Petite introduction aux protocoles cryptographiques. Master d informatique M2

(1)

Petite introduction

aux protocoles cryptographiques

Master d’informatique M2

(2)

Internet

- confidentialité - anonymat

- authentification (s’agit-il bien

de ma banque ?)

Théorie de la sécurité ML-3-8 - 23 novembre 2005 Les protocoles cryptographiques– p.2/48-1

(3)

Signature électronique

- vérifiable - authentique

- non-répudiation (je n’ai jamais signé ce texte...)

(4)

Vote électronique

• Le résultat reflète les votes

• Chaque vote est confidentiel

• On ne peut pas connaître des résultats partiels

• Seuls les électeurs peuvent voter et une seule fois

(5)

Paiement par carte bleue

• Est-ce qu’il s’agit d’une vraie carte ?

(6)

Décodeurs

−−−−−−→

←−−−−−−

• Vérification de l’abonné

• Impossibilité de retransmettre les données décodées à une tierce personne

• Mise à jour de l’abonnement

(7)

Porte-monnaie électronique

• Pas de création de fausse monnaie

• Pas de création de faux porte-monnaie

(8)

Bases de données sécurisées

Patients Maladies Traitements Dupond rougeole ...

Dupont oreillons ...

Durand scarlatine ...

• Seules les personnes habilitées ont accès à la vue partielle à laquelle elles ont droit.

• Les données peuvent être échangées entre un médecin, un laboratoire, un hôpital.

• Mise à jour possible des données.

(9)

Propriétés de sécurité

• Secret: Est-ce qu’un participant malhonnête peut connaître une donnée confidentielle ?

• Authentification: À qui parle-t-on vraiment ?

• Anonymat: Peut-on savoir qui communique avec qui ?

• Équité: Lors de la signature d’un contrat, est-ce que l’un des signataires peut obtenir un avantage sur l’autre ?

• . . .

(10)

Comment ça marche ?

• Les primitives cryptographiques

• Quelques protocoles simples avec chiffrement

• Un protocole pour carte bancaire

• Le protocole de Needham-Schroeder

• Les protocoles Zero-knowledge

• La vérification de la sûreté des protocoles : l’analyse de logiciels critiques en général.

(11)

Chiffrement

Chiffrement symétrique

Chiffrement Déchiffrement

Bonjour Alice

Obawbhe Nyvpr

clef clef Bonjour

Alice On utilise la même clef pour chiffrer et déchiffrer.

Chiffrement asymétrique

Bonjour Alice

Obawbhe Nyvpr clef

publique

clef privée

Bonjour Alice On chiffre avec la clef publique et on déchiffre avec la clef privée.

(12)

Chiffrement

Chiffrement symétrique

Bonjour Alice

Obawbhe Nyvpr

clef clef Bonjour

Alice On utilise la même clef pour chiffrer et déchiffrer.

Chiffrement asymétrique

Bonjour Alice

Obawbhe Nyvpr clef

publique

clef privée

Bonjour Alice On chiffre avec la clef publique et on déchiffre avec la clef privée.

(13)

Le chiffrement autrefois

• Le chiffrement de César : décalage des lettres

• Disque de chiffrement (Léone Battista Alberti 1466)

→ sujet à des analyses statistiques

(14)

Le chiffrement autrefois

• Le chiffrement de César : décalage des lettres

• Disque de chiffrement (Léone Battista Alberti 1466)

→ sujet à des analyses statistiques

(15)

Le chiffrement : période technique

Substitutions et permutations automatiques

(16)

Le chiffrement aujourd’hui

→ Utilisation de problèmes algorithmiquement durs.

Fonction RSA n = pq, p et q premiers.

e : exposant public

• x 7→ x^e mod n facile (cubique)

• y = x^e 7→ x mod n difficile x = y^d où d = e⁻¹ mod φ(n) Problème de Diffie-Hellman

• étant donné A = g^a et B = g^b,

• calculer DH(A, B) = g^ab

(17)

Le chiffrement aujourd’hui

→ Utilisation de problèmes algorithmiquement durs.

