La Cryptographie

Chapitre 5 : Cryptographie

La sécurité dans les Réseaux

n

Risques et Menaces : • •

• •

vulnérabilité : degré d’exposition à des dangers sensibilité : caractère stratégique d’un élément menaces passives : écoute des informations menaces actives : modification de l’intégrité des données

Transmission de l ’information - Cours de l ’EPU de Tours - DI

2

1

La sécurité dans les Réseaux

n

Des garanties doivent être fournies : • • • • •

authentification contrôle d’accès confidentialité des données intégrité des données non répudiation login + mot de passe droits d’accés par utilisateur signature de messages chiffrement de message

Transmission de l ’information - Cours de l ’EPU de Tours - DI

3

Cryptographie • Objectifs Garantir la confidentialité des données Garantir l'intégrité des données Garantir l'identité des correspondants Non répudiation des transactions

• Applications 3 Militaires 3 Mots de passe 3 Sécurité réseaux

3 Téléphonie 3 Commerce électronique 3 @Business

Transmission de l ’information - Cours de l ’EPU de Tours - DI

4

2

Vocabulaire

Cryptographie : techniques de chiffrage

Cryptologie : cryptographie & cryptanalyse Transmission de l ’information - Cours de l ’EPU de Tours - DI

5

Vocabulaire

Cryptanalyse

⇒

méthodes de pénétration d’un cryptosystème

Cryptosystème vulnérable

⇒ à partir du texte crypté, il est possible de dériver - le texte initial - la clé Transmission de l ’information - Cours de l ’EPU de Tours - DI

6

3

Vue de la théorie de l'information ˜ Chiffrage = Canal très perturbé nm Messages : [M] mi

Chiffrage

nk Clés

[C] : nc Cryptogrammes cj

I (M ; C) = H (M ) − H (M / C)

3 Secret parfait ssi : H (M / C) = H (M ) soit I (M ; C) = 0

Transmission de l ’information - Cours de l ’EPU de Tours - DI

7

Méthodes d’attaque d’un cryptosystème

Texte crypté - détermination de la clé à partir du texte crypté- Analyse statistique, connaissance de la langue. Texte initial (imposé) - le cryptanalyste connaît quelques paires (texte initial, texte crypté). Texte initial choisi - le cryptanalyste est capable d’acquérir le texte crypté d’un texte initial qu’il choisit. Transmission de l ’information - Cours de l ’EPU de Tours - DI

8

4

Remarque

Un cryptosystème est inconditionnellement sûr si quelle que soit la façon dont un message chiffré est intercepté, il n’y a pas suffisamment d’informations dans le texte crypté pour déterminer de façon non ambiguë le texte initial.

9

Transmission de l ’information - Cours de l ’EPU de Tours - DI

Chiffrage efficace ssi (Coût + temps) de décryptage >> Valeur de l'info

Transmission de l ’information - Cours de l ’EPU de Tours - DI

10

5

Ordre de grandeur :

Tester 2128 possibilités

= 109 fois l ’âge de l ’univers sur la base d ’ 1 million de tests par seconde.

Taille actuelle des clés = 512 voir 1024 bits

Transmission de l ’information - Cours de l ’EPU de Tours - DI

11

Les grandes approches 3 Approches classiques 3 Chiffrage par substitution

Jules César, l'Abbé Trithème 3 Chiffrage par transposition

3 Approches modernes Chiffrage à clé privée (symétrique)

DES, IDEA, AES 3 Chiffrage à clé publique (asymétrique)

RSA, PGP Transmission de l ’information - Cours de l ’EPU de Tours - DI

12

6

Chiffrage par substitution º Chaque lettre (ou groupe de lettres) est remplacée par une lettre (ou un groupe de lettres) Abbé Trithème (1499)

Transmission de l ’information - Cours de l ’EPU de Tours - DI

13

Chiffrage par permutation / transposition - on découpe le texte en blocs de m lettres - sur chacun des blocs, on applique une permutation ∏ de m éléments Exemple : m = 6 ∏ K ∏-1

