que les civils puissent avoir accès à des moyens cryptographiques pouvant servir aux militaires. Dans certains pays, seuls certains procédés sont autorisés.

3 2 - Cryptographie ancienne 2.1 Code par substitution Code de César César décalait chaque lettre de 3 crans dans l'alphabet. Le A devient D, le B devient E, le X devient A, le Y devient B, le Z devient C. emple : la phrase RENDEZ VOUS AU COLYSEE devient : UHQGHC YRXV DX FROBVHH. Pour décoder, il suffit d'appliquer -3 crans dans l'alphabet à chaque lettre. Cliquez ici pour voir l'exemple animé. Lorsque la phrase cryptée garde les mêmes espaces que la phrase d'origine, la cryptanalyse est grandement facilitée. On peut deviner les mots courts, comme les mots d'une lettre par exemple (A, L, D, C ou S). Pour cela, on écrira toujours une phrase cryptée soit d'un seul bloc, soit coupée arbitrairement en blocs de x lettres. Par extension, on appelle code de César tout décalage d'un nombre quelconque de lettres dans l'aphabet. Remarque : si on décale de 13 crans, la méthode est la même pour coder et pour décoder. Ce codage est connu sur internet sous le nom de Rot13, il ne sert pas véritablement à cacher un secret mais à prolonger le suspens d' une devinette, la chute d'une blague, l'intrigue d'un film, etc. La cryptanalyse de telles méthodes est évidente. On peut passer en revue toutes les solutions possibles, il n'y en a que 25. Mais il y a une manière plus efficace : tenir compte de la fréquence des lettres. En français, comme dans beaucoup d'autres langues, la lettre la plus fréquente est le E (17%). Viennent ensuite le S, le A et le I (autour de 8%), puis le T, R, N (autour de 7%), enfin le U, L et O ( 6%). Ainsi, la lettre qui apparaît le plus souvent dans le texte chiffré a de grandes chances d'être un E, ce qui permet immédiatement de calculer le décalage choisi. Mais attention on peut tomber sur des textes avec peu de E. Voir par exemple le livre de Georges Perec «La disparition», écrit sans un seul E.

4 2.1.2 Atbash Les anciens hébreux utilisaient 3 chiffrements : atbash, albam et atbah. Ramenés à notre alphabet cela donne : atbash : tout simplement l'alphabet inversé. A donne Z, B=Y, C=X,, Z=A albam : le Rot13, c'est-à-dire atbah : A B C D E F G H I J K L M N O P Q R S T U V W X Y Z n o p q r s t u v w x y z a b c d e f g h i j k l m

5 A B C D E F G H I J K L M N O P Q R S T U V W X Y Z i h g f n d c b a r q p o e m l k j z y x w v u t s On peut remarquer que ces trois codes, lorsqu'ils sont appliqués deux fois, redonnent le texte d'origine. Ils sont réversibles. Le chiffrement et le déchiffrement se font de la même manière. En général, les hébreux utilisaient un surchiffrement, c'est-à-dire plusieurs codes à la suite, par exemple albam(atbash(atbah(texte))) Généralisation Tout texte dans lequel on remplace une lettre par un symbole, le même tout le long du texte, est appelé méthode par substitution. On peut par exemple décider de remplacer les A par des F, les B par des Z, et... sans aucune logique. Ou même les A par des étoiles, les B par des carrés, etc. Le morse peut être considéré comme un chiffrement par substitution. Lorsque l'on remplace les lettres par des lettres, les fréquences des seules lettres ne suffisent plus à décrypter le texte. On prend alors en compte aussi les fréquences des digrammes et trigrammes. Les digrammes les plus fréquents sont (dans l'ordre) : ES, EN, LE, DE, ON, RE et NT. Un digramme intéressant est le QU, formé d'une lettre très peu fréquente et d'une lettre fréquente. Les digrammes doubles les plus fréquents sont (dans l'ordre) : SS et LL, puis NN, MM, EE et PP. Les trigrammes les plus fréquents sont (dans l'ordre) : ENT, LES, ION, QUE 2.2 Code par substitution à simple clé Pour se souvenir de l'alphabet de substitution utilisé, on utilise souvent une clé. emple : La clé LIBERTE: L'ordre alphabétique de succession des lettres est : 5,4, 1, 2, 6, 7, et 3. On réécrit alors l'alphabet en le rangeant dans cet ordre : e d a b f g c l k h i m n j s r o p t u q z y v w x Puis il suffit de recopier ligne par ligne pour obtenir l'alphabet de substitution :

6 A B C D E F G H I J K L M N O P Q R S T U V W X Y Z e d a b f g c l k h i m n j s r o p t u q z y v w x Cliquez ici pour voir l'exemple animé. 2.3 Code par substitution à double clé L'idée est de changer d'alphabet de substitution à chaque lettre. Ainsi, l'attaque par fréquence ne sera plus possible Système de Porta AB a b c d e f g h i j k l m n o p q r s t u v w x y z CD a b c d e f g h i j k l m z n o p q r s t u v w x y EF a b c d e f g h i j k l m y z n o p q r s t u v w x GH a b c d e f g h i j k l m x y z n o p q r s t u v w IL a b c d e f g h i j k l m w x y z n o p q r s t u v MN a b c d e f g h i j k l m t u v w x y z n o p q r s OP a b c d e f g h i j k l m s t u v w x y z n o p q r QR a b c d e f g h i j k l m r s t u v w x y z n o p q ST a b c d e f g h i j k l m q r s t u v w x y z n o p VX a b c d e f g h i j k l m p q r s t v x y z n o p q YZ a b c d e f g h i j k l m o p q r s t v x y z n o p Porta définit un système de 11 alphabets : alphabets AB, CD, EF, etc ou encore alphabet A qui est le même que l'alphabet B, alphabet C qui est le même que l'alphabet D, etc. On se donne un mot clé, par exemple SECRET et on chiffre la première lettre du texte par l'alphabet S, la deuxième par l'alphabet E, la

