« Un secret n’existe que s’il est connu de quelqu’un », Louis Scutenaire.
La crise du Covid 19 a accéléré la transformation numérique des entreprises, mais elle a également entraîné une augmentation sans précédent de la cybercriminalité. La médiatisation des incidents de sécurité informatique entache durablement l’image des entreprises auprès du public et de leurs partenaires et les violations de données personnelles peuvent sensiblement impacter la vie privée des personnes concernées. Il est donc plus que jamais essentiel de veiller au respect de la règlementation applicable en matière de protection des données personnelles et à la sécurisation technique et organisationnelle des systèmes d’information. L’une des préoccupations publiques les plus importantes en matière de protection des données est celle de la confidentialité des informations qu’elles fournissent aux entreprises ou qu’elles génèrent en utilisant leurs services. C’est la raison pour laquelle les solutions de messagerie les plus répandues (Whatsapp, Télégram, Signal, Facebook Messenger etc.) se sont concurrencées par voie de médias interposés sur la question du « chiffrement de bout en bout » des messages de leurs utilisateurs au cours des derniers mois. La préservation de la confidentialité des messages est pourtant une problématique à laquelle l’Homme s’est confronté dès -450 AV. JC, en ayant recours à des procédés dits de cryptologie.
La cryptologie est la science des messages secrets. Elle connaît de nombreuses métamorphoses au cours des siècles et au gré des nouvelles technologies et usages qui sont développés. Pour bien appréhender les applications modernes de la cryptologie, il faut tout d’abord en détailler les notions essentielles.
La cryptographie est l’ensemble de techniques et méthodes utilisées pour transformer un message clair en message inintelligible.
La cryptographie fonctionne grâce à un système de chiffre. Il s’agit d’un système de cryptage où l’on remplace chaque lettre du message d’origine par une autre (ou par un symbole) en suivant un algorithme bien défini. Il en existe deux types :
– Monoalphabétique (chaque caractère du message d’origine est toujours remplacé par un même autre caractère).
– Polyalphabétique (un même caractère du message d’origine peut être remplacé par plusieurs caractères différents).
– Polygrammique (les caractères ne sont pas remplacés un par un mais par blocs de plusieurs caractères).
Enfin, la cryptanalyse quant à elle, est constituée de l’ensemble des techniques et de méthodes utilisées pour retrouver un texte clair à partir d’un texte crypté. Elle se compose du déchiffrement, opération par laquelle à partir d’un message crypté on retrouve le message d’origine grâce à l’algorithme de chiffrement et la clé, et du décryptement, opération par laquelle à partir d’un message chiffré on retrouve le message d’origine, mais sans connaître la clé ou l’algorithme de déchiffrement.
Pour comprendre les applications modernes de la cryptologie, il convient de préciser que plusieurs grands types de cryptographies existent : la cryptographie symétrique, la cryptographie asymétrique et la cryptographie hybride.
Un système de cryptographie est dit symétrique si la clé utilisée lors du cryptage est aussi celle utilisée lors du déchiffrement. Dans un tel système, les correspondants conviennent par avance d’une clé avant de commencer leurs échanges de messages. Bien qu’il soit plus simple à mettre en œuvre que la cryptographie asymétrique, ce système impose que la clé soit communiquée et conservée de façon confidentielle par les correspondants. Il s’agit d’un inconvénient important car cette clé doit être régulièrement changée pour résister aux attaques des cryptanalystes. De plus, plus le nombre de correspondants est important, plus les risques de perte de confidentialité de la clé augmentent.
Un système de cryptographie est dit asymétrique (ou « a clé publique ») si la clé utilisée lors du chiffrement est différente de celle utilisée lors du déchiffrement. Les correspondants disposent chacun d’une clé qu’ils gardent secrète et d’une clé dite publique qu’ils communiquent à tous. Pour envoyer un message, on le crypte à l’aide de la clé publique du destinataire. Celui-ci utilisera sa clé secrète pour le déchiffrer. Outre son niveau de sécurité élevé, l’avantage principal de la cryptographie asymétrique, réside dans la possibilité de diffuser la clé publique à grande échelle. Cependant, le cryptage des informations est beaucoup plus lent et demandeur en ressources informatiques.