1 2 3 4 5 6 3 5 1 6 4 2 1 2 3 4 5 6 3 6 1 5 2 4

Transmission de l ’information - Cours de l ’EPU de Tours - DI

14

7

Cryptage :

La 1ère lettre du bloc devient la 3ème, la 2ème devient la 5ème,…………….. Exercice : crypter le message suivant : LA CRYPTOGRAPHIE PREND DE PLUS EN PLUS D ’IMPORTANCE Intérêt de cette méthode ? Comment décrypter ? Transmission de l ’information - Cours de l ’EPU de Tours - DI

15

Chiffrage par transposition º Change l'ordre des lettres sans les substituer

Exemple

Transmission de l ’information - Cours de l ’EPU de Tours - DI

16

8

Chiffrage de VIGENERE

La clé :

une séquence de n caractères x1………. xn

Le texte découpé en bloc de n caractères : m1 m2 …………... mn mn+1

Transmission de l ’information - Cours de l ’EPU de Tours - DI

17

Cryptage :

C1 = m1 + x1

mod(26)

Ci = mi + xi

mod(26)

-----------Cn+1 = mn+1 + x1

mod(26)

Intérêt ? Mise en œuvre ?

Transmission de l ’information - Cours de l ’EPU de Tours - DI

18

9

Codage de VERNAM (« masque jetable »)

Analogue à Vigenère mais : la clé a la même longueur que le texte utilisé qu ’une seule fois (one-time pad) K = k1 ………………... kn M = m1 ……………….. mn

Transmission de l ’information - Cours de l ’EPU de Tours - DI

19

Codage de VERNAM : Ci = (mi ⊕ ki ) mod(2) Utilisation Ci = mi ⊕ ki ki ⊕ ki = 0 pour ki = 0 ou 1 Ci ⊕ ki = mi ⊕ ki ⊕ ki = mi Exemple :

M=11000 K= 10010 Ek(M) = 0 1 0 1 0

ki = séquence ⊕ = ou exclusif

Problème ?

Ancien mot de passe Unix, aujourd’hui DES Transmission de l ’information - Cours de l ’EPU de Tours - DI

20

10

Transposition à base matricielle

- clé = une matrice + 1 séquence de lecture

- le message en clair est écrit dans la matrice

- encryptage : lecture de la matrice en respectant la séquence définit par la clé.

Transmission de l ’information - Cours de l ’EPU de Tours - DI

21

Exemple : clé = (6,5) , lecture par colonne C

E

C

E N S

S

T M G

A

I E E

U S

D(M) = CENS ES A CTMG I EE US .

Transmission de l ’information - Cours de l ’EPU de Tours - DI

22

11

Chiffrage à clé privée (symétrique)

Clé privée

Message

Chiffrement

Clé privée

&^$!@#l:{Q

Dechiffr. Dechiffr.

Message

3

Chiffrement et déchiffrement avec même clé

3

Chiffrement et déchiffrement avec fonction mathématique

3

Rapide

3

Exemple: Data Encryption Standard (DES, IDEA ,AES, ...) 23

Transmission de l ’information - Cours de l ’EPU de Tours - DI

DES, Data Encryption Standard Proposé par IBM en 1977 n

n

n

n

n

n

Soient Li et Ri les deux 1/2 blocs gauche et droit d'un mot. On répète cette opération pour i=1 (mot initial) à i=16. La complexité du cryptage repose dans le choix de la fonction f. Le code DES propose la fonction non linéaire suivante, f(R,K) : 1) R Ł R' : R' est un mot de 48 bits obtenu à partir des 32 bits de R dont 16 sont dupliqués. 2) R' ⊕ K Ł R" (addition modulo 2) n

n

) R" Ł R"' : on revient à 32 bits par codage des paquets de 6 bits en 4 bits grâce à une table.

