Cryptage, hachage, salage – quelle est la différence?

Le chiffrement, le hachage et le salage sont toutes des techniques connexes, mais chacun de ces processus a des propriétés qui les prêtent à des fins différentes.

En bref, le cryptage implique le codage des données de sorte qu’elles ne soient accessibles qu’à ceux qui détiennent la clé. Cela le protège des parties non autorisées.

Le hachage cryptographique implique des calculs qui ne peuvent pas être inversés. Ces fonctions ont des propriétés spéciales qui les rendent utiles pour les signatures numériques et d’autres formes d’authentification.

Le salage consiste à ajouter des données aléatoires avant qu’elles ne soient soumises à une fonction de hachage cryptographique. Il est principalement utilisé pour protéger les mots de passe pendant le stockage, mais il peut également être utilisé avec d’autres types de données.

Qu’est-ce que le cryptage?

Pour le dire simplement, le chiffrement est le processus d’utilisation d’un code pour empêcher les autres parties d’accéder aux informations. Lorsque les données ont été cryptées, seuls ceux qui ont la clé peuvent y accéder. Tant qu’un système suffisamment compliqué est utilisé, et qu’il est utilisé correctement, les attaquants ne peuvent pas voir les données.

Les données sont chiffrées avec des algorithmes de chiffrement, également appelés chiffrements. L’une des distinctions les plus importantes entre le chiffrement et le hachage (que nous verrons plus tard) est que le chiffrement est conçu pour aller dans les deux sens. Cela signifie qu’une fois que quelque chose a été chiffré avec une clé, il peut également être déchiffré.

Cela rend le cryptage utile dans une série de situations, comme pour stocker ou transférer des informations en toute sécurité. Une fois les données correctement cryptées, elles sont considérées comme sécurisées et ne sont accessibles qu’à ceux qui détiennent la clé. Le type le plus connu est le chiffrement à clé symétrique, qui implique l’utilisation de la même clé dans les processus de chiffrement et de déchiffrement.

Le chiffrement à clé publique est un peu plus compliqué car une clé accessible au public est utilisée pour chiffrer les données, tandis que sa clé privée correspondante est utilisée pour les déchiffrer. Cette fonctionnalité permet aux personnes qui ne se sont jamais rencontrées de communiquer en toute sécurité. Le chiffrement à clé publique est également un élément important des signatures numériques, qui sont utilisées pour valider l’authenticité et l’intégrité des données et des messages.

Voir également: Explication des types de chiffrement courants

Algorithmes de chiffrement courants

• Chiffre César – Il s’agit d’un code simple qui implique que chaque lettre soit décalée d’un nombre fixe de places. Si un chiffre César a un décalage de trois, chaque “a” deviendra un “d”, chaque “b” deviendra un “e”, chaque “c” deviendra un “f” et ainsi de suite. Il porte le nom de Julius Caesar, qui fut la première personne enregistrée à utiliser le schéma.
• AES – La norme de chiffrement avancé est un algorithme complexe à clé symétrique qui sécurise une partie importante de nos communications modernes. Il implique un certain nombre d’étapes sophistiquées et est souvent utilisé pour chiffrer les données dans TLS, les applications de messagerie, au repos et dans de nombreuses autres situations. Nous approfondissons le cryptage AES ici.
• 3DES – Triple DES est basé sur l’algorithme DES. Lorsque la puissance informatique croissante a rendu le DES insécurisé, 3DES a été développé comme un algorithme renforcé. Dans 3DES, les données sont exécutées via l’algorithme DES trois fois au lieu d’une seule, ce qui rend plus difficile le crack. 3DES peut être utilisé pour plusieurs des mêmes choses que AES, mais seules certaines implémentations sont considérées comme sûres.
• RSA – Le chiffrement Rivest-Shamir-Adleman a été la première forme de cryptographie à clé publique largement utilisée. Il permet aux entités de communiquer en toute sécurité même si elles ne se sont pas rencontrées ou n’ont pas eu la possibilité d’échanger des clés. Il peut être utilisé dans un certain nombre de protocoles de sécurité différents, tels que PGP et TLS. Nous avons un guide détaillé sur le cryptage RSA ici.
• ECDSA – L’algorithme de signature numérique à courbe elliptique est une variante du DSA qui utilise la cryptographie à courbe elliptique. En tant qu’algorithme à clé publique, il peut être appliqué dans des situations similaires à RSA, bien qu’il soit moins couramment mis en œuvre en raison de certains problèmes de sécurité.

