Les protocoles cryptographiques École des Mines, 3e année 1/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Internet Introduction - confidentialité - anonymat - authentification (s agit-il bien de ma banque?) 2/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Signature électronique - vérifiable - authentique - non-répudiation (je n ai jamais signé ce texte...) /79 Véronique Cortier Protocoles cryptographiques - Cours 1
Vote électronique Le résultat reflète les votes Chaque vote est confidentiel On ne peut pas connaître des résultats partiels Seuls les électeurs peuvent voter et une seule fois 4/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Paiement par carte bleue Est-ce qu il s agit d une vraie carte? Est-ce que le montant débité sera égal au montant crédité? Est-ce que le code secret est bien protégé? /79 Véronique Cortier Protocoles cryptographiques - Cours 1
Décodeurs Introduction Vérification de l abonné Impossibilité de retransmettre les données décodées à une tierce personne Mise à jour de l abonnement 6/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Porte-monnaie électronique Pas de création de fausse monnaie Pas de création de faux porte-monnaie /79 Véronique Cortier Protocoles cryptographiques - Cours 1
Bases de données sécurisées Patients Maladies Traitements Dupond rougeole... Dupont oreillons... Durand scarlatine... Seules les personnes habilitées ont accès à la vue partielle à laquelle elles ont droit. Les données peuvent être échangées entre un médecin, un laboratoire, un hôpital. Mise à jour possible des données. /79 Véronique Cortier Protocoles cryptographiques - Cours 1
Deux cours Introduction I Comment fonctionnent les protocoles cryptographiques? Aujourd hui II Introduction à la cryptographie Jeudi 7 décembre 9/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Plan du 1er cours 1 Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques 2 Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack 3 Protocoles de signatures de contrat Protocoles zero-knowledge 4 Vérification de logiciels critiques Vérification de protocoles cryptographiques 0/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les propriétés de sécurité Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Les propriétés de sécurité 11/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Authentification Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (authentification) Capacité à reconnaître de façon sûre l identité d une entité. Entités possibles : personne physique ou morale (individu ou société) ordinateur ou groupe d ordinateurs (correspondant à une adresse IP par exemple) entité informatique (serveur par exemple) 2/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Confidentialité Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (Confidentialité) Une information ne peut être connue que par les entités habilitées Exemples : fichier sensible dossier médical mot de passe, code secret clefs privées 13/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Anonymat Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (Anonymat) Non identification de l identité Exemples : téléphone portable visite de site web appartenance à un groupe 4/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Non-répudiation Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (Non-répudiation) Assure que l auteur d un acte ne peut ensuite dénier l avoir effectuer. On distingue couramment : Non-répudiation d origine : l émetteur d un ordre ou d un message ne peut nier l émission Non-répudiation de réception : le récepteur d un ordre ou d un message ne peut l avoir reçu. Accusé de réception de La Poste 5/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Intégrité Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (Intégrité) Assure qu une information ne peut être modifiée, sauf par des entités habilitées (selon une politique de sécurité par exemple) Exemples : ordre de virement Il ne faut pas pouvoir modifier le montant Protection contre les virus informatiques : le code binaire des programme ne doit pas pouvoir être altéré. 6/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les attaques typiques Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Les attaques typiques 17/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Déguisement - Mascarade Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (Déguisement - Mascarade) Attaque contre une propriété d authentification. Consiste à usurper l identité d un sujet ou d objet pour acquérir des droits illicites. Exemples : cartes bancaires passage root accès aux comptes informatiques de profs 18/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Rejeu (replay attacks) Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (Rejeu) Consiste à répéter une séquence d actions sans la modifier ou renvoyer des messages déjà émis. Exemples : Relancer plusieurs fois le même ordre de crédit. Renvoyer le mot de passe chiffré utilisé par Alice pour s authentifier auprès d un serveur. 