7 troisième par l'alphabet C, etc, la sixième par l'alphabet T, et l'on recommence : la septième par l'alphabet S, etc... (Le U et le V sont confondus, de même que le I et le J). Le problème est qu'il y a un petit nombre d'alphabet et que deux lettres peuvent correspondre au même. Par exemple la clé BAIL de longueur 4 ne donne que deux alphabets. emple : soit la phrase RENDEZ VOUS A MIDI PLACE DE LA LIBERTE et le mot clé SECRET. La phrase devient : BPBSP HEDIB YPNOV MVQSP PXVQO TNXGD V Système de Vigenère ( ) Vigenère utilise un alphabet mis en nombre carré afin d'avoir autant d'alphabets que de lettres.

8 Ensuite, cela marche comme le système de Porta avec une clé. Pour chiffrer : Pour déchiffrer :

9 2.3.3 Système de St Cyr C'est en fait une forme déguisée du système de Vigenère, qui date de L'instrument est juste plus facile à refaire que le long tableau carré de Vigenère. Il s'agit d'un alphabet fixe sous lequel glisse un double alphabet mobile :...a b c d e. x y z A B C D E F.Z A B C D. Z emple : Si l'on a la clé BAC par exemple, on place le B sous le a et on regarde ce que devient la première lettre du texte à chiffrer. Puis on met le A sous le a et on regarde pour la deuxième lettre. Puis le C sous le a et on regarde pour la troisième lettre. Et on recommence avec le B, ainsi de suite. Dès 1953, Porta a imaginé le même instrument mais sous forme de deux cercles l'un dans l'autre, le grand cercle pouvant tourner autour du petit Système de Beaufort C'est un tableau qui date de 1857 :

10 Soit par exemple la clé BAC et la lettre e à coder : on cherche le e sur la 1ère ligne, le B dans la colonne, et on tombe sur une ligne qui a un x à ses deux extrémités. La lettre cryptée est donc x. En fait c'est exactement le système de Vigenère/St Cyr dans lequel on aurait retourné l'alphabet.

11 2.3.5 Système de Gronsfeld Ce système date de C'est la même chose que le système de Vigenère, sauf que l'on peut se passer du tableau et faire le travail de tête. La clé est cette fois un nombre et non plus un mot. Pour trouver la lettre cryptée, on calcule la lettre à coder plus la distance dans l'alphabet du chiffre écrit sous la lettre. emple : soit à coder RENDEZ VOUS PLACE DE LA LIBERTE A MIDI avec le nombre Le R plus 6 donne X. Le E plus 3 : H. Le N plus 0 : N. Le D plus 7 : K. Le E plus 1 : F. Le Z plus 6 : F etc. Finalement on obtient : XHNKFF YOBTVO AJFJHE SJHHEY UKDMPE O. Le seul problème est qu'on ne peut faire que des décalages de moins de 10 crans au lieu d'aller jusqu'à des décalages de Cryptanalyse des systèmes de substitution à double clé Il y a deux inconnues à trouver : le nombre d'alphabet (la longueur de la clé) et la substitution. Pour la longueur de la clé, dans toute phrase cryptée, on retrouve des groupes de lettres semblables (des polygrammes). Le nombre de lettres compris dans l'intervalle de deux polygrammes est un multiple de la longueur de la clé. Il faut donc chercher le facteur commun contenu dans ces nombres, c'est-à-dire décomposer chaque nombre en facteurs premiers. emple : RMUUWQPMQGXHWBGGKKKNITMUXWWTMGGXHEPH Plusieurs polygrammes se trouvent répétés : MU, GXH, GG, TM. L'intervalle séparant deux MU est de 21 lettres. Deux GHX : 21 lettres. Deux GG : 15 lettres. Deux TM : 6 lettres. 21=3*7, 15=3*5, 6=3*2. Le facteur commun est 3, on va donc partir sur une clé de longueur 3. Le texte devient : RMU UWQ PMQ GXH WBG GKK KNI TMU XWW

12 TMG gxh EPH Chaque colonne est cryptée avec le même alphabet par une substitution simple. On cherche la lettre de plus grande fréquence dans chaque colonne et on suppose que c'est un E. Cela donne le G pour la première colonne, le M pour la 2 ième et le H pour la 3 ième. C'està-dire un décalage de -2 pour la première colonne (de G à E), -8 pour la deuxième et -3 pour la dernière. On applique ce décalage pour chaque lettre et on obtient : PER SON NEN EPE UTD ECH IFF RER VOT RED EPE CHE c'est-à-dire : PERSONNE NE PEUT DECHIFFRER VOTRE DEPECHE. Parfois bien sûr on tâtonne car il y a plusieurs longueurs de clé possibles, ou encore la substitution simple n'a pas E comme lettre la plus fréquente, etc 2.4 Système de substitution à clef variable Si la longueur de la clé varie, il est impossible de la deviner et de passer à de la simple substitution. Dans cette méthode, on va donc changer arbitrairement la clé, l interrompre de temps à autres.