Le chiffrement en action

Pour vous donner une idée du fonctionnement du chiffrement dans la pratique, nous utiliserons le chiffre César comme exemple. Si nous voulions crypter un message de “Mangeons“Avec un décalage de trois, le”L“Deviendrait un”O“, les “e“Deviendrait un”h” etc. Cela nous donne un message crypté de:

Ohw’v hdw

Pour déchiffrer le message, le destinataire doit savoir que l’algorithme de chiffrement implique un décalage de trois, puis recule chaque lettre de trois emplacements. Si nous le voulions, nous pourrions faire varier le code en décalant chaque lettre d’un nombre différent. Nous pourrions même utiliser un algorithme beaucoup plus sophistiqué.

Un exemple est AES. Si nous utilisons une calculatrice en ligne AES 128 bits pour crypter “Mangeons“Avec une clé de”1234», Cela nous donne:

FeiUVFnIpb9d0cbXP / Ybrw ==

Ce texte chiffré ne peut être déchiffré qu’avec la clé “1234“. Si nous devions utiliser une clé plus complexe et la garder privée, nous pourrions alors considérer les données sécurisées contre les attaquants.

Qu’est-ce que le hachage?

Les fonctions de hachage cryptographique sont un type spécial de calcul unidirectionnel. Ils prennent une chaîne de données de n’importe quelle taille et donnent toujours une sortie d’une longueur prédéterminée. Cette sortie est appelée hacher, valeur de hachage ou résumé du message. Étant donné que ces fonctions n’utilisent pas de touches, le résultat pour une entrée donnée est toujours le même.

Peu importe si votre entrée est la totalité de Guerre et Paix ou simplement deux lettres, le résultat d’une fonction de hachage aura toujours la même longueur. Les fonctions de hachage ont plusieurs propriétés différentes qui les rendent utiles:

• Ce sont des fonctions à sens unique – Cela signifie qu’il n’existe aucun moyen pratique de déterminer quelle était l’entrée d’origine à partir d’une valeur de hachage donnée.
• Il est peu probable que deux entrées aient la même valeur de hachage – Bien qu’il soit possible que deux entrées différentes produisent la même valeur de hachage, les chances que cela se produise sont si faibles que nous ne nous en soucions pas vraiment. À des fins pratiques, les valeurs de hachage peuvent être considérées comme uniques.
• La même entrée fournit toujours le même résultat – Chaque fois que vous mettez les mêmes informations dans une fonction de hachage donnée, elle fournira toujours la même sortie.
• Même le moindre changement donne un résultat complètement différent – Si même un seul caractère est modifié, la valeur de hachage sera très différente.

À quoi servent les hachages?

Les fonctions de hachage peuvent avoir des propriétés intéressantes, mais que pouvons-nous réellement en faire? Être capable de cracher une sortie unique de taille fixe pour une entrée de n’importe quelle longueur peut sembler rien de plus qu’une astuce obscure, mais les fonctions de hachage ont en fait un certain nombre d’utilisations.

Ils sont un élément central de signatures numériques, qui sont un aspect important de la vérification de l’authenticité et de l’intégrité sur Internet. Codes d’authentification des messages de hachage (HMAC) utilisent également des fonctions de hachage pour obtenir des résultats similaires.

Les fonctions de hachage cryptographiques peuvent également être utilisées comme fonctions de hachage normales. Dans ces scénarios, ils peuvent agir comme des sommes de contrôle pour vérifier l’intégrité des données, comme des algorithmes d’empreinte digitale qui éliminent les données en double ou pour créer des tables de hachage pour indexer les données.