Fonction RSA n = pq, p et q premiers.

e : exposant public

• x 7→ x^e mod n facile (cubique)

• y = x^e 7→ x mod n difficile x = y^d où d = e⁻¹ mod φ(n) Problème de Diffie-Hellman

• étant donné A = g^a et B = g^b,

• calculer DH(A, B) = g^ab

(18)

Estimations pour la factorisation d’entiers

Module Opérations (bits) (en log₂)

512 58

1024 80

2048 111

4096 149

8192 156

≈ 2⁶⁰ ans

→ Bornes inférieures pour RSA et Diffie-Hellman.

(19)

Exemple de chiffrement à clef publique : RSA

public privé

n = pq d = e⁻¹ mod φ(n) e (clef publique) (clef privée)

Chiffrement RSA

• E(m) = m^e mod n

• D(c) = c^d mod n

(20)

Signature

Signature Vérification

Bonjour Alice

Obawbhe Nyvpr clef

privée

clef

publiqueBonjour Alice

(21)

Comment ça marche ?

• Quelques protocoles simples avec chiffrement.

• Un protocole pour carte bancaire.

• Le protocole de Needham-Schroeder.

• Les protocoles Zero-knowledge.

(22)

Échange de secret

On peut utiliser la clef k = 785341006

−−−−−−−−−−−−−−−−−−−−−−−−−−−→

Mon code bancaire est {3443}_785341006

←−−−−−−−−−−−−−−−−−−−−−−−−−

La clef est 785341006 Je déchiffre...

le code secret est 3443

(23)

Échange de secret

On peut utiliser la clef k = 785341006

−−−−−−−−−−−−−−−−−−−−−−−−−−−→

Mon code bancaire est {3443}_785341006

←−−−−−−−−−−−−−−−−−−−−−−−−−

La clef est 785341006 Je déchiffre...

le code secret est 3443

(24)

Chiffrement commutatif (RSA)

{code : 3443}_k

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kobelix

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

obelix

−−−−−−−−−−−−→

Car ©

{code : 3443}_k

asterix

ª

k_obelix = ©

{code : 3443}_k

obelix

ª

k_asterix

→ Ça ne marche pas ! (problème d’authentification) {code : 3443}_k

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kpirate

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

pirate

−−−−−−−−−−−−→

(25)

Chiffrement commutatif (RSA)

{code : 3443}_k

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kobelix

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

obelix

−−−−−−−−−−−−→

Car ©

{code : 3443}_k

asterix

ª

k_obelix = ©

{code : 3443}_k

obelix

ª

k_asterix

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kpirate

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

pirate

−−−−−−−−−−−−→

(26)

Chiffrement commutatif (RSA)

{code : 3443}_k

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kobelix

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

obelix

−−−−−−−−−−−−→

Car ©

{code : 3443}_k

asterix

ª

k_obelix = ©

{code : 3443}_k

obelix

ª

k_asterix

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kpirate

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

pirate

−−−−−−−−−−−−→

(27)

Chiffrement commutatif (RSA)

{code : 3443}_k

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kobelix

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

obelix

−−−−−−−−−−−−→

Car ©

{code : 3443}_k

asterix

ª

k_obelix = ©

{code : 3443}_k

obelix

ª

k_asterix

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kpirate

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

pirate

−−−−−−−−−−−−→

(28)

Chiffrement commutatif (RSA)

{code : 3443}_k

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kobelix

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

obelix

−−−−−−−−−−−−→

Car ©

{code : 3443}_k

asterix

ª

k_obelix = ©

{code : 3443}_k

obelix

ª

k_asterix

asterix

−−−−−−−−−−−−→



{code : 3443}_k

asterix

ff

kpirate

←−−−−−−−−−−−−−−−−−

{code : 3443}_k

pirate

−−−−−−−−−−−−→

(29)

Attaques sur les décodeurs

Kentucky Fried Chip : bloquer l’ordre de désabonnement Renvoi de messages :

n^◦ carte, {c₁,...,ck}Kcs

−−−−−−−−−−−−−→

n^◦ carte, {c⁰₁,...,c⁰_k}^Kcs

←−−−−−−−−−−−−−

(30)

Attaques sur les décodeurs

Kentucky Fried Chip : bloquer l’ordre de désabonnement

Renvoi de messages :

n^◦ carte, {c₁,...,ck}Kcs

−−−−−−−−−−−−−→

n^◦ carte, {c⁰₁,...,c⁰_k}^Kcs

←−−−−−−−−−−−−−

(31)

Comment ça marche ?

