Une méthode d’authentification de niveau professionnel est remise au goût du jour à l’ère quantique.

La course à la mise à jour de l’infrastructure de cybersécurité est lancée avant que les ordinateurs quantiques ne deviennent capables de percer les normes actuelles. Google vient de mettre au point une méthode de mise en œuvre de la norme de clé de sécurité FIDO2, une méthode d’authentification de plus en plus populaire qui remplace les mots de passe.

Les clés de sécurité, comme les mots de passe, aident les utilisateurs à prouver leur identité afin qu’ils puissent s’authentifier auprès des services numériques. Mais contrairement aux mots de passe, les clés de sécurité ne risquent pas d’être compromises, car il s’agit de dispositifs physiques conçus dans le seul but d’assurer l’authentification.

De la taille d’une clé USB, elles se branchent sur des dispositifs secondaires tels que les ordinateurs portables lorsque les utilisateurs ont besoin de s’authentifier. Les clés de sécurité résistent aux attaques par hameçonnage car elles fonctionnent dans les deux sens : Elles aident les utilisateurs à authentifier les services et elles authentifient les utilisateurs auprès des services. L’authentification s’effectuant sur un dispositif distinct conçu pour être difficile à compromettre, ces clés sont généralement très sûres.

« Chaque fois que vous avez un site web qui prend en charge l’authentification FIDO2, vous pouvez utiliser votre clé de sécurité », explique le chercheur en sécurité quantique Tommaso Gagliardoni, qui travaille chez Kudelsky Security. « Le nombre de personnes qui l’utilisent est encore très faible, mais parmi les professionnels de la sécurité, je pense qu’elles deviennent de plus en plus courantes.

Les services ajoutent peu à peu la prise en charge des clés de sécurité, à commencer par les grands opérateurs comme Google, Microsoft et Facebook. Parmi les inconvénients, citons leur coût – la plupart des autres formes d’authentification sont gratuites – et la possibilité pour les utilisateurs d’égarer leurs clés de sécurité et de devoir les remplacer.

Google a adopté une approche hybride qui combine un algorithme traditionnel de cryptographie à clé publique et le Dilithium pour l’authentification.

La cryptographie à clé publique est la technologie qui rend les clés de sécurité possibles, en fournissant la logique de preuve d’identité pour authentifier les utilisateurs et les services à l’aide de signatures numériques. C’est également cette technologie qui rend les clés de sécurité vulnérables aux attaques quantiques, car toutes les formes actuelles de cryptographie à clé publique devraient être facilement cassées par les ordinateurs quantiques.

La mise en œuvre de Google utilise l’un des algorithmes de cryptographie post-quantique dont la normalisation a été approuvée l’année dernière par le National Institute of Standards and Technology (NIST).

Cet algorithme, appelé Dilithium, est conçu spécifiquement pour les signatures numériques. Comme Dilithium n’est pas encore une norme officielle et qu’il n’est pas utilisé depuis longtemps dans des conditions réelles, Google a adopté une approche hybride qui combine un algorithme traditionnel de cryptographie à clé publique avec Dilithium pour l’authentification.

Selon Tommaso Gagliardoni, la plus grande contribution de Google est d’avoir trouvé un moyen d’optimiser l’algorithme Dilithium afin qu’il puisse fonctionner sur le matériel d’une clé de sécurité classique, dont la mémoire et la puissance de traitement sont limitées.

« Si vous prenez l’implémentation du schéma résistant au quantum tel qu’il est publié par le NIST et que vous essayez de l’intégrer dans le matériel, cela ne fonctionnera pas parce que cela nécessitera trop de mémoire », a-t-il déclaré.

Pour que cela fonctionne, Google a réduit la quantité de mémoire sur laquelle Dilithium est censé fonctionner, en échange d’un fonctionnement légèrement plus lent. David Turner, directeur principal du développement des normes à la FIDO Alliance, qui gère les normes d’authentification sans mot de passe, a déclaré que les modifications postquantiques des clés de sécurité devraient s’accompagner de difficultés.

Afin de créer une connexion plus sûre, les nouveaux algorithmes pourraient accroître la complexité des protocoles d’authentification et nécessiter plus de temps pour traiter l’authentification.

Pour Tommaso Gagliardoni, la mise en œuvre de Google ne comporte toujours pas de protection contre les attaques par canal latéral. Il s’agit de pirates qui brisent la cryptographie en obtenant un accès physique direct aux clés de sécurité.

Une attaque par canal latéral stéréotypée pourrait impliquer un pirate s’introduisant dans la chambre d’hôtel d’une cible et piratant sa clé de sécurité laissée sans surveillance sur un bureau, volant la signature numérique de sa cible, puis laissant la clé intacte sans que la cible ne le sache jamais.

L’implémentation de Google ignore ce type de menaces locales et se concentre uniquement sur les attaques à distance, ce qui est assez logique car il serait difficile de faire entrer en douce un ordinateur quantique dans une chambre d’hôtel.

L’implémentation a été publiée dans le cadre du projet open-source de Google pour les clés de sécurité, OpenSK. De nombreuses plateformes qui s’appuient sur la cryptographie à clé publique devront bientôt passer à des algorithmes postquantiques, en particulier les plateformes qui traitent des informations cryptées très sensibles et des services importants qui ont une longue durée de vie, tels que les satellites.

Les services et les données à longue durée de vie sont vulnérables aux attaques quantiques, même si les menaces mettent des décennies à se concrétiser, et c’est pourquoi il faut leur donner la priorité.

Les clés de sécurité peuvent être utilisées depuis de nombreuses années, mais leur popularité ne fait que croître, et elles constituent donc un bon choix initial pour la transition.

Il y aura beaucoup d’autres transitions de ce type dans les années à venir, y compris les travaux récents de Google sur la sécurité de la couche de transport dans le navigateur Chrome.

https://spectrum.ieee.org/fido2-security-key

https://security.googleblog.com/2023/08/toward-quantum-resilient-security-keys.html

https://blog.chromium.org/2023/08/protecting-chrome-traffic-with-hybrid.html