Sécurité, chiffrement et cryptographie

[11] Les puces cryptographiques

next
Février 2023
Sur le papier, c'est bien joli toute cette cryptographie et ces coffres-forts qui contiennent des secrets.
Mais est-ce que ça existe pour de vrai ? 🤨
Bien sûr que ça existe. 😀
Comment crois-tu que ta carte de paiement fonctionne et soit fiable ?
Oui, mais j'ai déjà entendu d'histoires de piratage !
Des gars qui cassent les puces... 😕
Très classiquement, les systèmes subissent de nouvelles attaques
Et les concepteurs ajoutent des défenses...
C'est sans fin alors ? 😨
La sécurité à 100% n'existera jamais prof
😈 Mais on peut rendre la vie très dure aux hackers
Il faudra de plus en plus d'investissements financiers pour casser un système 💰💰
Ce qui élimine l'intérêt de toutes les petites fraudes "classiques".

Les coffres-forts numériques sont des puces silicium, pouvant aussi exécuter des algorithmes de déchiffrement (mais pas que), et que l'on a protégé ─autant que faire se peut─ des regards extérieurs.

Ces coffres-forts sont conçus de manière à se défendre contre les attaques.
Certes, mais qui définit les attaques ? 🤔
Et puis comment on sait si les contre-mesures sont efficaces ? 🤨
Je pourrai te dire que c'est la mise sur le marché qui est le juge de paix.
Mais si une faille de sécurité déjà connue est passée au travers, c'est trop tard. 🤕
Comment ça se passe alors ?
On paye des gens indépendants, qui travaillent dans des laboratoires d'évaluation, pour être les meilleurs attaquants possibles, en avance sur les vrais hackers.
💰🤑 Ça doit couter cher !
Dans une certaine mesure, mais en tout cas moins cher que la mise sur le marché d'un produit qui va se faire dézinguer.
Et ces gens-là testent les produits des industriels ?
Effectivement, et le coût des tests est rarement négligeable.
Mais tous les produits n'ont pas besoin d'avoir une sécurité maximale ! 😓
Des niveaux sont définis, qui sont fonction du niveau estimé du hacker qui attaquera.
Il existe toute une hiérarchie entre un débutant qui essaye dans sa cuisine et un laboratoire payé par un Etat...

On retrouvera des détails dans le laboratoire où j'ai travaillé au CEA : cybersecurity labs / CEA LETI.

Il existe toute une mécanique pour obtenir un produit dit "certifié" en France. C'est l'ANSSI (l'Agence Nationale de Sécurité) qui certifie d'après les résultats de tests obtenus dans des laboratoires agréés (évaluateurs).

Ceci dit, ces tests ne sont pas une garantie contre toutes les attaques possibles, de nouvelles attaques émergent ─les hackers sont toujours très imaginatifs─. On réalise une cotation de cette nouvelle attaque (Est-elle dangereuse ? A quel point ?) puis l'ajoute au catalogue des tests au niveau adéquat.

Mais bon, c'est le bon vouloir d'une entreprise que de faire certifier un produit, à moins qu'un client ne l'exige. Certaines entreprises se débrouillent seules... et alors, c'est la porte ouverte aux attaques basiques qu'elles auront loupées.


Voici à présent quelques exemples de coffres-forts. Je ne détaillerai pas le fonctionnement car c'est pénible et compliqué, et d'un intérêt relatif pour l'utilisateur. La confiance s'obtient péniblement à l'usage, et on peut la perdre d'un seul coup sur une petite erreur...

Carte bancaire

carte bancaire et distributeur

Probablement le coffre-fort le plus connu, puisqu'il faut le manipuler avec ses petits doigts pour s'en servir, et ne pas oublier le code PIN à 4 chiffres.


structure d'une carte à puce
Une puce silicium est collée et connectée sous les contacts.

Et bien justement, pour vérifier le code PIN, il a bien fallu mettre les 4 chiffres dans la mémoire de la puce, mémoire de préférence illisible, même avec un gros microscope.

contenu carte à puce
Une structure très simple : un processeur et de la mémoire.

Et on se doute que la carte doit contenir toutes les informations permettant d'accepter une transaction, en particulier les clés de chiffrement qui signent numériquement. Il y a intérêt que tout ça reste secret, sinon un malfrat pourrait imiter la carte...
Le code PIN est l'élément qui va autoriser les calculs, d'où son importance capitale et cruciale. NE DONNEZ JAMAIS VOTRE CODE A QUI QUE CE SOIT.

C'est même pire que ça : on donne les moyens à la carte de se défendre, en particulier d'être méfiante vis-à-vis du terminal. Lorsque vous mettez votre carte dans le lecteur, une discussion s'engage, du genre :

Etc.