13 emple : soit la clé INGENIEUX et la phrase RENDEZ VOUS A MIDI. On choisit une lettre de la clé, par exemple la quatrième, le E et on rajoute ce E à chaque fois que l on a envie de couper la clé : R E N D E Z V O U S A M I D I I N G E E I N G E I N G E N I E I N Puis l on applique le système de Vigenère, ce qui donne : ZRTHEMMBEWHYEZQELV Mais il y a des E qui apparaissent (un seul ici) qu'il ne faut pas confondre avec les E de séparation. On remplace ces E par le rang de la lettre dans la clé, ici 4 : ZRTHEMMBEWHY4ZQELV En plus, pour éviter au cryptanalyste de faire des essais sur le début de la phrase, on rajoute souvent des lettres quelconques au début de la phrase. Ce système et très dur à décrypter sans la clé. 2.5 Code par transposition On choisit une clé, par exemple PERMUTATION et on écrit l'ordre alphabétique de succession des lettres, ce qui nous donne une permutation : 7, 2, 8, 4, 10, 9, 1, 3, 6, Transposition dans le bloc Soit le texte RENDEZ VOUS A MIDI PLACE DE LA LIBERTE, on le coupe en blocs de 10 lettres : RENDEZVOUS AMIDIPLACE DELALIBERT E et à l'intérieur des blocs, on réorganise les lettres en suivant l'ordre donné par la permutation, ce qui donne ici : VEODSURNZE LMADECAIPI BEEATRDLIL E Transposition en colonnes On écrit le texte sous la clé :

14 R E N D E Z V O U S A M I D I P L A C E D E L A L I B E R T E X Z A E B G D Z F Il faut compléter la grille avec des lettres quelconques. Le texte crypté est alors composé de la colonne numéro 1, suivi de la colonne numéro 2, etc... On obtient ici : VLBGEMEXOAEDDDAASETFUCRZRADENILZZPIBEILE 2.6 Le bâton de Plutarque Entre le XXième et le VIIième siècle avant JC, les assyriens utilisaient un scytale, ou bâton de Plutarque. Le texte est sur un papier que l'on enroule autour d'un bâton d'un diamètre connu par l'émetteur et le récepteur. Lorsque le papier est déroulé, on ne comprend pas la suite de lettres, lorsqu'il est enroulé autour du bâton, on peut lire le message longitudinalement. Sur le dessin, le texte clair est COMMENT CA MARCHE. 2.7 La grille de Fleissner Cryptographie utilisée par le colonel Fleissner (1881). Il s'agit d'une grille 6 par 6 avec 9 trous, répartis de la manière suivante : On écrit les lettres du texte à crypter dans les trous, de gauche à droite et de haut en bas. Lorsque 9 lettres sont écrites, on tourne la grille d'un quart de tour sur la droite, puis on écrit les 9 lettres suivantes. Ainsi de suite jusqu'à écrire 36 lettres. Si le texte à crypter est plus court, on

15 complète avec des lettres quelconques, s'il est plus grand, on refait une grille. Les lettres sont ensuite écrites les unes à la suite des autres en lisant la grille de haut en bas et de gauche à droite. emple : Exemple : soit le texte : RENDEZ VOUS A MIDI PLACE DE LA LIBERTE. Cela devient : E R C E R N E T S E D A Z D E M E Q I Z W L Y D J A I P P O L L I U B A Donc : ERCERNETSEDAZDEMEQIZWLYDJAIPPOLLIUBA Cliquez ici pour voir l'exemple animé. 2.8 Le carré de Polybe Polybe est un grec qui a vécu de 200 à 125 avant JC. Son idée est de remplacer les lettres par un couple de chiffres. Il utilise un tableau (dans lequel il confond I et J) et code les lettres par les coordonnées dans le tableau : a b c d e 2 f g h j k 3 l m n o p 4 q r s t u 5 v w x y z Son idée est de transmettre les messages de loin en loin par des torches, dans la main gauche et dans la main droite, entre une et cinq.

16 2.9 Le chiffrement de Delastelle Delastelle ( ) reprend le carré de Polybe avec un alphabet mélangé à l'intérieur (sans le W) : B V D G Z 2 J S F U P 3 L A R K X 4 C O I V E 5 Q N M H T Pour crypter un texte, il faut regrouper les lettres 5 par 5 en complétant si besoin par des lettres inutiles sous chaque lettre on note les 2 coordonnées verticalement puis on lit les coordonnées horizontalement par groupe de 5 (en haut puis en bas) pour chiffrer emple : RENDEZ VOUS A MIDI devient : R E N D E Z V O U S A M I D I qui donne les coordonnées : 3 4, 5 1, 4 3, 5 2 et 3 5. Puis 1 4, 4 2, 2 5, 4 2 et 4 2 etc... et finalement le texte crypté : KQINX GOPOO XCORR 2.10 Le chiffrement ADFGX C'est un chiffrement inventé par le colonel Fritz Nebel en Il est inspiré du carré de Polybe, mais les coordonnées sont des lettres et non

17 pas des chiffres. Ces lettres sont choisies pour être différentes en morse, de façon à éviter les erreurs de transmission : A, D, F, G et X. George Jean Painvin cassa ce système en mai Dès juin, les allemands rajoutèrent une lettre (le V) leur permettant de coder 36 symboles, les lettres et les 10 chiffres. Le tableau utilisé est : A D F G V X A c 1 o f w j D y m t 5 b 4 F i 7 a 2 8 s G p 3 0 q h x V k e u l 6 d X v r g z n 9 Mais ce n'est pas tout. Après avoir été chiffré de cette manière (avoir noté les coordonnées), on surchiffre avec une transposition par colonnes. G.J. Painvin cassa aussi rapidement ce code ADFGVX, mais le colonel Nebel ne le sut qu'en Le cylindre de Jefferson Thomas Jefferson, futur président des Etats-Unis ( ), utilisait un cylindre consistant en 26 roues qui pouvaient tourner autour d'un axe. Les 26 lettres de l'alphabet sont inscrites sur la tranche de chaque roue dans un ordre aléatoire. En tournant ces roues, on peut écrire un message à chiffrer. Puis on regarde une autre ligne quelconque du cylindre et c'est le texte chiffré. Pour déchiffrer, on cherche une ligne sur laquelle le texte a un sens. Le commandant français Etienne Bazeries réinventa en 1891 un appareil analogue, de même que le colonel italien Ducros en Le marquis de Vianis proposa en 1893 une méthode pour cryptanalyser les messages chiffrés par l'appareil de Bazeries.