19/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Attaques visant la confidentialité des données Accès à des fichiers sensibles à l aide d une authentification frauduleuse. 20/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Attaques visant la confidentialité des données Accès à des fichiers sensibles à l aide d une authentification frauduleuse. Présence de Canaux cachés : Fichier A (confidentiel) oui/non Fichier B (public) oui/non Si A = B print Ouf sinon print Dommage. 20/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Attaques visant la confidentialité des données Accès à des fichiers sensibles à l aide d une authentification frauduleuse. Présence de Canaux cachés : Fichier A (confidentiel) oui/non Fichier B (public) oui/non Si A = B print Ouf sinon print Dommage. Attaques par induction par croisement de sources d informations. Exemple : interrogation d une base de données épidémiologique (non nominative) informations disponibles sur le web 0/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Déni de service Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (Déni de service) Attaque visant à nuire au fonctionnement correct, en terme de fonctionnalité ou de performances. Objectifs nuire à une institution (site web du Trésor Public, d une grande compagnie,...) Faire tomber un premier rideau de défense pour lancer une autre attaque 21/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les primitives cryptographiques Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Les primitives cryptographiques 22/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Chiffrement symétrique Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Notation : {m} k Bonjour Alice clef Chiffrement Obawbhe Nyvpr clef Déchiffrement Bonjour Alice On utilise la même clef pour chiffrer et déchiffrer. 3/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Avantages et inconvénients Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Chiffrement efficace permet de chiffrer très rapidement des messages de tailles importantes Il faut partager une clef secrète entre deux clients Utilisation d un serveur de confiance Recours à des protocoles d établissement de clefs Exemples : DES, triple DES, AES,... 4/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Chiffrement asymétrique Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Clef asymétrique : pk(a) Notation : {m} pk(a) clef publique clef privée Bonjour Alice Chiffrement Obawbhe Nyvpr Déchiffrement Bonjour Alice On chiffre avec la clef publique et on déchiffre avec la clef privée. 25/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Avantages et inconvénients Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Chiffrement long et coûteux Une carte à puce permettant le chiffrement à clef publique coûte environ 15 euros Ne permet pas de chiffrer des gros messages Ne demande pas de connaissance prélable entre les deux clients. à la base de nombreux protocoles d établissement de clefs Il faut authentifier les clefs publiques Exemples : RSA, El Gamal, OAEP+ 26/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Pourquoi faut-il authentifier les clefs publiques? Alice souhaite envoyer à Bob un secret. Ils ne partagent pas de clefs secrètes. Alice utilise la clef publique de Bob pk(b). A B : {Secret} pk(b) 27/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Pourquoi faut-il authentifier les clefs publiques? Alice souhaite envoyer à Bob un secret. Ils ne partagent pas de clefs secrètes. Alice utilise la clef publique de Bob pk(b). A B : {Secret} pk(b) Mais comment Alice a-t-elle obtenu pk(b)? Si Charlie fait croire à Alice que la clef publique de Bob est pk(b) (clef publique de Charlie!), alors Alice envoie A B : {Secret} pk(c) Charlie décrypte le message et apprend le secret! 7/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Pourquoi faut-il authentifier les clefs publiques? Alice souhaite envoyer à Bob un secret. Ils ne partagent pas de clefs secrètes. Alice utilise la clef publique de Bob pk(b). A B : {Secret} pk(b) Mais comment Alice a-t-elle obtenu pk(b)? Si Charlie fait croire à Alice que la clef publique de Bob est pk(b) (clef publique de Charlie!), alors Alice envoie A B : {Secret} pk(c) Charlie décrypte le message et apprend le secret! Utilisation d une autorité de certification qui certifie la provenance de la clef à l aide d une signature. [Bob, pk(b), période de validité] skauth 27/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Signature Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Principe inverse du chiffrement à clef publique. Tout le monde connaît la clef de vérification vk(a). La clef de signature sk(a) est secrète. Notation : [m] sk(a) Bonjour Alice clef privée Signature Obawbhe Nyvpr clef publique Vérification Bonjour Alice 28/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Propriétés des signatures Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Authentification et non répudiation La signature ne peut être imitée. Elle authentifie le signataire. 