L(i-1)

R(i-1)

f(R(i-1),K)

⊕ L(i)

R(i)

Ce système présente 256 = 7,2 1016 clefs possibles mais il suffit de 18 caractères "clairs" pour le décrypter (mais c'est long). TransmissionClé de l ’information - Cours de l ’EPU Tours - DI Mot de 64 bits de 56 bits 16derondes

24

12

DES

n

Algorithme de déchiffrage similaire (inverse) au chiffrage Avec même clé Cryptanalyse a montré les limites de DES : n Nombreux textes en clair et correspondants codés ==> décryptage n Pour longueur clé < 768 bits !

n

Triple DES, RC2, RC5, RC6 (S_Box + P_Box)

n

n

M La clé à échanger est à garder secrète 25

Transmission de l ’information - Cours de l ’EPU de Tours - DI

IDEA (International Data Encryption Algorithm / Lai, Massey 1991 ) ⊕) º Une succession d’addition (+) , multiplication (x), et Xor (⊕ Mot de 64 bits Clé de 128 bits 8 rondes

- X1 x Z1 = Y1 - X2 + Z2 = Y2 - X3 + Z3 = Y3 - X4 x Z4 = Y4 - Y1 ⊕ Y3 = Y5 - Y2 ⊕ Y4 = Y6 - Y2 x Z 5 = Y7

- Y6 + Y7 = Y8 - Y8 x Z 6 = Y 9 - Y7 + Y9 = Y10 - Y1 ⊕ Y9 = X1’ - Y3 ⊕ Y9 = X3’ - Y2 ⊕ Y10 = X2’ - Y4 ⊕ Y10 = X4’

Transmission de l ’information - Cours de l ’EPU de Tours - DI

- X1 x Z1 = X1’ - X2 + Z2 = X2’ - X3 + Z3 = X3’ - X4 x Z4 = X4’ 26

13

DES / IDEA / AES Taille des Taille de Nombre blocs clé de rondes DES

64

56

16

IDEA

64

128

8

3 IDEA est deux fois plus rapide ! 3 Chip VLSI IDEA

200 Mb/s

3 IDEA le remplaçant de DES ? Et non ! q AES ou Rijndael normalisé en 2000 : • Longueur de clé variable 128, 192 ou256 bits - Longueur de bloc = 128 bits • S_box + P_box + Shift_Box + Mix_Culumn

Transmission de l ’information - Cours de l ’EPU de Tours - DI

27

Challenges

3

Longueur des clés

3

Fréquence de renouvellement

3

Création et Distribution sécurisées (HSM, …)

Generateur de clé aléatoire

Transmission de l ’information - Cours de l ’EPU de Tours - DI

28

14

Chiffrage à clé publique Clé privée

Clé publique

Message

Chiffrement

&^$!@#l:{Q

Dechiffr. Dechiffr.

Message

3

Chiffrement et déchiffrement avec clés différentes

3

Chiffrement et déchiffrement avec différentes fonctions mathématiques

3

Lent

3

Exemple: RSA, Diffie-Hellman, ...

Transmission de l ’information - Cours de l ’EPU de Tours - DI

29

RSA (Rivest Shamir Adleman / 1978) n

n n

n

Ce système utilise la décomposition en facteurs premiers de grand nombre. Si A et B sont premiers alors la décomposition de K = AB est unique. Connaissant K, il est très dur de trouver A et B si K est très grand (si K > 10200 alors il faudrait plus de 106 années de calcul d'un gros ordinateur). Soit n un nombre calculé par produit de nombre premiers. On appelle indicateur d'Euler de n, et on note Φ(n), le nombre d'entiers premiers avec n (= qui n'interviennent pas dans sa décomposition). Si n = p q (p et q premiers) alors on peut montrer que :

