AES-256-GCM et 600 000 itérations PBKDF2, expliqués

Les listes de fonctions des coffres-forts photo sont pleines de chiffres : AES-256, GCM, 600 000 itérations, PBKDF2. On les affiche comme s’ils réglaient la question, et la plupart des lecteurs les sautent, à juste titre. Ils méritent pourtant dix minutes d’attention. Savoir ce que fait chacun permet de distinguer une affirmation précise d’une formule qui sonne bien. Cette page explique chaque terme avec des mots simples. Puis, dans la section 8, elle expose ce contre quoi le chiffrement ne protège pas. C’est cette seconde partie qui oriente vraiment les décisions.

1. La version courte

2. Ce qu’est AES-256

AES signifie Advanced Encryption Standard. C’est une méthode de chiffrement publiée en 2001 par le National Institute of Standards and Technology américain, au terme d’un concours public de plusieurs années. Elle n’est pas secrète et n’appartient à personne. Sa conception est publique. Des experts d’universités et de l’industrie l’étudient depuis plus de vingt ans et n’ont trouvé aucun moyen pratique de casser la méthode complète.

Le 256 est la taille de la clé en bits. Essayer toutes les clés possibles de cette taille revient à parcourir 2 puissance 256 possibilités. Il ne suffit pas d’attendre des ordinateurs plus rapides. C’est très loin de tout ce que des ordinateurs ordinaires pourraient jamais atteindre. C’est pour cela qu’en pratique, la méthode elle-même n’est presque jamais le maillon qui cède.

C’est justement pour cela que « nous utilisons AES-256 » vous en dit moins qu’il n’y paraît. C’est presque le minimum. Les questions intéressantes sont ce qui est chiffré, comment la méthode est utilisée et comment la clé est fabriquée.

3. Ce qu’apporte GCM

Le chiffrement seul garde les données secrètes : sans la clé, on ne peut pas les lire. Seul, il ne promet pas que les données sont intactes. Il ne peut pas vous dire que ce que vous ouvrez est bien ce qui a été enregistré.

Ce manque est bien réel. Avec une méthode qui ne vérifie rien, quelqu’un qui peut modifier le fichier stocké peut altérer les données brouillées. À l’ouverture, on obtiendrait des données différentes et fausses, sans aucune erreur. Vous récupérez des données. Ce ne sont simplement pas celles qui ont été enregistrées, et rien ne vous le signale.

GCM ajoute le contrôle. En plus des données brouillées, il produit une valeur de contrôle, et cette valeur est vérifiée à chaque ouverture. Extrait de notre propre document de sécurité :

C’est l’élément le plus utile à chercher dans une liste de fonctions, car c’est là que la précision se voit. « AES-256 » nomme une méthode. « AES-256-GCM » nomme une méthode et une façon de l’utiliser, et c’est là que le contrôle d’intégrité existe ou n’existe pas.

4. Les nonces, et l’erreur classique

Chaque chiffrement dans un système GCM utilise un nonce, c’est-à-dire un nombre utilisé une seule fois. Il n’a pas besoin d’être secret. Il doit être unique pour une clé donnée.

Réutilisez un nonce avec la même clé, et la protection de GCM s’effondre gravement. Ce n’est pas un cas rare. C’est la façon la plus courante dont de vrais systèmes utilisant GCM ont été cassés, et cela vient de raccourcis dans leur construction, pas d’une faiblesse d’AES.

Il existe deux façons solides de garantir qu’il ne se répète jamais. La première est un nouveau nombre aléatoire à chaque chiffrement. C’est ce que fait Obscura Photo Vault pour les fichiers simples : un nouveau nombre aléatoire de 96 bits à chaque fois, avec une valeur de contrôle de 128 bits. La seconde est un compteur dont on peut prouver qu’il ne se répète jamais. C’est ce qu’utilise notre format pour les grandes vidéos. Il combine un nombre aléatoire choisi pour chaque fichier avec le numéro du morceau, si bien que deux morceaux d’un même fichier ne partagent jamais un nonce.

Aucune des deux approches n’est plus correcte que l’autre. Ce qui compte, c’est que l’app en ait choisi une délibérément. C’est le genre de chose qu’un document de conception publié montre et qu’une liste de fonctions ne peut pas montrer.

5. Votre mot de passe est le maillon faible

Une clé de 256 bits contient 256 bits d’aléa. Votre mot de passe, non. Même une bonne phrase de passe en contient peut-être 60 à 80, et un mot de passe ordinaire bien moins. Si le mot de passe servait directement de clé, la taille énorme de la clé ne compterait pas. Un attaquant devinerait des mots de passe, pas des clés.