9/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Propriétés des signatures Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Authentification et non répudiation La signature ne peut être imitée. Elle authentifie le signataire. La signature appartient à un seul document. on ne peut pas découper une signature sur un document et la recoller sur un autre. 9/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Propriétés des signatures Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Authentification et non répudiation La signature ne peut être imitée. Elle authentifie le signataire. La signature appartient à un seul document. on ne peut pas découper une signature sur un document et la recoller sur un autre. Le document signé ne peut être modifié, même partiellement. 29/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Propriétés des signatures Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Authentification et non répudiation La signature ne peut être imitée. Elle authentifie le signataire. La signature appartient à un seul document. on ne peut pas découper une signature sur un document et la recoller sur un autre. Le document signé ne peut être modifié, même partiellement. La signature peut être contrôlée par un tiers. 9/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Propriétés des signatures Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Authentification et non répudiation La signature ne peut être imitée. Elle authentifie le signataire. La signature appartient à un seul document. on ne peut pas découper une signature sur un document et la recoller sur un autre. Le document signé ne peut être modifié, même partiellement. La signature peut être contrôlée par un tiers. La signature ne peut être reniée. 9/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Fonctions de hachage Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Definition (Fonction de hachage) Fonction qui à un message M de longueur quelconque, fait correspondre un message h(m) de longueur fixe, appelé hache, résumé ou empreinte numérique. h : M h(m) Applications : Économie de place (on signe le hache d un message plutôt que le message tout entier). Protection pour l intégrité des messages envoyés. La partie redondante d un code correcteur d erreur est une fonction de hachage. 30/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Propriétés des fonctions de hachage Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Une fonction de hachage n est pas injective puisqu elle envoie les éléments d un ensemble dans un ensemble plus petit. On voudrait cependant qu une fonction de hachage soit calculatoirement injective. 31/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Propriétés des fonctions de hachage Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Une fonction de hachage n est pas injective puisqu elle envoie les éléments d un ensemble dans un ensemble plus petit. On voudrait cependant qu une fonction de hachage soit calculatoirement injective. Collision faible difficile Si le problème, étant donné M, de trouver M tel que h(m) = h(m ), est difficile (au moins super-polynomiale en fonction du cardinal de l ensemble des messages). Collision forte difficile Si le problème, de trouver M et M tel que h(m) = h(m ), est difficile (au moins super-polynomiale en fonction du cardinal de l ensemble des messages). 31/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Génération de nombres aléatoires Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Les nombres aléatoires sont aussi appelés nonces, notés N, N 1, N 2,..., N a, N b,... De nombreuses données doivent avoir des valeurs imprédictibles. La connaissance d une partie de la suite ne doit pas permettre de prédire son évolution. Deux principales sources d aléas : Physique ( vrais nombres aléatoires) Informatique (nombres pseudo aléatoires) 32/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Sources d aléas Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Source Physique : (nombres aléatoires) mesure d un rayonnement gamma mécanique quantique bruit capteurs numériques (Lava-lamp) 33/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Sources d aléas Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques Source Physique : (nombres aléatoires) mesure d un rayonnement gamma mécanique quantique bruit capteurs numériques (Lava-lamp) Source Informatique : (nombres