18 2.12 Le chiffrement à 3 carrés On chiffre les digrammes par des trigrammes en s'aidant de trois grilles, par exemple les trois grilles suivantes (les grilles ont pu être obtenues par transposition à partir d'un mot clé) : Si l'on veut par exemple chiffrer le digramme CH : on regarde le C dans la grille en bas à gauche, on prend n'importe quelle lettre de la colonne de C, par exemple S on prend la lettre dans la grille du bas à droite au croisement de C (grille bas à gauche) avec le H (grille du haut) : on trouve Y on regarde le H dans la grille du haut et on prend n'importe quelle lettre dans sa ligne, par exemple le T Alors on obtient le trigramme SYT. Bien sûr, puisque l'on code les digrammes, il faudra compléter le texte à chiffrer par une lettre quelconque si sa longueur n'est pas paire. Dans les grilles 5 par 5, les français ne mettent pas le W (ils le confondent avec le V) alors que les anglais préfèrent confondre le I et le J Le chiffre de Hill Système utilisé par Lester Hill à partir de L'idée est de coder par groupes de m lettres et non plus lettre par lettre. Prenons m=2. remplacer les lettres par des chiffres : A devient 0, B devient 1, C devient 3, Z devient 25 grouper les nombres obtenus par 2 pour chaque groupe de nombre à coder, calculer

19 où a,b,c,d, forment une matrice, clé de la méthode calculer le reste de la division des par 26 : reconvertir en lettres : 0 devient A, 1 devient B, 25 devient Z emple : clé A= Soit le mot CODE SECRET On groupe par groupe de 2 lettres : CO DE SE CR ET, ce qui donne les couples de nombres 2,14 3,4 17,4 2,16 et 4,18 On calcule les combinaisons linéaires : donc c'est-à-dire lettres Y E donc c'est-à-dire lettres DL et ainsi de suite, on obtient finalement : YEDLTZIIOO Généralisation : la clé est une matrice carrée de taille m quelconque. On ne rentrera pas plus dans les détails ici, voir les livres pour ceux que ça intéresse.

20 Déchiffrement : pour déchiffrer on a besoin de la clé inverse. Les mathématiques nous disent que, si l'inverse existe, il vaut où est la comatrice de A. On ne rentrera pas plus dans les détails. Retenons seulement que la clé de déchiffrement se calcule aisément en fonction de la clé de chiffrement. 3 - La machine de chiffrement Enigma Au début du XXième siècle, on voit apparaître des machines électromagnétiques. La machine Enigma est la plus célèbre d'entre elles.

21 Cette machine automatise le chiffrement pas substitution avec une clé gigantesque. Elle comprend un clavier pour taper le message à chiffrer ou déchiffrer, des rotors (roues) pour le codage et un tableau lumineux pour voir le résultat emple : Avec un rotor : si on tape un b, le A s'allume Pour compliquer les choses, le rotor tourne d'un cran à chaque fois que l'on tape une lettre :

22 Maintenant, si on retape un b, c'est le C qui s'allume. Il y a en fait 3 rotors, placés dans l'ordre que l'on veut. Lorsque le premier a fait un tour complet (26 crans), le deuxième tourne d'un cran. Lorsque le deuxième a fait un tour complet, c'est au tour du troisième de tourner d'un cran. Il y a également un tableau de connexion qui mélange les lettres de l'alphabet. Et enfin, il y a un réflecteur pour faire repasser le courant dans l'autre sens dans les 3 rotors. Ce réflecteur permet de rendre le système réversible. C'est-à-dire que l'on déchiffre comme l'on chiffre. Si le mot MACHINE est traduit par BABCEA, alors le mot BABCEA sera traduit par le mot MACHINE. La puissance de cette machine vient du gigantisme de la clé. La clé est l'ordre des rotors (6 possibilités), la position possible de départ des rotors ( possibilités), les branchements possibles dans le tableau de connexion ( possibilités), ce qui donne au total de l'ordre de clés possibles. La clé est changée chaque jour. Ainsi, posséder la machine (l'algorithme de chiffrement) ne permet pas de casser le chiffrement, c'est la clé qui compte.

23 Une version primaire d'enigma fut présentée à un congrès en 1923, mais était beaucoup trop chère. La marine allemande reprit le projet en 1925 et développa sa propre machine. Le modèle Enigma M3 fut adopté par l'armée allemande en janvier En fait, lorsque la seconde guerre mondiale éclata, les alliés savaient déjà décrypter les messages d'enigma. En Angleterre scientifiques travaillaient au cassage d'enigma, dont Alan Turing, que l'on peut considérer comme l'inventeur de l'ordinateur. Les alliés avaient récupéré une machine dans un sousmarin. Surtout, les allemands utilisaient souvent les mêmes mots dans leurs entêtes ou signatures de messages, ce qui a considérablement aidé les alliés à casser la clé. En février 42, les allemands rajoutèrent un rotor à Enigma. Pendant 11 mois, les alliés ne réussirent plus à décrypter les messages. Puis de nouveau ils cassèrent le chiffrement. 4 - Cryptographie moderne: Le chiffrement symétrique Le chiffrement moderne utilise la puissance des ordinateurs. Comme les données traitées par les ordinateurs sont des bits (des 0 ou des 1), on parlera désormais de bits ou d octet (8 bits). 4.1 Chiffrement itéré par blocs Dans un chiffrement par blocs, le texte est crypté par petits blocs d une certaine taille (taille de blocs). On applique sur le bloc un chiffrement itéré. Une fonction de base (fonction d étage) est répétée fois sur chaque bloc. De la clé, on tire clés qui sont utilisées à chaque itération (chaque étage). On part de l état = x (le bloc en clair à chiffrer), on lui applique la fonction d étage avec la clé, ce qui donne un texte.on applique la fonction d étage avec la clé sur et on obtient le texte. Et ainsi de suite jusqu à obtenir le texte crypté. Afin que le décryptage soit possible, la fonction d étage doit être injective. 4.2 Réseau de substitution-permutation Les SPN, réseaux de substitution-permutation (substitution permutation networks), sont des exemples de système de chiffrement itéré. On définit une substitution de {0,1} {0,1} que l on appelle aussi S-boite. On définit également une permutation de {1,2,, } {1,2,, }