C’est le procédé qui transforme un mot de passe en clé qui comble cet écart. PBKDF2 prend le mot de passe et un sel, puis les fait passer dans une fonction de brouillage encore et encore, un nombre de fois fixé, pour produire une clé. La répétition sert à créer un coût. Vous fabriquez la clé une fois par déverrouillage, et vous remarquez à peine la seconde que cela prend. Un attaquant qui teste des millions d’essais paie ce coût à chacun d’eux.

C’est le chiffre à chercher, et celui qu’on omet le plus souvent. Une app peut dire en toute vérité qu’elle utilise AES-256 tout en transformant votre mot de passe en clé en une seule étape. Elle resterait alors exposée exactement à l’attaque par essais hors ligne que ce procédé est censé empêcher.

6. Pourquoi 600 000

Ce chiffre n’est pas pris au hasard, et il n’est pas le nôtre. L’OWASP Password Storage Cheat Sheet est la référence publique la plus utilisée sur ce sujet. Elle recommande PBKDF2 avec HMAC-SHA-256 à 600 000 itérations ou plus. C’est le chiffre qu’Obscura Photo Vault utilise pour les mots de passe des coffres.

Deux réserves honnêtes l’accompagnent.

C’est une cible mouvante. Le nombre d’itérations recommandé augmente à mesure que le matériel devient plus rapide. Le chiffre actuel vient de tests sur les puces graphiques d’aujourd’hui. Un chiffre suffisant il y a quelques années ne l’est plus, et celui d’aujourd’hui ne le sera pas éternellement. Considérez un nombre d’itérations publié comme une affirmation datée.

Il multiplie votre mot de passe. Il ne le remplace pas. Les itérations rendent chaque essai beaucoup plus coûteux. Elles ne changent pas le nombre d’essais nécessaires. Un mot de passe choisi parmi un petit ensemble de possibilités reste faible après 600 000 itérations, car un attaquant n’a qu’à parcourir ce petit ensemble. Le temps gagné reste proportionnel à la difficulté qu’avait déjà votre mot de passe à être deviné.

Le conseil pratique pour tout coffre chiffré est donc banal, mais juste : utilisez une longue phrase de passe faite de mots sans rapport entre eux, et notez-la dans un endroit sûr. Dans une app où la clé est vraiment fabriquée à partir de votre mot de passe, cette copie écrite est la seule qui existe. C’est le sujet de notre guide sur ce qui se passe si vous oubliez le mot de passe de votre coffre.

7. Les sels

Un sel est une donnée aléatoire mélangée au mot de passe avant qu’il devienne une clé. Il est stocké à côté des données chiffrées. Il n’est pas secret, et n’a pas besoin de l’être.

Son rôle est d’empêcher les attaquants de se préparer à l’avance. Sans sel, un attaquant pourrait calculer une fois les clés d’une liste de mots de passe courants, puis réutiliser cette liste contre tous les utilisateurs d’une app. Avec un sel aléatoire unique par coffre, ce travail doit être refait de zéro pour chaque cible. Mutualiser l’effort entre utilisateurs devient impossible.

Obscura Photo Vault utilise un sel aléatoire de 32 octets par coffre, stocké dans l’en-tête du fichier du coffre lui-même.

8. Ce contre quoi rien de tout cela ne protège

Tout ce qui précède concerne les données au repos : des fichiers stockés, pas en cours d’utilisation. C’est une protection réelle et utile. Elle est aussi étroite. La section 11 de notre document de sécurité énumère ce qui échappe à cette protection. En termes simples :

• Un téléphone compromis pendant que le coffre est ouvert. Pour vous montrer une photo, l’app doit la déchiffrer. La clé et la photo lisible sont donc en mémoire. Tout ce qui s’exécute dans l’app à ce moment peut atteindre les deux. Aucun chiffrement au niveau de l’app ne répare un téléphone compromis.
• Toute personne qui connaît votre mot de passe. Le chiffrement ne distingue pas le propriétaire de quelqu’un qui l’a regardé taper, ou à qui on l’a dit.
• Les captures d’écran, l’enregistrement de l’écran et les regards par-dessus l’épaule. Ce qui est à l’écran a déjà été déchiffré. Cela sort du champ du chiffrement.
• Les copies faites ailleurs. L’original encore dans votre pellicule, la version envoyée dans un message, la sauvegarde en ligne faite avant que vous ne la déplaciez. Chiffrer une copie ne change rien aux autres.
• Le fait que l’app existe. Le chiffrement cache le contenu. Il ne cache pas qu’il y a quelque chose à cacher.