(32)

Protocole de paiement par CB

• L’acheteur introduit sa carte.

• Le commerçant saisit le montant m de la transaction sur le terminal.

• Le terminal authentifie la carte.

• L’acheteur donne son code à la carte.

Si m dépasse 100 euros (et dans seulement 20% des cas) :

− Le terminal demande l’authentification de la carte à la banque.

− La banque donne l’autorisation.

(33)

Plus en détails

4 acteurs : la Banque, l’Acheteur, la Carte et le Terminal.

Banque possède

• une clef de signature K_B⁻¹, secrète,

• une clef de vérification K_B, publique,

• une clef secrète pour chaque carte bancaire K_CB secrète.

Carte possède

• Data : nom, prénom, numéro de carte, date de validité,

• Valeur de Signature V S = {hash(Data)}_K⁻¹

B ,

• clef secrète K_CB.

(34)

Protocole CB (résumé)

Le terminal lit la carte :

1. C → T : Data, {hash(Data)}_K⁻¹

B

Le terminal demande le code :

2. T → A : code secret? 3. A → C : 1234

4. C → T : ok Le terminal contacte la banque :

5. T → B : auth?

6. B → T : 7294291330572 7. T → C : 7294291330572

8. C → T : {7294291330572}_KCB

9. T → B : {7294291330572}_KCB

10. B → T : ok

(35)

Protocole CB (résumé)

B

2. T → A : code secret? 3. A → C : 1234

5. T → B : auth?

6. B → T : 7294291330572 7. T → C : 7294291330572

8. C → T : {7294291330572}_KCB

9. T → B : {7294291330572}_KCB

10. B → T : ok

(36)

Protocole CB (résumé)

B

2. T → A : code secret? 3. A → C : 1234

5. T → B : auth?

6. B → T : 7294291330572 7. T → C : 7294291330572

8. C → T : {7294291330572}_KCB

9. T → B : {7294291330572}_KCB

10. B → T : ok

(37)

Quelques failles de la carte bancaire

Initialement sécurité assurée par :

• cartes difficilement réplicables,

• secret des clefs et du protocole.

Mais

• faille cryptographique : les clefs de 320 bits ne sont plus sûres (1988),

• faille logique : pas de lien entre le code secret à 4 chiffres et l’authentification,

→ “YesCard” fabriquées par Serge Humpich (1998).

(38)

Quelques failles de la carte bancaire

Initialement sécurité assurée par :

• cartes difficilement réplicables,

• secret des clefs et du protocole.

Mais

• faille cryptographique : les clefs de 320 bits ne sont plus sûres (1988),

• faille logique : pas de lien entre le code secret à 4 chiffres et l’authentification,

• réplicabilité des cartes.

→ “YesCard” fabriquées par Serge Humpich (1998).

(39)

Principe de la “YesCard”

Faille logique

1.C → T : Data, {hash(Data)}_K⁻¹

B

2.T → A : code secret? 3.A → C

C⁰

: 1234 2345

4.C C⁰

→ T : ok Remarque : il y a toujours quelqu’un à débiter.

→ ajout d’une fausse signature sur une fausse carte (Serge Humpich).

1.C⁰ → T : XXX, {hash(XXX)}_K⁻¹

B

2.T → A : code secret?

3.A → C⁰ : 0000 4.C⁰ → T : ok

(40)

Principe de la “YesCard”

Faille logique

B

2.T → A : code secret? 3.A →

C

C⁰ : 1234

2345 4.

C

C⁰ → T : ok Remarque : il y a toujours quelqu’un à débiter.

B

3.A → C⁰ : 0000 4.C⁰ → T : ok

(41)

Principe de la “YesCard”

Faille logique

B

C

C⁰ : 1234

2345 4.

C

C⁰ → T : ok

Remarque : il y a toujours quelqu’un à débiter.