pseudo aléatoires) Il n y a rien de plus dur que de rendre un ordinateur non-déterministe! Utilisation de hachage sur des éléments variants beaucoup : nombre de clics souris heure de déclenchement des derniers programmes dispersion des segments mémoire man rand 33/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Plan Introduction Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques 1 Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques 2 Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack 3 Protocoles de signatures de contrat Protocoles zero-knowledge 4 Vérification de logiciels critiques Vérification de protocoles cryptographiques 4/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques attaques logiques Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Quelques attaques logiques Sans même attaquer les primitives! 35/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Échange de secret Introduction Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack On peut utiliser la clef k = 785341006 Mon code bancaire est {3443} 785341006 La clef est 785341006 Je déchiffre... le code secret est 3443 36/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Chiffrement commutatif (RSA) Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {code : 3443} kasterix 37/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Chiffrement commutatif (RSA) Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {code : 3443} kasterix j{code : 3443} kasterix ff k obelix 37/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Chiffrement commutatif (RSA) Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {code : 3443} kasterix j{code : 3443} kasterix ff Car {{code : 3443} kasterix } k obelix {code : 3443} kobelix k obelix = {{code : 3443} kobelix } k asterix 37/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Chiffrement commutatif (RSA) Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {code : 3443} kasterix j{code : 3443} kasterix ff k obelix {code : 3443} kobelix Ça ne marche pas! (problème d authentification) 37/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Chiffrement commutatif (RSA) Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {code : 3443} kasterix j{code : 3443} kasterix ff k obelix {code : 3443} kobelix Ça ne marche pas! (problème d authentification) {code : 3443} kasterix j{code : 3443} kasterix ff k pirate {code : 3443} kpirate 37/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Attaques sur les décodeurs Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Kentucky Fried Chip : bloquer l ordre de désabonnement Renvoi de messages : n carte, {c 1,...,c k } Kcs n carte, {c 1,...,c k } Kcs 38/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack L attaque de Serge Humpich sur les CB L attaque de Serge Humpich sur les CB 39/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Protocole de paiement par CB Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack L acheteur introduit sa carte. Le commerçant saisit le montant m de la transaction sur le terminal. Le terminal authentifie la carte. L acheteur donne son code à la carte. Si m dépasse 100 euros (et dans seulement 20% des cas) : Le terminal demande l authentification de la carte à la banque. La banque donne l autorisation. 40/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Plus en détails 4 acteurs : la Banque, l Acheteur, la Carte et le Terminal. Banque possède une clef de signature sk(b), secrète, une clef de vérification vk(b), publique, une clef secrète symétrique pour chaque carte bancaire K CB secrète. Carte possède Data : nom, prénom, numéro de carte, date de validité, Valeur de Signature VS = [hash(data)] sk(b), clef secrète symétrique K CB. Terminal possède la clef de vérification vk(b) des signatures de la banque. 1/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Protocole CB (résumé) Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Le terminal lit la carte : 1. C T : Data, [hash(data)] sk(b) 42/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Protocole CB (résumé) Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Le terminal lit la carte : 1. C T : Data, [hash(data)] sk(b) Le terminal demande le code : 2. T A : code secret? 3. A C : 1234 4. C T : ok 42/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Protocole CB (résumé) Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Le terminal lit la carte : 1. C T : Data, [hash(data)] sk(b) Le terminal demande le code : 2. T A : code secret? 3. A C : 1234 4. C T : ok Le terminal contacte la banque : 5. T B : auth? 6. B T : 7294291330572 7. T C : 7294291330572 8. C T : {7294291330572} KCB 9. T B : {7294291330572} KCB 10. B T : ok 42/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques failles de la carte bancaire Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Initialement sécurité assurée par : cartes difficilement réplicables, secret des clefs et du protocole. Mais faille cryptographique : les clefs de 320 bits ne sont plus sûres (1988), faille logique : pas de lien entre le code secret à 4 chiffres et l authentification, réplicabilité des cartes. 