Fonctions de hachage cryptographique communes

• MD5 –Il s’agit d’une fonction de hachage qui a été publiée pour la première fois en 1991 par Ron Rivest. Il est désormais considéré comme non sécurisé et ne doit pas être utilisé à des fins cryptographiques. Malgré cela, il peut toujours être utilisé pour vérifier l’intégrité des données.
• SHA-1 – L’algorithme de hachage sécurisé 1 est utilisé depuis 1995, mais il n’est plus considéré comme sûr depuis 2005, date à laquelle un certain nombre d’attaques par collision réussies ont eu lieu. Il est maintenant recommandé d’implémenter SHA-2 ou SHA-3 à la place.
• SHA-2 – Il s’agit d’une famille de fonctions de hachage qui remplacent SHA-1. Ces fonctions contiennent de nombreuses améliorations qui les rendent sécurisées dans une grande variété d’applications. Malgré cela, SHA-256 et SHA-512 sont vulnérables aux attaques par extension de longueur, il existe donc certaines situations où il est préférable d’implémenter SHA-3.
• SHA-3 – SHA-3 est le plus récent membre de la famille Secure Hash Algorithm, mais il est construit très différemment de ses prédécesseurs. À ce stade, il n’a pas encore remplacé SHA-2, mais offre simplement aux cryptographes une autre option qui peut améliorer la sécurité dans certaines situations.
• RIPEMD – RIPEMD est une autre famille de fonctions qui a été développée par la communauté universitaire. Il est basé sur de nombreuses idées de MD4 (le prédécesseur de MD5) et n’est limité par aucun brevet. Le RIPEMD-160 est toujours considéré comme relativement sûr, mais il n’a pas été largement adopté..
• Tourbillon – Whirlpool est une fonction de hachage de la famille des chiffrements à blocs carrés. Il est basé sur une modification d’AES et n’est soumis à aucun brevet. Il est considéré comme sûr, mais un peu plus lent que certaines de ses alternatives, ce qui a conduit à une adoption limitée.

Fonctions de hachage en action

Maintenant que vous comprenez ce que sont les fonctions de hachage, il est temps de les mettre en pratique. Si nous mettons le même texte de “Mangeons“Dans une calculatrice en ligne SHA-256, il nous donne:

5c79ab8b36c4c0f8566cee2c8e47135f2536d4f715a22c99fa099a04edbbb6f2

Si nous changeons même un caractère par une seule position, cela change radicalement le hachage. Une faute de frappe comme “Met’s eat»Donne un résultat complètement différent:

4be9316a71efc7c152f4856261efb3836d09f611726783bd1fef085bc81b1342

Contrairement au cryptage, nous ne pouvons pas mettre cette valeur de hachage via la fonction à l’envers pour obtenir à nouveau notre entrée. Bien que ces fonctions de hachage ne puissent pas être utilisées de la même manière que le cryptage, leurs propriétés en font un élément précieux des signatures numériques et de nombreuses autres applications..

Fonctions de hachage et mots de passe

Les fonctions de hachage ont une autre utilisation courante dont nous n’avons pas encore discuté. Ils sont également un élément clé de garder nos mots de passe en sécurité pendant le stockage.

Vous avez probablement des dizaines de comptes en ligne avec des mots de passe. Pour chacun de ces comptes, votre mot de passe doit être stocké quelque part. Comment vérifier votre connexion si le site Web ne possédait pas sa propre copie de votre mot de passe?

Des entreprises comme Facebook ou Google stockent des milliards de mots de passe d’utilisateurs. Si ces sociétés conservaient les mots de passe sous forme de texte en clair, tout attaquant qui pourrait pénétrer dans la base de données de mots de passe serait en mesure d’accéder à tous les comptes qu’ils trouvent.

Ce serait une grave catastrophe pour la sécurité, à la fois pour l’entreprise et ses utilisateurs. Si chaque mot de passe était exposé à des attaquants, tous leurs comptes et données d’utilisateur seraient en danger.

La meilleure façon d’empêcher que cela ne se produise est pour ne pas stocker les mots de passe eux-mêmes, mais les valeurs de hachage pour les mots de passe à la place. Comme nous l’avons vu dans la section précédente, les fonctions de hachage cryptographiques fonctionnent dans une direction, produisant une sortie de taille fixe qui n’est pas possible d’inverser.

Si une organisation stocke le hachage d’un mot de passe au lieu du mot de passe lui-même, elle peut vérifier que les deux hachages correspondent lorsqu’un utilisateur se connecte. Les utilisateurs entrent leurs mots de passe, qui sont ensuite hachés. Ce hachage est ensuite comparé au hachage de mot de passe stocké dans la base de données. Si les deux hachages correspondent, le mot de passe correct a été entré et l’utilisateur a accès.