24 emple : soit et la S-boite : Soit et la permutation de taille : Définition : le ou exclusif est une opération bit à bit notée : et Remarque : le est commutatif : emple : = Fonction d étage : A chaque étage i, sauf le dernier on effectue : - un ou exclusif avec la clé - substitutions à l aide de la S-boite - une permutation en utilisant

25 Au dernier étage, on ne fait pas la permutation finale, mais un ou exclusif avec la clé emple : Exemple : Avec et données précédemment, et Soit la clé de 32 bits Les clés de chaque étage sont définies par l algorithme suivant : est les 16 bits consécutifs à partir du ième de On a donc les clés : = = = = = Soit le texte à crypter : Au premier étage : Après le ou exclusif on obtient : Après les 4 substitutions : Après la permutation : Au deuxième étage : Après le ou exclusif : Après les 4 substitutions : Après la permutation : Au troisième étage : Après le ou exclusif : Après les 4 substitutions : Après la permutation : Au quatrième étage : Après le ou exclusif : Après les 4 substitutions : Après le ou exclusif : Le texte crypté est donc Ce SPN n est bien sûr qu un exemple. Un SPN réaliste doit avoir des clés plus longues, des S-boites plus grandes et doit comporter plus d étages. Pour crypter un texte de longueur quelconque, on le découpe en blocs de taille. Il y a alors plusieurs modes opératoires possibles : mode ECB : electronic codebook mode mode CBC : cipher block chaining mode mode CFB : cipher feedback mode

26 mode OFB : output feedback mode Dans le mode ECB, chaque bloc est crypté avec la même clé. Les blocs en clair produisent les blocs cryptés. Dans le mode CBC, chaque bloc est combiné avec le bloc avant d être crypté : on effectue, puis l on crypte qui donne le bloc chiffré. Dans les deux derniers modes, à chaque bloc, on utilise, non pas la clé, mais le chiffrement de la clé précédente. 4.3 Le DES (Data Encryption Standard) Jusque dans les années 1970, seuls les militaires possédaient des algorithmes à clé secrète fiables. Mais les civils avaient aussi besoin de tels systèmes, comme par exemple les banques pour la sécurité de leurs transactions. Alors en mai 73, le NBS (National Bureau of Standards, censé définir la norme aux États-unis, mais dont l influence dépasse les frontières du pays) lança un appel d offre pour la création d un système cryptographique rapide, basé sur une clé privée servant à la fois au chiffrement et au déchiffrement, ayant un haut niveau de sûreté uniquement lié à la clé. Les efforts conjoints d IBM et de la NSA (National Security Agency) aboutirent à DES. Le DES est le standard de chiffrement de données depuis C est le plus utilisé actuellement dans le monde. Il est réévalué tous les 5 ans. En 2001 un nouveau chiffrement a été pris comme standard : AES (Advanced Encryption Standard). La longueur de blocs du DES est de 64 bits. Après une permutation initiale, chaque texte clair de 64 bits est divisé en deux moitiés de longueur égale, et. A chaque étage on applique une fonction d étage qui utilise, des S-boites et des ou exclusifs. La clé est de 64 bits dont 8 sont utilisés pour la détection d erreurs. Chacune de ces 8 bits est utilisé comme bit de parité (il vaut 1 s il y a un nombre impair de 1 dans les 7 bits à sa gauche, 0 sinon). Les sous-clés de 48 bits sont des sélections permutées de la clé. Il y a 16 étages. La fonction d étage consiste en une extension de à 48 bits, un ou exclusif avec, des substitutions (8 S-boites) sur les 8 sous-chaînes de 6 bits composants le résultat, suivies d une permutation. Les S-boites ont été conçues de manière à prévenir certains types d attaque. Après le 16 ième étage, les parties gauche et droite sont rassemblées et une permutation finale (l inverse de la permutation initiale) termine l algorithme. Pour déchiffrer, on utilise le même algorithme que pour chiffrer. La seule différence est que les clés doivent être utilisées dans l ordre inverse. La critique principale de DES porte sur la petite taille de la clé et donc le petit nombre de clés possibles ( ). En 1977, on montra que l on pouvait construire une puce capable de tester clefs par seconde. Ainsi, une machine avec de ces puces aurait exploré toutes les clefs possibles en 1 journée seulement. Mais le coût d une telle machine est estimé à euros! En 1993, on parla d une autre puce qui pouvait tester trouver la clé. Toutes ces machines étaient théoriques. clés par seconde et aurait coûté 10 euros. En 3,5 heures, pour euros, on pouvait Une machine de euros a été construite, baptisée «DES Cracker», qui contient 1536 puces et peut chercher 88 milliards de clefs par seconde. Elle