43/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques failles de la carte bancaire Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Initialement sécurité assurée par : cartes difficilement réplicables, secret des clefs et du protocole. Mais faille cryptographique : les clefs de 320 bits ne sont plus sûres (1988), faille logique : pas de lien entre le code secret à 4 chiffres et l authentification, réplicabilité des cartes. YesCard fabriquées par Serge Humpich (1998). 3/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Principe de la YesCard Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Faille logique 1. C T : Data, [hash(data)] sk(b) 2. T A : code secret? 3. A C : 1234 4. C T : ok 44/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Principe de la YesCard Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Faille logique 1. C T : Data, [hash(data)] sk(b) 2. T A : code secret? 3. A C : 2345 4. C T : ok 44/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Principe de la YesCard Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Faille logique 1. C T : Data, [hash(data)] sk(b) 2. T A : code secret? 3. A C : 2345 4. C T : ok Remarque : il y a toujours quelqu un à débiter. ajout d une fausse signature sur une fausse carte (Serge Humpich). 44/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Principe de la YesCard Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Faille logique 1. C T : Data, [hash(data)] sk(b) 2. T A : code secret? 3. A C : 2345 4. C T : ok Remarque : il y a toujours quelqu un à débiter. ajout d une fausse signature sur une fausse carte (Serge Humpich). 1. C T : XXX, [hash(xxx)] sk(b) 2. T A : code secret? 3. A C : 0000 4. C T : ok 44/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Man-in-the-middle attack Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack L attaque de l homme au milieu sur le protocole de Needham-Schroeder à clefs publiques 5/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Protocole Needham-Schroeder à clefs publiques N a Nonce frais de A. N b Nonce frais de B. A B : A, {N a } pub(b) B A : {N a, N b } pub(a) A B : {N b } pub(b) 46/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Protocole Needham-Schroeder à clefs publiques N a Nonce frais de A. N b Nonce frais de B. A B : A, {N a } pub(b) B A : {N a, N b } pub(a) A B : {N b } pub(b) 46/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Protocole Needham-Schroeder à clefs publiques N a Nonce frais de A. N b Nonce frais de B. A B : A, {N a } pub(b) B A : {N a, N b } pub(a) A B : {N b } pub(b) 46/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Protocole Needham-Schroeder à clefs publiques N a Nonce frais de A. N b Nonce frais de B. A B : A, {N a } pub(b) B A : {N a, N b } pub(a) A B : {N b } pub(b) Questions : Est-ce que N b est secret entre A et B? Lorsque B reçoit {N b } pub(b), est-ce que ce message provient réellement de A? 46/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack Protocole Needham-Schroeder à clefs publiques N a Nonce frais de A. N b Nonce frais de B. A B : A, {N a } pub(b) B A : {N a, N b } pub(a) A B : {N b } pub(b) Questions : Est-ce que N b est secret entre A et B? Lorsque B reçoit {N b } pub(b), est-ce que ce message provient réellement de A? Une attaque fut trouvée en 1996, 17 ans après la première publication du protocole! 46/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Man in the middle attack Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {A,N a} pub(p) {A,N a} pub(b) 47/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Man in the middle attack Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {A,N a} pub(p) {A,N a} pub(b) { N a,n b } pub(a) { N a,n b } pub(a) 47/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Man in the middle attack Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {A,N a} pub(p) {A,N a} pub(b) { N a,n b } pub(a) { N a,n b } pub(a) {N b } pub(p) {N b } pub(b) 47/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Man in the middle attack Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack {A,N a} pub(p) {A,N a} pub(b) {B,N a,n b } pub(a) {B,N a,n b } pub(a) {N b } pub(p) {N b } pub(b) Correction : ajouter l identité de B. 47/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Plan Introduction Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack 1 Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques 2 Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack 3 Protocoles de signatures de contrat Protocoles zero-knowledge 4 Vérification de logiciels critiques Vérification de protocoles cryptographiques 8/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Protocoles de signatures de contrat Protocoles de signatures de contrat Protocoles zero-knowledge Protocoles de signatures de contrat 49/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Principe Introduction Protocoles de signatures de contrat Protocoles zero-knowledge Deux personnes (Alice et Bob) souhaitent signer un contrat. (vente d un service, d un objet,...) Ancienne solution : Alice et Bob signent simultanément, autour d une même table, le contrat. Solution électronique : Chacun appose sa signature électronique sur le contrat. 