Cette configuration signifie que le mot de passe ne doit jamais être stocké. Si un attaquant pénètre dans la base de données, il ne trouvera que les hachages de mot de passe plutôt que les mots de passe..

Bien que le hachage des mots de passe pour le stockage n’empêche pas les attaquants d’utiliser les hachages pour comprendre les mots de passe, cela rend leur travail beaucoup plus difficile et chronophage. Cela soulève notre dernier sujet, le salage.

Qu’est-ce que le salage?

Le salage est essentiellement l’ajout de données aléatoires avant qu’elles ne soient soumises à une fonction de hachage, et ils sont le plus souvent utilisés avec des mots de passe.

La meilleure façon d’expliquer l’utilisation de sels est de discuter des raisons pour lesquelles nous en avons besoin en premier lieu. Vous pensiez peut-être que le stockage des hachages des mots de passe aurait résolu tous nos problèmes, mais malheureusement, les choses sont un peu plus complexes que cela.

Mots de passe faibles

Beaucoup de gens ont de très mauvais mots de passe, peut-être que vous aussi. Le problème est que les humains ont tendance à penser selon des modèles prévisibles et à choisir des mots de passe faciles à retenir. Ces mots de passe sont vulnérables aux attaques de dictionnaire, qui parcourent des milliers ou des millions de combinaisons de mots de passe les plus courantes chaque seconde, dans le but de trouver le mot de passe correct pour un compte.

Si les hachages de mot de passe sont stockés à la place, les choses sont un peu différentes. Lorsqu’un attaquant rencontre une base de données de hachages de mots de passe, il peut utiliser soit tables de hachage ou tables arc-en-ciel pour rechercher des hachages correspondants qu’ils peuvent utiliser pour trouver les mots de passe.

Une table de hachage est une liste de hachages pré-calculée pour les mots de passe courants qui est stockée dans une base de données. Ils nécessitent plus de travail à l’avance, mais une fois la table terminée, il est beaucoup plus rapide de rechercher les hachages dans la table que de calculer le hachage pour chaque mot de passe possible. Un autre avantage est que ces tables peuvent être utilisées à plusieurs reprises.

Les tables arc-en-ciel sont similaires aux tables de hachage, sauf qu’elles occupent moins d’espace au prix d’une plus grande puissance de calcul.

Ces deux méthodes d’attaque deviennent beaucoup plus pratiques si des mots de passe faibles sont utilisés. Si un utilisateur a un mot de passe commun, il est probable que le hachage du mot de passe se trouve dans la table de hachage ou la table arc-en-ciel. Si tel est le cas, ce n’est qu’une question de temps avant qu’un attaquant ait accès au mot de passe d’un utilisateur.

Les utilisateurs peuvent aider à déjouer ces attaques en choisissant des mots de passe plus longs et plus complexes qui sont beaucoup moins susceptibles d’être stockés dans les tableaux. En pratique, cela ne se produit pas autant qu’il le devrait, car les utilisateurs ont tendance à choisir des mots de passe faciles à retenir. En règle générale, les choses faciles à retenir sont souvent faciles à trouver pour les attaquants.

Les sels offrent un autre moyen de contourner ce problème. En ajoutant une chaîne de données aléatoire à un mot de passe avant qu’il ne soit haché, cela le rend essentiellement plus complexe, ce qui entrave les chances de réussite de ces attaques.

Comment fonctionne le salage dans la pratique

Par exemple, supposons que vous ayez un compte de messagerie et que votre mot de passe soit “1234“. Lorsque nous utilisons une calculatrice en ligne SHA-256, nous obtenons ce qui suit comme valeur de hachage:

03ac674216f3e15c761ee1a5e255f067953623c8b388b4459e13f978d7c846f4

Ce hachage est ce qui serait stocké dans la base de données de votre compte. Lorsque vous saisissez votre mot de passe “1234», Il est haché puis la valeur est comparée à la valeur stockée. Étant donné que les deux valeurs sont identiques, vous aurez accès.