Φ(n)= (p-1)(q-1) et mΦ(n) = 1 modulo n ∀m d'où : Φ (n)+1 = m modulo n mkΦ n

Ex : n= 3x5 = 15

Φ(n)= 8

{1;2;4;7;8;11;13;14;}

Transmission de l ’information - Cours de l ’EPU de Tours - DI

30

15

RSA (Rivest Shamir Adleman / 1978) n

Pour avoir un crypto-système, il faut (MA)B = M modulo n . Cryptage

n

n

n

n

n

Décryptage

C'est à dire : A.B = k.Φ(n) +1 <=> A.B modulo Φ(n) = 1 Cryptage : On choisit p,q. On en déduit n. On choisit 1 nombre premier A dans l'intervalle [3,Φ(n)] et on calcule C = E(M,A) = MA modulo n Décryptage : On calcule tout d'abord la clef secrète B telle que A.B modulo Φ(n) = 1. On peut alors décrypter le message C par M = D(C,B) = CB modulo n. A et n sont publics donc tout le monde peut crypter. Tout réside dans le fait que pour n grand, Φ(n) est très difficile à calculer rapidement (B est calculé à partir de Φ(n) et A). Exemple :

p =3

q=11

Transmission de l ’information - Cours de l ’EPU de Tours - DI

31

Exemple p=3 et q=11 N = 33 Φ z = 20 B A s=7 7.eB = 1 (mod 20) e=3 3

(euclide)

7

C = M . (mod 33) et M = C . (mod 33)

Transmission de l ’information - Cours de l ’EPU de Tours - DI

32

16

PGP (Pretty Good Privacy / 1991 )  Algorithme hybride : PGP = (RSA + IDEA)

M Usage contrôlé en France (depuis 99) ! Transmission de l ’information - Cours de l ’EPU de Tours - DI

33

Key Escrow n

L'utilisation du cryptage pour la transmission et la sauvegarde d'informations peut poser différents problèmes, notamment : n

n

n

1° En cas de perte de sa clé, le destinataire ou le propriétaire ne dispose plus d'aucun moyen d'accès aux informations. 2° L'accès aux informations par un tiers autorisé e st impossible sans l'accord du destinataire/propriétaire des informations. Le tiers autorisé peut être la direction de la société dans laquelle travaille le destinataire/propriétaire (en cas d'absence ou de mauvaise volonté) ou l'autorité judiciaire (en cas d'enquête).

La solution est d'associer à chaque système de cryptage une facilité de décryptage utilisable uniquement par des personnes ou organisations autorisées.

Transmission de l ’information - Cours de l ’EPU de Tours - DI

34

17

Key Escrow

Transmission de l ’information - Cours de l ’EPU de Tours - DI

35

Key Escrow n

n

n

Un Champ de Recouvrement des Données (CRD) est transmis ou stocké avec les données cryptées. Ce champ contient des informations suffisantes pour le décryptage par un agent autorisé (l'Unité de recouvrement), comme par exemple la clé k cryptée à l'aide de la clé publique (E, n) qui correspond à une clé secrète D de l'Unité de garde. Différentes précautions peuvent être prises afin d'améliorer la protection des utilisateurs face aux éventuels abus des Unités de garde ou des Unités de recouvrement, notamment : n

n

1° Unités de garde multiples et indépendantes. Chaq ue unité détient un seul fragment de la clé et ne peut la communiquer qu'à l'unité de recouvrement (l'agent autorisé). 2° Grain fin pour les clés : le cryptage n'est pas effectué avec des clés à longue durée de vie, mais avec des clés de session. Les clés à longue durée de vie restent connues uniquement par les unités de garde. Elles permettent uniquement de récupérer les clés de session.

Transmission de l ’information - Cours de l ’EPU de Tours - DI

36

18

Comparaison Symmetric

Asymmetric

Number of keys

1

2

Usual key length

128 bits

512+ bits

Performance

fast

very slow

Dedicated hardware

yes

very rare

Code breaking

difficult

almost impossible

Transmission de l ’information - Cours de l ’EPU de Tours - DI

37

Transmission de l ’information - Cours de l ’EPU de Tours - DI

38

19

Usage des approches clé publique

• Confidentialité • Authentification • Confidentialité & authentification • Signature • Certificat • Échanges sécurisés

39

Transmission de l ’information - Cours de l ’EPU de Tours - DI

Confidentialité

Alice Msg

Chiffrement

Bob Crypté

Pub

Pri

Clé publique de Bob

n n

Msg

Decryption

Clé privée de Bob

Alice possède la clé publique de Bob pour crypter Bob déchiffre avec sa clé privé