27 a gagné le concours des laboratoires RSA, le DES Challenge II-2, en trouvant une clef DES en 56 heures en juillet 98. En janvier 99, ce même «DES Cracker», aidé par un réseau mondial de ordinateurs, a permis de trouver une clé DES en 22h15. Une première idée a été d appliquer DES plusieurs fois : 2DES, puis 3DES. Mais, logiquement, 3DES est trois fois plus lent que le simple DES. Il existe également des clés faibles. Cela est dû à la construction des sous-clés à partir de la clé initiale. Si tous les bits de chaque moitié sont des 0, ou tous des 1, alors la clé utilisée est la même quelque soit l étage. De plus, il existe des clés qui chiffrent un texte en clair en un même texte chiffré. Il y a aussi des clés qui n engendrent que 4 sous-clés différentes, utilisées chacune 4 fois. Au total, on compte 64 clés faibles. C est peu en comparaison du nombre de clés totales possibles : Si on choisit une clé aléatoire, les chances de tomber sur une clé faible sont donc négligeables. 4.4 L AES (Advanced Encryption Standard) En septembre 1997, le NIST (National Institute of Standards and Technology, remplaçant du NBS) lance un appel d offre pour remplacer le DES. Ce nouveau standard devra posséder une longueur de blocs de 128 bits et accepter des clés de 128, 192 et 256 bits. Les propositions devaient être rendues le 15 juin propositions ont été faites. Ces propositions ont été exposées dans des congrès et toute la communauté scientifique pouvait discuter des avantages et inconvénients des uns et des autres. Le 2 octobre 2000, le Rijndael, inventé par 2 belges Daemen et Rijmen, fut choisi comme standard avancé de chiffrement (Advanced Encryption Standard, AES). Ses caractéristiques en terme de sécurité, performances, efficacité, facilité d implantation et flexibilité ont été jugées comme étant supérieures aux autres. AES fut adopté comme standard le 26 novembre AES comporte 10, 12 ou 14 étages suivant la longueur de la clé (128, 192 ou 256 bits). La longueur de blocs est de 128 bits. La fonction d étage consiste en une addition de la clé secrète par un ou exclusif une transformation non linéaire d octets : les 128 bits sont répartis en 16 blocs de 8 bits, eux même dispatchés dans un tableau 4x4. Chaque octet (8bits) est transformé par une S-boite. Un décalage des lignes : les 3 dernières lignes sont décalées cycliquement vers la gauche, la deuxième ligne est décalée d une colonne, la troisième de deux colonnes et la quatrième de trois colonnes. Un brouillage des colonnes : chaque colonne est transformée par combinaison linéaires des différents éléments de la colonne (ce qui revient à multiplier la matrice 4x4 par une autre matrice). Une addition de la clé de tour : à chaque tour, une clé de tour est générée à partir de la clé privée par un sous algorithme (comprenant une permutation cyclique et une S-boite). Cette clé de tour est ajoutée par un ou exclusif au dernier bloc obtenu. AES résiste à tous les types connus d attaque.

28 5 - Cryptographie moderne: Le chiffrement asymétrique 5.1 Le chiffrement asymétrique En 1976, Whitfield Diffie et Martin Hellman expliquent le principe de clé publique, que l on appelle aussi cryptographie asymétrique. C est une véritable révolution. Cependant, ils ne peuvent donner d exemple de tel système. En 1978 le premier exemple pratique est donné par Ronald Rivest, Adi Samir et Leonard Addeman (le RSA). Il existe également des travaux en parallèle de James Ellis et CC Cocks en 73 ou encore Williamson en 74, mais rendus publics en 97. Ce qu on a vu jusqu ici était de la cryptographie à clé privée, ou symétrique : la clé de chiffrement est la même que celle de déchiffrement (ou se calcule très facilement en fonction de la clé de chiffrement). Alice et Bob doivent se mettre d accord avant sur une clé à utiliser, cette clé devant absolument rester secrète (privée). Si la clé est dévoilée, Oscar peut traduire les messages d Alice et Bob. Il existe des problèmes : comment s échanger la clé dans le plus grand secret si une clé privée différente est utilisée pour chaque couple de personnes voulant s échanger des messages alors le nombre total de clés nécessaires est gigantesque Maintenant on parle de cryptographie à clé publique, ou asymétrique : la clé de déchiffrement n a rien à voir avec la clé de chiffrement. La clé de chiffrement peut être rendue publique, ce n est pas elle l essentiel. Elle peut être échangée sans secrets, se trouver même dans une bibliothèque publique. La clé de déchiffrement par contre doit rester privée. Bob doit posséder sa propre clé de déchiffrement des messages d Alice. Alice ne la connaît même pas, donc même Alice ne pourrait déchiffrer son propre message! L inconvénient des systèmes à clé publique est qu ils sont plus lents que les systèmes à clé privée. Le chiffrement asymétrique utilise une fonction à sens unique à trappe (trapdoor one-way function). C est une fonction facile à calculer, mais difficile à inverser, et qui possède une trappe, c'est-à-dire qu avec une information supplémentaire elle devient facile à inverser. Pour le RSA, il s agit de la fonction 5.2 Le chiffrement RSA Arithmétique modulo m On appelle l ensemble {0,1,2,, }, muni des opérations d addition et de multiplication. On définit alors l arithmétique modulo dans : l addition et la multiplication fonctionnent comme l addition et la multiplication usuelles sauf que les résultats sont réduits modulo, c'est-à-dire que l on garde le reste de la division entière par.

