Mode d'opération (cryptographie)

Un certain nombre de modes d'opération ont été conçus pour combiner secret et authentification dans une seule primitive cryptographique. Des exemples de tels modes sont le chaînage étendu de blocs de chiffrement (XCBC), le chaînage de blocs de chiffrement conscient de l'intégrité (IACBC), le mode parallélisable sensible à l'intégrité (IAPM), OCB, EAX, CWC, CCM et GCM . Les modes de chiffrement authentifiés sont classés en modes monopasse ou en modes double passe. Certains algorithmes de chiffrement authentifiés en un seul passage, tels que le mode OCB, sont grevés de brevets, tandis que d'autres ont été spécifiquement conçus et libérés de manière à éviter une telle charge.

En outre, certains modes permettent également l'authentification de données associées non chiffrées, et ceux-ci sont appelés schémas AEAD (authenticated encryption with associated data). Par exemple, le mode EAX est un schéma AEAD à double passage tandis que le mode OCB est un mode monopasse.

Le mode Galois/compteur ( GCM ) combine le mode de chiffrement de compteur bien connu avec le nouveau mode d'authentification Galois. La caractéristique clé est la facilité de calcul parallèle de la multiplication de champ de Galois utilisée pour l'authentification. Cette fonctionnalité permet un débit plus élevé que les algorithmes de chiffrement.

GCM est défini pour les chiffrements par blocs avec une taille de bloc de 128 bits. Le code d'authentification de message Galois (GMAC) est une variante d'authentification uniquement du GCM qui peut former un code d'authentification de message incrémentiel. GCM et GMAC peuvent tous deux accepter des vecteurs d'initialisation de longueur arbitraire. GCM peut tirer pleinement parti du traitement parallèle et la mise en œuvre de GCM peut utiliser efficacement un pipeline d'instructions ou un pipeline matériel. Le mode d'exploitation de Radio-Canada entraîne des blocages de pipelines qui nuisent à son efficacité et à son rendement.

Comme dans CTR, les blocs sont numérotés séquentiellement, puis ce numéro de bloc est combiné avec un IV et chiffré avec un chiffrement de bloc E, généralement AES. Le résultat de ce chiffrement est ensuite XORé avec le texte en clair pour produire le texte chiffré. Comme tous les modes de compteur, il s'agit essentiellement d'un chiffrement de flux, et il est donc essentiel qu'un IV différent soit utilisé pour chaque flux chiffré.

Les blocs de texte chiffré sont considérés comme des coefficients d'un polynôme qui est ensuite évalué à un point dépendant de la clé H, en utilisant l'arithmétique des corps finis. Le résultat est ensuite chiffré, produisant une balise d'authentification qui peut être utilisée pour vérifier l'intégrité des données. Le texte chiffré contient ensuite l'IV, le texte chiffré et la balise d'authentification.

Compteur avec code d'authentification de message de chaînage de blocs de chiffrement (compteur avec CBC-MAC ; CCM) est un algorithme de chiffrement authentifié conçu pour assurer à la fois l'authentification et la confidentialité. Le mode CCM n'est défini que pour les chiffrements par blocs d'une longueur de bloc de 128 bits[12] - [13].

Le vecteur d'initialisation synthétique (SIV) est un mode de chiffrement par blocs résistant à l'utilisation abusive de nonce . Le SIV synthétise un vecteur d'initialisation (IV) interne en utilisant la fonction pseudo-aléatoire S2V. S2V est une fonction implémentant une clé de hachage basée sur CMAC.

L'entrée de la fonction S2V est:

• des données authentifiées supplémentaires (zéro, un ou plusieurs champs AAD sont pris en charge)
• le texte en clair
• la clé d'authentification (K₁).

SIV chiffre le texte en clair à l'aide de : AES-CTR, du résultat renvoyé par la fonction S2V, la clé de chiffrement (K₂).

SIV peut également prendre en charge le chiffrement authentifié externe basé sur un nonce , auquel cas il utilise l'un des champs de données authentifiés supplémentaires.

RFC5297 [14] spécifie qu'à des fins d'interopérabilité, c'est le dernier champ de données authentifiées supplémentaires qui doit être utilisé comme nonce externe. En raison de l'utilisation de deux clés (la clé d'authentification K₁ et la clé de chiffrement K₂), les schémas de dénomination pour les variantes SIV AEAD peuvent entraîner une certaine confusion ; par exemple, AEAD_AES_SIV_CMAC_256 fait référence à AES-SIV avec deux clés AES-128 et non AES-256.

AES-GCM-SIV est un mode de fonctionnement de la norme Advanced Encryption Standard qui offre des performances similaires au mode Galois/compteur (GCM) ainsi qu'une résistance à une mauvaise utilisation en cas de réutilisation d'un nonce cryptographique. La construction est définie dans la RFC 8452[15].

AES-GCM-SIV synthétise l'IV interne. Il dérive un hachage des données authentifiées supplémentaires et du texte en clair à l'aide de la fonction de hachage POLYVAL Galois. Le hachage est ensuite chiffré par une clé AES et utilisé comme balise d'authentification et vecteur d'initialisation AES-CTR.