Transmission de l ’information - Cours de l ’EPU de Tours - DI

40

20

Authentification

Alice Clear

Encryption

Bob Encrypted

Clear

Decryption

Pri

Pub

Clé privée d ’Alice

Clé publique d ’Alice

n

Alice chiffre le message avec sa clé privé

n

Bob déchiffre avec la clé publique d ’Alice

Transmission de l ’information - Cours de l ’EPU de Tours - DI

41

Confidentialité & Authentification

Transmission de l ’information - Cours de l ’EPU de Tours - DI

42

21

Signature : Authentification & Intégrité 3

Fonction de Hashage

• Le hachage est une fonction mathématique à sens unique qui : • convertit une chaîne de caractères d'une longueur quelconque en une chaîne de caractères de taille fixe appelée digest ou empreinte • Cette fonction est dite à sens unique pour les raisons suivantes : • 2 messages différents (même distinct d'un seul bit) ne produiront "jamais" la même empreinte • Il est très difficile de trouver le message lorsqu'on connaît l'empreinte

Transmission de l ’information - Cours de l ’EPU de Tours - DI

43

Exemple d'algorithmes de hachage MAC (Message Authentification Code) • C'est la combinaison d'une fonction de hachage et d'une clé secrète. • L'empreinte est chiffrée à l'aide d'un algorithme à clé secrète (symétrique). • Le destinataire ne pourra vérifier l'intégrité des données que s'il possède la clé symétrique ayant servi à la génération du MAC. • Contrairement à la signature digitale, seul un destinataire particulier sera en mesure de faire cette opération. • Un MAC assure l'intégrité d'un message mais pas la non-répudiation puisque émetteur et récepteur possèdent la même clef (principe du chiffrement symétrique). • L'émetteur peut donc nier avoir signé les données puisqu'il n'est pas le seul à pouvoir le faire. • Le MAC est très utile (rapide et efficace) à condition d'avoir mis en place un mécanisme sûr d'échange de la clef secrète entre les différents protagonistes.

Transmission de l ’information - Cours de l ’EPU de Tours - DI

44

22

Signature : Authentification & Intégrité 3

3

DSS n

Digital Signature Standard conçu par le NIST

n

Utilisation de Clés privée et publique (512+ bits)

n

Application sur le contenu du message à signer

Fonction de Hashage Mes sag e

• Autre algorithmes : MD2, MD4, MD5, SHA1

• Taille typique = 128 bits Hash Function

Hash of Message 45

Transmission de l ’information - Cours de l ’EPU de Tours - DI

Vérification du message signé Message

Dechiffrage de la signature

Re-Hash du message reçu

Signature

M essa ge

Message + Signature Signature

Alice

Déchiffrage avec clé publique d ’Alice

Hash Function

Hash code du Message

Hash code du Message Authentification de la signature

Transmission de l ’information - Cours de l ’EPU de Tours - DI

46

23

Distribution / Gestion des clé ???

n

Comment Identifier les propriétaire des clés ?

Bob

Certificat

Pub

Clé

0000123 SHA, DH, 3837829… 1/1/97 to 12/31/98 Bob Smith, Acme Corporation DH, 3813710… Certificate Authority SHA, DH, 2393702347…

Transmission de l ’information - Cours de l ’EPU de Tours - DI

47

Certificats numériques

n

Qu ’est ce qu ’un certificat numérique ? n n

n

n

Une pièce d ’identité : passeport électronique notion de signatures électroniques pour l ’identification, garantir la non répudiation, l ’intégrité du message, et la confidentialité fonctions d authentification et contrôle d accès

Les différents types de certificats : n

n

n

Certificat Serveur : hébergé sur un serveur (Internet), identifiant celui-ci, permettant d établir des sessions chiffré SSL. Lié à l ’URL du serveur. Certificat Personnel : hébergé sur un ordinateur ou une carte à puce. Lié à une personne physique Certificat IPsec : hébergé sur un composant réseau (routeur, PC, …) identifiant celui-ci et permettant de chiffrer le flux entre lui et un autre équipement pour créer un VPN. Transmission de l ’information - Cours de l ’EPU de Tours - DI

48

24

Certificats numériques

n

Qui délivre les certificats ? n

n

Des organisations disposant d’un certain crédit (ministère, mairie, entreprise, …) appelé les Autorités de Certification (AC)

Qu’est ce qu’une AC ? n n n n

Organisation qui délivre des signatures électroniques sert de caution morale en s ’engageant sur l ’identité d ’une personne définit des conditions d ’attribution et d ’usages exemple : état, banques, chambre de commerce, expert-comptable, entreprise, ..