29 emple : 11*13 dans? Dans les entiers ordinaires 11*13= modulo 16? On fait une division entière : 143=16*8+15. Donc 143 mod 16=15, d où 11*13=15 dans Le chiffrement RSA Le chiffrement RSA utilise l arithmétique de où est le produit de deux entiers premiers (donc impairs) distincts et. 1. Choisir et deux grands entiers premiers 2. Calculer et 3. Choisir un entier b aléatoire premier avec 4. Calculer 5. La clé publique, que l on peut donner à tout le monde, est (n,b). La clé privée est (p,q,a) 6. Pour chiffrer un message ( ) on calcule 7. Pour déchiffrer un message y on calcule emple : Bob choisit 101 et. On a donc et. Supposons que Bob choisisse (on peut vérifier que l on a bien pgcd (3533,11200)=1, c'est-à-dire que les nombres sont premiers entre eux). On calcule =6597. Ce calcul se fait grâce à l algorithme d Euclide étendu, que l on va étudier dans la section suivante. Donc la clé secrète de Bob est Bob publie et dans un répertoire public. Si Alice souhaite chiffrer le message 9726 pour l envoyer à Bob, elle calcule et envoie 5761 à Bob. Lorsque Bob reçoit 5761 il calcule. Il retrouve bien le message en clair envoyé par Alice. RSA fonctionne bien car il repose sur la fonction qui est difficile à inverser. La trappe que Bob cache est la factorisation (et surtout ). Pour lui, il est facile de calculer l exposant de déchiffrement a en utilisant l algorithme étendu d Euclide. Une attaque évidente consiste à chercher

30 cette factorisation. Cela est impossible si p et q sont suffisamment grands, c'est-à-dire s ils comportent plus de 512 bits chacun. Factoriser un nombre au-delà de 1024 bits est au-delà des capacités des meilleurs algorithmes de factorisation actuellement connus Algorithme d Euclide étendu L algorithme d Euclide permet de calculer le pgcd (plus grand commun diviseur) de deux entiers a et b, et de dire ainsi s ils sont premiers entre eux (ils sont premiers entre eux si leur pgcd vaut 1). Il calcule la suite de divisions initialisé à a, initialisé à b On a : pgcd(a,b)=pgcd( )=pgcd( )= =pgcd( )= On en déduit l algorithme d Euclide pour calculer le pgcd : tant que faire (division entière) fin tant que retourner // le pgcd(a,b)

31 emple : pgcd(16,12)? s Premier tant que : =16 div 12 = 1, =16-12=4, m=2 Deuxième tant que : =12 div 4=3, =12-3*4=0, m=3 Fin tant que M=2, retour de 4. Donc pgcd(16,12)=4 Un entier est inversible si et seulement si pgcd(b,m)=1. L algorithme d Euclide permet de dire si b est inversible, mais ne permet pas de calculer cet inverse. Pour cela, on a besoin de l algorithme d Euclide étendu. L algorithme d Euclide étendu prend a et b en entrée et calcule en sortie r, s et t tels que r=pgcd(a,b) et sa+tb=r tant que faire div si alors fin si fin tant que

32 retourner ( ) mportant : Théorème : si pgcd(a,b)=1, alors Si pgcd(a,b)=1, alors l inverse de b dans est le retourné par l algorithme d Euclide étendu. emple : calculer l inverse de 28 dans (c'est-à-dire ) a =75 et b=28 i Donc =-8 mod 75= Méthode d exponentiation rapide Lorsque les entiers sont grands, les méthodes classiques de calcul de ne sont plus efficaces. Pour calculer en temps O( ),

33 où l est le nombre de bits de c et k celui de n, on utilise l algorithme suivant. Cet algorithme utilise la décomposition binaire de c : pour i variant de l-1 à 0 par pas de -1 faire si alors fin si fin pour retourner z emple : Soit n=193 et b=47. Si Alice veut chiffrer 12, elle doit calculer On a x=12, b=47=101111=c, n=193. i z Le texte chiffré est donc 177

34 5.2.5 Test de primalité La première étape du RSA consiste à choisir deux grands entiers premiers. En pratique on prend deux grands entiers, puis on teste s ils sont premiers. L algorithme d Euclide n est pas assez rapide pour vérifier que deux grands nombres sont premiers. On préfère utiliser des algorithmes probabilistes de Monte Carlo, comme l algorithme de Solovay-Strasser, ou celui de Miller-Rabin. «Probabiliste» signifie que le hasard intervient dans l algorithme, et «de Monte Carlo» signifie que le résultat n est pas sûr à 100%. Mais il l est avec une probabilité suffisamment pertinente. Nous ne donnons ici que l algorithme de Miller-Rabin : // cherche si n est premier écrire où m est impair choisir un entier aléatoire calculer si b=1 mod m alors retourner «n est premier» sinon pour i variant de 0 à k-1 faire si b=-1mod n alors retourner «n est premier» sinon fin si sinon pour fin si retourner «n n est pas premier» 5.3 Attaques de RSA Comme on l a déjà dit, pour attaquer RSA, on a besoin d un algorithme de factorisation de grands entiers. Il en existe plusieurs. Les plus efficaces sont le crible quadratique, l algorithme de factorisation utilisant les courbes elliptiques, et le crible algébrique. Cependant aucun n est assez puissant pour trouver la factorisation de grands entiers de plus de 100 chiffres. Il existe des nombres (RSA100, RSA101, RSA500) qui sont publiés et proposés comme défis. RSAx signifie que c est un nombre de longueur x, produit de deux nombres premiers de même taille. RSA129 fut factorisé en avril Cette factorisation nécessita 5000 MIPS-année de calcul, collectées auprès de 600 chercheurs dans le monde. Une MIPS-année représente le nombre d instructions effectuées en une année à une cadence d un million d instructions par seconde. RSA130 fut factorisé en 96, RSA140 en février 99 et RSA 155 en août 99. Ces trois factorisations ont été réalisées en utilisant le crible algébrique. RSA155 a demandé 8400 MIPS-années de calcul, répartis sur 300 stations de travail. Le module de RSA155 correspond à 512 bits. Ceci montre que de nombreuses applications commerciales qui utilisaient communément un module de 512 bits ne peuvent plus être considérées comme sûres. Par extrapolation, on estime qu un module de 768 bits pourra être factorisé en 2010 et un module de 1024 bits en Systèmes hybrides