B

3.A → C⁰ : 0000 4.C⁰ → T : ok

(42)

Principe de la “YesCard”

Faille logique

B

C

C⁰ : 1234

2345 4.

C

C⁰ → T : ok

Remarque : il y a toujours quelqu’un à débiter.

B

3.A → C⁰ : 0000 4.C⁰ → T : ok

(43)

Comment ça marche ?

(44)

Protocole Needham-Schroeder à clefs publiques

• A → B : {A, N_a}_pub(B)

•

B → A : {N_a, N_b}pub(A)

•

A → B : {N_b}pub(B)

Questions :

• Est-ce que N_b est secret entre A et B ?

• Lorsque B reçoit {N_b}_pub(B), est-ce que ce message provient réellement de A ?

→ Une attaque fut trouvée en 1996, 17 ans après la première publication du protocole !

(45)

Protocole Needham-Schroeder à clefs publiques

•

A → B : {A, N_a}_pub(B)

• B → A : {N_a, N_b}pub(A)

•

Questions :

(46)

Protocole Needham-Schroeder à clefs publiques

•

A → B : {A, N_a}_pub(B)

•

• A → B : {N_b}pub(B)

Questions :

(47)

Protocole Needham-Schroeder à clefs publiques

•

A → B : {A, N_a}_pub(B)

•

Questions :

(48)

Protocole Needham-Schroeder à clefs publiques

•

A → B : {A, N_a}_pub(B)

•

Questions :

(49)

Protocole Needham-Schroeder à clefs publiques

•

A → B : {A, N_a}_pub(B)

•

Questions :

(50)

Man in the middle attack

{A,N^a}_pub(P)

−−−−−−−→ −−−−−−−→^{A,N^a^}^pub(^B⁾

{B,N^a,Nb}_pub(A)

←−−−−−−−−− ←−−−−−−−−−^{B,N^a^,N^b^}^pub(^A⁾

{Nb}_pub(P)

−−−−−−→ −−−−−−→^{N^b^}^pub(^B⁾ Correction : ajouter l’identité de B.

(51)

Man in the middle attack

{A,N^a}_pub(P)

−−−−−−−→ −−−−−−−→^{A,N^a^}^pub(^B⁾

{ B,

N^a,Nb}_pub(A)

←−−−−−−−−− ^{

B,

N^a,Nb}_pub(A)

←−−−−−−−−−

{Nb}_pub(P)

(52)

Man in the middle attack

{A,N^a}_pub(P)

−−−−−−−→ −−−−−−−→^{A,N^a^}^pub(^B⁾

{ B,

N^a,Nb}_pub(A)

←−−−−−−−−− ^{

B,

N^a,Nb}_pub(A)

←−−−−−−−−−

{Nb}_pub(P)

(53)

Man in the middle attack

{A,N^a}_pub(P)

−−−−−−−→ −−−−−−−→^{A,N^a^}^pub(^B⁾

{B,N^a,Nb}_pub(A)

←−−−−−−−−− ←−−−−−−−−−^{B,N^a^,N^b^}^pub(^A⁾

{Nb}_pub(P)

(54)

Comment ça marche ?

(55)

Mais où est Charlie ?

But : trouver Charlie dans une grande image

(56)

Mais où est Charlie ?

(57)

Comment jouer ?

Comment prouver qu’on a trouvé Charlie sans révéler où il est ?

Deux solutions possibles :

• photocopier et découper,

• mettre un grand cache avec un trou de la forme de Charlie.

(58)

Comment jouer ?

• mettre un grand cache avec un trou de la forme de Charlie.

(59)

Comment jouer ?

(60)

Applications

Authentification

• Paiement par CB (pour prouver qu’on connaît le code confidentiel sans le révéler).

• Prouver son identité / appartenance à un groupe.

• ...

(61)

La caverne d’Ali Baba

(62)

La caverne d’Ali Baba - suite

Ali Baba veut convaincre Bob qu’il connaît le secret.

Ali Baba se cache dans la grotte.

Bob demande à Ali Baba de sortir à gauche ou à droite (il choisit).

Ali Baba sort du côté demandé.