0/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Principe Introduction Protocoles de signatures de contrat Protocoles zero-knowledge Deux personnes (Alice et Bob) souhaitent signer un contrat. (vente d un service, d un objet,...) Ancienne solution : Alice et Bob signent simultanément, autour d une même table, le contrat. Solution électronique : Chacun appose sa signature électronique sur le contrat. Problèmes Équité (Fairness) Il ne faut pas que Bob puisse obtenir le contrat signé par Alice sans que Bob signe le contrat. Abus de confiance (Abuse-freeness) Il ne faut pas que Bob puisse tirer avantage de l offre faite par Alice pour en obtenir une autre ailleurs. 0/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Protocoles de signature optimistes Protocoles de signatures de contrat Protocoles zero-knowledge Recours à un tiers de confiance (arbitre) uniquement en cas de problème. Deux principaux protocoles : Asokan - Shoup - Waidner Garay - Jakobsson - MacKenzie 51/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Protocoles de signature optimistes Protocoles de signatures de contrat Protocoles zero-knowledge Recours à un tiers de confiance (arbitre) uniquement en cas de problème. Deux principaux protocoles : Asokan - Shoup - Waidner Garay - Jakobsson - MacKenzie Dans les grandes lignes : A B : B A : A B : B A : [Promesse de signature de Text] sk(a) [Promesse de signature de Text] sk(b) [Signature de Text] sk(a) [Signature de Text] sk(b) 51/79 Véronique Cortier Protocoles cryptographiques - Cours 1
En cas de problème Introduction Protocoles de signatures de contrat Protocoles zero-knowledge A B : B A : A B : B A : [Promesse de signature de Text] sk(a) [Promesse de signature de Text] sk(b) [Signature de Text] sk(a) [Signature de Text] sk(b) Si A ne reçoit pas la promesse de B A TTP : Abort Si A ne reçoit pas la signature de B A TTP : Resolve, [Promesse de signature de Text] sk(b), [Signature de Text] sk(a) TTP A : [Signature de Text] sk(ttp) 52/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Protocoles zero-knowledge Protocoles de signatures de contrat Protocoles zero-knowledge Protocoles zero-knowledge 53/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Principe Introduction Protocoles de signatures de contrat Protocoles zero-knowledge But : trouver Charlie dans une grande image 54/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Mais où est Charlie? Introduction Protocoles de signatures de contrat Protocoles zero-knowledge 55/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Comment jouer? Introduction Protocoles de signatures de contrat Protocoles zero-knowledge Comment prouver qu on a trouvé Charlie sans révéler où il est? Deux solutions possibles : 56/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Comment jouer? Introduction Protocoles de signatures de contrat Protocoles zero-knowledge Comment prouver qu on a trouvé Charlie sans révéler où il est? Deux solutions possibles : photocopier et découper, 56/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Comment jouer? Introduction Protocoles de signatures de contrat Protocoles zero-knowledge Comment prouver qu on a trouvé Charlie sans révéler où il est? Deux solutions possibles : photocopier et découper, mettre un grand cache avec un trou de la forme de Charlie. 56/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Applications Introduction Protocoles de signatures de contrat Protocoles zero-knowledge Authentification Paiement par CB (pour prouver qu on connaît le code confidentiel sans le révéler). Prouver son identité / appartenance à un groupe.... 57/79 Véronique Cortier Protocoles cryptographiques - Cours 1
La caverne d Ali Baba Protocoles de signatures de contrat Protocoles zero-knowledge 58/79 Véronique Cortier Protocoles cryptographiques - Cours 1
La caverne d Ali Baba - suite Protocoles de signatures de contrat Protocoles zero-knowledge Ali Baba veut convaincre Bob qu il connaît le secret. Ali Baba se cache dans la grotte. Bob demande à Ali Baba de sortir à gauche ou à droite (il choisit). Ali Baba sort du côté demandé. 59/79 Véronique Cortier Protocoles cryptographiques - Cours 1
