Authentification des clés

Lisez d’abord les Concepts clés du cryptage si les clés de chiffrement ne vous sont pas familières.

Lorsque vous communiquez en ligne à l'aide du chiffrement de bout en bout , chaque personne à laquelle vous envoyez un message possède sa propre clé publique unique. Vous utilisez cette clé pour chiffrer les messages qui lui sont adressés, afin qu'elle seule puisse les décoder.

Imaginons qu’une personne prétendant être votre amie Esra’a vous envoie une demande de chat sur une application de messagerie cryptée comme WhatsApp ou Signal. Même si vous pensez que votre messagerie utilise la clé publique d’Esra’a, vous cryptez peut-être vos messages à l’aide d’une clé provenant d’une autre personne, ce qui signifie que cette fausse Esra’a sera en mesure de décoder tous vos futurs messages.

Pour vous assurer que vous utilisez la bonne clé de chiffrement (et que les autres savent qu’ils utilisent la bonne clé de chiffrement pour vous), il est important d’utiliser des clés vérifiées. Aujourd’hui, il existe différentes méthodes d’authentification des clés sur différents services et qui sont adaptées à différents plans de sécurité.

Comment fonctionne Key Transparency dans les coulisses pour vérifier les clés anchor link

Dans la plupart des applications de messagerie chiffrée, la vérification des clés s’effectue manuellement à partir d’un écran qui affiche un code que les deux parties affichent et comparent, ou un code QR à scanner (nous y reviendrons plus loin). Lorsqu’une personne change de téléphone, elle change souvent de clé et peut avoir une clé pour chaque appareil qu’elle utilise. Cela rend la vérification de l’identité d’une personne fastidieuse, en particulier dans une discussion de groupe.

La transparence des clés, comme celle utilisée par WhatsApp et sur iMessage (en tant que fonctionnalité d’adhésion), vise à résoudre ce problème. Avec la transparence des clés, la clé publique est conservée sur un serveur, que l’application peut vérifier. Lorsqu’un changement de clé est enregistré, il est ajouté à l’enregistrement, et cet enregistrement peut être audité publiquement pour garantir que le fournisseur de chat fait ce qu’il dit qu’il fait. Cela automatise partiellement  l’authentification des clés, qui peut comparer cette clé à l’audit publié sans que vous ayez à le faire en personne. Alors qu’Apple Messages utilise automatiquement la transparence des clés pour vérifier les clés chaque fois que la clé d’un contact change, WhatsApp ne la fournit qu’en tant qu’alternative à la vérification manuelle dans l’écran de vérification des clés.

Toutes les applications de communication de bout en bout n’utilisent pas la transparence des clés et ne suppriment pas la possibilité de vérifier manuellement les clés lorsque cela est nécessaire. Par exemple, la transparence des clés ajoute une couche de sécurité aux discussions de groupe, où il y a tellement de personnes dans la discussion qu’il n’est pas possible de vérifier les clés à chaque fois qu’une d’entre elles change. Elle ne remplace pas la nécessité de vérifier les clés dans les situations à risque plus élevé, comme lorsqu’un lanceur d’alerte contacte un journaliste.

Quand et comment vérifier manuellement les clés anchor link

Les différents systèmes de messagerie sécurisée ont différentes façons de vérifier manuellement les clés, mais tous vous encouragent à vérifier ces clés en dehors du système de messagerie lui-même. C'est ce qu'on appelle l’« authentification hors bande ». Dans notre exemple, vous devez donc trouver un autre moyen de vérifier que l'Esra'a en ligne est la même que l'Esra'a réelle. Vous pouvez le faire en appelant Esra'a au téléphone ou en la rencontrant en personne pour vérifier que la clé de chiffrement publique ou le numéro de sécurité que vous voyez lui appartient réellement.

Pourquoi utiliser l'authentification hors bande ?

• Sans savoir avec certitude de qui provient une clé, vous ne pouvez pas compter sur un système de messagerie sécurisé car il n’est pas encore complètement sécurisé.
• Il est souvent plus difficile de falsifier les communications d'une personne sur plusieurs services. Par exemple, si vous demandez à vérifier les empreintes digitales de Signal à l'aide d'un chat vidéo FaceTime, la fausse personne devra être en mesure d'utiliser à la fois un faux compte Signal et un faux compte FaceTime, et de se faire passer pour votre ami dans la vidéo.
• Lorsque vous demandez des informations secrètes au sein même du canal (« authentification en bande »), il existe un risque qu’un imposteur puisse parler secrètement aux deux parties, ce que l’on appelle une attaque de type « homme du milieu » ou « machine du milieu ». Dans ce cas, demander des informations secrètes comme une question de sécurité ou une empreinte digitale de clé ne suffira pas (nous y reviendrons plus loin). Par exemple, si vous demandez quelque chose comme « Que portais-je la dernière fois que nous sommes sortis ensemble ? », un imposteur pourrait poser cette question à la personne et vous envoyer immédiatement de vraies réponses. Et si vous demandez une empreinte digitale de clé, l’attaquant enverra simplement sa propre empreinte digitale, et vous ne le saurez jamais.