Transmission de l ’information - Cours de l ’EPU de Tours - DI

49

Certificats numériques

n

Comment s’organise une AC ? Fonction d ’organisation (traitement des demandes, contrôle des informations, validation / rejet, révocation des certificat, …) Ł pour cela elle s ’appuie sur une Autorité d ’Enregistrement (AE) n

Fonction technique : gestion des clés et algorithmes de chiffrement Ł pour cela elle s ’appuie sur un Opérateur de Service de Certification (Certplus, Verisign, …) n

Transmission de l ’information - Cours de l ’EPU de Tours - DI

50

25

Certificats numériques n

Qu’est ce qu’une Infrastructure à Clés Publiques (ICP, PKI) ? n

n

Désigne l ’ensemble des éléments nécessaires à une AC pour émettre des certificats et permettre leur administration elle est constituée : n n n

n n n

d ’une clé d ’autorité de certification des outils nécessaire aux fonctions d ’AE d ’un dispositif technique de production des certificats

problème: durée de vie Voir format X509 normalisé Sociétés : Verisign, HP, Sun, ...

0000123 SHA,DH, 3837829.... 1/1/93 to 12/31/98 Alice Smith, Acme Corp DH, 3813710... Acme, Security Dept. SHA,DH, 2393702347 ...

Transmission de l ’information - Cours de l ’EPU de Tours - DI

51

Certificats Serveurs n

Qu ’est ce qu ’un certificat Serveur ? n n

n

n

établit le lien entre le site web et son propriétaire authentifie le serveur web, sécurise les échanges entre le serveur et le client prix : environ 2000F

Contient: n n n n n n n

Clé publique/privée du propriétaire (pour chiffrer) Nom de domaine à certifier Name: “www.societe.fr” Nom et coordonnées du propriétaire Adress: xxxxxxxxxx Expires: 6/10/2005 Date d’expiration de la clé publique Exchange Key : public Numéro de série de la signature digitale Signature Key : public Nom du distributeur (AC) Serial#: 29483756 OtherData: 10236283025273 Signature digitale du Distributeur (AC) Signed: CA’s Signature : private Transmission de l ’information - Cours de l ’EPU de Tours - DI

52

26

Certificats numériques

Transmission de l ’information - Cours de l ’EPU de Tours - DI

53

Protocoles réseaux sécurisés

3 SSL (Secure Socket Layer) 3 SET (Secure Electronic Transaction) 3 Secure HTTP 3 Secure TCP/IP (IPsec)

IP v.6

3 ...

Transmission de l ’information - Cours de l ’EPU de Tours - DI

54

27

SSL vs S_HTTP

HTTP

FTP

Telnet

Autres

https SSL Stack IP TCP/IP

Transmission de l ’information - Cours de l ’EPU de Tours - DI

55

SSL 3 Communication sécurisée entre deux entités 3 Protocole de handshake Client vérifie le certificat du serveur Client génère paire de clé Demande la clé publique du serveur Envoie de la clé publique du client chiffrée au serveur Test émis par le serveur

3 Échange de données sur liaison sécurisée º Commerce électronique Transmission de l ’information - Cours de l ’EPU de Tours - DI

56

28

SSL : moyens n

Communication sécurisé sur média non sécurisé n

n

n

Protection de la connexion n Handshake initial pour définir le codage n Cryptage symétrique n Utilisation de l ’algorithme RSA Authentification optionnelle n L’entité pair peut s’authentifier en utilisant un cryptage asymétrique (Clé public/privée) Sécurisation des échanges n Authentification du message échangé (MAC) Message Authentication Code

Transmission de l ’information - Cours de l ’EPU de Tours - DI

57

Protéger sa clé privée

n

Problème : le certificat est stocké sur le disque dur n n

n

sécurité ? certificat lié à une machine ?

