DU Commerce Electronique, mars La sécurité informatique Université Paris II Michel de Rougemont Cryptographie PKIs

DU Commerce Electronique, mars Fonctions de la sécurité 1.Confidentialité des messages 2.Authentification Protection contre virus et intrusions Marquage de données Protection de lutilisateur sur les données utilisées à son insu

DU Commerce Electronique, mars Situations Envoyer un message (ou un document) confidentiel sur le réseau Internet ( Netscape Messenger, Outlook express ). Signer un message (TéléTVA, déclaration dimpôts) Echanger des données avec un serveur ( S/MIME SSL

DU Commerce Electronique, mars Chiffrement (Cryptage) But : Confidentialité et Authenticité Historique : militaire depuis toujours. (Jules César, Enigma,….) Méthode secrète Méthode publique (clé) –Chiffrement à clé secrète : DES –Chiffrement à clé publique : RSA

DU Commerce Electronique, mars Cryptographie à clé secrète Alice et Bob partagent une clé S (SKC) A B S S

DU Commerce Electronique, mars Cryptographie à clé publique Chaque personne a 2 clés Clé publique k Clé secrète K Alice connaît k a, K a et k b A B

DU Commerce Electronique, mars Exemples dutilisation Client Serveur HTTP Client veut protéger son #VISA 4973 …. … A B Alice veut protéger le message envoyé à Bob. Bob veut sassurer que le message vient d Alice

DU Commerce Electronique, mars Système à clé publique Diffie-Helman 1975 : RSA 1976 Chaque client possède deux clés –clé publique (sur une page WEB ou dans un annuaire) –clé secrète (connue du seul client) Les deux clés sont utilisées

DU Commerce Electronique, mars Solution RSA basée sur la factorisation Clé publique k=3337 n=4 ( n=128 en pratique) Clé secrète K= =47.71 le produit de 2 nombres premiers, Factoriser est difficile Techniquement k= (N,e)=(3337, 79) où e=79 est premier avec (p-1)(q-1) K=d=1079 tel que e.d = 1 (p-1)(q-1)

DU Commerce Electronique, mars Chiffrement (cryptage) Alice veut protéger le message envoyé à Bob. Clés d Alice (N a, e a ) et d a Clés de Bob (N b, e b ) et d b A B

DU Commerce Electronique, mars Cryptage d Alice M= m 1 m 2 m 3 …... m i. ………… m L Encodage C= c 1 c 2 c 3 …... c i. ………… c L

DU Commerce Electronique, mars Exemple de message crypté M= m 1 m 2 m 3 …... m i. ………… m L (3337) = 1570 C =

DU Commerce Electronique, mars Décryptage de Bob Décodage de C= c 1 c 2 c 3 …... c i. ………… c L Déchiffrement (Décodage ) S i = m i et S= M

DU Commerce Electronique, mars Authentification Bob veut s assurer que le message vient bien d Alice. Le message peut être crypté A B

DU Commerce Electronique, mars Authentification d Alice Simple : M= m 1 m 2 m 3 …... m i. ………… m L Message crypté C= c 1 c 2 c 3 …... c i. …… c L. Clé secrète dAlice

DU Commerce Electronique, mars Authentification d Alice Simple : M= m 1 m 2 m 3 …... m i. ………… m L Message crypté C= c 1 c 2 c 3 …... c i. …… c L.

DU Commerce Electronique, mars Authentification de Bob Utilise la clé publique dAlice On obtient S=C= c 1 c 2 c 3 …... c i. …… c L Après décryptage, on obtient M

DU Commerce Electronique, mars Problème pratique : obtenir des clés publiques Alice doit obtenir la clé publique de Bob Bob doit obtenir la clé publique dAlice Solutions : –PGP (pretty good privacy) –CA (Autorités de Certification) : Verisign, Thawte, Certplus

DU Commerce Electronique, mars Certificats Passeport, Carte didentité Nom: mdr Clé publique : ABX454FRTAGH Signature de lautorité : QZXDZAEHGTT4! Certificats Thawte –Mail (gratuits) –Serveur, SSL