Vous devez vérifier les clés lorsque vous utilisez un nouvel outil de messagerie pour communiquer ou lorsque les clés d’une personne changent. Les clés d’une personne peuvent changer lorsqu’elle achète un nouveau téléphone ou si elle ajoute un nouvel appareil (comme une tablette ou un ordinateur).

Authentification par clés hors bande anchor link

Les clés de chiffrement sont des nombres très longs, ce qui les rend difficiles à lire à voix haute et à vérifier manuellement. Pour faciliter l’authentification des clés, les logiciels de communication peuvent vous montrer une « empreinte digitale » ou un « numéro de sécurité » basé sur la clé, qui est plus court et plus facile à vérifier. Les empreintes digitales peuvent être un nombre plus petit, un ensemble de mots courants, voire un graphique ou une image. Souvent, elles sont intégrées dans un code QR pour faciliter encore plus leur vérification.

Pour vérifier les clés, votre contact peut lire ou vous montrer l’empreinte digitale de sa clé, pendant que vous la comparez à l’empreinte digitale de la clé que vous avez pour lui sur votre appareil. Une fois que vous avez vérifié la clé de votre contact, il peut vérifier votre clé en vous demandant de lire ou de lui montrer l’empreinte digitale de votre clé pendant qu’il la compare à la copie sur son appareil. Une fois que vous savez tous les deux que vous avez les bonnes clés, vous pouvez communiquer de manière plus sécurisée. Il est plus facile et plus efficace de le faire en personne, mais vous pouvez également le faire via d’autres outils, comme le chat vidéo ou une autre application de messagerie (bien que cette dernière comporte des risques supplémentaires).

Authentification des clés en personne anchor link

L'authentification des clés en personne est la méthode la plus idéale, car il est plus facile de confirmer qu’une personne est bien celle qu’elle prétend être lorsque vous êtes face à face avec elle.

En personne, vous disposez de votre empreinte digitale de clé publique et votre ami confirme qu’elle correspond à ce qui se trouve sur son appareil. Le moyen le plus simple de le faire est que l’application mette à disposition un code QR, auquel cas votre ami peut simplement scanner votre code QR et vous êtes prêt. Pour d’autres applications, votre ami devra vérifier que chaque caractère de votre empreinte digitale de clé publique correspond à ce qu’il a pour votre empreinte digitale de clé publique. C’est un peu fastidieux, mais cela vaut vraiment la peine de le faire. La méthode en personne peut être utilisée lorsque des personnes échangent des cartes de visite avec leurs empreintes digitales de clé publique ou lorsque des collègues se voient lors d’une réunion.

Chaque application de messagerie chiffrée de bout en bout est différente et certaines proposent des méthodes alternatives pour vérifier les empreintes digitales des clés. Actuellement, il n'existe pas de terme universel pour désigner cette pratique et la manière dont elle est mise en œuvre.

Imaginons qu’An Ming rencontre son ami Ghassan lors d’un événement. Ils décident qu’il est préférable de communiquer entre eux à l’aide d’une application de chiffrement de bout en bout sur leurs smartphones. Ils installent donc Signal. Pendant qu’An Ming et Ghassan sont ensemble, ils profitent des capacités de l’authentification des clés de ces applications en scannant le code QR de l’autre pour vérifier leurs numéros de sécurité.
 

Authentification des clés sur un autre support anchor link

Si vous ne pouvez pas vérifier les clés en personne, vous pouvez contacter votre ami en utilisant un autre moyen de communication, un moyen autre que celui que vous utilisez pour vérifier les clés.

Par exemple, si vous essayez de vérifier les numéros de sécurité de Signal auprès de quelqu’un, vous pouvez utiliser le téléphone ou le chat vidéo, voire une autre application de communication chiffrée de bout en bout, comme WhatsApp, pour le faire. Il serait difficile pour un adversaire d’intercepter vos messages provenant de tous ces différents supports simultanément, mais pas impossible pour un adversaire suffisamment déterminé. L’utilisation du chat vidéo rend l’usurpation d’identité plus difficile que l’utilisation d’une autre application textuelle ; vous devrez prendre une décision qui arbitre la sécurité au profit de la commodité en fonction de votre modèle de menace personnel. Une autre application chiffrée sur laquelle vous avez déjà vérifié les clés est la meilleure solution, mais ce n’est pas toujours possible.

La localisation de votre clé peut varier selon l’application, mais les méthodes de vérification de la clé restent à peu près les mêmes. Vous pouvez soit lire l’empreinte digitale de votre clé à voix haute (si vous êtes face à face en vidéo ou par téléphone), soit le copier-coller dans un programme de communication. Quel que soit votre choix, il est important de vérifier chaque lettre et chaque chiffre.

Enfin, bon nombre de ces applications de chiffrement de bout en bout indiquent si les clés changent. Il est important d’être attentif aux changements de clés de vos amis : assurez-vous de confirmer avec eux qu’il s’agit d’un changement attendu et revérifiez leurs nouvelles clés. Vous pouvez le faire en personne ou par un autre moyen.

Vous souhaitez essayer la vérification de clés avec un ami ? Voici comment vérifier les clés sur Signal, WhatsApp ou Messages d’Apple.

Pour plus d'informations sur les clés publiques et le fonctionnement de la vérification des clés, consultez nos guides d'autodéfense de surveillance sur les Concepts clés du cryptage et une analyse approfondie du chiffrement de bout en bout.