Si un attaquant fait irruption dans la base de données, il aura accès à cette valeur, ainsi qu’à tous les autres hachages de mot de passe qui s’y trouvaient. L’attaquant prendrait alors cette valeur de hachage et la rechercherait dans sa table de hachage pré-calculée ou sa table arc-en-ciel. Puisque “1234“Est l’un des mots de passe les plus courants, ils trouveraient le hachage correspondant très rapidement.

La table de hachage leur dirait que:

03ac674216f3e15c761ee1a5e255f067953623c8b388b4459e13f978d7c846f4

Correspond à:

1234

L’attaquant saura alors que votre mot de passe est “1234“. Ils peuvent ensuite utiliser ce mot de passe pour se connecter à votre compte.

Comme vous pouvez le voir, cela n’a pas été un gros travail pour l’attaquant. Pour rendre les choses plus difficiles, nous ajoutons un sel de données aléatoires au mot de passe avant qu’il ne soit haché. Le salage aide à réduire considérablement les chances que les tables de hachage et les tables arc-en-ciel retournent un résultat positif.

Prenons un sel de 16 caractères de données aléatoires:

H82BV63KG9SBD93B

Nous l’ajoutons à notre simple mot de passe “1234” ainsi:

1234H82BV63KG9SBD93B

Ce n’est que maintenant que nous l’avons salé que nous le faisons passer par la même fonction de hachage que nous avons fait auparavant, ce qui renvoie:

91147f7666dc80ab5902bde8b426aecdb1cbebf8603a58d79182b750c10f1303

Bien sûr, cette valeur de hachage n’est ni plus longue ni plus complexe que la précédente, mais ce n’est pas le but. Bien qu’ils soient tous deux de la même longueur, “1234H82BV63KG9SBD93B“Est un mot de passe beaucoup moins courant, il est donc beaucoup moins probable que son hachage soit stocké dans la table de hachage.

Moins un mot de passe doit être stocké dans une table de hachage, moins il est probable qu’une attaque réussisse. Voici comment l’ajout de sels contribue à sécuriser les hachages de mot de passe.

Piratage de bases de données entières

Lorsqu’un attaquant a accès à toute une base de données de hachage de mot de passe, il n’a pas à tester chaque hachage par rapport à chaque entrée. Au lieu de cela, ils peuvent rechercher dans toute la base de données des correspondances qui coïncident avec leur table de hachage. Si la base de données est suffisamment grande, un attaquant peut compromettre un grand nombre de comptes, même s’ils n’ont qu’un taux de réussite de 5%.

Si les mots de passe reçoivent des sels uniques avant d’être hachés, cela rend le processus beaucoup plus complexe. Si les sels sont suffisamment longs, les chances de succès deviennent beaucoup plus faibles, ce qui nécessiterait les tables de hachage et les tables arc-en-ciel doivent être d’une taille prohibitive afin de pouvoir trouver des hachages correspondants.

Un autre avantage des sels vient lorsque plusieurs utilisateurs dans la même base de données ont le même mot de passe, ou si un seul utilisateur a le même mot de passe pour plusieurs comptes. Si les hachages de mot de passe ne sont pas salés au préalable, les attaquants peuvent comparer les hachages et déterminer que tous les comptes ayant la même valeur de hachage partagent également le même mot de passe..

Cela permet aux pirates de cibler plus facilement les valeurs de hachage les plus courantes qui leur donneront les plus grandes récompenses. Si les mots de passe sont préalablement salés, les valeurs de hachage seront différentes même lorsque les mêmes mots de passe sont utilisés.

Faiblesses potentielles en sel

Le salage perd son efficacité s’il est mal fait. Les deux problèmes les plus courants se produisent lorsque les sels sont trop courts, ou s’ils ne sont pas uniques pour chaque mot de passe. Les sels plus courts sont toujours vulnérables aux attaques de la table arc-en-ciel, car ils ne rendent pas le hachage résultant suffisamment rare.

Si les sels sont réutilisés pour chaque mot de passe haché et que le sel est découvert, il est beaucoup plus simple de comprendre chaque mot de passe dans la base de données. L’utilisation du même sel signifie également que toute personne possédant le même mot de passe aura le même hachage.