DU Commerce Electronique, mars Certificats de mail: This Certificate belongs To:Thawte Fre Member Serial Number: 04:64:22 This Certificate is valid from Thu Mar 15, 2001 to Fri Mar 15, 2002 Certificate Fingerprint: 83:67:79:FD:2D:14:87:B0:6B:52:F2:97:4A:F8:84:B9 This Certificate was issued by: Personal Fre RSA Certificate Services Thawte Cape Town, Western Cape, ZA

DU Commerce Electronique, mars Signature dun mail Netscape, Outlook To : Cc: Object : meeting Dear Bill, Ill see you next Monday at 4 p.m. Best, Mdr Security Which certificate? Thawte Verisign xxxxxxxx Password Clé secrète

DU Commerce Electronique, mars Message signé To : Cc: Object : meeting Dear Bill, Ill see you next Monday at 4 p.m. Best, Mdr This Certificate belongs To:Thawte Fre Member ……

DU Commerce Electronique, mars Vérification de Bob Vérification du certificat Hash(message)=fingerprint Bill est assuré que le message vient de mdr. This Certificate belongs To:Thawte Fre Member ……

DU Commerce Electronique, mars Signature et cryptage dun mail Netscape, Outlook To : Cc: Object : meeting Dear Bill, Ill see you next Monday at 4 p.m. Best, Mdr Security Your certificates? Thawte Verisign xxxxxxxx Your correspondents certificates? Bill Jacques Tony

DU Commerce Electronique, mars Message signé et crypté ASX4 3RTY YUOG GHTUO AJU8 AYUI …… …. …. …. ….. …. ATUH CT67 3YUY This Certificate belongs To:Thawte Fre Member ……

DU Commerce Electronique, mars Décryptage de Bob ASX4 3RTY YUOG GHTUO AJU8 AYUI …… …. …. …. ….. …. ATUH CT67 3YUY Password: xxxxxxx

DU Commerce Electronique, mars Vérification de Bob This Certificate belongs To:Thawte Fre Member …… Bob vérifie le certificat: To : Cc: Object : meeting Dear Bill, Ill see you next Monday at 4 p.m. Best, Mdr

DU Commerce Electronique, mars Protocole SSL (Secure Socket Layer) Serveur : Le serveur envoie un certificat qui contient sa clé publique Le client nest pas authentifié Client Serveur HTTP

DU Commerce Electronique, mars Protocole SET (Secure Electronic Transaction) Le serveur envoie un certificat qui contient sa clé publique Le client sauthentifie à laide : –Carte ViSA et PIN –Carte à puce Client Serveur HTTP 6543 VISA

DU Commerce Electronique, mars Gestion des clés : PKIs PKI : Public Key Infrastructures Comment gérer des clés à grande échelle ? Clés publiques, Autorisations daccès … Carte à puce et Autorité de Certification – Gemplus / Certplus en France – Security Business aux USA

DU Commerce Electronique, mars Electronic Money : Digicash Client Banque Client $ 100

DU Commerce Electronique, mars Créer un billet de $100 (Digicash) Client Banque $ k1 k20 k100 k1000 Clés publiques Client génère un numéro de billet: =n Client génère une séquence aléatoire r, envoie à la banque, demandant $100 La banque signe n.r, calcule lenvoie au client et débite son compte de $100.

DU Commerce Electronique, mars Electronic Money : Digicash Client Banque Client Le billet est Client dépose Banque retrouve n, correct et crédite $100.

DU Commerce Electronique, mars Fondements de la sécurité Fonctions difficiles à calculer –Factorisation –Isomorphisme de graphes Sécurité « prouvée » mathématiquement Rôle du hasard et de la logique

DU Commerce Electronique, mars Besoins de sécurité Protection des droits digitaux –Marquage des données (Watermarking) –Exemple : Gestion des droits digitaux : DRMs Sécurité du citoyen

DU Commerce Electronique, mars Conclusion 1.Confidentialité des messages 2.Authentification 3.Certificats pour la gestion des clés 4.PKIs Protection des données : O-connaissance