Mais qu’est-ce que le chiffrement et comment fonctionne-t-il ?

Pourquoi le chiffrement des données est-il indispensable ?

Confidentialité : seuls le propriétaire et le destinataire des données peuvent les lire, ce qui empêche les attaquants, les fournisseurs de services Internet et même les gouvernements d’intercepter des données sensibles.

Sécurité : le chiffrement aide à prévenir les violations de données ; si une clé usb d’entreprise est perdue ou volée mais que son contenu est chiffré, les données seront toujours en sécurité.

Intégrité des données : interception d’informations en cours de transmission, les données chiffrées ne peuvent pas être consultées ou modifiées en cours de route.

Réglementations : de nombreuses réglementations industrielles et gouvernementales exigent que les entreprises chiffrent les données des utilisateurs, comme HIPAA, PCI-DSS et le RGPD. Les agences gouvernementales américaines et les sous-traitants doivent utiliser les normes FIPS (Federal Information Processing Standards).

Algorithmes de chiffrement

Un algorithme de chiffrement est la manière dont les données sont converties en texte chiffré. La clé de chiffrement est utilisée par l’algorithme pour modifier constamment les données de sorte que, même si elles semblent aléatoires, la clé de déchiffrement peut facilement les reconvertir en texte clair. Les algorithmes de chiffrement les plus courants sont notamment AES, 3-DES, SNOW (tous symétriques) et la cryptographie à courbe elliptique et RSA (tous deux asymétriques).

Comme tous les chiffrements asymétriques, RSA utilise la factorisation des nombres premiers (multiplication de deux très grands nombres premiers). Il est très difficile de le déchiffrer, car il faut déterminer les nombres premiers d’origine, ce qui est difficile d’un point de vue mathématique. Le craquage par force brute d’une clé RSA est pratiquement impossible.

Force brute

Lorsqu’un ordinateur fait des millions, voire des milliards de tentatives pour déchiffrer un mot de passe ou une clé de déchiffrement, on parle d’attaque par force brute. Les ordinateurs modernes peuvent passer en revue toutes les permutations possibles à une vitesse incroyable. Le chiffrement moderne doit pouvoir résister à ce type d’attaque. Le domaine de la cryptographie est une course aux armements constante entre ceux qui développent des moyens plus rapides de casser le chiffrement et ceux qui développent des méthodes de chiffrement plus sophistiquées.

En quoi le chiffrement peut-il être utile à l’entreprise ?

Les stratégies de cybersécurité doivent intégrer le chiffrement des données, d’autant plus que de plus en plus d’entreprises adoptent le cloud computing. Le chiffrement peut soutenir les activités de l’entreprise de nombreuses façons.

Chiffrement des e-mails : les e-mails étant essentiels pour les communications à l’échelle de l’organisation et les opérations commerciales, les mauvais acteurs les prennent pour cibles, qu’il s’agisse d’attaques directes ou de tentatives d’extorquer des informations par la ruse. Les secteurs tels que les services financiers ou les soins de santé sont très réglementés, mais l’application de ces règles peut être difficile. En particulier dans le cas des e-mails car, bien souvent, les utilisateurs finaux rechignent à appliquer les changements des procédures opérationnelles standard. Il est possible d’ajouter un logiciel de chiffrement aux systèmes d’exploitation et aux clients de messagerie courants, de sorte que l’envoi d’un e-mail chiffré soit aussi facile que l’envoi d’un e-mail non chiffré.

Big data : protection continue des données pour la conformité au respect de la vie privée, analyse sécurisée du cloud et technique de chiffrement et de tokenisation pour les transferts dans le cloud, le chiffrement peut rationaliser les opérations multi-cloud en centralisant la protection centrée sur les données. Chaque fois que des données sensibles traversent des environnements multi-cloud, elles seront chiffrées par ces technologies.

Sécurité des paiements : les commerçants, les sociétés de traitement des paiements et les entreprises ont de grandes difficultés à sécuriser les données sensibles de grande valeur, par exemple les données des titulaires de cartes de paiement, afin de se conformer à la norme PCI DSS (Payment Card Industry Data Security Standard) et aux lois sur la protection de la vie privée. Cependant, les logiciels de chiffrement peuvent protéger les transactions des points de vente, du web et du commerce électronique mobile.

Outre les services et protections susmentionnés, le chiffrement assure la confidentialité (codage du contenu d’un message), l’authentification (vérification de l’origine d’un message), la non-répudiation (prévention d’un démenti crédible de l’envoi d’un message chiffré) et l’intégrité (preuve que le contenu d’un message n’a pas été altéré).

Le chiffrement présente-t-il des inconvénients ?

Le chiffrement est conçu pour empêcher les entités non autorisées d’exploiter des données mal acquises. Toutefois, dans certaines situations, il peut également constituer un obstacle pour le propriétaire des données. La gestion des clés est délicate pour les entreprises parce qu’elles doivent résider dans un emplacement donné, et que les attaquants ne lésinent pas sur les efforts pour les trouver. La gestion des clés ajoute une complexité supplémentaire à la sauvegarde et à la restauration, car en cas de sinistre, la récupération des clés et leur ajout aux serveurs de sauvegarde prennent beaucoup de temps. Les administrateurs doivent disposer d’un plan de protection du système de gestion des clés, par exemple une sauvegarde séparée facile à récupérer en cas de sinistre de grande ampleur.

Il existe des logiciels permettant de rationaliser la gestion des clés, tels que le « key wrapping » (enveloppement des clés). Celui-ci permet de chiffrer les clés de chiffrement d’une organisation, individuellement ou en lot. Elles peuvent être extraites de leur enveloppe en cas de besoin, généralement à l’aide d’un chiffrement symétrique.

Bien que les attaques par force brute puissent être inefficaces contre les clés à bits élevés, il existe des vulnérabilités. De nombreuses tentatives se concentrent sur l’obtention d’un accès non autorisé aux clés via des méthodes d’ingénierie sociale. En d’autres termes, il s’agit d’attaquer non pas le système, mais les personnes qui l’entretiennent et interagissent avec lui. Phishing (hameçonnage), logiciels malveillants, attaques de type BadUSB : il existe de nombreuses méthodes permettant aux pirates de contourner les mesures de sécurité mises en place pour protéger les réseaux contre les attaques extérieures en exploitant la faillibilité des êtres humains.

Le chiffrement logiciel est également considéré comme moins sûr que le chiffrement matériel. Certains appellent le chiffrement logiciel ‘« chiffrement amovible », car il peut potentiellement être contourné par des acteurs malveillants effectuant des attaques physiques. Le chiffrement matériel est généralement considéré comme plus sûr, car il comprend des défenses physiques pour empêcher la falsification.

#KingstonIsWithYou #KingstonIronKey