Algorithmes de salage courants

Il n’est pas recommandé d’utiliser des fonctions de hachage normales pour stocker les mots de passe. Au lieu de cela, un certain nombre de fonctions ont été conçues avec des fonctionnalités spécifiques qui contribuent à renforcer la sécurité. Ceux-ci incluent Argon2, scrypt, bcrypt et PBKDF2.

Argon2

Argon2 a remporté le concours de hachage de mot de passe 2015. C’est encore relativement nouveau en ce qui concerne les algorithmes, mais il est rapidement devenu l’une des fonctions les plus fiables pour hacher les mots de passe.

Malgré sa jeunesse, il a jusqu’à présent tenu bon dans un certain nombre de documents de recherche qui l’ont sondé pour trouver des faiblesses. Argon2 est plus flexible que les autres algorithmes de hachage de mot de passe et peut être implémenté de différentes manières.

déchiffrer

Prononcé “ess crypt“, Il s’agit du deuxième plus jeune algorithme de hachage de mot de passe couramment utilisé. Conçu en 2009, scrypt utilise une quantité de mémoire importante mais réglable dans ses calculs. Sa nature ajustable signifie qu’il peut toujours être résistant aux attaques même si la puissance de calcul augmente avec le temps.

bcrypt

bcrypt a été développé en 1999 et est basé sur le chiffre Blowfish. Il était l’un des algorithmes les plus couramment utilisés dans le hachage de mot de passe depuis de nombreuses années, mais il est maintenant plus vulnérable aux matrices de portes programmables sur le terrain (FPGA). C’est pourquoi Argon2 est souvent préféré dans les implémentations plus récentes.

PKFD2

Cette fonction de dérivation de clé a été développée pour remplacer PBKDF1, qui avait une longueur de clé plus courte et moins sûre. Les directives du NIST de 2023 recommandent toujours PKFD2 pour le hachage des mots de passe, mais Argon2 résout certains de ses problèmes de sécurité et peut être une meilleure option dans de nombreuses situations.

Chiffrement, hachage et salage: un récapitulatif

Maintenant que nous avons passé en revue les détails du chiffrement, du hachage et du salage, il est temps de revenir rapidement sur les principales différences afin qu’elles s’enfoncent. Bien que chacun de ces processus soit lié, ils remplissent chacun une fonction différente.

Le cryptage est le processus de codage des informations pour les protéger. Lorsque les données sont cryptées, elles ne peuvent être décryptées et accessibles que par ceux qui ont la bonne clé. Les algorithmes de chiffrement sont réversibles, ce qui nous permet de garder nos données à l’abri des attaquants, mais de pouvoir y accéder quand nous en avons besoin. Il est largement utilisé pour assurer notre sécurité en ligne, jouant un rôle crucial dans bon nombre de nos protocoles de sécurité qui protègent nos données lorsqu’elles sont stockées et en transit..

En revanche, le hachage est un processus à sens unique. Lorsque nous hachons quelque chose, nous ne voulons pas pouvoir le remettre dans sa forme originale. Les fonctions de hachage cryptographique ont un certain nombre de propriétés uniques qui nous permettre de prouver l’authenticité et l’intégrité des données, comme par le biais de signatures numériques et de codes d’authentification de message.

Des types spécifiques de fonctions de hachage cryptographique sont également utilisés pour stocker nos mots de passe. Le stockage du hachage d’un mot de passe au lieu du mot de passe lui-même offre une couche de sécurité supplémentaire. Cela signifie que si un attaquant parvient à accéder à une base de données, il ne peut pas accéder immédiatement aux mots de passe.

Bien que le hachage de mot de passe rend la vie plus difficile aux pirates, il peut toujours être contourné. C’est là qu’intervient le salage. Le salage ajoute des données supplémentaires aux mots de passe avant leur hachage, ce qui rend les attaques plus longues et gourmandes en ressources. Si les sels et les mots de passe sont utilisés correctement, ils font des tables de hachage et des tables arc-en-ciel des moyens d’attaque peu pratiques.

Ensemble, le chiffrement, le hachage et le salage sont tous des aspects importants pour assurer notre sécurité en ligne. Si ces processus n’étaient pas en place, les attaquants auraient un accès gratuit à tous avec vos comptes et données, vous laissant sans sécurité sur Internet.

Technologie-1 par tec_estromberg sous CC0