Pourquoi insister là-dessus sur une page consacrée surtout à la qualité des briques de base ? Parce que lors d’un vrai échec, la méthode de chiffrement n’est presque jamais en cause. C’est en général l’un des cinq points ci-dessus.

9. À propos de « qualité militaire »

L’expression n’a aucun sens technique. Elle désigne en général AES, une norme publique que tout le monde peut utiliser et qui n’est pas réservée à l’armée. Tous les grands systèmes d’exploitation, navigateurs et messageries l’utilisent.

Le problème n’est pas que l’expression soit fausse. C’est qu’elle ne promet rien. Elle ne nomme ni méthode, ni façon de l’utiliser, ni taille de clé, ni procédé pour transformer un mot de passe en clé. Une app qui chiffre chaque fichier peut donc l’employer en toute vérité, et une app qui ne chiffre que ses réglages aussi.

Ce n’est pas une critique de l’expression elle-même. Une fiche peut l’employer et vous apprendre quand même quelque chose. Ce qui rend une affirmation utile à qui veut la vérifier, c’est ce qui vient ensuite : la méthode, le mode, le procédé de dérivation de la clé, le nombre d’itérations et ce qui est couvert. Une fiche qui s’arrête à l’expression n’a rien promis. Une fiche qui nomme ensuite ces éléments peut être vérifiée, quelle que soit sa première phrase.

10. Questions fréquentes

Que signifie AES-256-GCM ?

AES est une méthode de chiffrement publiée. AES-256 en est la version avec une clé de 256 bits. GCM est une façon de l’utiliser qui vérifie aussi que les données n’ont pas été modifiées. C’est ce contrôle qui compte le plus au quotidien. Un fichier altéré refuse de s’ouvrir, au lieu de s’ouvrir discrètement avec des données fausses.

Quelle est la différence entre AES-256 et AES-256-GCM ?

Le second nom précise comment la méthode est utilisée, pas seulement la méthode. GCM ajoute un contrôle d’intégrité : les données modifiées sont détectées à l’ouverture, au lieu de revenir fausses sans avertissement.

Pourquoi les apps de coffre-fort photo utilisent-elles 600 000 itérations de PBKDF2 ?

Un mot de passe est court et se devine. Une clé de chiffrement, non. Le mot de passe doit donc être transformé en clé par un procédé volontairement lent. Chaque itération ajoute du travail à chaque essai d’un attaquant. 600 000 itérations, c’est le chiffre que recommande l’OWASP Password Storage Cheat Sheet pour cette méthode, PBKDF2 avec HMAC-SHA-256.

Le chiffrement AES-256 est-il sûr ?

AES-256 est une norme publique. Les experts l’étudient depuis plus de vingt ans et n’ont trouvé aucun moyen pratique de casser la méthode complète. Dans les vraies apps, la méthode est rarement le point faible. Une erreur dans la façon de l’utiliser, un mot de passe facile à deviner ou quelqu’un qui accède au téléphone pendant qu’il est déverrouillé sont des problèmes bien plus probables.

AES-256 est-il meilleur qu’AES-128 ?

La clé plus longue donne plus de marge. Les deux sont considérés comme sûrs face à l’essai de toutes les clés avec les méthodes et le matériel actuels. En pratique, le choix entre les deux a très peu de chances de décider si une app tient bon.

Que veut dire « chiffrement de qualité militaire » ?

L’expression n’a aucun sens technique. Elle désigne en général AES, une norme publique que tout le monde peut utiliser et qui n’est pas réservée à l’armée. Comme elle ne nomme ni méthode, ni mode, ni taille de clé, une app qui chiffre tout peut l’employer, et une app qui ne chiffre presque rien aussi.

Les ordinateurs quantiques peuvent-ils casser AES-256 ?

Le raccourci quantique connu, l’algorithme de Grover, divise à peu près par deux la force d’une clé comme celle-ci. Pour une clé de 256 bits, il reste une très grande marge. C’est une des raisons pour lesquelles les clés de 256 bits sont vues comme un choix raisonnable sur le long terme. Le type de chiffrement utilisé pour échanger des clés sur Internet est bien plus menacé par l’informatique quantique qu’AES.

600 000 itérations, est-ce lent à déverrouiller ?

Cela prend environ une seconde sur un iPhone récent, une fois par déverrouillage. Ce déséquilibre est tout l’intérêt : à peine perceptible une fois, écrasant des millions de fois.

Avec plus d’itérations, peut-on se contenter d’un mot de passe plus faible ?

Non, et c’est le malentendu le plus courant. Plus d’itérations rendent chaque essai plus coûteux. Elles ne réduisent pas le nombre d’essais nécessaires pour un mot de passe faible. Un mot de passe court reste faible.