35 L inconvénient des algorithmes à clé publique, c est qu ils sont très lents, de l ordre de 1000 fois plus lents que les algorithmes à clé privée. On a alors recours à des systèmes hybrides. On échange les clés d un chiffrement à clé privée grâce à un système à clé publique, ce qui permet de sécuriser la communication de la clé. On utilise ensuite un système à clé privée. 5.5 Signature et authentification électroniques Le RSA fonctionne aussi dans l autre sens, c'est-à-dire que l on peut crypter avec a et décrypter avec b (crypter avec la clé privée et décrypter avec la clé publique). D où la possibilité de résoudre des problèmes de signatures et d authentification. On a souvent besoin d être sûr de l expéditeur (problème de signature). Pour cela, les systèmes à clé publique sont bien utiles. Si Alice veut envoyer un message à Bob, et Bob veut être sûr qu il vient bien d Alice, il suffit que : 1. Alice crypte le message avec sa clé privée (elle seule peut le faire), puis crypte le tout avec la clé publique de Bob (donc seul Bob maintenant pourra comprendre le message) et envoie le tout à Bob 2. Bob décrypte avec sa clé privée, puis décrypte avec la clé publique d Alice. Si ça marche, c est que le message provient bien d Alice, car seule Alice connaissait sa clé privée pour crypter. Un autre problème pour lequel les systèmes à clé publiques sont bien utiles, c est le problème du certificat électronique : il s agit cette fois d être sûr du destinataire. Si on commande des CD sur Internet, on veut envoyer notre code de carte bleue au marchand et pas à un pirate. Alice, qui veut certifier sa clé publique, envoie sa clé à un organisme de certification, ainsi que diverses informations la concernant (nom, , ). Cet organisme vérifie les informations et ajoute au certificat son nom, une date limite de validité et surtout une signature numérique. Cette signature est calculée de la façon suivante : à partir des informations du certificat, l organisme calcule un résumé en appliquant une fonction de hachage. Puis il signe ce résumé en appliquant sa clé secrète. Lorsque Bob veut envoyer un message à Alice, il télécharge le certificat, calcule le résumé puis applique la clé publique de l organisme auteur du certificat à la signature électronique. Si cette valeur est égale au résumé, il est sûr qu il a affaire à Alice.

36 8 - Cryptologie du futur: Cryptographie quantique Le système cryptographique inviolable existe : le masque jetable (one time pad), inventé en 1917 par Gilbert Vernam. Il s agit d utiliser une méthode à clé privée telle que la clé soit aléatoire, aussi longue que le message et utilisée une et une seule fois (il faut la jeter ensuite). Cela a été utilisé pour les communications entre le Kremlin et la Maison Blanche (le téléphone rouge), la clé transitant dans la valise diplomatique. Pour utiliser cette méthode, le problème est la transmission de la clé secrète de manière absolument sûre. Ce problème, la cryptographie quantique permettrait de le traiter. La cryptographie quantique repose sur le principe d incertitude d Heisenberg selon lequel la mesure d un système quantique perturbe ce système. Une oreille indiscrète sur un canal de transmission quantique engendre des perturbations inévitables qui alertent les utilisateurs légitimes. Plus précisément, on s intéresse à la polarisation des photons (les grains de lumière). L observation de cette polarisation entraîne une modification de l orientation et serait immédiatement repérée. Il serait alors possible de transmettre une clé privée en demeurant certain que sa transmission n a pas été espionnée. En février 2002 un message a été transmis sur un canal sécurisé entre deux villes suisses distantes de 67km. Le message a été envoyé par des photons. La clé est constituée au fur et à mesure. Il faut d avance convenir que le 0 correspond à une certaine polarisation (par exemple la polarisation horizontale et circulaire droite) et le 1 à une autre (la polarisation verticale et circulaire gauche). Il faut ensuite se débrouiller pour envoyer les photons un à un. Pour cela un faisceau laser envoie des impulsions (des paquets de photons) sur une plaque de verre qui les absorbe presque tous. A la sortie du verre les physiciens récupèrent des «impulsions à 0,1 photons», cela signifie qu en moyenne 10% des impulsions correspondent à un unique photon, tandis que les 90% restants seront vides. La polarisation est choisie aléatoirement parmi les éléments des bases rectilinéaire et circulaire. L expéditeur sait quelle polarisation il envoie. Les photons ainsi produits sont envoyés dans une fibre optique. Les détecteurs à l autre bout doivent être le plus fiable possible. Ils sont refroidis à -50 C afin d écarter les parasites. Ces détecteurs déterminent la polarisation du photon qui fait de lui un bit 1 ou 0. Le destinataire décide au hasard de mesurer la polarisation selon la base rectilinéaire ou circulaire. A la fin, les deux correspondants communiquent par un canal classique. Le destinataire annonce chaque base choisie pour chaque photon (mais pas chaque résultat 1 ou 0, puisqu ils sont sur un canal non sécurisé!). Les deux rejettent alors tous les cas où le destinataire n a pas fait le bon choix de la base. Puis les deux correspondants comparent un petit échantillon de leurs données (0 ou 1). Si elles sont identiques alors ils peuvent être sûrs qu aucun adversaire n est intervenu (mais ces bits comparés sont ignorés car comparés sur un canal peu sûr). Pour le moment le système marche mais il n est pas très performant. Rien qu avec les imperfections de la fibre optique, au bout de 40km il ne reste plus que 10% des photons de départ. Au final, seulement un photon émis sur 1000 sert vraiment à donner la clé. Mais les physiciens progressent.