AES-GCM-SIV est une amélioration par rapport à l'algorithme très similaire GCM-SIV, avec quelques très petits changements (par exemple, la façon dont AES-CTR est initialisé), mais qui apporte des avantages pratiques à sa sécurité « Cet ajout permet de chiffrer jusqu'à 2⁵⁰ messages avec la même clé, par rapport à la limitation significative de seulement 2³² messages qui étaient autorisés avec GCM-SIV. »[16]

Il s'agit du mode le plus simple. Le message à chiffrer est divisé en plusieurs blocs qui sont chiffrés indépendament les uns après les autres avec la même clé secrète [17]. Le gros défaut de cette méthode est que deux blocs avec le même contenu seront chiffrés de la même manière, on peut donc tirer des informations à partir du texte chiffré en cherchant les séquences identiques. On obtient dès lors un « dictionnaire de codes » avec les correspondances entre le clair et le chiffré d'où le terme codebook.

Ce mode est pour ces raisons fortement déconseillé dans toute application cryptographique. Le seul avantage qu'il peut procurer est un accès rapide à une zone quelconque du texte chiffré et la possibilité de déchiffrer une partie seulement des données. Mais un mode bien plus sûr basé sur un compteur permet également ces accès aléatoires et les déchiffrements partiels.

Schéma avec les étapes d'un mode de type ECB. Le texte en clair est découpé en bloc et chaque bloc est chiffré, indépendamment des autres, avec la clé de chiffrement.

On chiffre les deux messages suivants avec un mode ECB et un algorithme de chiffrement par bloc qui travaille avec un bloc de deux caractères à la fois. Ce type de fichier pourrait correspondre à une liste de salaires.

JOHN__105000
JACK__500000

Le chiffrement sur le premier message donne ceci :

JO|HN|__|10|50|00
Q9|2D|FP|VX|C9|IO

Et sur le deuxième message, on obtient :

JA|CK|__|50|00|00
LD|AS|FP|C9|IO|IO

On constate que des paires de caractères apparaissent dans les deux messages chiffrés, il en va de même dans les messages en clair :

Q9|2D|FP|VX|C9|IO
LD|AS|FP|C9|IO|IO

En partant du principe que John connait son salaire, il pourrait deviner le salaire de Jack car la séquence "C9" correspond à "50" et "IO" à "00". John en déduit que le salaire de Jack, chiffré en « C9IOIO » correspond à « 500000 ».

La vulnérabilité est encore plus flagrante sur une image. En effet, les images sont constituées de nombreuses redondances qui font que des blocs sont chiffrés de la même manière en mode ECB. Dans l'exemple ci-dessous, le chiffrement en ECB est réalisé sur des blocs de 4 pixels. On distingue très nettement les formes du Cervin ainsi que les séparations entre les blocs. Avec un mode plus sûr comme CBC ou CTR, l'image a un contenu aléatoire dont on ne peut tirer aucune information a priori. Cela ne veut toutefois pas dire que le chiffrement est sûr, des failles importantes peuvent également apparaître dans des schémas qui produisent des sorties aléatoires mais elles ne sont pas nécessairement liées au mode d'opération.

• 
  Image originale
• 
  Chiffrement en mode ECB
• 
  Chiffrement avec un mode sûr (autre que ECB)

ECB a d'autres effets négatifs sur l'intégrité et la protection des données. Ce mode est sensible à des « attaques par répétition » : elles consistent à réinjecter dans le système des données identiques à celles interceptées auparavant. Le but est de modifier le comportement du système ou répéter des actions. Par exemple, le jeu vidéo Phantasy Star Online: Blue Burst utilisait le chiffrement Blowfish en mode ECB. Blowfish est un algorithme robuste mais le mode ECB a été la porte ouverte pour diverses tricheries avec par exemple des joueurs qui envoyaient des paquets chiffrés « ennemi vaincu » à plusieurs reprises. Comme le chiffrement était identique pour tous les paquets de ce type, le serveur déclenchait en conséquence l'attribution de points illégitimes.

Un autre mode aurait pu contrer cela en produisant un chiffrement différent pour chaque paquet. Une modification du flot de données avec un meilleur mode entraîne alors un déchiffrement erroné des données suivantes, une détection de corruption des données ou de fraude est ainsi possible.

Ce mode consiste à chiffrer le i-ème bloc préalablement combiné par un OU exclusif (XOR) avec le chiffré du bloc précédent et d'un vecteur d'initialisation. Il s'agit d'un bloc de données aléatoires qui permet de commencer le chiffrement du premier bloc et qui fournit ainsi une forme de hasard indépendant du document à chiffrer. Il n'a pas besoin d'être lui-même chiffré lors de la transmission, mais il ne doit jamais être réemployé avec la même clé [17].