La caverne d Ali Baba - suite Protocoles de signatures de contrat Protocoles zero-knowledge Toute personne peut être convaincue qu Ali Baba connaît la formule magique. sans rien apprendre du secret, sans pouvoir faire croire à son tour qu il connaît la formule magique. Pb : sujet éventuellement aux attaques man-in-the-middle. 60/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Attaque de l homme au milieu Protocoles de signatures de contrat Protocoles zero-knowledge Je connais le secret Charlie veut convaincre Bob qu il connaît le secret. Charlie demande à Ali Baba de le convaincre qu il connaît le secret! 61/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Attaque de l homme au milieu Protocoles de signatures de contrat Protocoles zero-knowledge Je connais le secret Charlie veut convaincre Bob qu il connaît le secret. Charlie demande à Ali Baba de le convaincre qu il connaît le secret! gauche/droite gauche/droite gagné gagné 61/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Plan Introduction Protocoles de signatures de contrat Protocoles zero-knowledge 1 Les propriétés de sécurité Les attaques typiques Les primitives cryptographiques 2 Quelques attaques logiques L attaque de Serge Humpich sur les CB Man-in-the-middle attack 3 Protocoles de signatures de contrat Protocoles zero-knowledge 4 Vérification de logiciels critiques Vérification de protocoles cryptographiques 2/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Vérification de logiciels critiques Vérification de protocoles cryptographiques Analyse des protocoles cryptographiques 1 L analyse de logiciels critiques en général. 2 Le cas des protocoles cryptographiques. 63/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Fusée Ariane 5 Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques 11 décembre 2002 : vol inaugural Un crash dû... à un bug logiciel! 64/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Sonde Mars Climate Orbiter Vérification de logiciels critiques Vérification de protocoles cryptographiques 26 septembre 1999 : perte de la sonde due...... à une erreur de conversion! 65/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Comment fait-on? Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques 1 Tests à la main ou génération automatique vérification d un nombre fini de comportements 66/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Comment fait-on? Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques 1 Tests à la main ou génération automatique vérification d un nombre fini de comportements 2 Vérification (preuve formelle) à la main ou à l aide d ordinateur vérification de tous les comportements possibles plus difficile 6/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Airbus A380 Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques 500 000 lignes de code, plus gros programme jamais vérifié (Le Monde 26 avril 2005) 67/79 Véronique Cortier Protocoles cryptographiques - Cours 1
La vérification formelle Vérification de logiciels critiques Vérification de protocoles cryptographiques Code Modèle 68/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Vérification de logiciels critiques Vérification de protocoles cryptographiques Application aux protocoles cryptographiques Le chiffrement est une boîte noire : { } Bonjour Alice clef Chiffrement Obawbhe Nyvpr clef Déchiffrement Bonjour Alice 69/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Vérification de logiciels critiques Vérification de protocoles cryptographiques Application aux protocoles cryptographiques Le chiffrement est une boîte noire : { } Bonjour Alice clef Chiffrement Obawbhe Nyvpr clef Déchiffrement Bonjour Alice On suppose que le chiffrement est parfait : On ne peut rien apprendre de {m} k à moins de connaître k. 69/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Difficultés de la vérification Vérification de logiciels critiques Vérification de protocoles cryptographiques Intrus intercepte les messages, analyse et crée de nouveaux messages, envoie des messages, a une mémoire arbitraire. 0/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Difficultés de la vérification Vérification de logiciels critiques Vérification de protocoles cryptographiques Intrus intercepte les messages, analyse et crée de nouveaux messages, envoie des messages, a une mémoire arbitraire. Protocole nombre arbitraire de participants, nombre arbitraire de sessions, taille arbitraire des messages. 