(63)

La caverne d’Ali Baba - suite

Toute personne peut être convaincue qu’Ali Baba connaît la formule magique.

• sans rien apprendre du secret,

• sans pouvoir faire croire à son tour qu’il connaît la formule magique.

Pb : sujet éventuellement aux attaques “man-in-the-middle”.

(64)

Isomorphisme de graphes

Définition : On dit que deux graphes G₁ et G₂ sont isomorphes s’ils sont identiques au renommage σ des noeuds près, i.e. σ(G₁) = G₂. Pour des graphes extrêmement grands, il peut falloir plusieurs siècles pour savoir si deux graphes sont isomorphes.

Comment Alice peut-elle prouver à Bob qu’elle connaît un isomorphisme σ (le secret !) entre G₁ et G₂ ?

Protocole

1. Alice permute au hasard les noeuds du graphe G₁ ou G₂ pour obtenir un autre graphe H, isomorphe à G₁. Alice connaît σ₁ tel que H = σ₁(G₁) et σ₂ tel que H = σ₂(G₂).

2. Alice envoie H à Bob.

3. Bob choisit i égal à 1 ou 2 au hasard.

4. Alice prouve que H est isomorphe à G_i en envoyant σ_i.

(65)

Isomorphisme de graphes

Définition : On dit que deux graphes G₁ et G₂ sont isomorphes s’ils sont identiques au renommage σ des noeuds près, i.e. σ(G₁) = G₂. Pour des graphes extrêmement grands, il peut falloir plusieurs siècles pour savoir si deux graphes sont isomorphes.

Comment Alice peut-elle prouver à Bob qu’elle connaît un isomorphisme σ (le secret !) entre G₁ et G₂ ?

Protocole

1. Alice permute au hasard les noeuds du graphe G₁ ou G₂ pour obtenir un autre graphe H, isomorphe à G₁. Alice connaît σ₁ tel que H = σ₁(G₁) et σ₂ tel que H = σ₂(G₂).

2. Alice envoie H à Bob.

(66)

Attaque de « l’homme au milieu »

Je connais le secret

−−−−−−−−−−−→

Charlie veut convaincre Bob qu’il connaît le secret.

→ Charlie demande à Ali Baba de le convaincre qu’il connaît le secret !

gauche/droite

−−−−−−−−→ gauche/droite

−−−−−−−−→

gagn´e

←−−− ←−−−^gagn´^e

(67)

Attaque de « l’homme au milieu »

Je connais le secret

−−−−−−−−−−−→

Charlie veut convaincre Bob qu’il connaît le secret.

→ Charlie demande à Ali Baba de le convaincre qu’il connaît le secret !

gauche/droite

−−−−−−−−→ gauche/droite

−−−−−−−−→

(68)

Comment ça marche ?

(69)

Airbus A380

(70)

Fusée Ariane 5

11 décembre 2002 : vol inaugural

Un crash dû ... à un bug logiciel !

(71)

Sonde Mars Climate Orbiter

(72)

Autres exemples

• Régulateur de vitesse

• Régulateur cardiaque

• ...

(73)

Comment fait-on ?

1. Tests

• à la main ou génération automatique

• vérification d’un nombre fini de comportements 2. Vérification (preuve formelle)

• à la main ou à l’aide d’ordinateur

• vérification de tous les comportements possibles

• plus difficile

(74)

Comment fait-on ?

1. Tests

• à la main ou génération automatique

• vérification d’un nombre fini de comportements 2. Vérification (preuve formelle)

• à la main ou à l’aide d’ordinateur

• vérification de tous les comportements possibles

• plus difficile

(75)

La vérification formelle

Code Modèle

Ã

(76)

Plan des cours à venir

1. La modélisation des messages (aujourd’hui)

termes, unification, systèmes d’inférence, localité 2. Vérification pour un nombre borné de sessions

• résolution de contraintes

• le secret est décidable (co-NP-complet)

3. Vérification pour un nombre non borné de sessions (2 cours)

• impossibilité dans le cas général

• introduction aux clauses de Horn : définitions, modèle de Herbrand, résolutions, stratégie de résolution.

• retour aux protocoles cryptographiques 4. Introduction à la cryptographie