Mode CBC

Un des points négatifs de CBC étant qu'il ne peut pas être parallélisé étant donné que le bloc courant nécessite que le précédent soit chiffré. Il est donc séquentiel.

Selon l'implémentation qui est faite, le mode CBC peut être vulnérable à la méthode "Padding Oracle" qui permet de retrouver les blocs en clair. Le mode CBC étant un mode de chiffrement par bloc, il est nécessaire d'ajouter du "padding" à la fin de chaque bloc non rempli. Avec une compréhension du fonctionnement du "padding" (PKCS7) et en utilisant les mathématiques modernes, il est possible de retrouver l'ensemble du message en clair.

Dans le mode CTR (de l'anglais Counter), c'est un vecteur d'initialisation concaténé avec un compteur (généralement écrit en binaire) qui est chiffré et qui produit un bloc pseudo-aléatoire qui servira à masquer les blocs de message clair par un ou exclusif (XOR) bit-bit comme dans le chiffremnt de Vernam par masque jetable. La suite de bits utilisée pour masquer le message est appelée suite chiffrante. Ce mode est représentée sur la figure ci-dessous (notez bien que le Vecteur d'initialisation - appelé Clé sur le schéma - et le Compteur sont à concaténer). Comme dans le mode CBC, le vecteur d'initialisation est ajouté au chiffré et ne doit jamais être réemployé avec la même clé.[18]

Mode CTR

Ce mode combine de nombreux avantages car il est pré-calculable. De plus, il permet un accès aléatoire aux données, est parallélisable et n'utilise que la fonction de chiffrement. Le compteur utilisé peut être une suite pseudo-aléatoire qu'il sera facile de retrouver à partir du vecteur d'initialisation.

Le mode de chiffrement CFB est un chiffrement par bloc et une combinaison des modes CBC et CTR qui consiste à masquer le i-ème bloc du texte clair par le chiffrement du bloc précédent du texte chiffré.[18]

Mode CFB

Dans ce mode, le flux de clé est obtenu en chiffrant le précédent bloc chiffré. Son grand intérêt est qu'il ne nécessite que la fonction de chiffrement, ce qui le rend moins cher à câbler ou programmer pour les algorithmes ayant une fonction de chiffrement différente de la fonction de déchiffrement (exemple: AES).

Dans ce mode, le flux de clé est obtenu en chiffrant le précédent flux de clé.

Mode OFB

C'est un mode de chiffrement par bloc qui possède les mêmes avantages que CFB. De plus, il est possible de le pré-calculer en chiffrant successivement le vecteur d'initialisation. Il n'est donc sûr que si la fonction de chiffrement alliée à la clé forment une bonne suite pseudo-aléatoire.

Ce mode est très fragile vis-à-vis d'une attaque au clair. En effet, à l'unique condition de connaître le vecteur d'initialisation d'un message chiffré et de connaitre le clair d'un autre message chiffré, l'attaquant peut reconstituer aisément la chaîne ayant chiffré le premier message et donc déchiffrer ce dernier. Cette fragilité se retrouve dans le mode CFB, à ceci près que seul le premier bloc du message peut être reconstitué de cette manière, l'attaquant a besoin de déchiffrer le message bloc à bloc, en fournissant à chaque fois l'ensemble des blocs précédents, de manière à récupérer la chaîne ayant chiffré le bloc suivant (attaque au clair choisi).

Dans ce mode, applicable à un chiffrement par blocs (ECB, CBC, etc.), les deux derniers blocs sont partiellement combinés de façon à obtenir un message de même taille. Ici, exemple de CTS opérant sur un chiffrement en mode CBC

Mode CTS, chiffrement

Les deux derniers blocs sont échangés et combinés en partie, ce qui nécessitera de les obtenir tous les deux pour en déchiffrer un. CTS n'est pas un mode de chiffrement par flot, mais permet d'éviter l'utilisation de bourrage dans les chiffrements par blocs, et donne une taille de message chiffré égale à la taille du message clair. Il est très utilisé dans les protocoles ou formats ne supportant pas une taille quelconque.
Sa contrepartie, opérant sur un déchiffrement en mode CBC:

Mode CTS, déchiffrement

Le chiffrement OUX est un chiffrement bit à bit qui utilise les propriétés mathématiques de la fonction OU exclusif notamment cette égalité ${\displaystyle (a\oplus b)\oplus b=a}$ ; ${\displaystyle a}$ sera le texte à chiffrer et ${\displaystyle b}$ sera la clé de chiffrement.

Voici un exemple illustré avec la lettre F chiffrée avec la clé V :

F correspond au code ASCII 70 représenté par 01110000 en binaire.

V correspond au code ASCII 86 représenté par 10000110 en binaire.

LRW est utilisé par les logiciels FreeOTFE, Bestcrypt et dm-crypt.

Dans ce mode, la clé est séparée en deux clés de taille égale, de telle sorte que : clé = clé 1 | clé 2.

La lettre i représente le numéro de secteur :

XTS est utilisé par CoreStorage, FreeOTFE, Bestcrypt, dm-crypt et Truecrypt.