0/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Modélisation (1) Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques On utilise des termes et des formules logiques. Messages termes abstraits Agents : a, b,... Nonces : n 1, n 2,... Clefs : k 1, k 2,... Chiffré : {m} k Paire : < m 1, m 2 > 71/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Modélisation (1) Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques On utilise des termes et des formules logiques. Messages termes abstraits Agents : a, b,... Nonces : n 1, n 2,... Clefs : k 1, k 2,... Chiffré : {m} k Paire : < m 1, m 2 > Exemple : 71/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Modélisation (2) Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques Capacité de l intrus I (x), I (y) I (< x, y >) I (x), I (y) I ({x} y ) I ({x} y ), I (y) I (x) Autres possibilités : système d inférence, règles d automates d arbres,... 2/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Modélisation (3) Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques Protocole A B : {A, N a} pub(b) B A : {N a, N b } pub(a) I ({a, x} pub(b) ) I ({x, n 2 } pub(a) ) 73/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Modélisation (3) Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques Protocole A B : {A, N a} pub(b) B A : {N a, N b } pub(a) I ({a, x} pub(b) ) I ({x, n 2 } pub(a) ) Intérêt Permet d utiliser des résultats classiques de Maths-Info (Déduction automatique, résolution de clauses, résolution de contraintes,...) 3/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Que sait-on faire? Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques En limitant le nombre de sessions à analyser : Le problème est décidable et NP-complet 74/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Que sait-on faire? Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques En limitant le nombre de sessions à analyser : Le problème est décidable et NP-complet il existe un algo 4/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Que sait-on faire? Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques En limitant le nombre de sessions à analyser : Le problème est décidable et NP-complet il existe un algo l algo n est pas rapide 74/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Que sait-on faire? Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques En limitant le nombre de sessions à analyser : Le problème est décidable et NP-complet il existe un algo l algo n est pas rapide Il existe de nombreux outils (logiciels) pour vérifier automatiquement les protocoles cryptographiques. 4/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Avispa : www.avispa-project.org Vérification de logiciels critiques Vérification de protocoles cryptographiques 75/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Vérification de logiciels critiques Vérification de protocoles cryptographiques Travaux en cours : nombre borné de sessions Nombre borné de sessions : Vérification de 3-4 sessions maximum Amélioration de la performance des outils Étude de différentes propriétés de sécurité : anonymat, équité, non création de fausse monnaie,... Étude de nouveaux protocoles : protocoles de groupe, signature de contrat, accès dans des bases de données,... Ajout de primitives cryptographiques plus élaborées pour tenir compte d un plus grand nombre d attaques 6/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Travaux en cours (2) Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques Nombre non borné de sessions : Le problème est indécidable. Il n existe pas d algorithme. 7/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Travaux en cours (2) Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques Nombre non borné de sessions : Le problème est indécidable. Il n existe pas d algorithme. Ca n arrête pas les informaticiens : Développement d outils corrects mais incomplets Recherche de bonnes restrictions restrictions sur les nonces ; restrictions sur les copies à chaque étape ; restrictions sur la taille des messages. 7/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Un problème ouvert Introduction Vérification de logiciels critiques Vérification de protocoles cryptographiques Peut-on se restreindre à l étude d un nombre fini (petit) de sessions? dans la pratique, soit un protocole est sûr, soit il a une attaque en une ou deux sessions pourquoi est-ce qu il ne suffit pas de vérifier deux sessions? 78/79 Véronique Cortier Protocoles cryptographiques - Cours 1
Des références pour commencer Vérification de logiciels critiques Vérification de protocoles cryptographiques Natkin B. Schneier. Applied Cryptography Second Edition : protocols, algorithms, and source code in C, J. Wiley & Sons, Inc. publisher, 1996. Menezes A. J. Menezes and P. C. van Oorschot and S. A. Vanstone. Handbook of applied cryptography CRC Press publisher, 1997. CJ97 J. Clark and J. Jacob A Survey of Authentication Protocol Literature, 1997. http ://www.cs.york.ac.uk/ jac/papers/drareviewps.ps, Schneier S. Natkin. Les protocoles de sécurité d internet, Dunod, 2002. 79/79 Véronique Cortier Protocoles cryptographiques - Cours 1