Afin de pallier les inconvénients des méthodes de cryptage asymétrique (lourdeur et complexité) et symétrique (risques en matière de communication des clés), une méthode de cryptage hybride a vu le jour : l’envoyeur détermine une clé de déchiffrement et utilise un algorithme de cryptage asymétrique pour la crypter. Une fois la clé communiquée de façon sécurisée au destinataire, les parties communiquent grâce à un système de cryptage symétrique
L’utilité première et historique de la cryptologie est de garantir la préservation du caractère confidentiel d’une information. L’invention du microprocesseur en 1971 permet à la cryptologie d’évoluer et de se complexifier grâce à la puissance de calcul des ordinateurs. En effet, plusieurs algorithmes de chiffrement symétriques et asymétriques se sont développés et ont été utilisés :
En 1997, l’institut national des standards et de la technologie américain (NIST) a organisé un concours pour déterminer quel algorithme serait le standard de chiffrement. C’est l’algorithme AES qui remporta ce concours. Il s’agit d’un algorithme de chiffrement symétrique et permet de générer des clés de chiffrement d’une longueur allant jusqu’à 256 bits.
Le chiffrement est utilisé dans une variété de situations qui imposent de mettre en œuvre des mesures de sécurité garantissant la confidentialité d’une information. L’article 32 du RGPD et le principe de privacy by design imposent aux responsables de traitement et DPO d’évaluer la nécessité de la mise en œuvre de mesures de sécurité techniques et organisationnelles préalablement au démarrage opérationnel d’un traitement de données à caractère personnel. Cette évaluation se fait :
RGPD art.32 (§1) « Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques » et
RGPD art.32 (§2) en tenant « compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite ».
Le chiffrement est d’ailleurs explicitement évoqué à l’article 32 (§1a) du RGPD comme une mesure de sécurité à envisager afin de garantir un niveau de sécurité adapté au risque encouru par les personnes concernées.
De même, le chiffrement des données est explicitement recommandé par la Commission Nationale de l’Informatique et des Libertés (CNIL), l’Agence Nationale de la Sécurité des Systèmes d’informations (ANSSI) et le Comité Européen de la Protection des Données (CEPD) dans de multiples situations telles que le recours à une messagerie sécurisée dans le cadre de transferts de données sensibles, le chiffrement des données lorsqu’elles sont transférées en dehors de l’Union Européenne, ou encore chiffrement des sauvegardes de données personnelles.
Cependant, aucune obligation légale n’impose aux responsables de traitement de mettre en œuvre une mesure de chiffrement de façon directe et systématique. Néanmoins, la CNIL a sanctionné deux médecins pour manquement à l’obligation de sécurité des données car ils n’avaient pas chiffré des données de santé dans une base de données leur appartenant.
Afin de pouvoir déterminer quand et s’il est opportun de chiffrer ses données personnelles, le responsable de traitement doit s’interroger sur l’intérêt et l’applicabilité effective de cette mesure au traitement de données personnelles envisagé. Le chiffrement des données ne peut être utilisé de façon effective que lorsque les données sont en transit ou au repos. En effet, une fois une donnée chiffrée, elle ne pourra être lue (et donc traitée aux fins pour lesquelles elle a été collectée) préalablement à son déchiffrement. Or, ce déchiffrement augmente le risque de perte de confidentialité, d’une part car il implique d’utiliser la clé de déchiffrement, ce qui présente un risque pour sa propre confidentialité et d’autre part car au repos, les données retrouvent leur vulnérabilité première.