Solutions : n n

Utiliser une carte à puce pour stocker le certificat Protection par un mot de passe : utiliser par IE, Outlook et Netscape

Transmission de l ’information - Cours de l ’EPU de Tours - DI

58

29

Le Commerce Electronique

Les Principaux Acteurs

Transmission de l ’information - Cours de l ’EPU de Tours - DI

59

Commerce électronique n

Aujourd’hui n

n

Possible grâce au numéro de carte bancaire : Transfert sécurisé : S_HTTP, SSL

MAIS peur du vol de numéro de carte bancaire : logiciels d'identification : SET, C_SET n Boitier de saisie de code pour PC : E_COMM n

Porte monnaie électronique : Cyber_Cash, KLELine

Transmission de l ’information - Cours de l ’EPU de Tours - DI

60

30

Commerce électronique 3 Evolution exponentielle, initiée par les professionnels, tirée par les particuliers

3 Pose tous les problèmes traités par la cryptologie Authentification Intégrité Confidentialité Non répudiation 3 2 voies principales Acheteur / Vendeur SSL Acheteur / Vendeur + Banques

SET

Transmission de l ’information - Cours de l ’EPU de Tours - DI

61

1. Commerce Acheteur / Vendeur via SSL

N° CB

Handshake SSL Echange des données

Transmission de l ’information - Cours de l ’EPU de Tours - DI

62

31

2. Secure Electronic Transaction (SET) livraison commande

validation

N° CB Vérification

Transmission de l ’information - Cours de l ’EPU de Tours - DI

63

SET 3 SET prend en charge Authentification acheteur & Vendeur Intégrité des transmissions Confidentialité du paiement et de la commande 3 Déroulement d'une vente SET Demande de l'acheteur Vendeur vérifie la commande Les banques vérifient Vendeur & Acheteur Acquittement de l'ordre Transmission de l ’information - Cours de l ’EPU de Tours - DI

64

32

Cryptologie = élément essentiel du cycle de sécurité

Transmission de l ’information - Cours de l ’EPU de Tours - DI

65

Législation & Cryptologie

Pas de législation internationale + évolution rapide Difficulté de standardisation des protocoles

M Les logiciels de chiffrage ne sont pas comme les autres !

USA Cryptologie, armes et munitions Même cadre juridique ITAR (International Traffic Arm Regulation) Export (40 bits) Transmission de l ’information - Cours de l ’EPU de Tours - DI

66

33

Législation & Cryptologie n n

En cours d’harmonisation au niveau européen en voie de libéralisation en France (loi du 26/7/96, décret + arrêté du 17/3/1999)

n

Usage de services ou moyens cryptographiques : n n

n

Fourniture de services ou moyens cryptographiques : n

n

totalement libre pour l ’authentification libre pour la confidentialité si clé < 128 bits et enregistrement auprès d ’un tiers de confiance

enregistrement et demande d ’autorisation préalable (SCSSI)

SCSSI : Service central de la sécurité des systèmes d ’information n

http://www.scssi.gouv.fr/ Transmission de l ’information - Cours de l ’EPU de Tours - DI

67

En France Sanctions encourues :

- Im p o rt s a n s a u to risa tio n : 6 m o is & 2 0 0 0 0 0 F - T ie rs d e c o n fia n c e illé g a l : 2 a n s & 3 0 0 0 0 0 F - F o u rn itu re p o u r c rim e & d é lit : 3 a n s & 5 0 0 0 0 0 F

Transmission de l ’information - Cours de l ’EPU de Tours - DI

68

34

Conclusion sur la cryptographie Indispensable aux réseaux de communication Sécurité Intranet / Extranet / Internet

3 Moteur de développement du @Business

3 Conséquences juridiques

Transmission de l ’information - Cours de l ’EPU de Tours - DI

69

35