Et pourquoi on attend après l'acceptation du code PIN ?

Eh bien on veut vérifier si la carte n'est pas sur une liste noire (volée par exemple) et donc il faut se connecter pour accéder à cette liste, mise à jour en temps réel. Et ce n'est pas toujours très rapide si vous êtes loin de tout.

Sur Internet, comment elle se défend, la carte ?
Elle ne peut pas, évidemment 😩
D'où le cinéma des procédures de vérifications
il faut passer par la banque qui aura défini avec vous un canal de communication plus ou moins secret.
Ah oui, je connais, 😏 un email ou un SMS avec un code à recopier
Si ce mécanisme n'est pas en place au moment de la transaction, méfie 😱

Un paranoïaque comme moi se méfiera car un hacker pourrait imiter la banque, aussi il regardera le message contenant le code à retourner sous toutes ses coutures, de préférence par email car il peut regarder l'en-tête du message pour voir s'il a une tronche qui lui revient. Un SMS, c'est nettement plus délicat...

Et le sans contact ?
Coté sécurité, c'est un gros cran en-dessous.

On se doute bien que les mécanismes mis en place avec le terminal sont salement allégés, et coté chiffrement des communications, on repassera. Mais bon, qu'est-ce que la banque ne ferait pas pour prendre sa part des transactions financières. Dégrader la sécurité, no problemo, de toutes façons c'est le client qui payera la fraude, via la commission (payée par le commerçant, sinon le client pourrait se rebeller).

carte biométrique
Une carte bancaire sans contact avec capteur d'empreinte digitale.
Je peux vous dire que ce n'est pas facile à concevoir, car la carte dispose de très peu d'énergie.

Au moins, avec l'empreinte digitale, la carte peut se défendre un minimum. Si le sujet vous intéresse, j'ai fait un historique complet des cartes à puces à empreintes digitales (biométriques), histoire de faire le cake et montrer que je connais le sujet.
Ces cartes biométriques ne datent pas d'aujourd'hui, du siècle dernier, comme moi.


De la mémoire inviolable + des moyens de calcul, et tout ça sans lâcher d'information au monde extérieur. C'est le lot commun à tous ces coffres-forts numériques. On se doute qu'un bug de programmation ne pardonne pas...

Carte SIM

Mais si, vous la connaissez la carte SIM, celle qu'on met dans le téléphone sinon il ne marche pas !

carte sim à l'envers
Tu mets ta carte à l'envers, les contacts sont dessous, abruti.

Une carte SIM, c'est du même tonneau que la carte bancaire. Elle a même repris le design des contacts électriques, et viré le plastique qui ne servait à rien. Mais vous l'aviez déjà remarqué.

Cette fois, la carte contient la panoplie cryptographique et tous les identifiants pour autoriser la communication avec les stations de base.

Accessoirement, le même mécanisme de code PIN de la carte bancaire a été mis en place pour que vous soyez le seul à pouvoir vous en servir. Enfin, si vous avez engagé les mécanismes de protection minimaux, comme entrer un code à chaque usage du smartphone. Mais comme vous êtes une feignasse ou que ça vous niffle, vous n'avez rien mis...

TPM
Trusted Platform Module

Là, il va y avoir moins de monde à connaitre ça, mais il est quasi-certain que vous posséder un TPM pour Trusted Platform Module sans le savoir, tel le Monsieur Jourdain moyen.

Trusted Platform Module

Vous avez remarqué que la sécurité des PCs laisse un peu à désirer, vu la palanquée d'offres d'antivirus qui existent sur le marché.

Et bien Microsoft exige à présent qu'une puce TPM soit présente sur les ordinateurs utilisant Windows. Ça existe depuis 2006, mais bon ce n'était pas obligatoire.

Cette puce sécurisée contient la panoplie de clés de chiffrement afin de garantir un minimum de sécurité pour diverses applications, évidemment chiffrer des messages, mais aussi garantir la sécurité du matériel, car cette puce sait très bien se défendre et est difficilement accessible.

TEE
Trusted Execution Environment

Le TPM pour les PCs. Et pour les smartphones ?
C'est le TEE pour Trusted Execution Environment.
Mais là, c'est juste un secteur particulier du processeur dédié à la sécurité.
C'est pareil pour tous les smartphones ?
Bien sûr que non.
Android a imposé sa structure, le TEE.
Chez Apple, c'est la Secure Enclave.
secure enclave
Les paranoïaques seront circonspects.
Mais avec le temps, force est de constater que cela a l'air d'être le cas.

Bon, je ne vous ennuie pas plus avec ça, c'est déjà assez compliqué. Vous trouverez bien vous-même d'autres exemples, du genre clés de garage ou alarme de maison.


back
[10] Nombres aléatoires
Retour au sommaire
next