C’est la raison pour laquelle le CEPD considère d’ailleurs que cette mesure est insuffisante a elle seule pour garantir un niveau de protection équivalent à celui garanti par le RGPD à des données qui feraient l’objet d’un transfert en dehors de l’Union Européenne : si le destinataire doit les déchiffrer pour les traiter, leur confidentialité n’est plus garantie et un tiers peut y accéder.
Il convient également de noter qu’aujourd’hui, les fonctions remplies par la cryptologie ont évolué. Outre la confidentialité d’un échange d’informations, celle-ci garantit désormais :
Grâce au système dit du « hachage », il est désormais possible de déterminer si un message a été modifié entre le moment où il a été envoyé par son émetteur et sa lecture par le destinataire. Une fonction de hachage permet d’associer une empreinte unique, vérifiable par tous à un message, fichier ou répertoire. Cette empreinte se matérialise souvent par une longue suite de chiffres et de lettres précédé du nom de l’algorithme utilisé (SHA2 ou SHA256 par exemple). Celle-ci varie en fonction des différentes composantes de l’élément haché : taille, nombre de caractères, extension etc.
Ainsi, en comparant les deux « hash » produits au moment de l’envoi et au moment de la réception d’un document, l’émetteur et le destinataire peuvent s’assurer de l’intégrité de l’élément transmis.
Cependant, il est également possible de recourir à des techniques de hachage qui impliquent l’utilisation d’une clé secrète. Cette méthode modifie l’empreinte en fonction de la clé utilisée et il est donc possible d’obtenir deux hash différents à partir d’un même document. La comparaison des deux hash ne permet alors de garantir l’intégrité du message que si l’émetteur et le destinataire du message utilisent la même clé secrète pour procéder au hachage.
Le hachage est également utilisé dans le cadre de la vérification des mots de passe. La conservation des mots de passe utilisateur en clair dans une base de données est très risquée en cas de compromission du fichier. Au lieu de stocker le mot de passe, il est donc plus courant de stocker une version hachée du mot de passe. Pour authentifier un usager, le mot de passe fourni par l’utilisateur est haché et comparé avec la valeur de hachage stockée.
Le mécanisme de la signature cryptographique permet de s’assurer de l’authenticité de son origine. Ainsi, en signant un document à l’aide de sa clé privée, une personne peut permettre à n’importe quel tiers de vérifier son identité grâce à une clé publique, connue de tous. La signature électronique est devenue un outil incontournable au cours de la crise sanitaire en raison de la démocratisation du télétravail. En vertu de l’article 1366 du Code Civil, elle a la même force probante que l’écrit sur support qu’une signature manuscrite. Elle ne doit cependant pas être confondue avec la signature numérique (dessinée par le signataire, ou insérée par une image), qui n’a pas la même force probante, car elle ne permet pas d’identifier de façon sure et intègre l’auteur de cette signature.
La signature électronique est encadrée par le règlement EIDAS, qui distingue trois types de niveaux de sécurité en matière de signature électronique :
1. Standard
Il s’agit de la signature numérique telle que définie ci-dessus. Elle peut valoir commencement de preuve par écrit mais ne permet pas de garantir l’intégrité des données signées ni l’identité du signataire.
2. Avancé
Il s’agit de la signature la plus couramment utilisée par les entreprises. Une clé privée accessible seulement au signataire permet
Afin d’être valide, celle-ci nécessite l’acquisition d’un certificat de signature électronique répondant aux exigences du règlement EIDAS.
3. Qualifié
Il s’agit de la signature électronique la plus robuste sur les plans techniques et juridiques. Ce type de signature requiert que l’identité du signataire soit validée en amont par un tiers habilité (autorité de certification ou prestataire de service de qualification électronique), et qu’un dispositif de signature spécifique (token physique) soit délivré au signataire. C’est ce procédé de signature qui, selon le code civil, est l’équivalent de la signature manuscrite.
– Oscar Lourdin